電子數(shù)據(jù)兼具法律和科學雙重屬性，其生成、存儲、傳輸?shù)雀鳝h(huán)節(jié)均依賴于電子信息技術(shù)。這決定了電子數(shù)據(jù)取證除遵循一般法律規(guī)定外，還要遵守相關(guān)的專業(yè)技術(shù)性規(guī)則，相較于傳統(tǒng)證據(jù)，其取證規(guī)則更為精細化和專業(yè)化。監(jiān)察法實施條例對電子數(shù)據(jù)的規(guī)定更加細化和完善。筆者認為，實踐中做好監(jiān)察案件電子數(shù)據(jù)取證工作應注意以下四個方面。
一是嚴格依法取證。首先，取證主體方面，監(jiān)察機關(guān)采取搜查、扣押、收集提取、勘驗檢查等各類措施進行收集和固定電子數(shù)據(jù)時，調(diào)查人員均不得少于二人。對于技術(shù)性較強的取證活動，應當選派具備相關(guān)專業(yè)知識的調(diào)查人員，必要時也可邀請專業(yè)技術(shù)人員予以指導和配合。其次，取證程序方面，監(jiān)察機關(guān)必須嚴格按規(guī)定履行報批程序后，區(qū)分不同階段采取相應調(diào)查措施，同時要依法制作有關(guān)法律文書材料。電子數(shù)據(jù)的取證，主要涉及搜查、調(diào)取、查封、扣押、勘驗檢查、鑒定和技術(shù)調(diào)查等監(jiān)察措施。其中，調(diào)取、勘驗檢查或者鑒定電子數(shù)據(jù)，可以在初步核實階段進行；而采取搜查、查封、扣押措施，或者設(shè)區(qū)的市級以下監(jiān)察機關(guān)調(diào)取通過技術(shù)調(diào)查措施收集的電子數(shù)據(jù)的，必須在立案調(diào)查之后進行。再次，取證內(nèi)容方面，調(diào)查人員進行電子數(shù)據(jù)取證時，應注意分析信息內(nèi)容與案件事實的關(guān)聯(lián)性，依法調(diào)取與案件相關(guān)的材料，避免導致取證范圍擴大；對于涉及國家秘密、工作秘密、商業(yè)秘密、個人隱私的，應當保密；對于獲取的材料與案件無關(guān)的，應當及時退還或者銷毀。
二是“一體收集”優(yōu)先。收集、提取電子數(shù)據(jù)應當以扣押電子數(shù)據(jù)原始存儲介質(zhì)為原則，以現(xiàn)場提取電子數(shù)據(jù)為例外，以打印、拍照、錄像等方式固定為補充，即以“一體收集”模式為主，最大限度地保證原始數(shù)據(jù)不遭受破壞。首先，如果能夠扣押原始存儲介質(zhì)，應當盡可能地扣押原始存儲介質(zhì)，并按要求及時封存。扣押、封存的存儲介質(zhì)，應當保證在不解除封存狀態(tài)的情況下無法增加、刪除、修改電子數(shù)據(jù)，存放場所應遠離高磁場、高溫、潮濕、灰塵、靜電、擠壓等環(huán)境，對于具有無線通信功能的存儲介質(zhì)，應當注意采取信號屏蔽或者切斷電源等措施，避免數(shù)據(jù)信息遭受損毀滅失或者干擾破壞。其次，無法扣押原始存儲介質(zhì)的，可以利用只讀、克隆、校驗、鏡像復制等無損技術(shù)進行現(xiàn)場提取。例如，在原始存儲介質(zhì)不便封存或者待收集數(shù)據(jù)為計算機內(nèi)存數(shù)據(jù)、網(wǎng)絡(luò)傳輸數(shù)據(jù)等不是存儲介質(zhì)上的電子數(shù)據(jù)等情況下，調(diào)查人員可以現(xiàn)場提取數(shù)據(jù)，但不能對涉案電子設(shè)備或系統(tǒng)進行任何修改操作，而且要注意計算完整性校驗值。再次，在既無法扣押原始存儲介質(zhì)又不能提取電子數(shù)據(jù)的情況下，可以采取打印、拍照或者錄像等方式固定相關(guān)電子數(shù)據(jù)。采取該方式收集、固定的電子數(shù)據(jù)往往表面呈現(xiàn)為文件、圖片或音像資料等，僅從形式看容易與一般書證或視聽資料相混淆，因此調(diào)查人員要在筆錄中說明采取此種方式固定電子數(shù)據(jù)的原因并注明具體的取證過程及有關(guān)情況，并由調(diào)查人員、電子數(shù)據(jù)持有人（提供人）或見證人簽名或者蓋章確認，以充分釋明和固定其電子數(shù)據(jù)的證據(jù)屬性。
三是全面及時取證。電子數(shù)據(jù)往往依附于一定的存儲介質(zhì)或網(wǎng)絡(luò)環(huán)境而存在，容易因外部載體或環(huán)境的變化而變化甚至滅失，具有易改變性和易滅失性的特點，這就要求調(diào)查人員全面、及時地進行收集和固定電子數(shù)據(jù)。首先，全面收集和固定原始存儲介質(zhì)及電子數(shù)據(jù)信息。為了能夠更全面地還原案件事實，不僅要收集被調(diào)查人和涉案人員的電腦、手機、光盤、硬盤、U盤等原始存儲介質(zhì)及靜態(tài)數(shù)據(jù)，還要注意收集內(nèi)存數(shù)據(jù)和網(wǎng)絡(luò)傳輸?shù)膭討B(tài)數(shù)據(jù)，以及用戶注冊信息、身份認證信息、日志記錄、系統(tǒng)運行情況等附屬信息。其次，注意收集被修改或刪除的隱藏數(shù)據(jù)及痕跡。被調(diào)查人或涉案人員可能會為了對抗調(diào)查、掩蓋事實而故意刪除或修改某些電子數(shù)據(jù)，調(diào)查人員要注意尋找這些隱藏的關(guān)鍵數(shù)據(jù)及痕跡，并利用技術(shù)進行恢復。再次，收集、固定電子數(shù)據(jù)一定要及時。對于調(diào)查發(fā)現(xiàn)的涉案電子數(shù)據(jù)原始存儲介質(zhì)要及時采取扣押、查封措施；對于計算機內(nèi)存數(shù)據(jù)、網(wǎng)絡(luò)傳輸數(shù)據(jù)等動態(tài)電子數(shù)據(jù)，尤其是不立即提取電子數(shù)據(jù)可能會造成電子數(shù)據(jù)滅失等后果的，要第一時間進行現(xiàn)場提取、固定；對數(shù)據(jù)量大、無法或不便提取，或者提取時間長且可能造成電子數(shù)據(jù)被篡改或者滅失的，及時對電子數(shù)據(jù)進行凍結(jié)。
四是堅持全程留痕。為保證電子數(shù)據(jù)的完整性、真實性，根據(jù)監(jiān)察法實施條例等有關(guān)規(guī)定，采取搜查、查封、扣押電子數(shù)據(jù)原始存儲介質(zhì)，收集、提取以及勘驗檢查電子數(shù)據(jù)等措施，要按要求制作取證筆錄、邀請見證人見證和錄制同步錄音錄像，對取證活動全過程進行客觀、如實的記錄。首先，依法制作電子數(shù)據(jù)收集提取、搜查、勘驗檢查等取證筆錄，記明案由、對象、內(nèi)容，收集、提取電子數(shù)據(jù)的時間、地點、方法、過程，記錄封存狀態(tài)，并附電子數(shù)據(jù)清單，注明類別、文件格式、完整性校驗值等，由調(diào)查人員、電子數(shù)據(jù)持有人（提供人）簽名或者蓋章。其次，搜查、查封、扣押、收集提取以及勘驗檢查電子數(shù)據(jù)時，均應當邀請與案件無關(guān)的見證人在場，并且監(jiān)察人員不得擔任見證人。見證人要在搜查筆錄、收集提取電子數(shù)據(jù)筆錄、查封扣押清單、勘驗檢查情況筆錄等法律文書上簽名或者蓋章。再次，對電子數(shù)據(jù)取證全過程進行同步錄音錄像。電子數(shù)據(jù)的科學證據(jù)屬性，決定了其取證活動的法定程序要求和技術(shù)標準要比一般物證、書證更為嚴格，屬于重要取證活動。按照監(jiān)察法和監(jiān)察法實施條例中對重要取證工作全程同步錄音錄像的要求，監(jiān)察機關(guān)依法采取搜查、查封、扣押、勘驗檢查等措施收集和固定電子數(shù)據(jù)，均要對操作過程全程進行同步錄音錄像，讓調(diào)查人員習慣在“鏡頭”下取證。（北京市朝陽區(qū)紀委監(jiān)委 王宇靖）