关键词：授权要件、搜查令、委托书、非法获取、侵入计算机、公民个人信息、证据能力
难度：进阶
前置知识：取证流程与原则、证据保管链
一、概述
技术失误大多可以补救——镜像采错了重采，参数填错了重跑，时间戳算错了重新换算。越权取证往往不可挽回，而且它的代价不落在技术层面。
一个典型的翻车场景：技术顾问凭委托人的口头同意，用自己的账号登录对方的云盘拉取数据。技术上零失误，数据也真实，但登录行为本身需要另一重授权。这份证据在质证时可能被整体排除，反过来还构成追责依据。
浓缩成一句就是：技术正确与程序合法缺一不可，但出错的代价不对称。技术侧的失误总能补救，而程序违法的后果补救不了。这也是授权审查要排在所有技术动作之前的原因。
授权审查的位置在受理之前，是流程的第一道关卡，被标为"最关键的一步"的理由很直接：这一步没过去，后面所有技术工作都建立在无依据的行为之上。它与取证流程与原则的分工是明确的——流程篇讲阶段划分与不可逆节点，这里讲每个节点开始之前你要确认什么授权。
三类文书的效力来源完全不同：搜查令 / 委托书 / 授权书分别来自公权力、民事关系、本人同意。这个区分决定了你能碰哪些设备。下游最直接的是证据保管链与委托证明：这里确认你有权做，那篇记录你做了什么，自查表里"保管过程是否连续"一项明确指向它。再往下是数据处理环节：脱敏、销毁、交付限制。
落到具体物件与动作上，边界要由这几样东西承载。
委托书 / 搜查令 / 授权书 / 知情同意书的效力来源互不通用，"不能互相替代，也不能借用"是硬边界：委托方不是设备所有人时，你无权处理该设备。
授权范围的书面界定要到具体粒度。案例里的修订版授权写到了这个粒度：设备 Dell Latitude SN=XXXX1234、渠道（企业邮箱 / 企业网盘 / 企业 IM）、时间范围（2024-01-01 至 2024-03-15），以及一条禁止项——不得调取与该员工无关的第三方通讯内容。"查一下他的电脑"这种措辞不构成客体明确。
DigiForensics.dd 工作副本同样受保护：不能随意复制、外传、放云端。把数据上传到在线自动化分析服务等同于向第三方披露。脱敏后的报告要事先约定规则，案例里客户名单的身份证号、手机号做了处理，脱敏规则要在合同里事先约定，不是事后补救。委托关系结束时按约定销毁或返还并留记录，这一步与保管链闭环。
越界请求的处理方式是书面说明并要求补充授权，不是先做了再说。案例里那三条独立证据（邮件发送记录、网盘下载记录、IM 对话）之所以站得住，一半是因为它们各自独立，另一半是因为提取时严格守住了"不得调取与该员工无关的第三方通讯内容"这条边界。
能回答的是这些：一份委托书够不够（对照三个要件逐条查）、搜查令 / 委托书 / 授权书能不能互相顶替、哪些技术手段越了线、以及个人信息的五条处理原则怎么落到具体动作。
不解决的是这些：具体某条法规怎么适用——这里讲的是要件框架与风险类型，不替代法律意见，具体案件必须咨询具备资质的法律专业人员；技术手段怎么做，边界内的操作步骤在各技术篇里；技术结论对不对，见取证概念与分类里「技术正确与程序合法缺一不可」那个区分；跨机构协作的责任划分，这里讲了原则性要求，具体协议要按项目签。
这里没有技术门槛，但需要一点法律常识——至少要知道"授权委托"和"搜查令"不是一回事、知道自己在做什么角色（受托方 / 办案机关 / 数据主体本人）。
更需要的是把自己放在被追责的位置上想一遍：如果你今天做的事明天被质疑，你的授权文书能不能支撑？用他人账号登录对方系统、绕过密码或锁屏、超出授权范围"顺手多看"——这三种行为都不需要任何技术门槛就能犯，反过来说，技术门槛再高也拦不住它们。最容易被带进去的其实是"技术顾问以为在帮客户忙"这个心态。
二、核心原理
2.1 授权的三个基本要件
无论授权文书叫什么名字，有效授权都要回答三个问题：
| 要件 |
内容 |
缺失的后果 |
| 主体适格 |
谁有权授权？ |
越权委托，全部取证行为无依据 |
| 客体明确 |
针对哪些设备、数据、账号？ |
范围不明，取证范围失控 |
| 意思表示 |
授权是真实、自愿、明确的？ |
事后被主张"不知情/被胁迫" |
主体适格的实务判断：
✓ 企业内部调查 → 通常需企业法定代表人或授权负责人出具
✓ 员工个人设备 → 需设备所有人本人授权（不能凭"公司的电脑"就查个人内容）
✓ 客户委托 → 需有书面委托，且委托事项具体
✓ 办案需要 → 需办案机关的正式手续
✗ "公司是我的" → 不能推导出可以查其中任何一台设备
✗ 口头同意 → 争议时极难证明，且通常不足以支撑大规模取证
客体明确是最容易被含糊处理的地方。"查一下他的电脑"是不够的，应明确到：
设备型号 + 序列号 + 容量 + 存放地点
或
云账号 + 账号主体 + 时间范围 + 数据类别
2.2 三类文书的本质区别
| 文书 |
谁出具 |
授权范围 |
适用场景 |
| 搜查令/扣押手续 |
有管辖权的办案机关 |
特定地点/设备/账户 |
刑事侦查、刑事司法程序 |
| 委托书/委托合同 |
委托人（可能是任何主体） |
委托人自身的财产或权益范围 |
企业事件、商业维权、个人维权 |
| 授权书/知情同意书 |
数据主体本人 |
本人数据 |
自愿配合、双方约定的场景 |
关键区别在于"权力的来源"：
- 搜查令的效力来自公权力，可以强制执行；
- 委托书的效力来自民事关系，只能在你委托范围内的财产上进行；
- 授权书的效力来自本人同意，范围最窄。
⚠️ 实务要点：这三种文书不能互相替代，也不能"借用"。
例如，你有委托方的委托书，但委托方不是那台设备的所有人——此时你无权处理该设备。
技术手段再强，也不能跨越权限边界。
2.3 未经授权取证的刑事风险
这是本篇最需要严肃对待的部分。
未经授权访问他人计算机信息系统，在我国刑法体系中可能被评价为犯罪行为，典型的评价路径涉及"非法侵入计算机信息系统"类犯罪。判断的核心要素包括：
| 要素 |
说明 |
| 客体 |
是否属于"计算机信息系统"（超出单台生活设备的范围可能不同） |
| 主观状态 |
是否明知无权而访问 |
| 后果/情节 |
是否造成数据丢失、影响系统运行、获取敏感信息 |
| 行为方式 |
是否采用技术手段绕过保护措施 |
特别值得警惕的三种行为：
1. 用他人账号登录对方系统 —— 即使对方口头说过"你帮我看看"，
用他人凭证登录仍可能被认定为非法访问
2. 绕过密码/锁屏/加密 —— 破解行为本身可能构成"非法获取"，
且与后续取证合法性无关地单独评价
3. 超出授权范围"顺手多看" —— 授权查 A 设备却打开了 B 设备，
这部分证据很可能被整体排除
专业机构与个人的区别：受委托开展工作的专业人员，其行为通常被评价为"履行职务"，但这个前提是委托关系真实、授权范围明确、行为在范围内。
这三个前提任一不成立，风险就回到个人身上。
2.4 合法边界内的技术手段
在合法边界内，取证人员通常可以做的：
| 手段 |
条件 |
| 对已交付的检材做物理/逻辑镜像 |
有有效授权或扣押手续 |
| 对已交付的数据做解析、解密 |
目的是分析检材本身，且有授权 |
| 破解检材内部的加密（BitLocker/EFS/数据库密码） |
目的是打开已合法获取的数据 |
| 对已合法获取的凭证做密码恢复 |
属于打开合法获取的检材 |
| 关键字搜索、数据结构解析、时间线重建 |
纯分析行为，风险最低 |
绝对不能做的（无论技术多容易）：
| 禁止行为 |
原因 |
| 未经授权访问他人账号/系统 |
可能构成犯罪 |
| 联网"试探"不属于自己的系统 |
属未授权访问 |
| 在非交付的设备上安装取证工具 |
破坏证据 + 侵权 |
| 向目标系统植入后门或留后门 |
明确违法 |
| 把查获的他人数据用于案件外的用途 |
侵犯隐私与个人信息权益 |
| 公开披露案件中的个人信息 |
违反个人信息保护要求 |
2.5 个人信息保护要求
取证过程中接触的几乎全部数据都可能构成个人信息。
实务中必须把握几点：
1. 最小必要原则 —— 只提取与案件相关的，不要"能拿就全拿"
2. 目的限定 —— 委托目的是"查 A 事项"，就不要扩大为"了解这个人所有情况"
3. 妥善保管 —— 取证副本同样受保护，不能随意复制、外传、放云端
4. 按约定处理 —— 委托关系结束时按约定销毁或返还，并有记录
5. 报告脱敏 —— 报告中出现身份证号、手机号、住址等，通常应做必要处理
特别提醒：把查获数据上传到在线的自动化分析服务、云端转换工具，等同于向第三方披露。取证中这属于常见但严重违规的操作。
2.6 证据能力与合法性
即使技术工作完全正确，证据能否被采信还取决于程序合法性。实务中需要自查的点：
| 检查项 |
说明 |
| 取得手段是否合法 |
手续是否完备、范围是否匹配 |
| 保管过程是否连续 |
有无断点（见第 07 篇） |
| 鉴定过程是否可复现 |
工具、版本、参数是否留痕 |
| 结论是否有证据支撑 |
不接受无验证的定性 |
| 局限性是否如实说明 |
不能只说成功、不说失败 |
| 是否尊重合法权利 |
如隐私权、辩护权、异议权 |
核心理解：技术正确与程序合法是两条独立的必要条件，缺一不可。区别不在「哪个更重要」，而在可补救性——技术失误可以重做，程序违法的后果无法通过技术手段补救。
这正是本文开头的核心判断。
三、操作步骤
步骤 1：受理前的授权审查（最关键的一步）
审查清单（逐项打勾，缺一不可）
□ 书面文书（有书面的优于口头的）
□ 主体信息：出具人姓名、身份、职务、与检材的关系
□ 主体资格：是否有权代表检材所有者授权
□ 检材清单：型号 + 序列号 + 容量，逐台列明
□ 授权范围：允许做什么（镜像/分析/解密/提取账号数据）
□ 禁止事项：明确不做什么
□ 保密义务：数据如何保管、报告如何处理
□ 期限与销毁：何时返还或销毁
□ 签章：出具人签名/盖章，日期
步骤 2：把授权范围转化为操作边界
这一步是很多事故的根源——授权书写得含糊，执行时就得自己定规则。
授权书：查该公司的服务器
✓ 可以：物理镜像、解析、提取日志、分析 WebShell
✗ 不可以：访问其他客户的目录、查员工个人电脑、导出无关业务数据
授权书：查手机中的某 App 数据
✓ 可以：整镜像、提取该 App 沙盒、解析其数据库
✗ 不可以：查看其他 App 隐私内容、读取与案件无关的通讯录
💡 实践建议：**在动手前把边界写成一页纸，双方确认。**这既是保护自己，也是保护证据的采信。
步骤 3：过程记录
每个关键节点记录：依据的授权文书编号与页码 / 执行的具体操作 /
操作人、复核人 / 时间、地点 / 产出物及其哈希
关键节点：□ 检材接收（核对手续、封条、哈希） □ 开始采集（依据哪份文书）
□ 每次分析（做了什么、为什么） □ 数据提取范围（提取与排除项）
□ 报告出具（结论与局限）
