引言

电子数据恢复是运用技术手段从已删除、格式化或者受损的存储介质中提取数据的活动，在职务犯罪、涉网犯罪、经济犯罪案件中大量运用。经恢复获得的数据能否作为定案根据，取决于检查过程是否符合法定程序。围绕《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第十六条及相关规定，律师应当准确把握数据恢复取证的审查要点与质证策略。

一、数据恢复取证的定位与法律依据

电子数据规定第十六条规定，对扣押的原始存储介质或者提取的电子数据，可以通过恢复、破解、统计、关联、比对等方式进行检查，必要时可以进行侦查实验。数据恢复属于电子数据检查的方式之一，其法律特征包括：其一，对象的原始性，恢复的对象是扣押封存的原始存储介质或者已提取的电子数据，介质应当处于封存状态；其二，手段的技术性，恢复活动依赖专门的技术工具与方法，操作结果高度依赖操作人员的专业水平；其三，结果的可争议性，恢复所获数据的完整性、准确性、与原始状态的同一性，都可能因方法不当而失真，这正是质证的空间所在。整个活动应当在法定程序框架内进行，程序合规是结论可信的前提。

《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第十六条：对扣押的原始存储介质或者提取的电子数据，可以通过恢复、破解、统计、关联、比对等方式进行检查。必要时，可以进行侦查实验。电子数据检查，应当对电子数据存储介质拆封过程进行录像，并将电子数据存储介质通过写保护设备接入到检查设备进行检查；有条件的，应当制作电子数据备份，对备份进行检查；无法使用写保护设备且无法制作备份的，应当注明原因，并对相关活动进行录像。电子数据检查应当制作笔录，注明检查方法、过程和结果，由有关人员签名或者盖章。

二、数据恢复检查的法定程序要求

数据恢复检查应当遵循的程序要求包括：其一，拆封录像，检查存储介质前应当对拆封过程进行录像，保证介质从封存状态到检查状态的转换全程可回溯；其二，写保护接入，存储介质应当通过写保护设备接入检查设备，防止检查过程中的写入操作污染原始数据；其三，备份优先，有条件的应当制作电子数据备份，对备份进行检查，将风险隔离于原始介质之外；其四，例外注明，无法使用写保护设备且无法制作备份的，应当注明原因并对相关活动录像，形成替代性保障；其五，检查笔录，检查应当制作笔录，注明检查方法、过程和结果，由有关人员签名或者盖章；其六，侦查实验的规范，必要时进行侦查实验的，应当制作侦查实验笔录，注明实验的条件、经过和结果。整个程序链条环环相扣，任一环节缺失都构成审查切入点。

三、数据恢复结果的审查要点

对数据恢复结果的审查应当把握以下要点：其一，介质同一性审查，核实接受检查的介质与扣押清单所载介质在型号、序列号、封存标签上的同一性，排除调包与混淆；其二，恢复方法与工具的审查，审查笔录所载恢复软件名称、版本、操作步骤，评估方法是否为行业通行方法、能否重复验证；其三，完整性的验证，依照电子数据完整性验证规则，比对完整性校验值、审查封存状态、查看检查录像、与备份数据比较，综合判断恢复数据的完整性；其四，时间信息的审慎审查，对恢复数据所附的创建时间、修改时间、删除时间等时间戳信息，审查其可信度，时间戳可能因系统时区、软件改写等因素失真；其五，恢复人员的资质审查，了解实施恢复的人员是否具备相应专业资质与经验，出具说明的主体是否适格；其六，关联性的审查，恢复获得的数据与待证事实之间的关联是否明确，避免以海量模糊数据推定主观明知。整个审查应当技术问题与法律问题并重。

四、质证策略与辩护运用

数据恢复取证的质证策略包括：其一，程序缺陷的分层主张，对拆封未录像、未用写保护设备且未注明原因、无检查笔录等程序缺陷，按严重程度主张排除或者严格审查；其二，申请专门审查，对专业性极强的恢复过程，申请有专门知识的人出庭就恢复方法的科学性提出意见，或者建议法庭委托专业机构重新检验；其三，恢复录像的审查运用，对侦查机关提供的检查录像，逐段审查操作过程与笔录记载是否一致，发现操作中断、设备更换等异常；其四，合理怀疑的构建，围绕恢复数据的时间戳矛盾、数据片段的拼接歧义、恢复失败的未呈现部分，构建对恢复结论的合理怀疑；其五，与其他证据的对照，将恢复数据与其他在案证据交叉比对，暴露矛盾之处，削弱其整体证明力。整个策略应当以技术细节的扎实审查为根基。

实务操作清单

1. 核对介质：核对检查介质与扣押清单的同一性；
2. 审查程序：逐项审查拆封录像与写保护等程序要求；
3. 验证完整性：运用校验值比对等方法验证数据完整性；
4. 申请专家：申请有专门知识的人审查恢复方法；
5. 构建怀疑：围绕时间戳与数据拼接构建合理怀疑。

律师办理此类案件的工作方法

律师审查数据恢复取证，应当以“程序链条逐环核验、技术结论谨慎对待”为原则。先核验介质同一性与封存链条，再逐项对照法定程序要求，后对恢复方法与结果开展技术性审查；必要时借助有专门知识的人的力量，将技术疑点转化为法律上的质证意见与排除申请。整个过程应做到专业、审慎、有据。

对当事人及家属的建议

• 说明实情：如实说明设备使用与数据情况，帮助律师判断；
• 提供线索：提供设备使用人、数据来源等线索；
• 避免臆断：不轻信恢复数据的表面内容，交由专业审查；
• 配合律师：配合律师开展技术性证据的审查准备。

结论与建议

数据恢复取证专业性强、程序要求严格，其结论的可信度取决于程序合规与技术方法的可靠性。建议当事人在专业律师指导下开展审查质证，依法质疑程序瑕疵与技术疑点，维护自身合法权益。