Raport to nie dowód źródłowy

Dlaczego w każdej sprawie trzeba zachować oryginalną kopię danych z telefonu lub komputera, a nie tylko raport z jej analizy

Spis treści

1. Problem na prostym przykładzie
2. Jak przebiega badanie urządzenia
3. Czego raport nie pokaże i dlaczego to ma znaczenie
4. Przykład z komputera: plik to nie tylko jego treść
5. Co to oznacza dla Ciebie
6. Jak to wygląda w praktyce
7. Co mówią standardy i przepisy
8. Suma kontrolna: plomba, która działa tylko z workiem
9. Co powinno trafić do akt lub depozytu
10. Wzory zapisów
11. Lista kontrolna
12. Najczęstsze pytania

Najważniejsze w skrócie

• Badanie telefonu lub komputera ma dwa etapy. Najpierw wykonuje się pełną, wierną kopię danych. Potem specjalistyczny program ją przegląda, a biegły wybiera z niej to, co istotne, i przygotowuje raport.
• Kopia jest odpowiednikiem zatrzymanego dokumentu. Raport jest odpowiednikiem notatki z jego przeglądu. Notatka nie zastępuje dokumentu, nawet jeśli jest rzetelna.
• Jeżeli oryginalna kopia nie zostanie zachowana, nikt, ani sąd, ani strona przeciwna, ani kolejny biegły, nie sprawdzi już, czy raport jest prawdziwy i kompletny.
• Urządzenia nie da się zbadać ponownie w tym samym stanie. Telefony się aktualizują, dyski wracają do użytku, dane się nadpisują. Kopia z dnia zabezpieczenia jest zwykle jedyna.
• Problem dotyczy wszystkich narzędzi informatyki śledczej i wszystkich rodzajów urządzeń. Rozwiązanie jest proste i tanie: zachować kopię, jej cyfrowy „odcisk palca” i dokumentację do prawomocnego zakończenia sprawy.

Problem na prostym przykładzie

Dowody cyfrowe łatwiej zrozumieć, gdy porówna się je z dowodami tradycyjnymi. Wyobraźmy sobie dwie sytuacje.

Sprawa z dokumentami papierowymi

W sprawie gospodarczej zatrzymano księgi rachunkowe firmy. Funkcjonariusz przejrzał je i sporządził zestawienie dwudziestu podejrzanych operacji. Zestawienie dołączono do akt, a księgi zwrócono firmie, która je zniszczyła.

Na rozprawie obrońca twierdzi, że inne operacje z tych samych ksiąg wyjaśniają sporne płatności. Nikt nie może tego sprawdzić, bo ksiąg już nie ma.

Sprawa z telefonem lub komputerem

Z telefonu podejrzanego wykonano kopię danych. Biegły przejrzał ją programem do analizy i przygotował raport z wybranymi wiadomościami. Raport dołączono do akt. Kopii nie zachowano, a telefon zwrócono właścicielowi, który przywrócił ustawienia fabryczne.

Na rozprawie obrońca twierdzi, że wcześniejsze wiadomości zmieniają sens tych z raportu. Nikt nie może tego sprawdzić, bo kopii już nie ma.

W pierwszej sytuacji każdy prawnik od razu dostrzega błąd. W drugiej ten sam błąd jest popełniany regularnie, bo raport z badania telefonu wygląda profesjonalnie, zawiera sumy kontrolne, logo producenta oprogramowania i tysiące pozycji. Sprawia wrażenie kompletnego dowodu. Jest jednak tylko opisem dowodu sporządzonym przez jedną osobę z pomocą jednego programu.

Najważniejsza zasada

Raport odpowiada na pytanie „co znaleziono”. Oryginalna kopia danych pozwala sprawdzić, czy to prawda i czy to wszystko. Dowód cyfrowy bez oryginalnej kopii to dowód, którego nie da się zweryfikować.

Jak przebiega badanie urządzenia

Niezależnie od tego, czy badany jest telefon, komputer, dysk czy pendrive, i niezależnie od producenta oprogramowania, badanie przebiega w dwóch etapach.

Kluczowe pojęcia i ich znaczenie dla sprawy

Oryginalna kopia danych — obraz binarny, odczyt, ekstrakcja

Wierna kopia całej zawartości urządzenia, wykonana specjalistycznym narzędziem. Przy komputerze nazywa się ją obrazem binarnym dysku: kopiuje się każdy fragment nośnika, także obszary, w których są pozostałości usuniętych plików. Przy telefonie mówi się o odczycie lub ekstrakcji. Znaczenie: to jest właściwy dowód. Wszystko inne jest jego opisem.

Raport — PDF, HTML, pakiet do przeglądania

Wynik pracy biegłego z programem do analizy. Zawiera dane, które program rozpoznał, a biegły uznał za istotne, wraz z ich opisem: daty, nadawców, treść. Znaczenie: wygodny do czytania, ale zawsze niepełny i zależny od programu oraz decyzji biegłego.

Suma kontrolna — hash, np. SHA-256

Ciąg znaków wyliczany z kopii danych, działający jak cyfrowy odcisk palca. Zmiana nawet jednego znaku w kopii daje zupełnie inną sumę. Znaczenie: pozwala wykazać, że kopia nie została zmieniona. Działa jednak tylko wtedy, gdy kopia istnieje i można dla niej wyliczyć sumę ponownie.

Metadane — dane o danych

Informacje o pliku lub wiadomości, a nie jego treść: kiedy powstał, kiedy go zmieniono, skąd pochodzi, gdzie był zapisany, czy był otwierany. Znaczenie: to one zwykle odpowiadają na pytania „kto, kiedy i skąd”. Najłatwiej je utracić przy kopiowaniu pojedynczych plików.

Bloker zapisu — write blocker

Urządzenie lub oprogramowanie, które pozwala odczytać dysk, ale uniemożliwia zapisanie na nim czegokolwiek. Znaczenie: gwarantuje, że samo badanie nie zmieniło dowodu.

Przykład z praktyki: narzędzia Cellebrite

Cellebrite to jeden z najczęściej używanych systemów do badania telefonów. Narzędzie UFED wykonuje oryginalną kopię danych telefonu. Program Physical Analyzer ją analizuje. Z niego eksportuje się raport, m.in. w formacie UFDR, który można przeglądać w bezpłatnym programie Cellebrite Reader. Nazwy UFED i UFDR są często mylone, a to dwie zupełnie różne rzeczy: pierwsza oznacza narzędzie do kopiowania, druga raport. Pakiet UFDR nie jest oryginalną kopią telefonu. Ta sama zasada dotyczy innych systemów, m.in. Magnet AXIOM i Graykey, MSAB XRY, Oxygen Forensic, a przy komputerach EnCase, FTK, X-Ways czy Autopsy.

Czego raport nie pokaże i dlaczego to ma znaczenie

Między oryginalną kopią a raportem dane przechodzą przez dwa filtry. Pierwszym jest program, który rozpoznaje tylko te formaty i aplikacje, które zna. Drugim jest biegły, który wybiera dane odpowiadające na pytania organu. Do raportu trafia zwykle niewielki ułamek zawartości urządzenia.

Kontekst

Raport pokazuje wybrane wiadomości, zdjęcia czy dokumenty. Nie pokazuje tego, co było przed nimi i po nich, ani innych rozmów z tą samą osobą.

Dlaczego to ważne: fragment rozmowy może mieć zupełnie inny sens niż cała rozmowa. Ocena dowodu bez kontekstu jest oceną fragmentu.

Dane, których program nie rozpoznał

Programy do analizy są regularnie aktualizowane, bo aplikacje zmieniają sposób zapisu danych. Wersja użyta przy badaniu mogła nie odczytać nowej wersji komunikatora lub nietypowego pliku.

Dlaczego to ważne: nowsza wersja programu lub inne narzędzie odczyta te dane z tej samej kopii. Bez kopii są one utracone na zawsze, choć mogły mieć kluczowe znaczenie dla każdej ze stron.

Rzeczywista data i godzina

Urządzenia zapisują czas w postaci liczbowej. Program przelicza go na czytelną datę według ustawionej strefy czasowej. Błędne ustawienie albo pominięcie zmiany czasu letniego przesuwa wszystkie godziny w raporcie.

Dlaczego to ważne: godzina wysłania wiadomości lub utworzenia pliku może przesądzać o alibi lub o kolejności zdarzeń. Sprawdzić ją można tylko w oryginalnych danych.

Pochodzenie danych

Raport nie zawsze jasno pokazuje, czy wiadomość lub plik był aktywny w urządzeniu, czy został odzyskany z pozostałości po usunięciu, ani skąd trafił na urządzenie.

Dlaczego to ważne: od tego zależy, czy użytkownik wiedział o istnieniu danych i czy je świadomie usunął. To często okoliczność kluczowa dla odpowiedzialności.

To, czego nikt nie szukał

Biegły odpowiada na pytania zadane w postanowieniu lub zleceniu. Danych, o które nikt nie zapytał, nie wybiera do raportu.

Dlaczego to ważne: okoliczności korzystne dla drugiej strony mogą znajdować się w części danych, która nie trafiła do raportu. Bez kopii nie da się ich nigdy odnaleźć.

Przykład z komputera: plik to nie tylko jego treść

Przy komputerach bardzo częstym błędem jest przekazanie do akt samych plików skopiowanych z dysku, np. dokumentów lub zdjęć nagranych na pendrive lub płytę. Treść pliku pozostaje taka sama. Tracone są jednak informacje, które pozwalają ustalić, skąd plik pochodzi, kiedy pojawił się na komputerze i czy użytkownik z niego korzystał.

Przykład: w sprawie o pobranie nielegalnych treści albo o wyniesienie danych firmy kluczowe jest pytanie, czy użytkownik sam pobrał lub skopiował plik i czy go otwierał, czy plik trafił na dysk bez jego wiedzy. Odpowiedź daje zestaw śladów: data zapisu w systemie plików, znacznik pobrania z internetu, wpis na liście ostatnio otwieranych dokumentów, miniatura w pamięci podręcznej. Żadnego z tych śladów nie ma w skopiowanym pliku. W oryginalnej kopii dysku są wszystkie.

„Dysk jest w depozycie, więc zawsze można go zbadać ponownie”

To częste i błędne założenie. Nowoczesne dyski SSD po podłączeniu do zasilania same porządkują dane i mogą trwale usuwać pozostałości skasowanych plików, nawet gdy nikt nic na nich nie zapisuje. Dyski firmowe i serwery wracają do użytku. Zaszyfrowany dysk może być niemożliwy do odczytania, jeśli klucz zabezpieczono tylko na działającym komputerze. Nowa kopia wykonana po latach może mieć inną sumę kontrolną niż ta z opinii i nie da się jej powiązać z pierwotnym badaniem. Kopia z dnia zabezpieczenia jest najczęściej jedyną wiarygodną.

Co to oznacza dla Ciebie

Skutki braku oryginalnej kopii dotykają każdego uczestnika postępowania, ale w inny sposób. Poniżej opisujemy ryzyka i praktyczne kroki dla poszczególnych grup.

Prokurator

zlecający badanie i odpowiedzialny za materiał dowodowy

Ryzyko

• Akt oskarżenia opiera się na dowodzie, którego wiarygodności nie da się wykazać, gdy obrona ją zakwestionuje.
• Opinia uzupełniająca lub nowa opinia okazuje się niewykonalna, bo nie ma na czym jej przeprowadzić.
• Wątpliwości, których nie da się usunąć, są rozstrzygane na korzyść oskarżonego.

Co zrobić

• Wskazać w postanowieniu, że biegły ma przekazać oryginalną kopię, sumy kontrolne i dokumentację (wzór w sekcji 10).
• Nie zezwalać na zwrot urządzenia, dopóki nie potwierdzono, że kopia jest zabezpieczona i zweryfikowana.
• Ustalić na piśmie, kto i do kiedy przechowuje kopię.

Sąd

oceniający wiarygodność dowodu

Ryzyko

• Ocena dowodu wyłącznie na podstawie opisu, bez możliwości sprawdzenia jego podstaw.
• Spór biegłych, którego nie da się rozstrzygnąć, bo żaden z nich nie ma dostępu do tego samego materiału.
• Przewlekłość postępowania i ryzyko podważenia ustaleń w kolejnej instancji.

Co warto sprawdzić

• Czy oryginalna kopia istnieje, gdzie jest przechowywana i czy jej suma kontrolna zgadza się z opinią.
• Czy opinia wskazuje strefę czasową dat oraz kryteria wyboru danych do raportu.
• Czy strona kwestionująca dowód miała możliwość zapoznania się z materiałem źródłowym.

Obrońca i pełnomocnik

reprezentujący stronę postępowania

Ryzyko

• Brak możliwości realnej weryfikacji dowodu przeciwko klientowi, w tym sprawdzenia kontekstu i dat.
• Okoliczności korzystne dla klienta mogą znajdować się w danych, które nie trafiły do raportu.

Co warto sprawdzić

• Czy w aktach lub depozycie jest oryginalna kopia, czy wyłącznie raport albo skopiowane pliki.
• Czy opinia podaje metodę badania, narzędzia z wersjami, sumy kontrolne, strefę czasową i kryteria wyboru danych.
• Czy możliwe jest zbadanie materiału przez specjalistę wskazanego przez stronę. Brak oryginalnej kopii sam w sobie jest okolicznością istotną dla oceny dowodu.

Policja

zabezpieczająca urządzenia i wykonująca czynności techniczne

Ryzyko

• Czynność, od której zależy cała sprawa, okazuje się niemożliwa do powtórzenia ani sprawdzenia.
• Zarzut, że dane zmieniono podczas zabezpieczenia, bez możliwości jego odparcia.

Co zrobić

• Wykonywać pełną kopię urządzenia, a nie kopiować wybrane pliki. Jeżeli pełna kopia jest niemożliwa, opisać przyczynę w protokole.
• Przekazywać kopię razem z sumą kontrolną i opisem użytych narzędzi.
• Nie przeglądać zawartości urządzenia przed badaniem, bo każda taka czynność zmienia dane.

Firma lub osoba prywatna zlecająca badanie

np. w sprawie pracowniczej, gospodarczej, rodzinnej lub przed złożeniem zawiadomienia

Ryzyko

• Zapłacone badanie traci wartość w sądzie, gdy druga strona zakwestionuje raport, a oryginalnej kopii nie ma.
• Komputer lub telefon pracownika trafia do innej osoby albo zostaje sformatowany i nie ma już źródła, z którego można by odtworzyć dowód.
• Samodzielne przeglądanie urządzenia przed oddaniem do laboratorium zmienia dane i daje drugiej stronie argument, że dowód został naruszony.

Co zrobić

• Przed badaniem odłożyć urządzenie i nie korzystać z niego. Nie przekazywać go innemu pracownikowi.
• Zawrzeć w umowie z laboratorium obowiązek wykonania pełnej kopii, przekazania jej kopii zleceniodawcy, podania sum kontrolnych i przechowywania kopii do zakończenia sporu (wzór w sekcji 10).
• Przechowywać otrzymany nośnik w sposób udokumentowany, aby móc wykazać, kto miał do niego dostęp.

Jak to wygląda w praktyce

Poniższe scenariusze są ilustracyjne. Opisują typowe sytuacje, w których brak oryginalnej kopii podważa dowód cyfrowy, oraz to, dlaczego problemu nie da się naprawić po fakcie.

Scenariusz 1 · Telefon · sprawa karna

Rozmowa, której nie da się sprawdzić

Sytuacja

Kluczowym dowodem są wiadomości z komunikatora. Do akt trafił raport PDF z wybranymi wiadomościami. Telefon zwrócono właścicielowi, który przywrócił ustawienia fabryczne. Kopii danych w laboratorium już nie ma.

Zarzut

Obrona twierdzi, że część rozmowy pominięto, a wiadomości wcześniejsze zmieniają sens tych z raportu. Wnosi o zbadanie całej rozmowy przez innego biegłego.

Dlaczego to problem

Nowy biegły może przeczytać tylko ten sam raport. Nie ma żadnego źródła, z którego można by odczytać pełną rozmowę.

Skutek

Wątpliwość pozostaje nieusuwalna, a wartość dowodu jest istotnie osłabiona.

Scenariusz 2 · Komputer · spór pracowniczy

Plik, którego pochodzenia nie da się ustalić

Sytuacja

Firma zwolniła pracownika, zarzucając mu skopiowanie poufnej dokumentacji. Informatyk firmy skopiował znalezione pliki na pendrive i przekazał je prawnikowi. Laptop pracownika sformatowano i wydano nowej osobie.

Zarzut

Pracownik twierdzi, że pliki trafiły na jego komputer automatycznie z serwera firmy i nigdy ich nie otwierał ani nie kopiował dalej.

Dlaczego to problem

Odpowiedź dałyby ślady w systemie: daty, historia otwierania, podłączone nośniki zewnętrzne. Były one na dysku, ale nie w skopiowanych plikach. Dysku już nie ma w pierwotnym stanie.

Skutek

Firma nie jest w stanie udowodnić zarzutu, mimo że badanie zostało wykonane i opłacone.

Scenariusz 3 · Telefon lub komputer

Godzina, która zmienia wszystko

Sytuacja

Według raportu wiadomość wysłano o 22:40, czyli po zdarzeniu. Oskarżony twierdzi, że wysłał ją o 21:40, przed zdarzeniem.

Wyjaśnienie

Różnica jednej godziny to typowy skutek błędnie ustawionej strefy czasowej albo pominięcia zmiany czasu letniego przy tworzeniu raportu.

Dlaczego to problem

Rozstrzygnięcie wymaga sprawdzenia oryginalnej, liczbowej wartości czasu zapisanej w urządzeniu. Raport zawiera tylko jej przeliczenie.

Skutek

Bez oryginalnej kopii nie da się ustalić prawdziwej godziny, a od niej zależy alibi.

Scenariusz 4 · Telefon lub komputer

Dane, których program nie widział

Sytuacja

Program użyty przy badaniu nie obsługiwał najnowszej wersji jednego z komunikatorów. Raport pomija ten komunikator, a opinia stwierdza, że nie ujawniono korespondencji.

Co wychodzi później

Rok później nowa wersja programu obsługuje już ten komunikator. Z tej samej kopii można by odczytać rozmowy, które mogą obciążać lub uniewinniać.

Dlaczego to problem

Kopii nie zachowano. Telefon jest zablokowany lub wyczyszczony.

Skutek

Istotne dane są utracone bezpowrotnie, a ustalenie „nie ujawniono korespondencji” jest nieprawdziwe.

Scenariusz 5 · Telefon lub komputer · długie postępowanie

Kopia usunięta przed końcem sprawy

Sytuacja

Laboratorium, zgodnie ze swoją procedurą, usuwa dane rok po wydaniu opinii. Nikt nie poinformował go, że sprawa nadal się toczy. Organ zakładał, że kopia jest w laboratorium.

Co wychodzi później

W trzecim roku postępowania sąd odwoławczy zleca opinię uzupełniającą.

Dlaczego to problem

Nie ma materiału, na którym można ją wykonać. Urządzenie dawno zwrócono.

Skutek

Dowód nie może zostać uzupełniony ani zweryfikowany.

Co mówią standardy i przepisy

Międzynarodowe normy i wytyczne dotyczące dowodów cyfrowych nie są przepisami prawa. Opisują jednak aktualny stan wiedzy, a sąd ocenia dowody z uwzględnieniem wskazań wiedzy (art. 7 k.p.k.). Wszystkie te dokumenty, niezależnie od kraju i instytucji, sprowadzają się do trzech wymagań.

Integralność

Trzeba móc wykazać, że dowód nie zmienił się od chwili zabezpieczenia.

Pytanie sądu: skąd wiemy, że dane w raporcie są tymi samymi danymi, które były w urządzeniu?

Powtarzalność

Inny biegły, mając ten sam materiał, powinien móc powtórzyć badanie i dojść do tych samych wniosków.

Pytanie sądu: czy ktoś inny może to sprawdzić?

Dokumentacja

Wiadomo, kto, kiedy i co zrobił z materiałem, jakimi narzędziami i z jakim wynikiem.

Pytanie sądu: jak powstał ten raport i co działo się z dowodem?

Każde z tych wymagań zakłada, że oryginalna kopia istnieje. Bez niej nie da się wykazać integralności, nie da się powtórzyć badania, a dokumentacja opisuje materiał, którego nie ma.

Wymagania te wynikają m.in. z normy ISO/IEC 27037 (zabezpieczanie dowodów cyfrowych), normy ISO/IEC 27042 (analiza i interpretacja dowodów cyfrowych), wytycznych amerykańskiego instytutu NIST dotyczących badań komputerów i urządzeń mobilnych oraz wytycznych Europejskiej Sieci Instytutów Nauk Sądowych (ENFSI). Brytyjskie wytyczne ACPO ujmują to najprościej: wszystkie czynności na dowodzie cyfrowym należy dokumentować tak, aby niezależna osoba mogła je sprawdzić i uzyskać ten sam wynik.

Przepisy, które mają tu zastosowanie

art. 200 § 2 pkt 5 k.p.k.

Opinia musi zawierać sprawozdanie z przeprowadzonych czynności i spostrzeżeń oraz oparte na nich wnioski.

W praktyce: sprawozdanie można zweryfikować tylko na materiale, którego dotyczy. Bez oryginalnej kopii pozostaje ono twierdzeniem biegłego.

art. 201 k.p.k.

Gdy opinia jest niepełna lub niejasna albo opinie są sprzeczne, można wezwać tych samych biegłych lub powołać innych.

W praktyce: przepis zakłada, że jest na czym wykonać kolejną opinię. Bez oryginalnej kopii ta możliwość jest iluzoryczna.

art. 5 § 2 k.p.k.

Wątpliwości, których nie da się usunąć, rozstrzyga się na korzyść oskarżonego.

W praktyce: brak oryginalnej kopii tworzy właśnie takie wątpliwości. Działa to przeciwko oskarżycielowi, a nie przeciwko oskarżonemu.

art. 6 Europejskiej Konwencji Praw Człowieka

Prawo do rzetelnego procesu i do odpowiednich możliwości przygotowania obrony, w tym zasada równości broni.

W praktyce: w sprawie Sigurður Einarsson i inni przeciwko Islandii (wyrok z 4 czerwca 2019 r., skarga nr 39757/15) Europejski Trybunał Praw Człowieka zajmował się dostępem obrony do pełnego zbioru danych elektronicznych, z którego oskarżenie wybrało dowody. W tej konkretnej sprawie nie stwierdził naruszenia, ale wskazał, że odmowa takiego dostępu może co do zasady naruszać prawo do obrony. Dostęp jest możliwy tylko wtedy, gdy pełny zbiór danych został zachowany.

Zastrzeżenie

Omówienie przepisów ma charakter informacyjny i przedstawia stanowisko laboratorium jako podmiotu wykonującego badania. Nie stanowi porady prawnej. Ocena skutków procesowych w konkretnej sprawie należy do organu prowadzącego postępowanie i sądu.

Suma kontrolna: plomba, która działa tylko z workiem

Suma kontrolna działa jak numer plomby na worku dowodowym. Jeśli numer plomby w protokole zgadza się z numerem na worku, wiadomo, że worka nie otwierano. Narzędzie wylicza sumę w chwili wykonania kopii, a biegły wpisuje ją do opinii. Każdy może potem wyliczyć sumę dla przekazanej kopii i porównać ją z opinią.

Jest jednak warunek: numer plomby bez worka niczego nie dowodzi. Suma kontrolna w opinii ma wartość tylko wtedy, gdy kopia, z której ją wyliczono, nadal istnieje.

Częste nieporozumienie

Raporty z programów do analizy często zawierają własne sumy kontrolne, co sprawia wrażenie, że są zabezpieczone tak samo jak kopia. Taka suma dowodzi wyłącznie, że nikt nie zmienił pliku raportu po jego utworzeniu. Nie dowodzi, że raport wiernie i kompletnie oddaje zawartość urządzenia.

Co powinno trafić do akt lub depozytu

Poniżej zalecany komplet materiałów po badaniu telefonu lub komputera, niezależnie od użytego oprogramowania. Elementy oznaczone jako obowiązkowe to w naszej ocenie minimum, bez którego wartość dowodowa badania jest zagrożona.

Jak przechowywać oryginalną kopię

• Dwa egzemplarze. Jeden zapieczętowany i nieużywany, drugi do pracy. Jeśli egzemplarz roboczy ulegnie uszkodzeniu, wzorcowy pozostaje nienaruszony.
• Szyfrowanie. Kopia zawiera całe życie właściciela urządzenia: prywatną korespondencję, zdjęcia, dane o zdrowiu, dane innych osób. Nośnik powinien być zaszyfrowany, a hasło przekazane osobno.
• Okres. Co najmniej do prawomocnego zakończenia sprawy. Ze względu na możliwość kasacji i wznowienia postępowania decyzję o usunięciu powinien podejmować organ, a nie laboratorium.
• Kontrolowany dostęp. Dostęp do kopii powinien wynikać z decyzji organu i być odnotowywany. Kopia zawiera znacznie więcej, niż potrzeba do sprawy.
• Rozmiar. Kopia telefonu lub dysku to zwykle od kilkudziesięciu gigabajtów do kilku terabajtów. Sposób przechowywania warto ustalić już przy zleceniu badania.

Najczęstszy błąd organizacyjny

Laboratorium usuwa dane po upływie swojego okresu przechowywania, a zlecający nie wie, że kopia nie trafiła do akt. Każda strona zakłada, że materiał jest u drugiej. Ustalcie na piśmie, kto i do kiedy przechowuje oryginalną kopię.

Wzory zapisów

Najprostszy sposób, by uniknąć problemu, to od początku określić, jakie materiały ma przekazać biegły lub laboratorium. Poniższe wzory można dostosować do konkretnej sprawy.

Do postanowienia o powołaniu biegłego

Zobowiązuje się biegłego do:

1. wykonania pełnej kopii danych z urządzenia (nośnika) … (marka, model, numer seryjny lub IMEI) metodą zapewniającą najszerszy dostępny zakres danych, w szczególności obrazu binarnego nośnika z użyciem blokera zapisu albo odczytu pełnego systemu plików urządzenia mobilnego, oraz opisania w opinii zastosowanej metody, użytych narzędzi i ich wersji;
2. wyliczenia wartości funkcji skrótu SHA-256 dla wykonanej kopii bezpośrednio po jej utworzeniu i podania ich w opinii;
3. wskazania w opinii strefy czasowej, w której podano daty i godziny, oraz kryteriów wyboru danych zamieszczonych w raporcie;
4. przekazania wraz z opinią:
   1. nośnika zawierającego pełną kopię danych w postaci pierwotnej wraz z plikami opisu i dziennikiem jej wykonania,
   2. raportu w formacie umożliwiającym samodzielne przeglądanie danych wraz z informacją o wymaganym oprogramowaniu,
   3. zestawienia danych istotnych dla sprawy w formie pliku PDF;
5. zaszyfrowania nośników i przekazania hasła odrębną drogą;
6. przechowywania kopii roboczej do czasu odrębnej decyzji organu i nieusuwania jej bez takiej decyzji.

Do umowy z laboratorium (zleceniodawca prywatny)

Wykonawca zobowiązuje się do:

1. wykonania pełnej kopii danych z przekazanego urządzenia (obrazu binarnego lub pełnego odczytu) bez wprowadzania zmian w jego zawartości, a jeżeli wykonanie pełnej kopii nie jest możliwe, do pisemnego wskazania przyczyny i zakresu wykonanej kopii;
2. wyliczenia i podania w sprawozdaniu sum kontrolnych SHA-256 wykonanej kopii;
3. sporządzenia dokumentacji obejmującej stan urządzenia przy przyjęciu, przebieg czynności, użyte narzędzia i ich wersje;
4. przekazania Zleceniodawcy, wraz ze sprawozdaniem, zaszyfrowanego nośnika zawierającego pełną kopię danych w postaci pierwotnej, z hasłem przekazanym odrębną drogą;
5. przechowywania własnej kopii przez okres … lub do czasu pisemnego zwolnienia z tego obowiązku przez Zleceniodawcę oraz nieusuwania jej wcześniej bez jego pisemnej zgody.

Lista kontrolna

Trzy krótkie listy na trzy momenty, w których najłatwiej popełnić błąd.

Przed zwrotem urządzenia

• Wykonano pełną kopię, a nie wybrane pliki.
• Suma kontrolna kopii jest zapisana w protokole.
• Kopia została sprawdzona i da się ją otworzyć.
• Wiadomo, kto przechowuje kopię i do kiedy.

Przy odbiorze opinii

• Opinia podaje metodę, narzędzia i ich wersje.
• Opinia podaje sumy kontrolne kopii.
• Opinia wskazuje strefę czasową dat i godzin.
• Opinia opisuje, według jakich kryteriów wybrano dane do raportu.
• Razem z opinią przekazano nośnik z oryginalną kopią lub wskazano, gdzie jest przechowywana.

Przed rozprawą

• Suma wyliczona z przekazanego nośnika zgadza się z opinią.
• Hasło do zaszyfrowanego nośnika jest dostępne.
• Wiadomo, jakim programem otworzyć raport.
• Zaplanowano, jak udostępnić materiał biegłemu lub stronie, jeśli o to wystąpią.

Najczęstsze pytania

Raport ma sumę kontrolną i logo producenta. Czy to nie wystarczy?

Nie. Suma kontrolna raportu potwierdza tylko, że nikt nie zmienił pliku raportu. Nie potwierdza, że raport jest kompletny i wiernie oddaje zawartość urządzenia. Logo producenta oprogramowania nie ma znaczenia dowodowego.

Urządzenie jest w depozycie. Czy to nie zastępuje kopii?

Zwykle nie. Telefon po rozładowaniu i ponownym włączeniu może stać się niemożliwy do odczytania bez kodu. Dyski SSD same usuwają pozostałości skasowanych danych. Nowa kopia wykonana po latach może mieć inną sumę kontrolną niż ta w opinii i nie da się jej powiązać z pierwotnym badaniem. Urządzenie w depozycie to cenne zabezpieczenie dodatkowe, ale nie zastępuje kopii z dnia badania.

Czy strona przeciwna powinna mieć dostęp do całej kopii?

Kopia zawiera dużo więcej, niż potrzeba do sprawy, w tym dane osób trzecich. Dlatego zakres i sposób dostępu powinien określić organ lub sąd. Warunkiem jakiegokolwiek dostępu jest jednak to, że kopia w ogóle istnieje. Jeśli zostanie usunięta, rozstrzyganie o zakresie dostępu traci sens.

Co zrobić, jeśli oryginalnej kopii już nie ma?

Warto ustalić, czy kopia nie została zachowana w innym miejscu (u biegłego, w laboratorium, w jednostce Policji), czy urządzenie nadal istnieje i w jakim jest stanie, oraz co dokładnie zawierał raport. Laboratorium może ocenić, czy ponowne badanie urządzenia jest możliwe i jaki będzie miało zakres.

Sam brak kopii jest okolicznością, którą strony i sąd mogą uwzględnić przy ocenie wiarygodności dowodu.

Dotyczy to tylko narzędzi Cellebrite?

Nie. Cellebrite jest jedynie przykładem, bo jest powszechnie używany przy telefonach. Ta sama zasada dotyczy każdego narzędzia informatyki śledczej, każdego rodzaju urządzenia i każdej sprawy: karnej, cywilnej, pracowniczej czy gospodarczej.

Czy przechowywanie kopii jest drogie?

Koszt nośnika na kopię telefonu lub dysku jest zazwyczaj niewielki w porównaniu z kosztem badania, a nieporównywalnie mniejszy niż koszt utraty dowodu w sprawie. Ważne jest, by od początku ustalić, kto przechowuje kopię i do kiedy.

Masz wątpliwości co do materiału w swojej sprawie?

Laboratorium FireNet pomaga ocenić, czy materiał z badania telefonu lub komputera jest kompletny i możliwy do weryfikacji. Wykonujemy zabezpieczenia i analizy zgodnie z opisanymi standardami oraz przygotowujemy opinie kontrolne dla organów, kancelarii i klientów prywatnych.