Алгоритм документування: від сигналу до протоколу
Заняття 4 дало карту повноважень. Це заняття — про послідовність: дев'ять кроків, кожен з яких має власний вихідний документ, і жоден із яких не можна пропустити, не створивши в суді запитання без відповіді.
Після цього заняття ви зможете: побудувати повний ланцюг документування від отримання сигналу до долучення доказу; пояснити, навіщо потрібне хешування і в який саме момент воно виконується; скласти протокол огляду цифрового носія так, щоб він містив факти, а не висновки; знайти в чужому протоколі три типові дефекти, які руйнують доказ.
Принцип, з якого все випливає
Цифровий доказ відрізняється від матеріального однією властивістю: він змінюється від самого факту звернення до нього. Відкриття файлу змінює відмітку останнього доступу. Підключення носія до робочої станції може змінити службові структури. Запуск системи змінює журнали. Ніж, вилучений на місці події, лежить у пакеті незмінним; жорсткий диск — ні.
З цього випливає весь алгоритм. Його мета — не «зафіксувати знайдене», а довести суду, що між моментом вилучення і моментом дослідження доказ не змінився. Все інше — техніка.
Друга властивість: цифровий доказ легко скопіювати без втрати якості. Це не проблема, а інструмент — саме тому основна робота ведеться з копією, а оригінал зберігається недоторканим як точка звірки.
Дев'ять кроків
| Крок | Зміст | Вихідний документ | Що ламається при пропуску |
|---|---|---|---|
| 1 | Отримання інформації: звернення, повідомлення NCMEC, матеріали оперативного підрозділу, повідомлення платформи | Реєстрація, рапорт, внесення до ЄРДР | Невідомо походження відомостей; захист ставить під сумнів увесь ланцюг |
| 2 | Первинна перевірка: чи є ознаки складу, чи достатньо для процесуальних дій, яка кваліфікація попередня | Рапорт, постанова про внесення відомостей | Кваліфікація обрана навмання; втрачено доступ до НСРД або завищено обвинувачення |
| 3 | Забезпечення збереження даних: звернення про збереження до володільця, планування невідкладних дій | Лист про збереження, клопотання | Дані видалено за час підготовки клопотання; строки зберігання у провайдерів обмежені |
| 4 | Отримання доступу в належній формі: ухвала, обшук, тимчасовий доступ | Клопотання, ухвала слідчого судді | Форма не відповідає нормі; доказ недопустимий незалежно від змісту |
| 5 | Фіксація стану на місці: що працює, що відкрито, який час на пристрої, хто присутній | Протокол обшуку або огляду | Неможливо довести, що пристрій не змінювався до вилучення |
| 6 | Створення копії із залученням спеціаліста і обчислення контрольних сум | Протокол, у якому зафіксовано хеш оригіналу і копії | Немає точки звірки; будь-яке подальше дослідження оспорюване |
| 7 | Пакування, опечатування, передача на зберігання | Протокол, відмітки про рух носія | Розрив у ланцюгу володіння; невідомо, у кого носій був у проміжку |
| 8 | Огляд копії: систематичний, із фіксацією фактів, без правових висновків | Протокол огляду з додатками | Протокол містить оцінки замість опису; дефект, розібраний на занятті 1 |
| 9 | Експертиза, оформлення і долучення доказів | Постанова про призначення, висновок, постанова про визнання речовим доказом | Матеріал зібрано, але процесуально не оформлено; у суді його немає |
Хешування: навіщо і коли
Контрольна сума — це коротке значення, обчислене з усього вмісту носія або файлу. Змінити хоча б один біт означає отримати інше значення. Тому хеш виконує роль печатки: збіг хешів оригіналу і копії доводить ідентичність, збіг хешів на початку і в кінці дослідження доводить незмінність.
- До створення копії — з оригіналу. Це базове значення, з яким звірятиметься все подальше.
- Одразу після створення копії — з копії. Збіг доводить, що копія повна й точна.
- Перед початком і після завершення дослідження — з копії. Збіг доводить, що дослідження не змінило матеріал.
Усі три значення заносяться в протокол дослівно, разом із зазначенням алгоритму. Формулювання «зроблено хешування» без самих значень не має жодного сенсу: перевірити нічого.
Окремо про хеші файлів у справах цієї категорії: вони мають другу функцію, специфічну саме тут. Хеш кожного виявленого файлу дозволяє зіставити його з базами відомих матеріалів через національні й міжнародні канали — і встановити, чи є цей матеріал уже відомим, чи він новий. Новий матеріал означає, що дитина, ймовірно, зазнає насильства просто зараз і ще не ідентифікована. Це змінює пріоритет усього провадження. Детально — на занятті 7.
Структура протоколу огляду носія
Протокол — це документ, який читатиме суддя, що не бачив ані носія, ані вашого екрана. Він має бути самодостатнім: із нього має бути зрозуміло, що саме ви бачили і як до цього дійшли.
1. Вступна частина: хто, коли, на якій підставі
Дата, час початку і закінчення — окремо. Місце проведення. Посада і прізвище слідчого. Дані спеціаліста: посада, місце роботи, освіта, стаж — компетенція має бути видна з протоколу. Присутні особи, їх процесуальний статус, роз'яснення прав. Підстава: ухвала слідчого судді з реквізитами або норма, що дозволяє дію без ухвали. Технічні засоби фіксації із зазначенням моделей.
2. Об'єкт огляду: індивідуалізація
Не «жорсткий диск», а: тип, виробник, модель, серійний номер, обсяг, зовнішній стан, наявність пошкоджень, стан пломби чи упаковки з посиланням на протокол вилучення. Якщо оглядається копія — зазначається, з якого носія, за яким протоколом і ким вона створена. Контрольна сума з зазначенням алгоритму — тут, до початку огляду.
3. Умови й методика огляду
Яким обладнанням і програмними засобами проводився огляд, із зазначенням версій. Чи застосовувалися засоби блокування запису. Чи проводився огляд на копії — і якщо ні, то чому. Системний час робочої станції в зіставленні з фактичним. Ця частина відповідає на питання «чи могли ви змінити доказ» — і відповідає на нього до того, як його поставить захист.
4. Описова частина: факти, а не оцінки
Структура каталогів. Кількість файлів за типами. Для кожного значущого файлу: повний шлях, ім'я, розмір, розширення, дати створення, зміни й останнього доступу, контрольна сума. Опис вмісту — нейтральний, без правових і оціночних кваліфікацій: не «дитяча порнографія», а опис того, що зображено, із зазначенням зовнішніх ознак. Виявлені облікові записи, дані про синхронізацію, історія підключень зовнішніх носіїв, сліди видалення.
Часові відмітки — не формальність. Саме вони дають розподіл у часі, від якого залежить розмежування продовжуваного злочину і повторності (заняття 3).
5. Заключна частина
Що вилучено або скопійовано, у якій кількості, на який носій. Контрольна сума після завершення огляду — і констатація її збігу з початковою. Спосіб пакування й опечатування, номер печатки. Зауваження учасників — дослівно, включно з незручними. Підписи всіх присутніх на кожному аркуші. Перелік додатків: фототаблиці, роздруківки, носії.
Перший — висновок замість опису. «Виявлено файли порнографічного змісту за участю малолітніх». Це кваліфікація, зроблена слідчим без експертизи і без встановлення віку. Коректно: опис зображеного плюс зазначення, що для визначення характеру матеріалу призначено експертизу.
Другий — відсутність часових відміток. «Виявлено 3 200 файлів у каталозі». Скільки епізодів? Коли з'явилися? Продовжуваний злочин чи повторність? Без відміток відповіді немає, і кваліфікацію не обґрунтувати.
Третій — мовчання про підстави. Протокол не пояснює, чому носій було вилучено попри заборону ст. 168, чому огляд проводився на оригіналі, чому спеціаліст був відсутній. Кожне з цих мовчань перетворюється в суді на питання, на яке доведеться відповідати з пам'яті через два роки.
Кейс: механізм, який став стандартом
Експертне копіювання з наступним оглядом створених носіїв
- 2022 Законом №2137-IX закріплено вимогу: копіювання інформації з інформаційних, електронних комунікаційних, комп'ютерних систем здійснюється із залученням спеціаліста.
- 2026 У фаховому середовищі описано усталений механізм: експерти отримують цифрові копії інформації з телефону або комп'ютера, після чого слідчі оглядають створені експертом носії. Зазначається, що саме таким способом у багатьох справах виявляється листування в месенджерах, і що механізм дозволяє працювати з великими обсягами та забезпечує якіснішу фіксацію.
Чому кейс показовий. Він показує, що правильний алгоритм не є бюрократичною надбудовою. Кожен його елемент закриває конкретний довід: спеціаліст — довід про некомпетентність; хеш — довід про підміну; огляд копії — довід про зміну оригіналу; часові відмітки — довід про недоведеність кількості епізодів. Слідчий, який виконує алгоритм, не «оформлює папери», а заздалегідь відповідає на майбутні питання суду.
- Заведіть для кожного носія окремий журнал руху: дата, час, хто прийняв, хто передав, для чого, стан пломби. Розрив у ланцюгу — найдешевший спосіб втратити доказ.
- Обчислюйте хеш тричі: з оригіналу до копіювання, з копії після копіювання, з копії до і після дослідження. Заносьте значення й алгоритм у протокол дослівно.
- Ніколи не досліджуйте оригінал. Якщо це технічно неминуче — зафіксуйте в протоколі, чому, і які засоби блокування запису застосовано.
- В описовій частині протоколу для кожного значущого файлу фіксуйте шлях, ім'я, розмір, три дати і хеш. Без трьох дат кваліфікація за повторністю не обґрунтовується.
- Перечитайте протокол, викресливши всі слова, що є висновком: «порнографічний», «малолітній», «очевидно», «явно». Замініть їх описом зовнішніх ознак і посиланням на призначену експертизу.
- Наприкінці поставте питання: чи зрозуміє суддя з цього тексту, що саме бачив слідчий і чому доказ не міг змінитися. Якщо ні — доопрацюйте до підписання.