电子数据取证的规则是什么？

第一章总则第一条为了规范公安机关电子数据采集工作，保证电子数据采集质量，提高电子数据采集效率，根据《中华人民共和国刑事诉讼法》、《公安机关办理刑事案件程序规定》及其他有关规定，制定本规则。第二条公安机关办理刑事案件，应当遵守法定程序和相关技术标准，全面、客观、及时地收集、提取涉案电子数据，确保电子数据的真实性和完整性。第三条电子数据取证包括但不限于: (一)收集、提取电子数据；(2)电子数据检查和调查实验；(3)电子数据的检查和鉴定。第四条公安机关电子数据采集涉及国家秘密、警务工作秘密、商业秘密和个人隐私的，应当保密；取得的材料与案件无关的，应当及时返还或者销毁。第五条其他国家机关在行政执法和案件调查处理过程中收集、提取的，经公安机关受理或者依法取得的电子数据，可以在刑事案件中作为证据使用。第二章电子数据的收集和提取第一节一般规定第六条电子数据的收集和提取应当由两名以上调查人员进行。必要时，可以指派或聘请专业技术人员在调查人员的主持下收集和提取电子数据。第七条收集、提取电子数据，根据案件需要，可以采取下列一种或者多种措施和方法: (一)查封、封存原始存储介质；(二)现场提取电子数据；(3)通过网络在线提取电子数据；(四)冻结电子数据；(5)获取电子数据。第八条有下列情形之一的，可以采取打印、拍照、录像等方式固定相关证据: (一)无法扣押原始存储介质、无法提取电子数据的；(二)存在电子数据自毁功能或者装置，并有必要及时固定相关证据的；(三)需要进行现场展示的，查看相关电子数据。依照前款第(二)项、第(三)项的规定，通过打印、拍照或者录像等方式固定相关证据后，能够扣押原存储介质的，应当扣押原存储介质；无法扣押原始存储介质但可以提取电子数据的，应当提取电子数据。第九条采用打印、拍照、录像等方式固定相关证据的，应当清晰反映电子数据的内容，在相关记录中注明采用打印、拍照、录像等方式固定相关证据的原因，并由调查人员和电子数据持有人(提供者)签名或者盖章确认电子数据的存储位置、特征和原始存储介质位置；电子数据持有人(提供人)无法签名或者拒绝签名的，应当在记录中注明，并由见证人签名或者盖章。第二节扣押、查封原存储介质第十条在侦查活动中发现能够证明犯罪嫌疑人有罪或者无罪、罪轻或者罪重的电子数据，能够扣押原存储介质的，应当扣押、查封原存储介质，并制作笔录，记录原存储介质的封存状态。对涉及电子数据的犯罪现场进行勘验、检查时，应当按照相关规范处置相关设备，并扣押、封存原始存储介质。第十一条查封的原始存储介质应当按照下列要求予以封存: (一)确保封存的原始存储介质在不解除封存状态的情况下不能使用或者启动，必要时可以对具有数据信息存储功能的电子设备和硬盘、存储卡等内部存储介质单独封存；(2)应在密封前和密封后对密封的原始存储介质拍照。照片应反映封存前后的原始存储介质，并清晰反映封存或张贴封条的情况；必要时，照片应清晰反映电子设备内部存储介质的细节；(三)封存手机等具有无线通信功能的原始存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施。第十二条扣押的原始存储介质应当与在场的见证人和原始存储介质持有人(提供人)核对清楚，当场制作扣押清单一式三份，注明原始存储介质的名称、编号、数量、特性和来源，由侦查人员、持有人(提供人)和见证人签名或者盖章，一份交持有人(提供人)，一份交公安机关保管人员。第十三条无法确定原始存储介质持有人(提供人)或者原始存储介质持有人(提供人)无法签名或者盖章或者拒绝签名或者盖章的，应当在相关记录中注明，并由见证人签名或者盖章。因客观原因不能由符合条件的人担任见证人的，应当在相关笔录中注明情况，并记录扣留原存储介质的全过程。第十四条扣押原始存储介质时，应当收集证人证言、犯罪嫌疑人陈述、辩解等与原始存储介质有关的证据。第十五条扣留原始存储介质时，可以了解、收集并在相关记录中注明以下信息: (一)原始存储介质和应用系统的管理、网络拓扑和系统架构、是否由多人使用和管理、管理人和使用人的身份；(二)应用系统管理的原始存储介质和用户名、密码；(3)原存储介质的数据备份，是否有加密磁盘和容器，是否有自毁功能，是否有其他移动存储介质，是否有过备份，备份数据的存储位置等。；(4)其他相关内容。第三节电子数据的现场提取第十六条有下列情形之一，无法扣押原始存储介质的，可以现场提取电子数据: (一)原始存储介质不便封存的；(二)提取存储介质中未存储的计算机内存数据、网络传输数据和其他电子数据；(三)案情紧急，不立即提取电子数据可能造成电子数据丢失或者其他严重后果的；(四)关闭电子设备会导致重要信息系统停止服务的；(五)需要通过现场提取电子数据对可疑存储介质进行调查的；(六)正在运行的计算机信息系统的功能或者应用程序被关闭后，无密码无法提取；(七)无法扣押原始存储介质的其他情形。无法查封原始存储介质的情形消失后，应当及时查封原始存储介质。第十七条现场提取电子数据可以采取以下措施保护相关电子设备: (一)及时将犯罪嫌疑人或者其他相关人员与电子设备隔离；(二)在不能确定是否容易丢失数据的情况下，无法关闭处于运行状态的电子设备；(3)现场计算机信息系统可能被远程控制的，应当及时采取信号屏蔽、信号阻断、断网等措施；(4)保护电源；(五)其他必要的保护措施。第十八条现场提取电子数据时，应当遵守下列规定: (一)提取的数据不得存储在原存储介质中；(2)不能在目标系统中安装新的应用程序。如因特殊原因需要在目标系统中安装新的应用程序，应在抄本中记录安装的程序和目的；(三)应当在相关笔录中详细、准确地记录手术的实施情况。第十九条当场提取电子数据的，应当制作当场提取电子数据记录，注明电子数据的来源、原因、目的和对象，提取电子数据的时间、地点、方法和过程，无法扣押原始存储介质的原因，以及原始存储介质的存放地点，并附电子数据提取固定清单，注明类别、文件格式、完整性校验值等内容。，应由调查人员和电子数据持有人制作。电子数据持有人(提供人)无法签名或者拒绝签名的，应当在记录中注明，并由见证人签名或者盖章。第二十条提取的电子数据可以压缩，并在记录中注明相应的方法和压缩文件的完整性校验值。第二十一条因客观原因不能胜任证人工作的人员，应当在《电子数据现场抽取笔录》中注明，并全程录像，录像文件应当计算并记录在笔录中。第二十二条对无法扣押的原始存储介质和无法一次性提取的电子数据，经登记、拍照或录像后，可由其持有人(提供人)封存，并出具登记保存清单一式两份，由调查人员、持有人(提供人)、见证人签名或盖章，其中一份交持有人(提供人)，另一份附照片或录像资料备查。持有人(提供人)应当妥善保管，不得转让、出售、损毁或者解除封存状态，未经办案部门批准不得上网，不得增加、删除、修改可能作为证据使用的电子数据。必要时，计算机信息系统应保持开机状态。对登记保存的原始存储介质，应当在七日内作出决定。逾期未作出决定的，视为自动终止。发现与本案无关的，应当在三日内解散。