网络犯罪案件中的电子数据应当如何审查？

网络犯罪案件中，聊天记录、交易记录、登录日志、IP地址、手机提取数据、后台数据库、服务器日志等电子数据，往往处于整个证据体系的核心位置。

但电子数据数量多、技术性强，并不意味着它天然比传统证据更可靠。

一份聊天记录真实存在，不等于已经证明是谁使用了这个账号；一份手机取证结果包含大量数据，也不等于数据来源、提取过程和完整性当然没有问题；某个账号登记在一个人名下，也不等于该账号中的每一次操作都必然由本人完成。

因此，审查电子数据不能只问：

“这份数据里写了什么？”

还需要继续追问：

数据从哪里来？通过什么方式取得？取证、检查和移送过程中有没有发生影响真实性的变化？能够对应到谁？最终又能够证明什么？

从刑事辩护的审查角度看，可以围绕来源、完整性、身份关联和证明意义四个维度展开。但这只是案件审查方法，并不是法律规定的“四项构成要件”，任何一个维度存在问题，也不能脱离具体规范直接得出证据当然应当排除的结论。

一、先明确：什么属于刑事诉讼中的电子数据？

电子数据并不只是聊天记录或者手机截图。

现行《刑事诉讼法》第五十条明确将“视听资料、电子数据”列为法定证据种类。2016年最高人民法院、最高人民检察院、公安部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》进一步规定，电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输并能够证明案件事实的数据。

常见类型包括网络平台发布的信息，手机短信、电子邮件、即时通信和通讯群组信息，用户注册和身份认证信息，电子交易记录、通信记录、登录日志，以及文档、图片、音视频、数字证书、计算机程序等电子文件。

在网络犯罪案件中，还经常涉及浏览和操作记录，软件安装、运行、删除记录，恶意程序，网站源代码、运行脚本，系统日志、应用程序日志、数据库文件，以及文件创建、访问、修改时间等附属信息。最高检2021年《人民检察院办理网络犯罪案件规定》也要求结合这些数据审查主体身份、行为过程和案件事实。

因此，电子数据不仅可能回答“说了什么”，还可能用于判断：

谁在使用、什么时候使用、通过什么设备使用、进行了什么操作，以及产生了什么结果。

同时需要注意，以数字化形式保存的证人证言、被害人陈述以及犯罪嫌疑人、被告人的供述和辩解，并不会仅因为被存入电脑、光盘或者其他电子介质，就当然改变原有证据属性而成为电子数据。2016年规定对此作了专门区分。

二、先辨认卷宗里看到的到底是什么

实践中，律师阅卷时可能同时看到：

聊天记录打印件、手机页面截图、电子数据提取笔录、数据镜像、数据库文件、电子数据检查笔录，以及取证软件生成的展示结果。

这些材料之间并不是同一个层次。

首先应当区分：

原始存储介质、从原始介质提取的电子数据、数据镜像、电子数据备份，以及为了阅卷或者展示而形成的截图和打印件。

电子数据具有数据内容与存储介质可以分离的特点，不能简单套用传统书证的“原件—复印件”思维。

能够扣押电子数据原始存储介质的，现行规则原则上要求扣押、封存；无法扣押、不便移动或者存在其他规定情形时，则可以依法提取电子数据。最高检2021年规定还专门规定了对数据镜像的审查，包括原始介质信息、制作镜像的工具、方法、过程及完整性校验值等。

所以：

没有随案移送原手机，并不能仅凭这一事实认定电子数据不真实或者不能使用。

真正需要继续审查的是：

为什么没有移送原始存储介质？ 数据通过什么方式提取？ 原始介质位于哪里？ 数据来源如何说明？ 完整性怎样保护和验证？

截图和打印件同样不能一概而论。

现行公安电子数据取证规则明确允许在特定情形下采用打印、拍照或者录像等方式固定证据，并要求记录采用这种方式的原因、数据存储位置、原始介质特征和所在位置等情况。

但实际审查时还应进一步区分：

第一，侦查机关依照电子数据取证规则采用截图、打印、录像固定的材料；

第二，电子数据已经依法取得，只是为了移送、阅卷或者法庭展示而形成的打印、截图材料；

第三，被害人、证人、报案人或者其他案件相关人员自行提供的聊天截图。

三种材料的形成过程不同，真实性和完整性的核验路径也不能简单等同。

因此：

截图本身既不是当然无效，也不能仅凭“截图看起来真实”就完成电子数据审查。

三、真实性审查：数据究竟从哪里来？

电子数据真实性审查，不只是判断文件有没有明显伪造或者篡改。

2021年《刑诉法解释》第110条要求重点审查原始存储介质、电子数据来源、数字签名或数字证书、收集提取过程是否可以重现、是否发生增加删除修改，以及完整性是否能够保证等问题。2016年“两高一部”规定具有基本一致的审查框架。

因此，一份从手机中提取出的聊天数据库至少存在两个不同问题：

第一，这份数据是否确实来源于所称的手机、账号或者系统；

第二，从提取、复制、检查到最终移送和展示过程中，是否发生了影响真实性的变化。

“来源可靠”和“提取以后保持完整”不能混成一个问题。

如果案件采用数据镜像，还可以继续检查镜像对应哪一原始介质、原始介质识别信息是否完整、镜像通过什么工具和方法制作、过程是否记录以及完整性校验值是否能够对应。最高检现行网络犯罪案件规定对此已有专门审查要求。

同时，电子数据进入刑事诉讼并不只有“公安机关扣押手机以后提取”这一条路径。

现行《刑事诉讼法》第54条规定，行政机关在行政执法和查办案件过程中取得的电子数据等证据材料，可以进入刑事诉讼；2021年《刑诉法解释》第75条进一步要求，此类材料应经法庭查证属实，并且收集程序符合有关法律、行政法规的规定。

因此，面对一份电子数据，第一步往往不是立即检查“有没有两个警察签字”，而是先确认：

它究竟是侦查机关收集提取的、行政执法机关依法取得后移送的、网络服务提供者根据调取手续提供的，还是其他人员提供后进入案件的。

来源路径不同，相应的程序审查标准也可能不同。

四、完整性校验值很重要，但它不是“真实性证明书”

电子数据案件中经常出现使用MD5、SHA等散列算法计算得到的完整性校验值，实践中通常称为哈希值。

现行规范将计算完整性校验值作为保护、验证电子数据完整性的重要方法之一，还可以结合原始存储介质的扣押封存状态、收集提取过程录像、备份数据、冻结后的访问操作日志等方式验证完整性。

但哈希值主要解决的是：

特定数据对象在相应时间节点之间是否保持一致。

它不能单独证明：

最初提取的对象是不是正确； 数据在提取以前是否已经发生变化； 数据到底来自哪个账号或者设备； 账号由谁实际控制使用； 数据所反映的事实具有怎样的法律意义。

还需要进一步区分：

“已经提取出来的这个数据对象以后有没有变化”

与：

“本案相关的数据是不是被全面、完整地提取出来了”。

例如，只提取了某一时间段或者某些关键词命中的聊天记录，再对这些记录计算校验值，即使此后校验值始终一致，也只能说明这个特定数据集合没有发生相应变化。

它并不能自动回答：

是否遗漏前后聊天； 原数据库中是否还有其他相关数据； 提取时使用了什么搜索或者筛选条件； 是否存在能够改变语义的未提取内容。

所以：

“校验值一致”与“电子数据真实、完整并足以证明被告人实施犯罪”之间，仍然存在完整的证明过程。

五、合法性审查：先确认本案走的是哪一种取证路径

电子数据的取证并不存在一条所有案件都必须依次经历的固定流水线。

现行公安《电子数据取证规则》规定，收集、提取电子数据可以根据案件需要采取一种或者几种不同方式，包括：

扣押、封存原始存储介质；现场提取；网络在线提取；冻结；调取。

现行公安取证规则将网络在线提取的对象规定为公开发布的电子数据和境内远程计算机信息系统上的电子数据。

因此，律师首先应识别本案实际采用了哪一种路径，再检查相应路径应当具备的程序和技术记录。

例如：

如果是扣押、封存手机或者电脑，应重点检查原始介质识别信息、扣押清单、封存状态以及介质与案件的关联；

如果是现场提取，应重点检查不能扣押原始介质的原因、提取对象、来源、时间、地点、方法、过程、原始存储路径和完整性校验值；

如果是网络在线提取，应重点检查访问方式、提取时间、使用工具和方法、网络地址或者存储路径以及完整性校验过程。对于可能无法重复提取或者可能发生变化的电子数据，还应核查是否有反映提取过程的录像、拍照、截屏等材料。

网络在线提取与网络远程勘验不是同一个概念

现行公安规则专门规定，网络在线提取过程中，如果需要进一步分析判断数据范围、描述远程系统状态、安装程序、使远程系统产生新的数据或者了解系统架构等，应进入网络远程勘验程序。

因此，不能因为两种活动都是通过网络进行，就在笔录和证据审查中将“网络在线提取”和“网络远程勘验”混为一谈。

平台调取数据也有自己的审查路径

大量网络犯罪案件中的支付账户、社交平台、网络服务和后台数据，是公安机关向网络服务提供者依法调取取得的。

2022年“两高一部”《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》第14条规定，公安机关向网络服务提供者调取电子数据，应制作相应调取法律文书；网络服务提供者通过数据电文方式提供数据时，应采取完整性保护措施并制作电子证明文件。检察院、法院还可以通过电子签名、数字水印、完整性校验值和调证法律文书编号等进行核验。

因此，平台数据不能完全套用“手机扣押—封存—镜像”的审查模式。

立案前取得，也不当然意味着不能作为证据

2016年电子数据规定明确，初查过程中收集、提取的电子数据，可以作为证据使用。

2022年《意见》又针对信息网络犯罪案件规定了调查核实程序。在尚需通过调查确认是否达到刑事立案标准时，可以依照该《意见》规定进行调查核实。调查核实过程中依法收集的电子数据等材料，可以根据有关规定作为证据使用；作为证据使用的，应当随案移送，并附批准调查核实的相关材料；经查证属实且收集程序符合有关要求的，可以作为定案依据。

所以不能只因为：

“这份数据是在正式立案以前取得的”

就直接得出证据违法或者不能使用的结论。

应当继续审查当时采用的是何种程序、是否具有相应审批依据、允许采取哪些调查措施以及有关材料是否随案移送。

“二名以上侦查人员”也不能脱离来源机械适用

对于侦查机关实施的电子数据收集、提取，2016年规定和现行公安取证规则均有二名以上侦查人员等要求；2021年《刑诉法解释》第112条也将相应人员数量作为电子数据合法性审查内容之一。

但如果电子数据是行政机关依法取得后进入刑事诉讼，或者属于网络服务提供者依据调取手续提供等其他来源，则应按照该具体证据来源对应的规范审查，不能把某一种公安取证程序机械覆盖全部电子数据。

规则更新提示（截至2026年8月）

公安部已经于2026年5月就新的《公安机关电子数据取证规则（征求意见稿）》公开征求意见，明确是在对2018年《公安机关办理刑事案件电子数据取证规则》进行修订，意见反馈截止日期为2026年6月21日。公开说明同时表明，征求意见后仍需根据反馈修改完善并履行规范性文件发布程序。

截至本文更新时，尚未检索到已经正式发布实施的新规则，因此本文有关公安机关电子数据取证程序的分析，仍以现行规则为基础。征求意见稿只作为规则更新动态，不作为本文现行法律依据。

六、“实名是他的”与“具体行为是他实施的”不是同一个问题

这是网络犯罪案件中特别容易被简化的一层。

账号实名认证信息、手机号开户信息、设备归属、银行卡开户资料等，都可以成为判断网络身份与现实身份同一性的证据之一。

但它们与证明：

案发期间是谁实际控制、登录和使用该账号；

以及：

某一次具体聊天、登录、转账或者其他网络行为到底是谁实施；

并不是同一个问题。

2016年电子数据规定要求结合IP地址、网络活动记录、上网终端归属、证人证言以及犯罪嫌疑人、被告人的供述和辩解等判断网络身份与现实身份是否同一。最高检网络犯罪案件规定则进一步要求结合账号认证、聊天和文件内容、域名、IP地址、MAC地址、通信基站等信息综合判断主体身份。

因此，一个涉案账号至少可以拆成三个问题：

账号登记在谁名下？

案发期间谁实际控制、登录和使用？

具体被指控的那一次操作是谁完成？

三个问题可能最终指向同一个人，也可能并不完全重合。

IP地址、MAC地址、通信基站信息、设备标识同样不能被机械理解为“网络身份证”。

这些信息的证明意义取决于具体取得方式、时间对应关系、网络环境、设备使用情况以及与其他证据能否相互印证。

因此：

实名认证不当然等于实际控制，实际控制也不当然等于每一次具体操作均由该人实施。

七、真实存在的数据，不等于已经证明犯罪构成事实

即使电子数据真实性已经得到确认，还需要继续审查其关联性和证明意义。

例如，一个人的手机中存在某个群聊、某款软件或者某条浏览记录，首先能够说明的是相应数据存在。

如果进一步要证明：

主观明知； 犯罪故意； 共同犯罪意思联络； 实际帮助行为； 犯罪数额； 违法所得；

还需要结合数据形成时间、上下文、行为过程以及其他证据综合判断。

最高检《人民检察院办理网络犯罪案件规定》要求重点审查主体身份同一性、客观行为、主观方面、犯罪情节和后果，并强调电子数据与其他证据之间的相互印证。

因此应持续追问：

这份数据能够证明什么？

以及：

它不能单独证明什么？

比如：

聊天记录能够证明双方发生过联系，不当然等于已经证明双方形成共同犯罪故意；

资金进入某一账户能够证明发生资金流转，不当然等于已经证明收款人明知资金具有犯罪性质；

某款软件安装在手机中，可以证明设备存在相应程序，不当然等于已经证明案发期间由本人利用该软件实施了犯罪。

电子数据反映的客观存在，与刑法构成要件事实之间，不能省略证明过程。

八、聊天记录要结合完整语境审查，不能用孤立关键词替代主观明知

聊天记录是网络犯罪案件中最常见的电子数据之一。

很多争议并不是聊天内容完全虚假，而是：

卷宗展示的内容是否完整，关键表述是否脱离了形成语境。

如果只提取几句关键词、几张截图或者某一个时间段，而缺少前后对话，相同文字可能具有完全不同的证明意义。

因此，审查聊天记录时，可以重点观察：

时间是否连续； 前后对话是否存在明显断档； 参与人员是谁； 引用、回复具体对应哪一条信息； 文字、文件、图片、链接之间如何对应； 关键表述能否与登录、交易、操作等其他数据相互印证。

还应关注聊天中的：

黑话、代号、缩写、俗语、行业术语和特定团队内部称呼。

现行《刑诉法解释》第115条明确要求审查电子数据中对绰号、暗语、俗语、方言等不易理解内容是否有相应说明。

这意味着，不能仅凭办案人员对某个黑话或者缩写的主观理解，就直接赋予其特定犯罪含义。

但另一方面，也不能反过来写成：

“单独一条聊天信息永远不能证明主观明知。”

某一条信息在特定案件中完全可能具有很强的证明作用。

关键仍然是：

具体内容是什么、形成于什么语境，以及能否与行为次数、人员关系、获利情况、交易方式、其他聊天记录和客观行为相互印证。

所以真正需要避免的是：

以脱离语境的孤立关键词机械推定主观明知。

九、检查笔录、鉴定意见和指定机构报告，不能只看最后的结论

复杂网络犯罪案件可能涉及：

数据恢复； 程序功能分析； 恶意代码识别； 数据库分析； 服务器日志分析； 大规模数据搜索、关联、统计和比对。

此时卷宗中可能出现电子数据检查笔录、鉴定意见、指定机构就专门性问题出具的报告，以及其他检验、检测材料。

这些材料的形成主体、程序和证据属性并不完全相同。

不能因为都是由技术人员制作，就统称为“鉴定报告”。

2016年规定明确区分电子数据检查及检查笔录、司法鉴定机构出具的鉴定意见，以及公安部指定的机构针对专门性问题出具的报告；对于人民检察院直接受理的案件，也可以由最高人民检察院指定的机构出具报告。现行公安规则也分别规定了电子数据检查和检验、鉴定程序。最高检2021年规定进一步要求，对鉴定机构以外的机构出具的检验、检测报告可以参照有关鉴定意见规则进行审查。

因此，拿到一份技术性材料以后，第一步应先确认：

它究竟是什么性质的材料？

然后再审查：

分析对象是什么； 基础数据从哪里来； 采用了什么工具、方法和步骤； 相应规范要求记录哪些技术信息； 分析过程和结论能否得到核验； 结论是否超出方法本身能够支持的范围。

这里还需要特别区分：

底层电子数据

与：

通过搜索、筛选、关联、去重、统计、比对等处理形成的派生结果。

例如卷宗最终写：

“经分析，共发现涉案数据××条。”

或者：

“经统计，涉案金额为××万元。”

这些最终数字并不当然就是原始电子数据本身。

2016年规定允许对电子数据进行恢复、破解、统计、关联、比对等检查，并要求对数据统计量、数据同一性等问题作出说明。

因此，对于派生统计结果，还应继续追问：

使用了哪部分基础数据？

筛选条件是什么？

统计口径是什么？

是否进行了去重？

退款、冲正、重复交易或者明显非涉案资金如何处理？

最终数字怎样从底层数据一步步形成？

技术审查的目的不是为了要求每一个案件都必须记录同样的软件版本或者全部技术参数，而是判断：

相应规范要求记录的信息是否齐备，以及现有材料能否使方法和结论接受有效核验。

十、数量众多的证据材料：几种不同规则不能混为一谈

网络犯罪案件可能涉及大量被害人、账户、交易和其他证据材料。

现行规范并不是用一套统一的“抽样”规则处理这些问题，而是针对不同的取证和证明困难设置了不同机制。

第一种：相关言词证据无法逐一收集时的综合认定

最高检《人民检察院办理网络犯罪案件规定》第21条规定，确因客观条件限制无法逐一收集相关言词证据的，可以根据记录被害人人数、被侵害的计算机信息系统数量、涉案资金数额等犯罪事实的电子数据、书证等证据材料，在审查相关辩解、辩护意见的基础上，综合全案证据材料，对相关犯罪事实作出认定。

这里解决的是：

在相关言词证据客观上无法逐一收集时，能否结合电子数据、书证以及全案其他证据认定相关犯罪事实。

它并不是抽样验证，也不是从总体材料中按照一定比例或者数量选取证据。

第二种：抽样验证

最高检《人民检察院办理网络犯罪案件规定》第22条规定，对于数量众多的同类证据材料，在证明其是否具有同样性质、特征或者功能时，因客观条件限制不能全部验证的，可以进行抽样验证。

这里解决的是：

同类材料无法全部验证时，能否通过抽样验证其共同性质、特征或者功能。

第三种：按照一定比例或者数量选取证据

2022年“两高一部”《意见》第20条针对数量特别众多且具有同类性质、特征或者功能的证据材料规定，确因客观条件限制无法逐一收集的，应当按照一定比例或者数量选取证据，并对选取情况进行说明和论证。检察院、法院还应审查取证方法和过程是否科学。

这里解决的是：

客观上无法逐一收集时，如何按照规定选取证据。

“抽样验证”与“选取证据”存在关联，但并不是同一个制度。

第四种：特定涉案账户犯罪数额认定规则

2022年《意见》第21条又规定了一个更特殊的情形。

对于涉案人数特别众多的信息网络犯罪案件，确因客观条件限制无法收集证据逐一证明、逐人核实涉案账户的资金来源，但银行账户、非银行支付账户等交易记录和其他证据材料已经足以认定有关账户主要用于接收、流转涉案资金的，可以按照该账户接收的资金数额认定犯罪数额；犯罪嫌疑人、被告人能够作出合理说明的除外，案外人提出异议的也应依法审查。

这不是一般意义上的：

“抽几条有罪数据，就推定剩下的全部有罪。”

而是在信息网络犯罪、涉案人数特别众多、账户用途已经由交易记录及其他证据达到相应证明程度等特定前提下，针对涉案资金认定设置的专门规则。

因此，辩护审查时仍需要具体判断：

是否真正符合该条适用条件； 账户是否足以认定主要用于接收、流转涉案资金； 犯罪嫌疑人、被告人的合理说明是否得到审查； 案外人的异议和非涉案资金是否得到处理。

2022年《意见》第20条同时明确，对相关事实仍不能排除合理怀疑的，应当作出有利于犯罪嫌疑人、被告人的认定。

所以更准确的结论是：

数量众多的证据材料可能改变部分证据收集、验证和事实认定的方法，但并不意味着可以脱离法定前提任意降低刑事证明要求。

十一、程序瑕疵与真实性缺陷应当分开判断

面对电子数据取证问题，不宜把所有异议都笼统表述为：

“程序违法，所以证据全部无效。”

现行规则已经区分了不同层次的问题。

第一类：可以补正或者合理解释的程序瑕疵

2016年规定第27条和2021年《刑诉法解释》第113条列举了未以封存状态移送、笔录或者清单缺少相应签名盖章、数据名称类别格式注明不清等程序瑕疵。

这类问题：

经补正或者作出合理解释，可以采用；不能补正或者作出合理解释的，不得作为定案根据。

第二类：真实性无法保证

2016年规定第28条和《刑诉法解释》第114条规定，电子数据系篡改、伪造、无法确定真伪，或者存在增加、删除、修改并影响真实性，以及其他无法保证真实性的情形，不得作为定案根据。

但仍需注意：

“数据发生过变化”也不能机械等同于“一律不得采用”。

最高检2021年规定第44条明确，如果电子数据虽然发生增加、删除、修改，但通过司法鉴定、当事人确认等方式能够确定与案件相关的重要数据没有发生变化，或者能够还原原始状态、查清变化过程，仍可以依法作为定案根据。

所以更准确的审查顺序是：

发生了什么变化？

变化发生在什么时间、哪个环节？

为什么发生？

与案件相关的重要数据有没有发生变化？

原始状态能否还原，变化过程能否查清？

最终再判断：

属于可以补正说明的程序问题，还是已经导致真实性无法保证。

十二、网络犯罪案件中的电子数据，可以从四个维度进行审查

面对海量电子数据，如果只是按照卷宗页码逐页阅读，很容易陷入细节。

一种相对清楚的实务方法，是把问题暂时拆成四个维度。

第一，来源

先回答：

数据来自哪部设备？ 哪个账号？ 哪家网络平台？ 哪个服务器？ 行政机关还是侦查机关取得？ 是现场提取、在线提取还是平台调取？ 原始存储介质在哪里？

第二，完整性

继续回答：

数据在取得、提取、复制、镜像、检查、移送和展示过程中，有没有发生影响真实性的变化？

这里应根据本案实际取证路径核对封存、提取记录、完整性校验值、备份、访问日志、录像等材料，而不是要求所有案件机械具备完全相同的“固定流程”。

第三，身份关联

继续区分：

账号登记人； 设备所有人； 设备持有人； 账号实际控制人； 案发时实际操作人。

然后结合账号认证、IP、设备信息、登录记录、聊天内容、资金流向、通信基站信息以及其他证据综合判断。

第四，证明意义

即使前三个层面都不存在明显问题，还要继续回答：

这份电子数据到底证明哪个案件事实？

它能够证明具体行为吗？ 能够证明主观明知吗？ 能够证明共同犯罪意思联络吗？ 能够证明犯罪数额或者违法所得吗？ 还是仍然需要其他证据完成证明？

这四个维度只是律师整理和审查电子数据的一种工作方法，并不是法律规定的四项法定要件。

某一个维度出现疑问以后，也不能自动跳到“证据必须排除”的结论。

下一步仍然应当回到具体法律规则，判断问题属于：

需要补充证明、可以补正解释、影响证明力，还是已经达到不得作为定案根据的程度。

十三、常见问题

1. 没有原始手机，聊天记录是不是一定不能作为证据？

不是。

现行规则并没有要求所有电子数据案件都必须将原始手机随案移送。

在原始存储介质无法扣押、不便移动或者存在其他规定情形时，可以依法提取电子数据；特定情况下，也可以通过打印、拍照或者录像等方式固定相关证据。

关键仍然是审查：

为什么没有原始介质； 数据怎样取得； 来源有没有说明； 提取过程是否符合相应规则； 真实性和完整性是否能够通过其他材料核验。

2. 有哈希值，就说明数据一定是真的吗？

不是。

完整性校验值主要用于核验特定数据对象在相应阶段是否发生改变。

它不能单独证明数据最初是谁形成、账号由谁实际使用、取证对象是否正确，也不能证明本案相关数据已经全部提取。

3. 聊天中搜到犯罪关键词，是不是就能证明本人“明知”？

不能机械作出这样的结论。

应结合关键词的具体内容、完整上下文、聊天对象、形成时间、行为次数、交易和获利情况、行为人的认知能力和专业背景，以及其他证据综合判断。

但也不能反过来认为单独一条聊天信息在任何案件中都没有较强证明作用。

关键是不能以脱离语境的孤立关键词代替对主观方面的完整证明。

4. 手机是被告人的，里面所有数据是不是都能算到被告人名下？

不是。

设备所有权、设备实际使用、账号控制以及具体某一次网络操作分别属于不同待证问题。

实名信息、IP、MAC地址、基站信息、登录记录等都可以成为身份判断材料，但原则上仍需要结合具体技术背景和其他证据综合审查。

5. 电子数据取证出现程序错误，是不是整份证据都必须排除？

也不是。

首先需要区分：

可以补正或者合理解释的程序瑕疵

与：

已经使电子数据真实性无法保证的实质问题。

即使发生增加、删除或者修改，也应继续判断与案件有关的重要数据是否实际变化、原始状态能否还原以及变化过程是否可以查清，而不能只凭“数据发生过变化”直接得出结论。