要固定一份电子证据，很多人上来就截图。但同样一份数据，存在你自己手机里、存在云端、存在对方平台上，能拿出来的东西完全不同。电子证据固定，是指采用计算完整性校验值、制作备份、录制取证过程等方式，把电子数据在特定时点的状态保存下来以便日后核验的行为。
一、数据在哪，决定你能拿出来什么
先分清 4 类位置：存在自己设备上，比如手机相册、电脑硬盘；存在云端账号里，比如网盘、邮箱、平台同步备份；存在平台服务器上，比如网页、帖子与评论；存在第三方那里，比如对方网盘的分享链接、别人服务器上的页面。
这四类的共同点是：你未必拿得到原始数据，但都要留下能证明当时就是这个样子的记录。差别在于，前两类能直接导出原件，后两类通常只能录下所见。
二、存在自己设备上：导出原件并计算校验值
自己设备上的数据，最稳妥的做法是导出原件而不是截图。原始文件带完整的生成信息：照片有拍摄时间与机型参数，文档有创建与修改时间，聊天记录有原始数据结构。二次保存和截图都会丢掉这些。
导出之后把原始存储介质也留好。按《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》，保护完整性的方法包括扣押封存原始存储介质、计算完整性校验值、制作并封存备份、冻结电子数据、对收集提取过程录像。落到个人取证上，最常用的是后三项：算出校验值、另存一份备份、把过程录下来。完整性校验值是用散列算法计算得出的值，文件只要被改动，这个值就会变。该规定自 2016 年 10 月 1 日起施行，其中对完整性校验值的定义一直沿用至今。
三、存在云端账号里：同步记录要一起留
云端数据看着方便，取证时却最容易出问题——你下载的往往是同步后的版本，原始时间戳可能已被覆盖。
所以云端固定分两步。先留同步记录：登录账号后把文件的上传时间、修改记录、版本历史完整录下来，有些平台还能看到操作日志。再导出并校验：下载到本地计算校验值，与平台显示的文件大小、上传时间对照，能对应上才说明中间没被改动。云端只保留最近版本的，历史版本记录是你唯一能证明更早样子的材料。
四、存在平台服务器上：录屏是主要手段
网页、平台上的帖子与评论，你拿不到原始数据，只有所见即所得。这时录屏是主要手段，也是唯一能体现连续性与完整性的方式。
用可信时间戳权利卫士的录屏取证，从搜索或入口页开始，连续走到目标页面，把账号信息、发布时间、正文、评论、点赞转发数据依次录清，结束录制后一键固化，生成录屏文件与《可信时间戳认证证书》，证书由联合信任签发，文件自带哈希值。录屏的价值在于可重现——别人按你录的顺序走一遍，能看到同样的内容。只截几张图，既看不出浏览路径，也证明不了中间没跳过不利的部分。
按前述规定，电子数据包括网页、博客、朋友圈、网盘等网络平台发布的信息，手机短信、电子邮件、即时通信、通讯群组等通信信息，用户注册信息、电子交易记录、登录日志，以及文档、图片、音视频、数字证书、计算机程序等电子文件。这份清单基本覆盖了日常会遇到的所有类型，按类别选择固定方式即可。
五、存在第三方那里：能取多少取多少
最难的是数据在别人手上：对方网盘里的分享、别人服务器上的页面、需要登录才能看到的群聊。这类数据随时可撤，且你无法控制。
能做的是三层：当下能看的，立刻录屏固化；链接本身，把完整 URL、访问时间、页面标题记下来；看不到的，在投诉或诉讼中申请调取，提交明确的线索而不是结论。如果对方设置了访问期限，先做固化再谈其他，链接失效后再想办法，成本会高很多。
六、固定完之后：怎么证明没被动过
固定不是结束，还要能解释材料从哪来、怎么保管的。验证完整性通常看这几项：原始存储介质的状态、收集提取的过程录像、完整性校验值是否一致、与备份能否比对得上、访问操作日志是否异常。
落到个人手里就是 3 件事：原始文件不动、留一份备份、留好校验值与证书。开庭或提交时三样一起交，对方质疑你改过，比对校验值就能回答。证据文件与证书长期可核验，证书上记载的是签发时间，不是到期时间，所以不需要反复重新固定。
常见问题
问：截图算不算固定？
答：算一种固定方式，但证明力有限，动态内容和需要体现过程的场景应当用录屏。
问：文件删了，只留着校验值有用吗？
答：校验值要与文件配套才有意义，单独存在只能说明曾经算过，不能还原内容。
问：云端下载下来的文件和原件一样吗？
答：不一定。要对照平台显示的上传时间与文件大小，并把版本历史一并固定。
问：取证过程要不要录像？
答：要。过程能重现，是判断真实性的重要依据，录屏本身就是一种过程记录。
结语
固定的方法没有高低之分，只有合不合适。先看清数据存在谁那里，再选能落地的方式，比事后补救省事得多。
微信公众号
客服微信
付费课程
