提取数据时未做镜像，证据能用吗？

今天讲一个技术类的问题，很多时候容易被忽视，但很多案子恰恰就栽在这上面。

我们假设一个场景：侦查人员冲进去的时候，电脑还开着机，屏幕上显示着数据。结果他们没做内存镜像，直接拿手机拍了张照片，啪就把电脑关机了，然后把硬盘拆走。这操作有问题吗？我告诉你，大概率是不符合规范的。

首先，国家技术标准GA/T 756-2021 4.2.1写得清清楚楚：对于开机状态下的计算机信息系统，应优先收集提取易失性数据——最典型的就是内存数据。为什么？因为内存数据一断电就没了。侦查人员应当先对内存做镜像提取，确定关键数据保全了，才能考虑关机。

其次，《公安机关办理刑事案件电子数据取证规则》第十七条明确规定：在未确定是否存在易丢失数据的情况下，不得关闭正在运行状态的电子设备。这是硬性规定。

最关键的是，拍照取证在取证规则里有严格限定——根据国家技术标准GA/T 756-2021 4.2.7，一般是无法扣押原始存储介质并且无法收集提取电子数据的情况下，才可以作为补充手段使用。能提取内存镜像却不提取，直接用拍照代替，这是典型的取证程序违规。

内存数据里可能藏着什么？未保存的文档、聊天记录、登录密码、正在运行的进程——这些东西关机就没了，一张照片根本替代不了。作为辩护律师，遇到这种取证瑕疵，可以提出质疑，争取排除或者至少削弱其证明力。