刑事电子数据的审查，不能停留在文件能打开、截图看起来清晰或报告写有“校验一致”。还应说明数据来自哪里、怎样提取和保存、是否完整、由谁实际使用，以及它与指控事实有什么联系。律师需要将技术材料转化为可核对的证据问题，而不是用几个专业术语替代事实分析。
一、先确定审查对象：原始数据、导出文件和汇总表不是同一层
聊天消息、登录日志、电子交易记录、网页信息和相关电子文件，可以具有不同形成方式。一份纸质截图、一份软件生成的聊天导出报告以及存储于设备中的数据，可能对应同一信息，但保留的字段、上下文和验证条件并不相同，应分别识别。
办案过程中制作的资金统计表或人员关系图，需要回到所依据的电子记录核查。汇总材料便于阅读，不意味着其筛选条件、人员对应和计算一定正确。另应注意，数字化记载的证人证言、供述等并不因为保存为电子文件就自动改变原有证据种类，不能把所有电脑文件统称为电子数据后套同一规则。
二、原始存储介质是否在案，为什么重要
能够扣押原始存储介质的，应依法扣押、封存并制作记录，便于验证数据来源及保管状态。手机、硬盘、存储卡等，应核对设备识别信息、持有人、扣押日期、封存状态以及移交记录。封条完整可以支持保管状态判断，但仍不能单独证明设备里每条信息都是真实事实。
原始介质无法扣押或不便封存、数据位于境外等情形，并不当然使提取数据无效；应依规定说明原因、数据来源或介质存放地点，并检查适用的完整性保护措施。不能一概声称“服务器没搬进法院，所有网络数据都不能用”，也不能在缺少原始介质时省略来源解释。
来自持有人提交的文件，应核对谁提交、从何处取得、经过哪些导出或转发，以及是否还能追溯原始记录。多个转发版本内容相同，可以提供核对线索，但不能自行补上最初来源缺失的问题。
三、提取程序应当留下怎样的可追溯记录
重点审查取证人员、日期地点、设备和账号、提取范围、方法、工具及过程记录，核对清单、笔录、签名或未签名原因、见证与录像等相关要求。不同取证方式有不同适用条件，不应要求每种数据都按同一个模板完成，但应能够说明本案采用了什么方式及理由。
例如笔录称提取某手机的全部聊天记录，报告却只包含少量筛选片段，应进一步核对是实际提取范围有限，还是完整数据在案但展示时筛选。提取与展示的区别，会影响补充调取或质证请求的内容，不能仅凭报告页数少就认定侦查机关删除了数据。
涉及远程取证、平台调取或其他机关协作取得的数据，还应检查相应手续、来源和传输过程。技术工具名称本身不是可信度保证；版本、操作记录和结果对应不清时，应具体提出核查问题，而非单纯评价某种软件“可靠”或“不可靠”。
四、完整性校验值能证明什么，不能证明什么
完整性校验值可用于比对特定数据在不同环节是否保持一致。核查时需要知道采用何种算法、针对哪个文件或数据范围、何时计算，以及提取、备份和移送版本如何对应。没有这些信息，只看到一串相同字符，难以判断比较对象是否正确。
即使校验一致，也主要说明所比对的数据在相应环节没有发生可检测变化，不能单独证明最初生成的数据就真实，也不能证明账号背后必然是某一个人。伪造内容如果在被提取前已经存在，后续完整保存并不会自动把内容变成真实。
反过来，校验值不同也要先确认是否在比对同一对象。有时一个是原始文件，另一个是经打印、转码或重新打包的展示文件，字节不同需要解释与核验，不能直接等同于恶意篡改。但如果本应保持一致的证据版本变化且影响真实性，不能用“软件自动处理”一句话带过。
五、聊天记录要核对时间、上下文与账号实际使用人
对单条消息，应查看前后会话、发送与接收主体、群聊成员、时间顺序、附件和相关交易，判断表达的是实际指令、转述、玩笑还是其他语境。将一句“处理好了”脱离上下文，通常无法直接说明处理的是哪件事。
账号实名、昵称、头像、手机号码与实际使用人的对应，需要结合设备归属、登录活动、相关陈述及其他客观材料综合判断。相同头像可以复制，共用设备可能存在多人操作，单个IP地址也不必然唯一对应某个人。另一方面，不能仅提出“别人也可能使用”就忽略已有的完整关联证据。
时间字段要注意设备设置、服务器记录及显示转换。若案情依赖分钟级先后顺序，可核对时区、时钟偏差和日志格式，再与门禁、交易或其他独立记录比较。不能把显示时间的差异直接说成伪造，也不能在无法解释时强行排列出对某方有利的时间线。
六、两个假设例子：怎样把技术疑问变成审查问题
例一，指令截图缺少前文。某截图显示“按原计划操作”，被用于证明共同犯罪分工。应核对原计划具体内容、完整聊天是否在案、该账号实际使用者及后续行为是否印证。需要补充的是上下文和身份关联，而不是简单要求对方出具“截图没有修改”的证明。
例二，导出报表显示100条交易。应查明是否包含退款、冲正、同一交易重复导出或正常交易，字段怎样映射到人数和金额；如果统计程序只按备注关键词筛选，还应检验该条件能否区分真正涉案交易。100条记录不当然等于100名被害人或100次独立犯罪行为。
这些例子用于说明核对路径，不对应真实案件。技术检查的结果需要回到具体待证事实：即使数据确实完整，也仍要判断它能否证明行为、主观认识、参与期间或数额。
七、程序瑕疵与真实性无法保证，法律后果应区分
2016年电子数据规定及2021年刑诉法解释，对未以封存状态移送、笔录清单缺少相应签名、名称类别格式注明不清等程序瑕疵，规定经补正或作出合理解释可以采用；不能补正或合理解释的，不得作为定案根据。律师应核对实际缺陷、补正材料和解释能否相互对应，不能只看有没有一份补充说明。
对篡改、伪造、无法确定真伪，或者增删修改影响真实性等情形，则应依真实性规则评价，不能用普通形式补正替代实质验证。法律意见宜明确请求：补充移送原始数据、说明提取过程、核验版本差异，还是依法不得作为定案根据，并附所针对的数据及依据。
一项电子数据存在问题，不等于全案当然无罪；法庭还需综合其他证据及法定证明标准判断。相反，其他材料数量多，也不能使无法保证真实性的关键数据免于审查。
八、鉴定意见、有专门知识的人和原始数据怎样衔接
电子数据涉及专业问题时，可依法申请鉴定或通知有关人员出庭。审查鉴定意见，要核对检材来源、委托事项、方法、结论范围及不能确定的部分。鉴定确认两个文件一致，与确认文件中描述的交易真实发生，并不一定是同一项任务。
对鉴定意见有异议，应具体说明异议事项及需要出庭回答的问题，按法定条件申请鉴定人出庭；有专门知识的人可依法就专业问题提供帮助，其意见仍须接受相应审查。不要把某个软件自动给出的“识别结果”直接等同于司法鉴定，也不要仅凭肉眼觉得视频自然就排除合成或剪辑风险。
涉及专门性问题的报告和展示材料，必要时应提供查看工具或方法，保证法庭及控辩双方能够理解证据。数据无法正常打开时，应先说明障碍并依法申请补充移送或技术协助，不能仅凭文件存在就认为已经完成实质质证。
九、家属和当事人如何保存合法持有的数字材料
保留原始设备及已有记录，记录材料来源、账号、相关时间和事实，不要删改消息、拼接截图或用生成工具补画缺失对话。制作便于阅读的副本时，应与原件区分，并保留原始资料以供核验。已经被依法扣押或封存的设备，应通过程序申请查阅、提取或核对，不得自行解除封存、远程删除或改变状态。
对本人无权限取得的平台日志或他人账户资料，提供明确线索，由律师依法申请调取。资料中涉及他人隐私、商业秘密或案件敏感信息的，应限制在必要的法律服务和诉讼范围内使用，不能为公开争论将整份案卷或聊天记录发布到网络。
十、阅卷后可形成的电子数据核对清单
为每组数据记录：名称与来源、原始介质或替代取证原因、提取与移送材料、完整性验证、身份关联、具体证明目的、缺失内容及申请事项。对资金和人员数量的汇总，还需附底层数据与去重规则。这样既能指出问题，也能让办案机关知道需要补充核实什么。
与资金流有关的，可进一步阅读诈骗案件资金用途与数额审查；数据与证人陈述冲突的，可结合证人证言真实性及矛盾质证分析。两类材料应相互检验，不能因一份是电子文件就认为天然更真实。
已核对的规范
本文核对日期为2026年9月8日，依据为2016年刑事电子数据收集提取与审查判断规定、2021年刑诉法解释、公安机关办理刑事案件电子数据取证规则及《刑事诉讼法》。检索中涉及的2026年取证规则征求意见稿未作为本文现行法律依据。