两江新区刑事律师：企业员工被刑拘后，公司怎样合法保存电子证据？

两江新区企业的员工被刑事拘留后，公司可以依法保存自己管理、控制范围内的相关电子资料，并配合办案机关取证。此时最先要避免的，是按普通离职流程注销账号、清理电脑、覆盖日志，导致交易经过无法还原。保存工作的目标是留下真实、完整、可说明来源的数据，不能预先认定员工有罪，也不能只整理对公司有利的一面。

一、接到消息后先停止相关数据清理，明确谁负责保存

公司应核实办案机关、员工身份和已知涉案业务范围，由有权负责人安排法务、信息技术及业务人员分工，指定对接人。书面记录需要保留的账号、系统、时间范围和业务事项，通知相关管理人员暂缓涉及这些资料的自动删除、设备重装、账号注销和备份覆盖。范围暂时不明的，先保住已知相关资料，并尽快向办案机关说明数据分布和保存风险。

调整访问权限与删除历史数据是两回事。公司可以在合法权限内采取必要的业务安全措施，但应记录调整前的权限、操作时间、批准人及原因，保留原有审计记录；不能借接管账号修改历史审批或者冒用员工身份继续处理业务。已被依法扣押、封存或者冻结的设备和数据，应遵守相应要求，不得自行解除限制。

生产系统仍在运行的，不宜未经评估直接断电。关机会不会丢失内存信息、影响加密数据读取或者中断重要服务，应由专业人员判断并与办案机关沟通。日常业务可以通过适当的替代安排继续，但不能让维护操作覆盖待保存的数据。

二、聊天、邮件、系统日志与财务数据，要按业务经过对应保存

只截取一句“按这个账户付款”，往往无法说明谁提出要求、谁审批、是否执行以及款项最终去向。依据2016年刑事案件电子数据规定，通信信息、用户身份资料、交易记录、登录日志等均可能属于电子数据。公司应围绕具体订单、合同、款项或操作事件，建立资料之间的对应关系。

资料清单同时注明缺失情况，例如平台不支持某类导出、日志已经按原规则覆盖。不要事后补写成当时已经存在的记录。对第三方平台掌握、公司无权取得的数据，应说明平台名称、账号及相关时间，提供线索供办案机关依法调取。

三、保留原始来源、元数据和操作记录，哈希值不是真实性保证书

原始电脑、手机、服务器存储及平台记录，与后续导出的文件有不同作用。具备条件时，保留原始来源和完整备份，由专业人员采用适当方法制作可核验副本；分析尽量在副本上进行，避免直接编辑原始文件。不能把普通复制粘贴称为已经完成司法镜像，也不能因为有备份，就自行处置可能需要提取的原设备。

元数据包括创建、修改时间、账号标识、邮件头、文件版本等与内容有关的信息。保存时应记录系统时间、时区及已知偏差，注明导出工具和版本、查询条件、导出范围及是否发生格式转换。发现系统时间不准，应如实说明差异，不能为了让记录“对得上”而修改原文件时间。

哈希值是根据数据内容计算的完整性校验值，可帮助核对某份文件或镜像在两个节点之间是否变化。记录算法、计算对象、计算时间及结果，并在移交时复核，比仅写一句“已加密保存”更有意义。但相同哈希值不能单独证明原始内容真实、账号由谁操作，或者导出前没有被修改，仍需结合来源、权限和业务记录判断。

截图、录像和打印件可以辅助展示，却可能遗漏上下文和底层信息。无法取得原始数据的，应说明客观原因和现有来源，保留当时的采集过程，不将缺失部分通过拼图、重建聊天等方式补齐。

四、公司管理权限有边界，私人手机和个人账号不能任意翻查

设备由公司购买，不意味着设备内所有内容都可以任意读取。企业工作邮箱、业务系统与员工私人邮箱、私人社交账号，应分别判断访问权限和处理依据。员工曾在办公电脑上登录个人账号，也不等于授权公司持续查看全部聊天、相册和通讯录，更不能通过冒用身份、破解密码等方式扩大调查范围。

《个人信息保护法》第六条、第十三条等规定要求处理目的明确、范围必要，并有相应合法依据。依法制定的劳动规章制度下，必要的人力资源管理可以构成处理依据；履行法定义务也可能构成依据。但“公司正在自查”本身不是无限收集私人信息的授权，劳动合同中的笼统条款也不能排除法定限制。

私人设备中确有关键业务线索的，可依法沟通由持有人提供相关记录，或者向办案机关说明并由其依法处理。公司已经合法保存的资料，应限制查阅人员、记录访问和复制行为；涉及客户账户、医疗信息等敏感内容，还需评估必要性和保护措施，不能向全体员工公开案情资料。

委托技术机构处理个人信息，应明确目的、范围、期限和安全要求，并监督履行。案件相关资料的保存期限应结合取证需要、法定义务和处理目的确定，不能以“以后可能有用”为由无限期留存全部私人信息。

五、公司自行保存不等于公安取证，技术人员不要擅自恢复和试验

2019年施行的《公安机关办理刑事案件电子数据取证规则》对侦查人员、提取方式、笔录、校验和检查等有专门要求。公司可以参照完整性保护思路做好协助，但不能因为安排两名同事签字，就把内部导出材料称为法定侦查取证结果。材料能否作为定案依据，仍需依法审查。

公司技术人员应在授权范围内保留系统结构、数据位置和操作记录，对不熟悉的设备不要反复开机测试、安装恢复工具或直接扫描修复。数据恢复、破解和重建环境可能改变记录，应及时向办案机关说明问题，由专业人员依法处理。确需维护的，先评估保存方案，将每一步操作及其可能影响留下记录。

对持续运行的数据库，普通导出可能只保留当时可见结果，不能替代事务、审批和修改日志；备份是否一致、是否覆盖涉案时段，要结合系统特点判断。无法自行保证完整性的，应明确提出技术协助需求。发现原有备份损坏或数据已发生变化，也应如实报告，不能用“修正版本”替换历史资料。

六、依法移交时核对清单和封存状态，让每次交接能够追溯

收到调取要求，应核实办案机关和人员身份、相应法律文书、资料范围及交付方式。公安机关调取电子数据，依法应开具调取证据通知书，相关单位应如实提供；不得以商业秘密为由一概拒绝，但可以明确标注涉密内容，提出必要的保密和安全传输要求。范围或格式不清楚时，应及时沟通，不自行删减相关资料。

移交清单宜写明来源系统、账号或设备标识、时间范围、文件格式、数量、容量、校验值、读取工具及已知缺失。原始介质与备份分别编号，注明保管人、封存状态、交接时间和双方接收记录。技术说明单独附上，讲清导出过程、系统运行情况及不可避免的数据变化。

清单和笔录应核对后签署，存在差异应当场说明并依法补充，不能对并未见到的操作作虚假确认。公司如需为正常业务保留副本，应在符合法律及办案要求的前提下沟通安排。设备被封存后，不得为补文件、核数字而擅自开封；后续发现新资料，应另行移交并说明与前次材料的关系。

七、员工各自陈述亲历事实，公司说明不能替代证人证言

公司可以组织资料盘点，让经办人员说明系统怎么使用、某笔业务如何办理，但应分别记录其亲历事实、消息来源及不能确定的部分。不能先开会统一“事情经过”，再要求所有人按同一模板签字；也不能把领导推测写成员工本人看见、听见的事实。

《刑事诉讼法》第四十四条、第五十四条明确禁止帮助隐匿、毁灭、伪造证据或串供，要求有关单位和个人如实提供证据。保存发现的异常记录，不等于认可其法律性质；正确做法是保留原状、说明背景，由办案机关结合全案判断，而不是删除异常、补盖审批或追签不存在的合同。

员工被拘留也不当然证明公司构成单位犯罪或没有责任。公司可以就自身权限、业务和制度事实说明情况，员工则有独立获得辩护的权利。双方利益可能不一致时，应分别评估法律服务安排，避免用公司内部结论替代员工陈述。完整保存、依法交接和真实说明，才有助于查清责任边界。