公安机关办理刑事案件电子数据取证规则

持有人(提供人)应当妥善保管，不得转移、变卖、毁损，不得解除封存状态，不得未经办案部门批准接入网络，不得对其中可能用作证据的电子数据增加、删除、修改。必要时，应当保持计算机信息系统处于开机状态。

对登记保存的原始存储介质，应当在七日以内作出处理决定，逾期不作出处理决定的，视为自动解除。经查明确实与案件无关的，应当在三日以内解除。

第四节 网络在线提取电子数据

第二十三条 对公开发布的电子数据、境内远程计算机信息系统上的电子数据，可以通过网络在线提取。

第二十四条 网络在线提取应当计算电子数据的完整性校验值;必要时，可以提取有关电子签名认证证书、数字签名、注册信息等关联性信息。

第二十五条 网络在线提取时，对可能无法重复提取或者可能会出现变化的电子数据，应当采用录像、拍照、截获计算机屏幕内容等方式记录以下信息：

(一)远程计算机信息系统的访问方式;

(二)提取的日期和时间;

(三)提取使用的工具和方法;

(四)电子数据的网络地址、存储路径或者数据提取时的进入步骤等;

(五)计算完整性校验值的过程和结果。

第二十六条网络在线提取电子数据应当在有关笔录中注明电子数据的来源、事由和目的、对象，提取电子数据的时间、地点、方法、过程，不能扣押原始存储介质的原因，并附《电子数据提取固定清单》，注明类别、文件格式、完整性校验值等，由侦查人员签名或者盖章。

第二十七条 网络在线提取时需要进一步查明下列情形之一的，应当对远程计算机信息系统进行网络远程勘验：

(一)需要分析、判断提取的电子数据范围的;

(二)需要展示或者描述电子数据内容或者状态的;

(三)需要在远程计算机信息系统中安装新的应用程序的;

(四)需要通过勘验行为让远程计算机信息系统生成新的除正常运行数据外电子数据的;

(五)需要收集远程计算机信息系统状态信息、系统架构、内部系统关系、文件目录结构、系统工作方式等电子数据相关信息的;

(六)其他网络在线提取时需要进一步查明有关情况的情形。

第二十八条网络远程勘验由办理案件的县级公安机关负责。上级公安机关对下级公安机关刑事案件网络远程勘验提供技术支援。对于案情重大、现场复杂的案件，上级公安机关认为有必要时，可以直接组织指挥网络远程勘验。

第二十九条 网络远程勘验应当统一指挥，周密组织，明确分工，落实责任。

第三十条网络远程勘验应当由符合条件的人员作为见证人。由于客观原因无法由符合条件的人员担任见证人的，应当在《远程勘验笔录》中注明情况，并按照本规则第二十五条的规定录像，录像可以采用屏幕录像或者录像机录像等方式，录像文件应当计算完整性校验值并记入笔录。

第三十一条远程勘验结束后，应当及时制作《远程勘验笔录》，详细记录远程勘验有关情况以及勘验照片、截获的屏幕截图等内容。由侦查人员和见证人签名或者盖章。

远程勘验并且提取电子数据的，应当按照本规则第二十六条的规定，在《远程勘验笔录》注明有关情况，并附《电子数据提取固定清单》。

第三十二条 《远程勘验笔录》应当客观、全面、详细、准确、规范，能够作为还原远程计算机信息系统原始情况的依据，符合法定的证据要求。

对计算机信息系统进行多次远程勘验的，在制作首次《远程勘验笔录》后，逐次制作补充《远程勘验笔录》。

第三十三条 网络在线提取或者网络远程勘验时，应当使用电子数据持有人、网络服务提供者提供的用户名、密码等远程计算机信息系统访问权限。

采用技术侦查措施收集电子数据的，应当严格依照有关规定办理批准手续。收集的电子数据在诉讼中作为证据使用时，应当依照刑事诉讼法第一百五十四条规定执行。