Компьютерно-техническая экспертиза телефона после ОРМ: как проверить заключение

Компьютерно-техническая экспертиза телефона после ОРМ не сводится к поиску удалённой переписки. В уголовном деле нужно установить, какие данные действительно находились на исследованном носителе, откуда они появились, что означает время в отчёте и насколько обоснованно сообщения связывают с конкретным человеком. Фраза «переписка восстановлена» ещё не отвечает ни на один из этих вопросов полностью. Иногда обнаружен целый диалог, иногда — отдельный фрагмент базы данных, а иногда эксперт получил только подготовленную другим сотрудником выгрузку.

Для защиты принципиально различать три вещи: законность получения исходного материала, правильность технического исследования и доказанность обвинения. Хорошая экспертиза может достоверно описывать файл, но не устанавливать автора сообщения. Ошибка в переводе времени может объясняться настройками отчёта, а не фальсификацией. Отсутствие записи может быть следствием ограниченного извлечения, а не подтверждением того, что общения никогда не было. Поэтому спорить нужно не с техникой вообще, а с конкретным переходом от обнаруженных данных к выводу следствия.

Когда телефон уже изъят, а в деле появилась распечатка сообщений, адвокат по уголовным делам в Санкт-Петербурге может начать работу с сопоставления постановления о назначении экспертизы, описания объекта, исследовательской части и электронных приложений. Такой разбор помогает определить, какие вопросы ещё можно поставить эксперту, какие данные необходимо сохранить и где требуется не новое исследование, а проверка правомерности использования доказательства.

Что именно называется экспертизой телефона после ОРМ

Под одним бытовым названием «экспертиза телефона» нередко обсуждают разные действия. Оперативный сотрудник мог получить компьютерную информацию в рамках оперативно-розыскного мероприятия. Следователь мог осмотреть устройство и зафиксировать видимую переписку. Специалист мог помочь скопировать сведения. Наконец, назначенный в процессуальном порядке эксперт мог провести самостоятельное исследование и составить заключение. Название программы, объём распечатки и наличие технических терминов сами по себе не превращают один документ в другой.

Для начала нужно прочитать не последнюю страницу с выводами, а основание работы. Есть ли постановление о назначении судебной экспертизы? Какие объекты в нём перечислены? Кому поручено исследование? Кто подписал заключение? Совпадает ли предмет задания с тем, что фактически было сделано? Если в дело поступила оперативная справка, нельзя автоматически приписывать ей процессуальный статус заключения эксперта. В пункте 6 постановления Пленума Верховного Суда РФ от 21 декабря 2010 года № 28 отдельно разграничены подобные исследования и судебная экспертиза.

Компьютерно-техническое направление также не означает, что эксперт вправе решать любой вопрос о сообщениях. РФЦСЭ при Минюсте России описывает задачи этого вида исследований через компьютерные средства, программное обеспечение, данные и связанные с ними процессы. Правовая оценка договорённости, наличие умысла и виновность человека относятся к другой плоскости. Техническое исследование способно дать для неё фактический материал, но не заменить решение следователя или суда.

Подробное разграничение оперативной справки и процессуального заключения разобрано в материале о судебной экспертизе после ОРД. Здесь важен следующий шаг: как проверить именно цифровое исследование, когда эксперт уже ответил на вопросы о содержимом телефона.

Сначала установите, какой объект действительно исследовали

В постановлении может быть написано «мобильный телефон», а в исследовательской части — «архив, предоставленный на оптическом диске». Это не всегда нарушение, но это разные объекты и разные пределы выводов. Исследование самого устройства, его цифровой копии, отдельно сохранённой базы приложения и бумажной распечатки даёт неодинаковые возможности проверки. Защитник должен понимать, с какого уровня началась работа конкретного эксперта.

Если эксперту передали только выгрузку, он может исследовать содержащиеся в ней сведения и особенности её структуры. Однако происхождение этой выгрузки, полнота первоначального извлечения и состояние телефона до копирования не становятся установленными только потому, что последующий анализ выполнен квалифицированно. Для этих вопросов нужны документы о предшествующих действиях, сведения о способе получения материала, а иногда — дополнительные объекты. Отсутствующее звено нельзя заполнить предположением «раз файл приобщён к делу, значит, он точно соответствует телефону».

Начальная проверка выглядит предметно: сравнивают модель и идентификаторы устройства, номера упаковок, перечень переданных носителей, названия архивов и даты получения. Если на разных этапах фигурируют несколько телефонов одного владельца, особенно важно не смешать их. Один аккаунт мог использоваться на нескольких устройствах; принадлежность аккаунта сама по себе не доказывает, что конкретный файл извлечён именно из указанного смартфона.

Не следует впадать и в обратную крайность: работа с копией не делает заключение автоматически недопустимым. Вопрос состоит в том, можно ли установить происхождение копии, проверить её содержание и решить поставленную задачу с учётом ограничений. Когда эксперт исследует только распечатку, разумно выяснять свойства распечатки, а не требовать от него выводов о невидимых системных данных исходного устройства.

Путь данных от оперативного мероприятия до экспертного учреждения

У цифрового материала должна быть понятная история: кто получил сведения, на каком носителе они были зафиксированы, кому переданы, когда скопированы и в каком виде поступили эксперту. Это не требование одинакового названия для каждого служебного документа. Это способ проверить, относится ли исследование к тому объекту, который фигурирует в уголовном деле, и не возникли ли содержательно важные изменения по дороге.

Нужно сопоставить материалы ОРМ, документы о представлении результатов следователю, описание приобщённых носителей и перечень объектов в заключении. Если передача описана общими словами, защита уточняет конкретный пробел. Например, в оперативном документе указан один архив, а эксперт исследовал другой; либо в деле имеется только сокращённая распечатка без электронной основы, хотя вывод касается удалённой записи. Такое расхождение требует объяснения, но ещё не позволяет без исследования объявить материал поддельным.

Правило статьи 89 УПК РФ не позволяет использовать результаты ОРД, не отвечающие требованиям уголовно-процессуального закона к доказательствам. Поэтому заключение не служит универсальным способом исправления нарушений, допущенных при получении исходной информации. Сначала выясняется, в чём состояло нарушение и какого материала оно касается; затем — какие выводы эксперта от этого материала зависят.

Законность самого получения компьютерной информации как ОРМ проверяется отдельно от методики экспертизы. Подмена этих вопросов ослабляет позицию: безошибочное чтение файла не доказывает законность доступа к нему, а спор об основаниях ОРМ сам по себе не показывает, что программа неверно расшифровала данные.

Почему вопросы эксперту лучше заявлять до исследования

Права при назначении экспертизы нужны не для формальной подписи под постановлением. От поставленных вопросов зависит, какие сведения будут исследованы и какие объяснения получит следствие. Когда задание ограничивается поиском нескольких слов, заключение может вообще не ответить на вопрос о времени появления записи, полноте диалога или технических признаках её происхождения. После завершения работы восполнить эти пробелы бывает сложнее, особенно если исходный объект изменился или сохранилась лишь часть данных.

Статья 198 УПК РФ позволяет подозреваемому, обвиняемому и защитнику знакомиться с постановлением, предлагать дополнительные вопросы, заявлять отвод эксперту и ходатайствовать об определённом эксперте или учреждении. Присутствие при исследовании возможно с разрешения следователя; это не безусловное право самостоятельно работать с лабораторным оборудованием. Получение постановления и подготовка вопросов поэтому должны быть отдельной содержательной частью защиты.

Пункт 9 постановления Пленума № 28 связывает ознакомление с возможностью реализовать права до производства экспертизы. Если лицо признано подозреваемым, обвиняемым или потерпевшим после назначения экспертизы, его знакомят с постановлением одновременно с признанием в таком качестве. Нельзя одинаково рассматривать ситуацию, когда человека своевременно не ознакомили при уже существующем статусе, и ситуацию, когда он приобрёл этот статус позднее.

Практически полезно подавать не общий список из тридцати вопросов, а несколько вопросов, связанных с версией дела. При споре о времени — о значении временных полей и настройках преобразования. При споре об авторстве — о технических признаках устройства и учётной записи. При споре об удалённом сообщении — о сохранности записи и основаниях её связи с диалогом. Рядом следует указать, какие материалы для ответа нужны и почему вопрос существенен.

«Скопировали телефон» не означает «получили всю информацию»

В заключении важно найти описание фактического способа извлечения. Доступные через программные интерфейсы данные, копия файловой системы и копия определённой области памяти — не взаимозаменяемые понятия. Их возможности зависят от устройства, состояния защиты, программных версий и применённого средства. Название режима само по себе не гарантирует, что получены все приложения, все временные файлы и вся удалённая информация.

Методическое руководство NIST по исследованию мобильных устройств разграничивает подходы к извлечению и обращает внимание на ограничения получаемого материала. Это технический ориентир, а не обязательная для российского суда правовая норма. Конкретную возможность исследования современного телефона необходимо устанавливать по условиям данного исследования, а не переносить на него обещания из описания другого устройства или другой версии программы.

Для защиты существенен ответ на простой вопрос: какая часть информации была доступна для проверки? Формулировка «сообщения не обнаружены» может относиться только к исследованной выгрузке. Она не обязательно означает, что сообщений не было на устройстве вообще, на связанном устройстве или в ином источнике, который эксперту не предоставлялся. И наоборот, наличие сообщения в сформированном отчёте ещё требует выяснить, из какого объекта оно извлечено.

Ходатайство следует направлять на устранение именно этого ограничения. Просьба объяснить охват извлечения, перечислить недоступные категории данных и обозначить пределы отрицательного вывода полезнее, чем требование «проверить телефон полностью» без указания спорного обстоятельства. Если проверка технически невозможна, это тоже значимый результат: он ограничивает категоричность последующих утверждений, но не даёт автоматически ни обвинительного, ни оправдательного ответа.

Что показывает хеш-сумма и чего она не доказывает

Хеш-сумма — вычисляемое значение, используемое для контроля цифрового содержимого. В практическом споре важно, для чего и когда оно рассчитано: для целого архива, отдельного файла, образа памяти или готового отчёта. Сравнение имеет смысл, когда понятно, что сопоставляются соответствующие объекты и используется один алгоритм. Отличие хеша исходной базы от хеша PDF с её распечаткой само по себе совершенно ожидаемо: это разные файлы.

Совпадение контрольных значений может поддерживать вывод о неизменности зафиксированного набора данных между проверенными этапами. Но оно не устанавливает законность получения сведений, авторство сообщения и достоверность событий до первой фиксации. Если неверно подготовленный файл затем много раз копировали без изменений, контроль копий не исправит первоначальную ошибку. Поэтому выражение «хеш совпал, значит, вся переписка подлинная» требует уточнения.

В руководстве NIST отдельно отмечено, что работающий мобильный аппарат изменяет своё состояние, поэтому повторное извлечение не всегда даёт идентичный результат. Разные хеши двух извлечений из работающего телефона не равны доказанной фальсификации. Нужно выяснить, какие именно данные различаются и связано ли различие со спорным сообщением. Изменение служебного журнала и изменение текста обвинительно значимой записи имеют неодинаковое значение.

УПК не устанавливает общего правила об автоматическом исключении любой цифровой информации только из-за отсутствия хеша. Содержательный довод иной: каким способом в данном деле проверена неизменность конкретного объекта и достаточно ли описанных действий для проверки вывода? Особенности оригиналов, копий и электронных приложений подробнее разобраны в статье о цифровых носителях результатов ОРД.

Может ли экспертиза восстановить удалённую переписку

На этот вопрос нельзя добросовестно ответить одним «да» для всех телефонов. Возможность восстановления зависит от того, какие данные сохранились, какой объект доступен и какие средства применимы к нему. Обнаружение отдельных следов сообщения не обязательно означает восстановление его полного текста, адресата, даты и контекста. Эксперт должен описывать достигнутый результат, а не подменять его общим названием функции программы.

В заключении полезно различать целую запись приложения, фрагмент удалённой записи, текст из временного хранилища и сведения из ранее созданной резервной копии. Это возможные, а не обязательные для каждого телефона варианты. Каждый требует своего объяснения происхождения. Если в отчёте найдено несколько слов, следует выяснить, какие признаки позволили связать их с определённым диалогом и конкретной датой. Простое соседство фрагментов ещё не освобождает от проверки этой связи.

В частности, значение имеет сохранность структуры данных. Текст может читаться, а поле отправителя или времени — отсутствовать. Тогда нельзя незаметно перенести сведения из соседней записи и представить получившуюся конструкцию как полностью восстановленное сообщение. Если использовалась реконструкция, в исследовании должны быть понятны её основания и ограничения. Технически честный ответ «идентифицировать отправителя по представленному фрагменту не удалось» предпочтительнее категорического утверждения без достаточного материала.

Восстановление содержания и установление человека, который его создал, — разные задачи. Даже достоверно обнаруженное удалённое сообщение не доказывает само по себе, кто его удалил, зачем это сделал и имело ли удаление отношение к расследуемому событию. Эти обстоятельства необходимо проверять отдельно. Защите не следует соглашаться с формулировкой об умышленном сокрытии только потому, что программа отнесла запись к категории удалённых.

Как проверить запись базы данных, а не только красивый отчёт

Автоматический отчёт удобен для чтения: программа превращает технические значения в привычные строки, даты и названия контактов. Но такая форма скрывает часть преобразований. В спорной ситуации нужно иметь возможность перейти от строки отчёта к данным, на которых она основана. Иначе невозможно понять, установил ли эксперт нужное обстоятельство исследованием или просто перенёс на бумагу результат автоматической обработки.

Например, для сообщения существенны указание исходного файла, идентификатор записи, смысл соответствующих полей и способ их интерпретации. Это не означает, что обвиняемый обязан изучить внутреннее устройство каждой базы. Задача защитника — обозначить спор, а специалиста — помочь проверить техническую связь. Если текст обвинения построен на одном сообщении, запрос первичных данных именно по нему обычно содержательнее требования распечатать весь телефон.

С осторожностью следует относиться к любому восстановлению повреждённых структур. В документации разработчиков SQLite о восстановлении баз прямо описаны ограничения такого процесса и необходимость учитывать возможные искажения. Из этого не следует, что конкретный эксперт ошибся или что вся восстановленная информация ненадёжна. Следует более узкий вывод: результат восстановления нуждается в проверке, а способ восстановления нельзя скрывать за видом обычной таблицы.

Для ходатайства полезна формулировка: «Указать, из какого объекта и какой записи получены сведения, отражённые в строке такой-то приложения к заключению; пояснить, какие поля сохранились непосредственно, а какие значения установлены путём сопоставления». Она задаёт проверяемую задачу. Требование же предоставить исходный код коммерческой программы само по себе не объясняет, почему конкретное сообщение интерпретировано неверно, и не гарантирует получения такого кода.

Время сообщения: отправка, получение и создание отчёта

Цифра рядом с текстом имеет значение только вместе с объяснением, какое событие она обозначает. Дата создания файла выгрузки не равна дате написания сообщения. Время получения не обязательно совпадает с отправкой. Изменение файла может относиться к работе приложения или копированию, а не к редактированию конкретной фразы. Нельзя выбирать из нескольких временных полей самое удобное для обвинения, не раскрывая его смысл.

Отдельно проверяют часовую систему. Условный пример: в исходной записи указано 14:00 по UTC, а в отчёте — 17:00 при отображении в UTC+3. При этих исходных условиях речь идёт об одном моменте, а не о двух событиях с разницей в три часа. Но если 14:00 уже было местным временем, повторное прибавление трёх часов даст ошибочный результат. Следовательно, проверяется не арифметика сама по себе, а исходное значение и правило преобразования.

Для дела о передаче денег, встрече или участии в конкретном эпизоде такая разница может быть существенной. Эксперту ставят вопросы о назначении временного поля, его единицах измерения, учтённом часовом поясе и настройках формирования отчёта. При необходимости сопоставляют отметки с независимыми событиями, время которых установлено другими доказательствами. Однако нельзя заранее считать любое несовпадение доказательством подлога: сначала исключают различия в способах представления времени.

Полезно также уточнить предел точности. Когда из представленных материалов невозможно надёжно установить, были ли часы устройства настроены верно, заключение не должно молча превращать показание этих часов в безусловное время события. Технический вывод с оговоркой может сохранять доказательственное значение, но использовать его как точную привязку к минуте следует только с учётом этой оговорки.

Почему аккаунт в телефоне не равен автору каждого сообщения

В экспертизе могут быть установлены сведения об учётной записи, идентификаторы устройства, параметры приложения и наличие переписки. Каждый из этих фактов важен, но их совокупность не позволяет автоматически пропустить вопрос о конкретном пользователе. «Устройство принадлежит человеку», «в устройстве обнаружен аккаунт» и «человек лично отправил спорный текст» — три различных утверждения, требующих соответствующего обоснования.

Это не означает, что авторство всегда невозможно установить. В деле могут быть показания, видеозаписи, сведения о фактическом использовании аппарата и другие подтверждения. Технические данные тоже способны поддерживать определённую версию. Ошибка возникает тогда, когда такой вывод делают исключительно из отображаемого имени контакта или названия учётной записи, не выясняя, какие действия и каким способом подтверждены исследованием.

При наличии конкретных оснований проверяют версии о другом пользователе, связанном устройстве или иной точке входа в сервис. Не нужно сочинять все теоретически возможные сценарии: пустое перечисление «телефон могли взломать, потерять, передать» мало помогает. Существенны факты, относящиеся к спорному периоду, и технические вопросы, на которые можно ответить по доступным объектам. Если необходимых данных нет, важно точно обозначить, что именно остаётся неустановленным.

Общую оценку источников и их сопоставление предусматривает статья 87 УПК РФ. Для защиты это ориентир: не противопоставлять экспертизе голословное отрицание, а показать, какого звена недостаёт между устройством и человеком. Связь технического идентификатора с владельцем отдельно разобрана в материале о телефоне, IMEI, SIM-карте и установлении пользователя.

Облако и резервная копия: откуда на самом деле взялись сведения

В цифровом отчёте могут оказаться сведения из разных источников. Для экспертизы телефона после ОРМ критично не смешать данные, уже находившиеся в переданном объекте, с информацией, полученной дополнительно в ходе доступа к внешнему сервису. Один итоговый файл не делает их происхождение одинаковым. Исследовательская часть должна позволять установить, какие объекты использованы для конкретного вывода.

Представим, что эксперту передали телефон и отдельно резервную копию, созданную раньше. Если сообщение найдено только в этой копии, в заключении следует ясно указать соответствующий источник. Иначе читатель может ошибочно решить, что запись присутствовала в действующем приложении на момент изъятия. Для спора о времени, сохранности переписки или действиях после ОРМ это различие бывает решающим.

Иная ситуация возникает, когда новые сведения получены из внешнего источника уже во время работы. Статья 57 УПК РФ запрещает эксперту самостоятельно собирать материалы для исследования. Поэтому нельзя считать постановление о назначении экспертизы телефона безусловным разрешением на любое дополнительное получение сведений из любых аккаунтов. Нужно установить, что фактически происходило, каков был объём задания и каким процессуальным основанием охватывались соответствующие действия.

При этом анализ переданного цифрового объекта нельзя механически объявлять самостоятельным собиранием материалов. Граница определяется содержанием действий, а не употреблённым названием. Разумный запрос защиты — раскрыть происхождение спорной записи, перечень использованных источников и момент её получения. После этого можно предметно обсуждать как техническую достоверность, так и правомерность включения сведений в доказательственный материал.

Что означает вывод «сведений не обнаружено»

Отрицательный результат нередко переоценивают обе стороны. Следствие может ссылаться на отсутствие оправдывающей переписки, а защита — на отсутствие сообщений, описанных заявителем. Прежде чем делать вывод о реальном общении, необходимо определить, где именно искали, за какой период, по каким признакам и какие категории данных были доступны. Необнаружение в ограниченном массиве не тождественно отсутствию события в действительности.

Допустим, задание эксперту состояло в поиске конкретного выражения. В отчёте ничего не найдено. Из этого не следует, что не было разговора на ту же тему другими словами или сообщения в нерасшифрованном вложении. Но и обратная формула «данные могли не сохраниться, значит, сообщение точно было» недопустима как логический скачок. Ограничение метода не является самостоятельным подтверждением обвинительной версии.

Для содержательной проверки задают вопрос о пределах результата: какие приложения, файлы, даты и способы поиска охвачены; имелись ли недоступные или неинтерпретированные объекты; возможно ли при имеющихся материалах ответить шире. Эксперт может объяснить границы своего исследования. Он не должен восполнять отсутствующие данные предположением, что описание события в материалах следствия наверняка верно.

Отдельного внимания заслуживает поиск оправдывающих обстоятельств. Если защита указывает на конкретный диалог или вложение, следует объяснить его связь с делом и просить проверить соответствующий объект. Общая просьба «найти всё в пользу обвиняемого» не помогает определить техническую задачу. Точное указание спорного эпизода, периода и значения искомых данных делает последующий отказ или неполный ответ проверяемым.

Где заканчиваются специальные знания эксперта

В постановлении об экспертизе иногда встречаются вопросы, которые по форме выглядят техническими, но по существу требуют правового вывода. Например: «Подтверждают ли сообщения участие владельца телефона в преступной группе?» Такой вопрос объединяет установление текста, его смысла, личности участников и юридической квалификации. Компьютерно-техническое исследование не может единолично решить весь этот комплекс.

Правильнее разделить задачу. Эксперт устанавливает обнаруженные записи, их технические признаки, взаимосвязи и доступные сведения о времени. При необходимости смысл отдельных выражений исследуется в пределах другого вида специальных знаний. Правовой вывод формируется на основе совокупности доказательств. Не всякая фраза нуждается в отдельной экспертизе, но наличие компьютерного отчёта само по себе не даёт его автору специальных знаний во всех смежных областях.

Пункт 4 постановления Пленума № 28 не допускает выхода экспертных вопросов и ответов за пределы специальных знаний. В частности, эксперт не должен решать вопросы права и оценивать достоверность показаний вместо суда. Поэтому формулировка «показания обвиняемого опровергнуты экспертизой» требует разложения: какое фактическое обстоятельство установлено, какие показания с ним сопоставлены и кем сделан итоговый вывод.

Для защиты важно не требовать исключения технически корректной части только потому, что рядом появился спорный правовой вывод, а показать границы каждого фрагмента заключения. Если изъятая переписка требует самостоятельного анализа значения выражений, особенности такого спора рассмотрены в статье о лингвистической экспертизе переговоров после ОРМ. Компьютерное извлечение текста и его смысловая оценка не должны незаметно подменять друг друга.

Как читать заключение компьютерно-технической экспертизы

Проверку удобно начинать с сопоставления задания и ответов, но останавливаться на них нельзя. Между вопросом следователя и итоговой фразой эксперта должна быть прослеживаемая исследовательская работа. Когда вывод касается времени отправки, а исследовательская часть описывает только наличие текста, возникает конкретный пробел. Когда вывод касается телефона, а исследованы лишь изображения экрана, требуется объяснение пределов такого исследования.

Статья 204 УПК РФ предусматривает сведения об эксперте, основаниях и обстоятельствах производства экспертизы, вопросах, объектах, содержании исследования, применённых методиках и обосновании выводов. Иллюстрирующие материалы составляют часть заключения. Для защиты важен не формальный пересчёт реквизитов, а возможность проверить, на чём основан ответ по существенному вопросу. Заполненная вводная часть не компенсирует отсутствие объяснения результата.

При чтении отмечают каждое место, где меняется степень уверенности. В исследовательской части может быть написано «предположительно относится к диалогу», а в выводах — «является сообщением обвиняемого». Может быть установлен факт нахождения файла, а в обвинении он превращается в факт его личного создания. Такие переходы следует выписывать дословно с указанием страниц: спор о конкретной формулировке сильнее общего утверждения, что заключение одностороннее.

Вместе с бумажной частью проверяют состав приложений. Ссылка на электронный отчёт без возможности понять, где находится соответствующий файл и какая его версия использовалась, затрудняет проверку. При этом право на проверку доказательства не означает безусловного получения всех внутренних документов лаборатории. Просить следует конкретные существующие материалы, объясняя, какое обстоятельство они позволят установить и почему представленное заключение само по себе его не раскрывает.

Программа, её версия и квалификация эксперта

Название известного программного комплекса не освобождает эксперта от объяснения результата. Программа может применяться для разных задач и выдавать разные виды отчётов. Поэтому важно, какая версия использована, к какому объекту, с какими существенными настройками и ограничениями. Если спор возник вокруг одной записи, проверяется способ её обработки, а не репутация разработчика вообще.

Программа тестирования криминалистических инструментов NIST публикует результаты применительно к определённым средствам и условиям испытаний. Такой подход показывает, почему некорректно ссылаться на абстрактную «проверенность программы» без связи с фактической задачей. Вместе с тем отсутствие публичного теста именно этого случая не доказывает ошибку. Нужны выявленное ограничение, противоречие или иной предметный повод для проверки.

Квалификацию также оценивают применительно к порученному исследованию. Общий опыт работы с компьютерами не равен подтверждённой компетентности во всех вопросах мобильных баз данных. Однако и само по себе проведение экспертизы вне государственного учреждения не означает её незаконность: соответствующая возможность предусмотрена разъяснениями Пленума № 28. Следует проверять специальные знания конкретного исполнителя и правильность процессуального поручения, а не ограничиваться вывеской организации.

Особенно важно разделять автоматическую операцию и экспертное объяснение. Программа может вывести значение поля; эксперт должен понимать, что оно означает для поставленного вопроса. Если ответ фактически сводится к «так показала программа», защита уточняет, проверялось ли значение по исходным данным и какие альтернативные объяснения исключены. Это не требование знать каждую строку чужого программного кода, а проверка основания профессионального вывода.

Вопросы эксперту по телефону: формулировки для конкретного спора

Универсального набора вопросов, подходящего любому уголовному делу, нет. Сначала определяют, что именно оспаривается: источник данных, содержание сообщения, его время, связь с устройством или полнота исследования. Затем формулируют вопрос так, чтобы на него можно было ответить средствами соответствующей специальности. Ниже приведены варианты для адаптации к материалам дела, а не готовое постановление без учёта фактических обстоятельств.

Когда неизвестно происхождение записи

Можно предложить установить, из какого представленного объекта получены сведения, отражённые в конкретном пункте заключения или строке приложения. Дополнительно спрашивают, какие технические признаки позволяют связать эту запись с названным приложением, учётной записью и исследованным устройством. Если объекты поступили в виде выгрузки, отдельно выясняют, позволяет ли она проверить первоначальное происхождение данных и какие ограничения этому препятствуют.

Полезен вопрос о том, была ли запись обнаружена непосредственно в исследованном объекте либо её содержание реконструировано посредством сопоставления нескольких фрагментов. Во втором случае нужно указать эти фрагменты и признаки их связи. Такая постановка не навязывает эксперту обвинительную или защитную версию. Она делает понятным путь к результату и позволяет оценить, не объявлено ли предполагаемое восстановление прямым обнаружением целого сообщения.

Когда спорят о времени и последовательности общения

Вопрос о дате должен содержать указание конкретного события: отправки, получения, изменения записи или формирования копии. Например: «Какое событие отражает временное поле записи, приведённой в строке такой-то, и каким образом его значение преобразовано в дату и время отчёта?» Далее можно выяснить, учитывался ли часовой пояс и позволяют ли материалы определить последовательность двух спорных событий.

Не следует просить эксперта технически подтвердить заранее названную минуту, если исходные данные этого не позволяют. Более корректна постановка: «С какой доступной точностью может быть определено время указанного события и какие ограничения влияют на этот вывод?» Когда эксперт честно обозначит неопределённость, её можно сопоставить с требованиями обвинительной версии. Отсутствие точности не отменяет событие, но ограничивает способы его использования.

Когда в отчёте указаны удалённые сообщения

Вопросы могут касаться признаков, по которым записи отнесены к удалённым, полноты сохранённого содержания и возможности установить принадлежность фрагмента определённому диалогу. Стоит отдельно уточнить, доступны ли сведения о самом факте и времени удаления либо программа лишь обнаружила данные вне обычного отображения приложения. Эти обстоятельства нельзя объединять без объяснения.

Если обсуждается лицо, выполнившее удаление, вопрос должен оставаться в пределах доступных технических признаков. Например: «Имеются ли в представленных объектах сведения, позволяющие установить устройство и учётную запись, с использованием которых выполнено указанное действие?» Формулировка не означает, что такие данные обязательно существуют или что идентификатор аккаунта однозначно устанавливает человека. Отрицательный ответ также требует отражения в выводах, а не замены предположением.

Когда непонятны полнота и воспроизводимость исследования

Можно спросить, какие категории информации охвачены применённым методом, какие не были доступны и влияет ли это на ответ по спорному вопросу. При выборочном поиске уточняют перечень признаков отбора, исследованный период и основания ограничения. Для повторной проверки существенен вопрос о том, какие исходные файлы и сведения о настройках необходимы другому специалисту, чтобы проверить соответствующий вывод.

Не нужно просить эксперта «признать заключение незаконным» или «установить отсутствие состава преступления». Это вопросы правовой оценки. Содержательное техническое задание заканчивается там, где получены факты и обозначены пределы их установления. Дальнейшее значение этих фактов для обвинения обосновывает защитник, а процессуальное решение принимает уполномоченное лицо или суд.

Как составить ходатайство о проверке цифрового заключения

Хорошее ходатайство начинается с конкретного вывода, который влияет на дело. Нужно указать документ, его дату, соответствующую страницу и спорную запись. Затем описать противоречие или неполноту: например, в отчёте указано время отправки, но не приведены исходное поле и способ преобразования; либо сообщение отнесено к определённому человеку только по имени аккаунта. После этого формулируют, какое действие позволит проверить обстоятельство.

Основу просьбы можно изложить так: «Для проверки вывода о времени сообщения, приведённого в указанной строке приложения, прошу истребовать относящиеся к этой записи исходные данные и сведения об использованном преобразовании времени; предоставить стороне защиты возможность ознакомиться с ними в установленном порядке; разрешить вопрос о допросе эксперта либо назначении дополнительной экспертизы с учётом характера необходимой проверки». Такая конструкция не заменяет индивидуальной подготовки, но показывает связь между дефектом и требуемым действием.

Если нужна новая экспертиза, желательно сразу предложить вопросы, объекты и объяснение, почему простого разъяснения недостаточно. Если требуется только предъявить уже существующее приложение, не стоит искусственно превращать это в требование повторного исследования всего телефона. Чем точнее выбран способ проверки, тем труднее ответить на обращение отвлечённой фразой о достаточности имеющихся материалов.

Процессуальные сроки не следует путать со сроком работы лаборатории. По статье 121 УПК РФ ходатайство разрешается непосредственно после заявления, а при невозможности немедленного решения в ходе предварительного расследования — не позднее трёх суток. Этот срок относится к разрешению ходатайства, а не к обязательному завершению новой компьютерной экспертизы за три дня.

Сохранение данных и участие специалиста со стороны защиты

Пока спор ещё не разрешён, полезно ставить вопрос о сохранении объектов, позволяющих его проверить. Это может быть исходный носитель, имеющаяся копия, конкретная база данных, электронное приложение или журнал выполненных операций, если он существует и относится к исследованию. Нельзя требовать задним числом предоставить технический журнал, который не создавался, но можно выяснить, какие сведения о действиях были зафиксированы и какие объекты сохранились.

Сохранность особенно важна, когда предполагаются действия, изменяющие объект. Статья 16 Федерального закона № 73-ФЗ регулирует обязанности эксперта, включая обеспечение сохранности и ограничения на уничтожение либо существенное изменение объектов без соответствующего разрешения. В уголовном процессе сопоставимые ограничения установлены статьёй 57 УПК РФ. При этом не каждое техническое изменение состояния включённого аппарата равнозначно запрещённому разрушению объекта: необходимо разбирать фактическое действие и его последствия.

Привлечённый защитой специалист помогает сформулировать техническую проблему, оценить достаточность описания и подготовить вопросы. Статья 80 УПК РФ различает заключения и показания эксперта и специалиста. Название «рецензия» само по себе не придаёт документу особой процессуальной силы и не отменяет ранее выполненную экспертизу. Значение имеют его содержание, компетенция автора и надлежащее представление в дело.

В такой работе полезнее разъяснение конкретного технического дефекта, чем категорическая фраза «заключение недопустимо» от специалиста. Например, он может объяснить, почему выбранное поле не отражает время отправки, какие сведения нужны для проверки и требуется ли новое исследование. Правовое следствие этого дефекта обосновывает защитник. Поэтому консультация адвоката по уголовному делу и техническая консультация решают взаимосвязанные, но не одинаковые задачи.

Допрос эксперта, дополнительная или повторная экспертиза

Эти способы проверки решают разные задачи. Допрос нужен, когда требуется объяснить уже выполненное исследование: значение термина, смысл обозначения, использованную настройку или основание конкретного вывода. Статья 205 УПК РФ предусматривает допрос после представления заключения. Получить новое исследование неизвестной базы данных под видом нескольких устных ответов нельзя.

Дополнительная экспертиза по статье 207 УПК РФ предназначена для недостаточно ясного или полного заключения, а также для новых вопросов по ранее исследованным обстоятельствам. Её можно поручить тому же или другому эксперту. Например, текст сообщений установлен, но вопрос о техническом значении временных полей остался без исследования, и простого разъяснения уже имеющихся результатов недостаточно.

Повторная экспертиза связана с сомнениями в обоснованности заключения или противоречиями в выводах по тем же вопросам. Её поручают другому эксперту. Для такого требования существенно показать ошибочный способ интерпретации, несоответствие выводов исследовательской части или другое основание сомнения. Простое несогласие с неблагоприятным результатом не объясняет, почему исследование нужно повторить.

При выборе способа проверки следует учитывать пункты 13, 15 и 17 постановления Пленума № 28. В частности, допрос не должен подменять экспертизу, когда требуется именно новое исследование. Если эксперт на вопрос о спорной записи отвечает, что ему необходимо заново открыть объект и выполнить дополнительные операции, защите важно поставить вопрос о надлежащей процессуальной форме, а не соглашаться на неподтверждённое устное предположение.

Подробнее различия разобраны в материале о дополнительной и повторной экспертизе по статье 207 УПК РФ. В цифровом споре главный критерий практический: требуется ли объяснить полученный результат, восполнить исследование или заново проверить обоснованность ответа на тот же вопрос.

Если экспертизу провели до возбуждения уголовного дела

Судебная экспертиза может быть назначена при проверке сообщения о преступлении. Поэтому её дата, предшествующая возбуждению дела, сама по себе не означает незаконность. Однако для такого случая предусмотрена специальная гарантия, которую важно не потерять среди общих ссылок на повторное исследование.

По части 1.2 статьи 144 УПК РФ после возбуждения дела ходатайство стороны защиты или потерпевшего о дополнительной либо повторной судебной экспертизе, проведённой на стадии проверки сообщения, подлежит удовлетворению. Эту норму нельзя переносить на любую экспертизу, назначенную уже в рамках возбуждённого дела. Но и игнорировать её, рассматривая соответствующее ходатайство только как обычное несогласие стороны, неправильно.

В обращении полезно прямо показать последовательность дат: назначение и производство исследования при проверке, возбуждение дела, приобретение необходимого статуса и заявление ходатайства. Затем указать, какая экспертиза требуется, какие вопросы предлагаются и какие объекты необходимо предоставить. Специальная гарантия не отменяет необходимости ясно сформулировать предмет нового исследования.

Следует отличать эту ситуацию от оперативной справки, составленной до возбуждения дела. Если судебной экспертизы ещё не было, корректным может быть требование о её первоначальном назначении, а не о «повторной экспертизе справки». Исходный документ нужно правильно квалифицировать, иначе даже содержательно верная претензия окажется изложена в неподходящей процессуальной форме.

Как оспорить заключение: допустимость, достоверность и достаточность

Нарушение порядка получения материала, ошибка технического исследования и чрезмерный вывод об обвинении нельзя смешивать. В первом случае обсуждается допустимость. Во втором — достоверность конкретного результата. В третьем — достаточно ли установленных обстоятельств для утверждения, которое делает следствие. Эти направления могут пересекаться, но требуют разных доводов и разных просьб.

Статья 88 УПК РФ предусматривает оценку каждого доказательства, а также всей совокупности. Применительно к телефону это означает: заключение может быть допустимым и правильно описывать наличие переписки, но не давать достаточных оснований для вывода о личном участии владельца в конкретном действии. Не обязательно доказывать подделку каждого файла, чтобы показать недостаточность такой связи.

При требовании исключить материал следует назвать конкретное нарушение и объяснить его отношение к спорному доказательству. Если оспаривается только отдельный вывод эксперта, важно не растворять его в требовании исключить всё дело. Если исходные результаты ОРМ получены с нарушением закона, нужно установить, какие объекты и последующие выводы от них зависят. Вопрос о производных доказательствах после незаконного ОРМ требует именно такой связи, а не автоматического переноса иностранной формулы на российский процесс.

Судебную оценку заключения оспаривают вместе с приговором или иным итоговым решением, как разъяснено в пункте 19 постановления Пленума № 28. Это не означает, что до приговора нужно молчать: вопросы, ходатайства, возражения и требования о проверке заявляются в ходе производства. В дальнейшем необходимо показать, какие существенные сомнения остались без разрешения и как это повлияло на выводы суда.

Три практические ситуации: какой довод действительно работает

Ниже приведены условные примеры, а не пересказ судебных дел или обещание определённого результата. Их цель — показать, как один и тот же цифровой отчёт требует разных способов проверки в зависимости от предмета спора.

В отчёте встреча оказалась на три часа раньше

Предположим, обвинение связывает сообщение с передачей предмета в 17:10. В приложении к экспертизе рядом с сообщением указано 14:05, и эту цифру используют как местное время. Защита располагает сведениями, позволяющими предположить, что отчёт отображал UTC. Общая фраза «в экспертизе неправильное время» недостаточна: нужно проверить исходное поле и правило его отображения.

Если будет установлено, что 14:05 дано в UTC, а сравниваемое событие — в UTC+3, сопоставление должно учитывать это различие. Следующим вопросом станет назначение временного поля: действительно ли оно отражает отправку? Только после этого можно оценивать последовательность событий. Результат проверки может как поддержать защиту, так и подтвердить обвинительную хронологию. Его нельзя заранее объявлять выигрышным.

Несколько восстановленных слов приняли за целое сообщение

Предположим, эксперт обнаружил в повреждённой структуре текстовый фрагмент с упоминанием суммы. В итоговой таблице он расположен рядом с именем контакта, а обвинение трактует строку как полное сообщение этому человеку. Защита должна выяснить, какие поля сохранились непосредственно и чем подтверждена связь текста с адресатом и датой.

Если такой связи не установлено, предметный вывод состоит не в том, что никакого общения не существовало, а в том, что представленное исследование не подтверждает конкретное сообщение в заявленном объёме. Можно поставить дополнительные вопросы, исследовать сохранившиеся объекты и сопоставить результат с иными доказательствами. Вывод об умышленном удалении переписки также потребует самостоятельного фактического основания.

Эксперт исследовал экспорт, но выводы написаны о самом телефоне

Предположим, после ОРМ сотрудник подготовил архив переписки и передал его на экспертизу без исходного устройства. Эксперт достоверно установил содержание файлов, но в деле его заключение используют как подтверждение состояния телефона на момент изъятия. В этой ситуации спор начинается не с качества чтения архива, а с происхождения и полноты экспорта.

Защита просит установить, кем и когда создан архив, какие данные отбирались и позволяют ли сохранившиеся материалы проверить его соответствие исходному объекту. Если проверить это невозможно, ограничение должно учитываться при оценке выводов. Сам факт исследования копии не исключает доказательство автоматически. Но и авторитет эксперта не восполняет сведения о действиях, которых он не наблюдал и которые по представленным объектам не устанавливал.

Срок экспертизы телефона и его возврат владельцу

Указание, что телефон находится «на экспертизе», само по себе не объясняет происходящее. Для начала выясняют, когда вынесено постановление, когда объект направлен, когда получен учреждением и выполнено ли исследование. Бывает важно отличить собственно исследовательскую работу от ожидания направления или возвращения уже исследованного предмета. Неопределённая формулировка не должна заменять проверку процессуальной истории объекта.

Нет универсального правила, по которому любая компьютерно-техническая экспертиза телефона обязана завершиться ровно за десять или тридцать дней. Сроки проверки сообщения о преступлении и срок конкретной экспертизы — не одно и то же. Для оценки затягивания нужны фактическая продолжительность, сложность задания, необходимость дополнительных объектов и действия органа расследования. Защита может выяснять состояние исполнения и ставить вопрос о необоснованном бездействии, не обещая заранее определённого результата жалобы.

Завершение исследования также не означает автоматического возврата телефона: имеет значение его процессуальный статус и основания дальнейшего удержания. Но сохранение нужных данных может быть аргументом при обсуждении дальнейшей необходимости самого устройства. Порядок соответствующего обращения разобран в статье о возврате изъятого телефона после ОРМ. Приоритет защиты — не только получить вещь обратно, но и не утратить возможность проверить значимые цифровые сведения.

Как обсуждать цифровое исследование в суде

В судебном заседании полезно двигаться от одного спорного вывода к его основанию. Сначала обозначить запись и значение, которое обвинение ей придаёт. Затем показать соответствующий фрагмент заключения и задать вопросы о способе получения результата. Обсуждение сотен технических страниц без связи с конкретным эпизодом затрудняет понимание и часто скрывает главный пробел за количеством деталей.

При необходимости ставится вопрос об исследовании электронного приложения, разъяснении эксперта или назначении экспертизы судом. Нельзя ограничиваться фразой «вся информация находится на диске», когда спор касается определённого файла, а его содержание и происхождение остались нерассмотренными. Вместе с тем не каждое приложение требует одинакового способа демонстрации: просьбу следует связывать с предметом разбирательства и реальной необходимостью проверить доказательство.

Вопросы эксперту лучше представить письменно. По пункту 17 постановления Пленума № 28 при назначении экспертизы судом отклонённые вопросы должны быть указаны с мотивами отклонения. Это позволяет впоследствии проверить не только итоговое заключение, но и причины, по которым существенное обстоятельство не исследовалось. Важно также фиксировать, какие ответы уже получены и какие противоречия они не устранили.

Для дальнейшего обжалования полезна понятная связка: спорная запись, заявленное ходатайство, принятое решение, оставшееся ограничение и его влияние на вывод по обвинению. Само количество технических возражений не определяет их силу. Один необъяснённый переход от времени создания копии к времени совершения действия может иметь большее значение, чем длинный перечень несущественных ошибок оформления.

Частые вопросы об экспертизе телефона и переписки

Обязательна ли экспертиза, если следователь уже осмотрел переписку?

Не каждый осмотр телефона автоматически требует последующей экспертизы. Значение имеет характер вопроса: нужно ли специальное исследование или достаточно надлежащей фиксации доступных сведений. Когда спор касается восстановления удалённых записей, структуры базы или технической интерпретации времени, один протокол осмотра может не разрешать возникшую проблему. Отдельно о процессуальной фиксации рассказано в статье про осмотр телефона следователем по УПК РФ.

Можно ли восстановить всю переписку после удаления?

Такой результат нельзя гарантировать без исследования конкретных объектов. Имеют значение сохранность информации и реальные возможности её получения. Иногда доступны отдельные следы, но не весь диалог или не все служебные поля. Если в заключении говорится о восстановлении, необходимо выяснить объём результата: полный текст сообщения, фрагмент, признаки принадлежности к переписке либо иная информация. Слово «восстановлено» не должно скрывать эти различия.

Можно ли провести экспертизу переписки только по скриншотам?

Изображения могут исследоваться, но круг решаемых по ним вопросов ограничен их содержанием и свойствами. Скриншот не заменяет автоматически исходную базу приложения и не раскрывает все технические обстоятельства появления сообщения. Поэтому нужно различать исследование самого изображения и выводы о данных устройства. Особенности такого материала рассмотрены в статье о скриншоте переписки как доказательстве по уголовному делу.

Отсутствие хеш-суммы означает, что заключение нужно исключить?

Само по себе — нет. Нужно установить, как в деле проверяются происхождение и неизменность соответствующих данных, и объяснить конкретное нарушение либо сомнение. Хеш полезен только при понятном объекте и моменте вычисления. Его наличие не доказывает авторство сообщения, а отсутствие не превращает весь цифровой материал в подделку. Правовая оценка зависит от обстоятельств получения и проверки доказательства.

Что делать, если в заключении указан другой телефон?

Сначала выяснить, является ли расхождение опиской или указывает на исследование другого объекта. Сопоставляются идентификаторы, описание упаковки, материалы направления и исследовательская часть. Не нужно заранее объявлять замену доказанной. Но и ограничиваться предположением о технической ошибке нельзя, если идентичность объекта не установлена. В ходатайстве следует перечислить конкретные несовпадения и попросить объяснить, какой именно носитель исследовался.

Может ли защита предложить своего эксперта или учреждение?

Такое ходатайство предусмотрено статьёй 198 УПК РФ. Его полезно подкрепить сведениями о специальности, квалификации и возможности выполнить нужное исследование. Предложение стороны не означает автоматического назначения именно этого исполнителя. При этом негосударственный статус сам по себе не исключает участия эксперта: проверяются надлежащий порядок назначения и его компетентность применительно к конкретным вопросам.

Можно ли получить все файлы телефона для самостоятельного изучения?

Не следует рассчитывать на безусловную выдачу любого объёма данных по одному требованию. Порядок доступа зависит от процессуального положения, стадии дела, состава материалов и затрагиваемых прав других лиц. Для проверки заключения разумно назвать конкретные исходные объекты и приложения, которые необходимы, и объяснить их значение. Особенно важно не подменять доступ к спорной записи требованием передать весь массив посторонней частной переписки.

Доказывает ли найденное сообщение, что владелец его прочитал?

Не обязательно. Нужно установить, какие сведения об этом вообще имеются и что означает соответствующий технический признак. Наличие текста в файле не равнозначно личному ознакомлению конкретного человека. Даже обнаруженное программное обозначение состояния сообщения требует объяснения применительно к источнику данных. Вывод о действиях пользователя должен опираться на проверенные признаки и другие обстоятельства дела, а не только на бытовое понимание названия поля.

Может ли эксперт исправить ошибку устно на допросе?

На допросе возможно разъяснить уже выполненное исследование и уточнить смысл ответа. Но если для нового вывода требуется заново исследовать объект, допрос не заменяет экспертизу. Следует выяснить, ограничивается ли изменение объяснением существующих результатов или основано на новых действиях. Существенное противоречие между письменным заключением и устным ответом должно быть разрешено, а не оставлено под формулой «эксперт всё пояснил».

Гарантирует ли повторная экспертиза другой результат?

Нет. Другой эксперт может подтвердить первоначальные выводы, опровергнуть их, ответить иначе из-за дополнительных материалов либо указать на невозможность разрешить вопрос. Задача повторной экспертизы — проверить обоснованность, а не обеспечить заранее выбранный ответ. Поэтому ходатайство должно показывать действительное основание сомнения. Стоимость привлечённого специалиста и объём подготовительной работы также не являются гарантией исхода уголовного дела.

Что подготовить для разбора экспертизы с адвокатом

На консультацию полезно передать постановление о назначении, полное заключение с приложениями, документы об ознакомлении и имеющиеся материалы о получении телефона или цифровой копии. Если каких-то документов пока нет, лучше прямо отметить этот пробел. Для первоначальной оценки не нужно самостоятельно восстанавливать отсутствующие страницы по чужим пересказам или объединять разные выгрузки в один исправленный файл.

Отдельно стоит составить короткое описание спорного обстоятельства. Не «экспертиза вся неправильная», а «сообщение отнесено к дате, когда телефон находился у другого лица» или «в выводе указано авторство, но исследовалась только выгрузка». Рядом указывают известные подтверждающие сведения и источник их получения. Это помогает понять, нужен ли технический специалист, какие документы запросить и какой процессуальный способ проверки выбрать.

Не следует изменять имеющиеся исходные копии ради удобства чтения, пересохранять их вместо оригиналов или смешивать свои пояснения с экспертным отчётом. Комментарии можно подготовить отдельно. Не нужно удалять сведения, пытаться дистанционно изменить состояние изъятого устройства или просить других участников исправить переписку. Такие действия способны повредить проверке фактов и создать новые риски. Материалы с личной информацией также не стоит публиковать в открытом доступе для коллективного обсуждения.

При обращении за помощью уголовного адвоката в СПб важно поставить измеримую задачу: проверить конкретный вывод, сформулировать вопросы, добиться исследования существенных данных и подготовить позицию по их доказательственному значению. Обещание «убрать экспертизу из дела» до чтения материалов не заменяет эту работу. Иногда правильный результат состоит не в исключении всего заключения, а в точном ограничении того, что оно действительно доказывает.

Компьютерно-техническая экспертиза телефона после ОРМ должна оставлять проверяемый путь от исходного объекта к каждому значимому выводу. Защита становится содержательной, когда показывает, где этот путь прерывается: источник не установлен, восстановлен только фрагмент, временная отметка понята неверно, технический идентификатор принят за человека или заключению приписано больше, чем в нём исследовано. Именно такие вопросы позволяют обсуждать доказательства по существу, а не спорить с распечаткой только потому, что она выглядит убедительно.