公安机关办理刑事案件电子数据取证规则

第十三条对无法确定原始存储介质持有人(提供人)或者原始存储介质持有人(提供人)无法签名、盖章或者拒绝签名、盖章的，应当在有关笔录中注明，由见证人签名或者盖章。由于客观原因无法由符合条件的人员担任见证人的，应当在有关笔录中注明情况，并对扣押原始存储介质的过程全程录像。

第十四条 扣押原始存储介质，应当收集证人证言以及犯罪嫌疑人供述和辩解等与原始存储介质相关联的证据。

第十五条 扣押原始存储介质时，可以向相关人员了解、收集并在有关笔录中注明以下情况：

(一)原始存储介质及应用系统管理情况，网络拓扑与系统架构情况，是否由多人使用及管理，管理及使用人员的身份情况;

(二)原始存储介质及应用系统管理的用户名、密码情况;

(三)原始存储介质的数据备份情况，有无加密磁盘、容器，有无自毁功能，有无其它移动存储介质，是否进行过备份，备份数据的存储位置等情况;

(四)其他相关的内容。

第三节 现场提取电子数据

第十六条 具有下列无法扣押原始存储介质情形之一的，可以现场提取电子数据：

(一)原始存储介质不便封存的;

(二)提取计算机内存数据、网络传输数据等不是存储在存储介质上的电子数据的;

(三)案件情况紧急，不立即提取电子数据可能会造成电子数据灭失或者其他严重后果的;

(四)关闭电子设备会导致重要信息系统停止服务的;

(五)需通过现场提取电子数据排查可疑存储介质的;

(六)正在运行的计算机信息系统功能或者应用程序关闭后，没有密码无法提取的;

(七)其他无法扣押原始存储介质的情形。

无法扣押原始存储介质的情形消失后，应当及时扣押、封存原始存储介质。

第十七条 现场提取电子数据可以采取以下措施保护相关电子设备：

(一)及时将犯罪嫌疑人或者其他相关人员与电子设备分离;

(二)在未确定是否易丢失数据的情况下，不能关闭正在运行状态的电子设备;

(三)对现场计算机信息系统可能被远程控制的，应当及时采取信号屏蔽、信号阻断、断开网络连接等措施;

(四)保护电源;

(五)有必要采取的其他保护措施。

第十八条 现场提取电子数据，应当遵守以下规定：

(一)不得将提取的数据存储在原始存储介质中;

(二)不得在目标系统中安装新的应用程序。如果因为特殊原因，需要在目标系统中安装新的应用程序的，应当在笔录中记录所安装的程序及目的;

(三)应当在有关笔录中详细、准确记录实施的操作。

第十九条现场提取电子数据，应当制作《电子数据现场提取笔录》，注明电子数据的来源、事由和目的、对象、提取电子数据的时间、地点、方法、过程、不能扣押原始存储介质的原因、原始存储介质的存放地点，并附《电子数据提取固定清单》，注明类别、文件格式、完整性校验值等，由侦查人员、电子数据持有人(提供人)签名或者盖章;电子数据持有人(提供人)无法签名或者拒绝签名的，应当在笔录中注明，由见证人签名或者盖章。

第二十条 对提取的电子数据可以进行数据压缩，并在笔录中注明相应的方法和压缩后文件的完整性校验值。

第二十一条由于客观原因无法由符合条件的人员担任见证人的，应当在《电子数据现场提取笔录》中注明情况，并全程录像，对录像文件应当计算完整性校验值并记入笔录。

第二十二条对无法扣押的原始存储介质且无法一次性完成电子数据提取的，经登记、拍照或者录像后，可以封存后交其持有人(提供人)保管，并且开具《登记保存清单》一式两份，由侦查人员、持有人(提供人)和见证人签名或者盖章，一份交给持有人(提供人)，另一份连同照片或者录像资料附卷备查。