劳动争议发生后，很多人做的第一件事是翻聊天记录。找到一句对自己有利的话，截屏，打印，再把它放进证据目录。
等到对方否认账号、质疑截图经过剪裁，或者要求查看完整对话时，问题才真正出现。截图里没有账号资料，没有前后语境，也找不到原手机。邮件只剩一张打印件，附件和完整邮件头已经丢失。电脑文件虽然还在，却没人说得清是谁创建、修改或复制的。
劳动仲裁中，公司聊天记录、电子邮件和电脑文件都可以作为电子证据提交。能否被采信以及证明力大小，要看内容与争议是否有关，取得方式是否合法，账号和实际使用人能否确认，数据是否完整，形成、保存和提取过程能否复核。截图并不会因为是截图就失去证据资格，但它能够提供的核验信息通常少于原手机、原电脑、邮件源文件和系统后台记录。
能提交和能证明，是两个不同的问题
《最高人民法院关于民事诉讼证据的若干规定》直接规范民事诉讼证据。劳动仲裁与民事诉讼属于不同程序，劳动争议进入诉讼后，电子材料仍要接受民事证据规则审查，这套规则也为企业保存和核验电子材料提供了清楚的参照。
该规定第十四条列举的电子数据范围很广。手机短信、电子邮件、即时通信、通讯群组、用户注册、身份认证、电子交易、登录记录，以及文档、图片、音频、视频和计算机程序，都可以属于电子数据。
放到劳动争议里，微信和企业微信聊天、企业邮箱、考勤、门禁、OA审批、绩效系统、工单、办公电脑文件、云盘、代码仓库和账号登录记录，都可能成为证据材料。
材料能够提交，只解决它能否进入审查。它最后能证明什么，还要看真实性、合法性、关联性和其他证据能否相互印证。一句聊天可以说明双方谈过某件事，未必能单独证明谈话内容已经履行。一次账号登录可以说明该账号在某个时间出现，未必能单独锁定实际操作者。
一张截图为什么容易受到质疑
民事诉讼证据规定第十五条要求当事人以电子数据作为证据时提供原件。电子数据的制作者制作的与原件一致的副本，或者直接来源于电子数据的打印件或其他可以显示、识别的输出介质，视为电子数据的原件。
聊天截图、邮件打印件和系统导出表格并没有被排除。问题在于，一张截断的聊天图片可能看不到账号、对话对象、上下文和生成时间。转发后的邮件可能缺少完整邮件头和原始附件。电脑文件打印出来以后，也无法单独呈现创建、修改、访问路径和版本变化。
较稳妥的做法是保留原手机、原电脑或邮箱里的原始记录，同时导出完整对话、邮件源文件、附件和系统后台数据。截图应尽量包含账号、时间、对话连续性和必要的操作路径。内容较多时，可以制作索引，把每项材料与需要证明的事实对应起来。
民事诉讼证据规定第九十三条还列出了电子数据真实性审查的多项因素，包括系统软硬件环境是否完整、可靠，数据是否被完整保存、传输和提取，相关方法是否可靠，保存、传输、提取数据的主体是否适当，以及数据是否在正常往来活动中形成和存储。
这些因素放在一起，指向一个很朴素的判断。别人能不能沿着你的记录，重新找到并核对这份数据。
账号属于谁，和当时是谁操作，仍有距离
聊天记录首先要证明账号归属。昵称和头像可以修改，实名认证、手机号、企业通讯录、历史邮件、工作群成员和登录设备可以补充账号身份。
账号确认以后，还要判断相关时间内由谁实际使用。公司账号可能多人共用，办公电脑也可能由同事临时操作。系统用户、登录时间、IP地址、设备标识、门禁、监控和通信内容都可以用于核对。
电脑文件也有类似问题。文件的修改时间能够说明文件系统记录的时间状态，无法单独证明由谁修改。文件路径、登录用户、应用记录、快捷方式、外接设备、门禁和监控可以逐步缩小范围。
企业收集证据时，常常只保存对自己有利的片段。这样做会削弱材料的可信度。完整保存相关时间段的对话、邮件链和附件，再标记其中与争议有关的部分，更方便对方核验，也更方便仲裁机构审查。
一宗核心代码外发事件怎样把几类记录连起来
2024年，某企业发现一名研发员工可能在离职前使用办公电脑上的微信外发核心代码。企业内部监控记录了员工登录和操作，员工否认发送文件。企业冻结办公设备后，委托奇安信洞鉴开展电子数据恢复和分析。
技术人员先记录笔记本电脑和硬盘信息，制作镜像，并通过SHA256值核验镜像与原始数据的一致性。后续检索围绕一个指定微信账号和三个敏感文件展开。
分析发现了两条已经删除的相关文件夹记录、41条资源管理器操作记录，以及敏感文件的创建、修改、访问和部分快捷方式痕迹。系统用户记录显示，关键时间内只有一个用户登录，登录时间也能与企业监控记录对应。
在这个项目中，监控说明关键时段有人使用电脑，系统用户帮助核对使用环境，硬盘痕迹反映文件操作，微信相关记录提供应用层线索，三个敏感文件则让调查对象具体下来。任何一项材料单独拿出来都有解释空间，多项记录落在同一时间段，结论才有了更充分的核验条件。
两条文件夹记录、41条操作记录和三个文件只属于本项目。最终是否采信以及能够证明哪些劳动争议事实，仍由仲裁机构结合双方质证和其他材料判断。
哪些争议值得进一步做电子数据鉴定
普通聊天和邮件能够在原设备上完整展示，双方对账号及内容都没有争议时，未必需要鉴定。
一方否认账号、设备或实际操作者，聊天、邮件和文件已经删除，双方对文件的创建、修改和删除时间有争议，或者需要确认某个文件是否通过微信、邮箱、U盘和网盘外发时，可以评估电子数据司法鉴定或专项技术分析。
鉴定事项应当落到技术能够回答的问题。某个存储介质中是否存在指定文件，某份数据的哈希值是什么，指定账号是否留有相关记录，文件在什么位置发现。在检材和数据条件允许时，这些问题可以通过检验形成可复核的结论。如果数据已经被覆盖、设备加密、日志缺失或者原始载体无法取得，也可能只能得出未检出相关数据或现有条件下无法判断的结果。
员工是否严重违纪，解除劳动合同是否合法，某项证据是否应被采信，属于仲裁机构或法院结合案件材料作出的判断。技术鉴定不能替代这一步。
用人单位掌握的数据，应当及时提供
《中华人民共和国劳动争议调解仲裁法》第六条规定，当事人对自己提出的主张有责任提供证据。与争议事项有关的证据由用人单位掌握管理的，用人单位应当提供，不提供的，应当承担不利后果。
《最高人民法院关于审理劳动争议案件适用法律问题的解释（一）》第四十四条进一步规定，因用人单位作出的开除、除名、辞退、解除劳动合同、减少劳动报酬、计算劳动者工作年限等决定发生劳动争议的，由用人单位负举证责任。
考勤后台、企业邮箱、OA审批、绩效系统、工单和公司电脑通常由单位控制。企业若准备以员工违纪、泄密或拒不履职为由采取劳动管理措施，应及时保全后台数据，同时保存劳动合同、规章制度、培训签收、权限申请和岗位职责等材料。
电子记录可以说明某项操作发生过，员工是否知晓相关制度、行为是否达到纪律处分标准，还要由这些管理材料补足。员工主张加班、工资差额或违法解除时，也应尽量提交自己能够掌握的聊天、邮件、工资记录和工作成果。
企业调查还要控制范围。《中华人民共和国个人信息保护法》要求个人信息处理目的明确、合理，并采取对个人权益影响最小的方式。公司设备中出现私人内容，并不意味着调查范围可以无限扩大。
回到最初那几张聊天截图。它们可以作为证据提交，却不应成为调查的终点。保留原始载体、完整上下文、账号身份和提取过程，再让邮件、系统记录、电脑痕迹和管理制度相互印证，电子证据才能把争议中的事实讲清楚。
参考资料
- 中华人民共和国劳动争议调解仲裁法
- 最高人民法院关于审理劳动争议案件适用法律问题的解释（一）
- 最高人民法院民事诉讼证据规定修改决定
- 中华人民共和国个人信息保护法
本文案例与技术材料由奇安信洞鉴整理。奇安信集团旗下司法鉴定机构包括北京网神洞鉴科技有限公司司法鉴定所、上海盘石洞鉴科技有限公司司法鉴定所和陕西西安洞鉴云侦声像资料司法鉴定所。三所均已通过CMA资质认定，上海所为上海首家通过CNAS实验室认可的民营计算机类司法鉴定机构。具体鉴定范围以各机构司法鉴定许可证为准。
热门跟贴