如何收集和提取电子数据证据
第一届国际计算机调查专家会议曾提出了“计算机取证”(Computer Forensic)的概念，将其定义为“识别、恢复、提取、保存电子存储信息(ESI)，形成报告并使之成为法律证据的科学”。
我国对电子数据取证产品需求首先产生于执法部门，我国2001年从针对黑客取证开始引入计算机取证的技术，随后逐步发展为针对计算机、网络、移动终端等方面电子数据的取证。
常见的计算机取证技术包括:电子数据的收集、浏览器取证技术、注册表取证技术、电子邮件取证技术、回收站取证技术、内存取证技术、网络电子取证技术、数据库取证技术、数据恢复技术等等。
1、如何扣押电子数据的存储介质
为确保电子数据的真实性和完整性，我国确立了电子数据取证“以扣押原始存储介质为原则，以直接提取电子数据为例外，以打印、拍照、录像等方式固定为补充”的原则。
《公安机关办理刑事案件电子数据取证规则》(规定，扣押电子数据的存储介质，分为:封存、列单、记录三个步骤来进行。
确保不解封就无法使用、启动存储介质，必要时，电子设备和存储介质可以分开封存;封存前后应当拍照，且能反映封口或者张贴封条处的状况和存储介质细节;具有无线通信功能的，应当采取信号屏蔽、信号阻断或者切断电源等措施。
第二，列单。
会同见证人和持有人(提供人)查点清楚，当场开列《扣押清单》一式三份，写明存储介质名称、编号、数量、特征及其来源等，由侦查人员、持有人(提供人)和见证人签名或者盖章。
第三，记录。
实务中，对于台式电脑等大件电子设备，应当登记电脑的序列号码(SN)，不能仅登记颜色和品牌，以确保扣押电脑的唯一性;封条应当贴在可以打开机箱盖的连接处，确保不撕下封条，无法打开机箱;可将硬盘单独封装在物证袋中，并封口，登记硬盘编号。
对于手机等小部件电子设备，应当登记手机的序列号码，确保扣押手机的唯一性;将手机(关机后)封存在物证袋中，并封口;必要时，可将SIM卡取出，单独封装，或采取其他屏蔽信号方式，避免远程唤醒手机。
上述过程有两名侦查人员执行，见证人在场签字，制作扣押笔录，记录封存状态，并进行拍照、录像。
此外，还要向相关人员了解:原始存储介质及应用系统管理情况，网络拓扑与系统架构情况，是否由多人使用及管理，管理及使用人员的身份情况;系统管理的用户名、密码情况;原始存储介质的数据备份情况，有无加密磁盘、容器，有无自毁功能等。
并记入笔录。
河南省鹿邑县人民法院审理的黄某侵犯公民个人信息案(豫1628刑初374号)。
该案中，侦查机关应当以封存状态移送扣押的黄某的电脑主机，但一审期间侦查机关没有移送。
周口市中级人民法院发回重审后，鹿邑法院要求侦查机关移送主机，侦查机关虽然移送了该主机，但电脑主机已经不完整。
经当庭查看，主机机箱正面下半部、机箱右侧贴有封条，但主机机箱正面上半部没有封存是一个空洞，明显有缺少零件。
最终，因为原始存储介质查封的瑕疵，人民法院对起诉书指控被告人购买公民个人信息551万条的事实，不予认定。
2、如何现场提取电子数据
虽然，电子数据的收集，以扣押存储介质为原则，以提取电子数据为例外。
但其实，提取电子数据，是最方便、快捷、经济的方法。
对于原始存储介质不便封存的、计算机内存中的临时数据、网络传输数据、原始存储介质位于境外的，可以提取电子数据。
提取电子数据时，必须同时计算完整性校验值。
《公安机关办理刑事案件电子数据取证规则》(规定:不得将提取的数据存储在原始存储介质中;不得在目标系统中安装新的应用程序;应当在有关笔录中详细、准确记录实施的操作。
制作《电子数据现场提取笔录》，要注明电子数据的来源、事由和目的、对象、提取电子数据的时间、地点、方法、过程、不能扣押原始存储介质的原因、原始存储介质的存放地点，并附《电子数据提取固定清单》，注明类别、文件格式、完整性校验值等，由侦查人员、电子数据持有人(提供人)签名或者盖章。
实务中，由于多数侦查人员不具备专业知识，不会计算完整性校验值，通常都是将存储介质移送到电子数据鉴定机构，由专业人员将硬盘制作成镜像光盘，并计算完整性校验值。
对此，笔者并没有找到法律依据。
公安机关取证规定，第18条仅规定:不得将提取的数据存储在原始存储介质中;不得在目标系统中安装新的应用程序，如果因为特殊原因，需要在目标系统中安装新的应用程序的，应当在笔录中记录所安装的程序及目的。
当然，镜像复制的优点非常明显，对整个数据环境予以整体保存，充分保证数据环境的完整性。
但是，如果仅有整个硬盘镜像复制，不对证明案件事实的关键核心数据进行单独提取，并不利于还原事实真相，无法起到证明犯罪事实的作用。
实践中，常见情况是侦查人员将几十TB的服务器硬盘数据，全部镜像复制出来制作了许多光盘，把待证犯罪事实的关键数据淹没在数据海洋中，无法分辨，给后期检察官、律师、法官查明案情，带来巨大的麻烦。
对此，比较科学的方法是，以镜像复制为基础，并对重点数据单独提取或拍照、截屏固定，即能保证整体数据环境的完整性，又能突出展示待证犯罪事实。
3、如何提取远程电子数据
网络在线提取的数据，同样需要计算电子数据的完整性校验值;必要时，可以提取有关电子签名认证证书、数字签名、注册信息等关联性信息。
网络在线提取时，对可能无法重复提取或者可能会出现变化的电子数据，应当采用录像、拍照、截获计算机屏幕内容等方式记录以下信息:远程计算机信息系统的访问方式;提取的日期和时间;提取使用的工具和方法;电子数据的网络地址、存储路径或者数据提取时的进入步骤等;计算完整性校验值的过程和结果。
并在有关笔录中注明电子数据的来源、事由和目的、对象，提取电子数据的时间、地点、方法、过程，不能扣押原始存储介质的原因，并附《电子数据提取固定清单》
莱芜市钢城区人民法院审理的孙某某、亓某某非法吸收公众存款一案(鲁1203刑初4号)中，法院认为:案发后，侦查机关在收集电子数据时，在两名侦查人员及见证人见证下，由李某甲登陆服务器将后台电子数据下载并存盘，交由侦查机关保存，侦查机关对该复制提取过程出具说明、制作清单，并经侦查人员、数据持有人、见证人签名，足以保证电子数据提取的合法性、真实性和完整性，之后侦查人员将电子数据交由天诚贷后台程序设计人员张某汇总整理，张某证实其登陆天诚贷阿里云服务器账号后，比对侦查人员提供的电子数据与服务器中存储数据完全相符，由张某按照侦查机关要求采取编写程序方法，把数据库中的数据编程生成对应表格形式的数据，也就是公诉机关当庭出示的汇总表一、二、三，张某还证实在对数据进行整理过程中没有任何删除和更改，此外，公诉机关当庭出示的34名被害人陈述及被害人提供的个人账号充值、提现等网页截图、银行记录等证据也证实相关数据与整理汇总后的数据一致，足以印证整理数据的真实性。
在庭审过程中，对于辩护律师就电子数据的真实性提出的质疑，人民法院没有予以采纳，关键在于侦查期间的远程提取数据程序规范、严谨。
4、何时可以采用拍照、打印方式固定电子数据
《电子数据规定》第10条规定，由于客观原因无法或者不宜依据第八条、第九条的规定收集、提取电子数据的，才可以采取打印、拍照或者录像等方式固定相关证据，并在笔录中说明原因。
笔者认为:对于电子数据的信息量不大，证明内容单一的场景，拍照、截屏是固定电子数据证据的最快捷、最有效的方法。
电子数据的本质，是将人们可以理解的信息，转化为机器可以理解的数据，在需要时还原为人们可以理解的信息。
例如:笔者办理的一起盗窃电动车案件，电动车厂家有一款手机APP，电动车内安装GPS定位装置，车主可在手机上查看电动车的位置记录，这使盗窃电动车的犯罪嫌疑人无处遁形。
侦查人员将手机APP打开，将电动车被盗后的路线图打印出来，犯罪嫌疑人和被害人签字确认，不失为解决问题的有效方法。
但是，依据《电子数据规定》要求，以拍照、打印方式固定电子数据，仅在无法扣押存储介质、无法提取电子数据情况下，才能使用。
如果电子数据是认定犯罪的关键证据，更要按规定扣押存储介质、提取电子数据。
5、“以扣押存储介质为原则、提取电子数据为例外”的利弊
例如:一首歌曲的MP3格式文件，即可以在网络服务器上存储，也可以在网络上传输，还可以下载到本地硬盘上存储，歌曲文件本身是一段MP3格式代码，并不依赖存储介质。
《电子数据规定》之所以确立“以扣押存储介质为原则，提取电子数据为例外”的原则，有已下几方面考虑:第一，电子数据原始存储介质上有电子数据产生、变化、相互依存的背景信息，例如:涉案电子数据内容是入侵系统的登录日志，可以直接打开操作系统查看系统日志，电子数据内容是数据库文件，可以直接登录数据库管理系统查看数据库文件内容。
第二，原始设备也是涉案物证，与电子数据相结合，证据体系更加牢固。
第三，减少电子数据在读取、传输、转存储过程当中，发生的数据丢失、失真，保护电子数据的真实性和完整性。
对此，笔者认为扣押原始存储介质，需要注意技术层面和价值层面两面方面问题。
例如:原存储介质是固态硬盘(SSD)，其存储原理是电子信号存储，适合经常通电运行。
如果扣押固态硬盘，使其长期处于断电状态，反而不利于数据存储，随着时间的推移会出现数据丢失情况。
再例如:原存储介质是机械硬盘(HDD)，其存储原理是磁信号存储，适合长时间静止放置。
如果频繁搬运，会引起磁头与磁片碰撞，造成数据丢失或硬盘损坏。
在诉讼过程中，原本静置于涉案公司的电脑主机，被先后搬运到刑侦大队、检察院审查逮捕部门、鉴定机构、检察院公诉部门、法院，最后搬上法庭举证质证，搬运会对数据造成破坏。
虽然我们扣押了原始存储介质，但并不能保证数据的真实性。
为了确保数据的真实性、完整性，可以制作备份，将电子数据刻录在光盘等存储介质上。
第二，价值层面。
我们为了打击犯罪，羁押犯罪嫌疑人的同时，扣押犯罪嫌疑人个人所有的手机、笔记本电脑，带来负面影响较小。
但如果原始存储介质是公司办公电脑、网络服务器，内部存储有大量和案件无关的数据信息，扣押存储介质所带来的负面影响，就远大于其正面价值，就需要进行价值判断，衡量是否有必要扣押原始存储介质。