Экспертиза обстоятельств создания и использования файлов и баз данных

Экспертиза обстоятельств создания и использования файлов и баз данных устанавливает, когда, в какой программе, на каком устройстве и под какой учетной записью создан электронный документ или запись базы данных, вносились ли в них изменения, кто и как их открывал, копировал, передавал и удалял.

Такой вопрос возникает, когда спор решает не содержание документа, а его история. Договор в электронном виде датирован мартом, а оппонент утверждает, что файл изготовлен в октябре, накануне суда. Выписка из учетной системы показывает оплату, которой, по мнению другой стороны, не было. Бывший сотрудник вынес клиентскую базу, но заявляет, что никогда ее не открывал. Прочитать документ может любой участник процесса, установить его происхождение без специальных знаний нельзя.

АНО «СЗЭПЦ» проводит экспертизы с 1990 года и входит в число первых негосударственных экспертных организаций России, заключения АНО принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах. Ниже описано, какие вопросы решает экспертиза файла и экспертиза базы данных, как исследуются документы в формате пдф и структурированные файлы, что означает проверка на оригинальность, как подготовить ходатайство и объекты, какие ошибки обесценивают исследование. Отдельно указаны процедуры, которые к судебной экспертизе не относятся.

Предмет экспертизы

Предмет исследования составляют фактические данные о жизненном цикле цифрового объекта. У любого файла есть история: он создается в определенной программе, сохраняется на носитель, открывается, редактируется, копируется, пересылается, архивируется, удаляется. Каждое из этих действий оставляет следы — в самом файле, в файловой системе, в журналах операционной системы, в служебных таблицах приложения, в резервных копиях. Эксперт собирает эти следы и восстанавливает последовательность событий.

Для базы данных история устроена сложнее. Запись в таблице не имеет собственной «даты создания» в бытовом понимании, но система управления базой данных ведет журналы транзакций, сохраняет версии строк, фиксирует автора изменения в служебных полях, если так настроено приложение. Экспертиза базы данных отвечает на вопросы о том, когда появилась запись, менялась ли она после формирования отчета, удалялись ли строки, совпадает ли содержимое базы с документами, которые из нее распечатаны.

В классификации компьютерно-технических экспертиз это исследование относится к информационному виду: объект исследования здесь информация, а не устройство и не программа. На практике без изучения носителя и программ, которыми создан файл, здесь не обойтись, поэтому эксперт по этой специальности владеет методами всех смежных направлений. Общий обзор рода экспертизы приведен на странице о компьютерно-технической экспертизе.

Что устанавливает экспертиза файла

Экспертиза файла начинается с вопроса о его подлинном времени создания. Дата в свойствах файла — самый ненадежный признак: она меняется при копировании, распаковке архива, переносе с одного носителя на другой, а специальные программы позволяют выставить ее произвольно. Эксперт сравнивает не одну дату, а несколько независимых источников и ищет между ними противоречия.

Типовые обстоятельства, которые устанавливает экспертиза файла:

дата и время создания, последнего сохранения и последнего открытия, а также согласованность этих отметок между собой;

программа и ее версия, в которой файл создан и сохранен, — они записываются внутрь файла и не всегда совпадают с заявленными;

сведения об авторе и организации из служебных полей;

число сеансов редактирования и общее время правки, если формат их хранит;

наличие предыдущих версий, фрагментов удаленного текста, скрытых слоев и вложений;

признаки изменения системного времени компьютера, на котором сохранялся файл;

происхождение файла: создан на исследуемом устройстве или получен извне, по почте, через мессенджер, с внешнего носителя.

Один признак сам по себе ничего не доказывает. Вывод строится на совокупности. Если файл договора внутри содержит отметку о версии редактора, выпущенной через полгода после даты договора, это веский довод против заявленной даты, но эксперт обязательно проверит, не пересохранялся ли документ позднее без изменения текста.

Экспертиза файла документов: текстовые файлы, таблицы, презентации

Экспертиза файла документов — самый частый заказ в хозяйственных спорах. Объекты: договоры, дополнительные соглашения, акты, протоколы собраний, приказы, служебные записки, сметы и расчеты в табличных редакторах. Современные офисные форматы устроены как архив из нескольких частей: основной текст, стили, служебные сведения, история исправлений, вставленные изображения. Каждая часть несет собственные временные отметки и идентификаторы.

При экспертизе файла документов эксперт извлекает эту внутреннюю структуру. В ней нередко обнаруживаются сведения, о которых пользователь не подозревает: имя учетной записи автора, наименование организации, на которую зарегистрирован редактор, путь к шаблону на диске другого компьютера, уникальные идентификаторы сеансов правки. По идентификаторам можно установить, что два «разных» документа произошли от одного исходного файла, или, наоборот, что документ, выданный за черновик, создан с нуля.

Отдельно проверяется режим записи исправлений. Если в документе сохранились удаленные фрагменты, эксперт восстановит их и укажет, кем и когда они удалены. Так выявляются ситуации, когда в договор после подписания электронной версии внесли изменения в сумму или срок, а распечатку подложили в дело.

Табличные файлы исследуются с учетом формул и связей. Итоговая сумма в ячейке может быть результатом формулы, ссылающейся на скрытый лист, и эксперт восстановит расчет. При споре о смете или расчете задолженности экспертиза файла документов показывает, какие исходные данные подставлялись и когда менялись. Экономическую оценку расчета дает уже эксперт-экономист.

Экспертиза pdf файла

Экспертиза pdf файла требует отдельной методики, потому что формат изначально создавался для неизменного отображения документа, а не для редактирования. Многие считают пдф «защищенным» от правки. Это не так: формат допускает добавление изменений поверх исходного содержимого, и такие изменения сохраняются в том же файле в виде последовательных обновлений. Эксперт извлекает каждую редакцию и сравнивает их.

Основные вопросы, которые решает экспертиза pdf файла: каким способом создан файл — преобразованием из текстового редактора, печатью в виртуальный принтер, сканированием бумажного документа; вносились ли изменения после первичного сохранения и в чем они состоят; совпадают ли сведения о программе-создателе и дате внутри файла с заявленными обстоятельствами; нет ли признаков монтажа — вставки изображения подписи или печати, замены страницы, наложения текстового слоя на отсканированный образ.

Отсканированный документ в формате пдф содержит изображение, а не текст. Если поверх изображения распознан текстовый слой, эксперт сверяет их: расхождения между картинкой и распознанным текстом указывают на правку одного из слоев. Если подпись на скане выглядит четче окружающего текста, имеет иную цветовую палитру или однородный фон, это признаки вставки готового изображения. Окончательный вывод о подписи как рукописном объекте делает почерковед по оригиналу на бумаге, а экспертиза pdf файла устанавливает способ формирования электронного образа.

Экспертиза файла пдф с электронной подписью

Экспертиза файла пдф, подписанного усиленной электронной подписью, отвечает на вопрос, изменялся ли документ после подписания. Подпись вычисляется от содержимого файла на момент подписания, поэтому любое последующее изменение делает ее недействительной либо отражается как изменение после подписи. Эксперт проверяет структуру подписанного файла, сведения о сертификате, время подписания, наличие отметки времени от доверенной службы.

По статье 6 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» документ, подписанный квалифицированной электронной подписью, равнозначен документу на бумаге с собственноручной подписью. Статья 11 того же закона перечисляет условия признания квалифицированной подписи действительной, в том числе действительность сертификата на момент подписания и отсутствие изменений после подписания. Экспертиза файла пдф с подписью проверяет именно эти обстоятельства. Проверку самого сертификата выполняет также удостоверяющий центр, но в споре о том, что и когда подписано, суду нужен развернутый вывод эксперта.

Встречается и обратная ситуация: сторона представляет пдф, в котором визуально изображен штамп «документ подписан электронной подписью», а самой подписи в файле нет. Это обычная картинка. Экспертиза файла пдф выявляет такую подмену за несколько часов, если оригинальный файл предоставлен.

Структурированные файлы: xml файл для экспертизы

Отдельный класс объектов — структурированные файлы, в которых данные записаны по заранее утвержденной схеме: универсальные передаточные документы и счета-фактуры в электронном виде, файлы налоговой и бухгалтерской отчетности, выгрузки из банковских систем, файлы обмена между учетными программами, электронные доверенности. Их читает программа, а не человек, и на экране пользователь видит только визуализацию.

Когда xml файл для экспертизы передается в суд, важно сохранить его в исходном виде, а не в распечатке визуализации. Экспертиза электронного файла такого типа начинается с проверки соответствия утвержденной схеме: отклонение от схемы означает, что файл сформирован не той программой, которая указана в нем, или отредактирован вручную. Затем эксперт сопоставляет идентификаторы файла, даты формирования, сведения об отправителе и получателе с данными оператора электронного документооборота и с журналами учетной системы.

Практический пример — спор о поставке, где покупатель отрицает получение товара, а продавец ссылается на подписанный электронный передаточный документ. Эксперт устанавливает, прошел ли документ через оператора документооборота, какими подписями подписан, совпадает ли его содержание с записями в учетной системе продавца. Если xml файл для экспертизы представлен без квитанций оператора, вывод будет ограничен содержимым самого файла, поэтому квитанции нужно истребовать заранее.

Xml файл для экспертизы проектной документации: другая процедура

Когда ищут, какой файл нужен для экспертизы, часто имеют в виду требования к пояснительной записке проектной документации. Это другая процедура. С 2022–2023 годов раздел «Пояснительная записка» представляется на государственную и негосударственную экспертизу проектной документации в машиночитаемом формате по схемам, которые Министерство строительства и жилищно-коммунального хозяйства Российской Федерации размещает в порядке, установленном приказом от 12 мая 2017 года № 783/пр. Экспертиза проектной документации проводится по статье 49 Градостроительного кодекса Российской Федерации органами государственной экспертизы и аккредитованными организациями.

Если же спор возник вокруг самого файла — например, о том, когда он сформирован и кто вносил в него изменения до отправки на экспертизу, — это обычный объект исследования файла и решается по методике, описанной на этой странице.

Экспертиза базы данных

Экспертиза базы данных нужна, когда спорные сведения хранятся не в отдельном документе, а в записях информационной системы: учетной программы, системы управления взаимоотношениями с клиентами, интернет-магазина, складской системы, банковского программного комплекса, системы электронного документооборота. Суд получает распечатку отчета, а оппонент утверждает, что отчет сформирован после изменения записей.

Эксперт копирует файлы базы данных или получает ее резервную копию на дату, существенную для спора, разворачивает копию в изолированной среде и исследует ее содержимое на уровне таблиц. Задачи, которые решает экспертиза базы данных:

установить, существовала ли запись на определенную дату, и восстановить ее первоначальное содержание;

выявить изменения, внесенные задним числом, — проведение документа более ранней датой, исправление суммы после закрытия периода, удаление и повторный ввод операции;

определить учетную запись, под которой выполнено изменение, если система это фиксирует;

сопоставить записи базы с выгруженными отчетами и документами на бумаге;

установить, выгружалась ли база целиком или частично, когда и каким способом;

восстановить удаленные строки из журналов транзакций и свободного пространства файлов базы данных.

Результат зависит от настроек системы. Промышленные системы управления базами данных ведут журналы транзакций, и изменение записи оставляет след даже после удаления. Простые файловые базы и таблицы такого журнала не ведут, там эксперт работает с косвенными признаками: порядком идентификаторов, фрагментами в свободных страницах файла, резервными копиями.

Экспертиза базы данных на платформе «1С» имеет особенности, связанные с механизмом проведения документов и регистрами учета, и описана на странице об экспертизе 1С. Для иных учетных систем методика общая.

Экспертиза базы данных при выгрузке клиентской базы

Отдельный сценарий — утечка базы при уходе сотрудника или партнера. Экспертиза базы данных здесь сочетается с исследованием рабочей станции: какие запросы к базе выполнялись с учетной записи сотрудника, формировалась ли массовая выгрузка, сохранялся ли файл выгрузки на диск, подключались ли внешние носители, отправлялись ли файлы на внешнюю почту. Вывод об объеме выгруженных сведений важен для расчета убытков и для доказывания нарушения режима коммерческой тайны по Федеральному закону от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне».

Обстоятельства использования файлов

Вторая половина названия экспертизы — использование — касается не создания файла, а того, что с ним происходило потом. Кто открывал документ, когда, на каком компьютере, куда его копировали и кому пересылали. Эти вопросы решают трудовые и корпоративные споры, дела о разглашении коммерческой тайны, споры об авторстве.

Операционная система фиксирует обращения к файлам в нескольких местах: списки недавно открытых документов, ярлыки, журналы событий, служебные записи о подключении внешних носителей, кэш эскизов изображений, журнал изменений файловой системы. Почтовые программы и мессенджеры хранят сведения о вложениях. Облачные хранилища ведут журнал действий с файлом на стороне сервиса. Эксперт сводит эти сведения в хронологию и указывает, какие события подтверждаются несколькими источниками, а какие одним.

Типичные вопросы об использовании: открывался ли файл на исследуемом компьютере после определенной даты; копировался ли он на внешний носитель и на какой именно, если носитель представлен; отправлялся ли по электронной почте, с какого адреса и кому; синхронизировался ли с облачным хранилищем; удалялся ли, и если да, то когда и можно ли его восстановить.

Документы, которые ведутся в облачных редакторах, устроены иначе. Файла на диске пользователя может не быть вовсе, а история правок хранится у сервиса: кто и когда открывал документ, какие изменения вносил, кому предоставлялся доступ. Эту историю владелец аккаунта выгружает сам или она истребуется судом у сервиса. Эксперт исследует выгрузку, сопоставляет ее с копиями документа у сторон и восстанавливает последовательность редакций. Если доступ к документу имели несколько пользователей, история правок показывает вклад каждой учетной записи.

Важное ограничение: следы использования хранятся не бесконечно. Журналы операционной системы перезаписываются по мере заполнения, списки последних документов ограничены по длине. Чем раньше носитель передан на исследование, тем полнее будет картина.

Экспертиза электронного файла на связь с устройством и автором

Экспертиза электронного файла может ответить, создан ли он на конкретном компьютере или телефоне. Для этого эксперт ищет на устройстве следы файла — исходную версию, временные файлы редактора, записи в журналах — и сравнивает служебные сведения внутри файла с параметрами устройства: имя учетной записи, версия программ, установленные шрифты, региональные настройки, модель камеры для фотографий.

Для изображений и фотографий экспертиза электронного файла извлекает сведения о модели камеры, настройках съемки, дате и, если включена геолокация, координатах. Эти сведения легко отредактировать, поэтому эксперт дополнительно проверяет их согласованность со структурой файла, характерной для конкретной модели камеры, и с файлами, найденными на самом устройстве.

Установить личность человека, который работал с файлом, экспертиза не может. Она устанавливает учетную запись и устройство. Если компьютером пользовались несколько человек, вывод о конкретном лице суд делает по совокупности доказательств.

Как провести экспертизу на оригинальность файлов

Когда заказчик просит провести экспертизу на оригинальность файлов, он обычно имеет в виду одну из трех задач: проверить, не является ли файл измененной копией другого файла; установить, является ли он первичным экземпляром или получен копированием и конвертацией; подтвердить, что файл не менялся с определенного момента. Каждая задача решается своим способом.

Чтобы провести экспертизу на оригинальность файлов в первом смысле, эксперт сравнивает два или несколько файлов побайтно и по внутренней структуре. Совпадение контрольных значений хэш-функции означает полную идентичность. Если значения различаются, эксперт показывает, в чем именно различия: изменен текст, дописана страница, пересохранен файл без изменения содержания. Последний случай часто вводит стороны в заблуждение — разные контрольные суммы при одинаковом тексте еще не свидетельствуют о подделке.

Во втором смысле оригинальность означает первичность. Файл, преобразованный из одного формата в другой, теряет часть служебных сведений и получает новые отметки. Отсканированный и распознанный документ отличается по структуре от созданного в редакторе. Эксперт определяет, какой из представленных экземпляров первичный, и восстанавливает цепочку преобразований.

В третьем смысле речь идет о фиксации: если стороне важно подтвердить, что файл существовал в определенном виде на определенную дату, эксперт вычисляет контрольные значения и описывает файл в заключении. Позднее любой специалист проверит, тот ли это файл. Для доказательства более ранних дат полезны независимые источники: отметка времени от доверенной службы, отправка файла по электронной почте через внешний сервер, депонирование.

Если под оригинальностью имеется в виду уникальность текста, то есть отсутствие заимствований из чужих произведений, это вопрос экспертизы плагиата, которая описана отдельно в разделе об объектах интеллектуальной собственности. Провести экспертизу на оригинальность файлов в техническом смысле и проверить текст на заимствования — разные задачи, и в ходатайстве их не следует смешивать.

Экспертиза электронного файла изображения

Фотографии, сканы и снимки экрана исследуются как файлы с собственной внутренней структурой. Экспертиза электронного файла изображения отвечает на вопросы о способе его получения — снимок камерой, сканирование, снимок экрана, генерация программой, — о внесении изменений, о соответствии заявленной дате и устройству.

Камера записывает в файл модель устройства, параметры съемки, дату, иногда координаты и уникальный номер. Графический редактор при сохранении дописывает свои сведения или удаляет исходные. Повторное сжатие меняет характеристики изображения, и следы такого сжатия заметны при анализе структуры. Если на фотографии изменен фрагмент, в этой области нарушается однородность шума и сжатия.

Снимок экрана с перепиской или банковской операцией — один из самых спорных объектов. Он показывает, что было на экране, но не доказывает, что это было в приложении, а не в графическом редакторе. Экспертиза электронного файла снимка устанавливает, на каком устройстве и когда он сделан, и проверяет признаки правки. Для категорического вывода о содержании переписки нужно исследовать само приложение и его базу данных.

Экспертиза электронной почты и вложений

Письмо в электронной почте содержит служебные заголовки: сведения о серверах, через которые оно прошло, идентификатор сообщения, дату отправки по часам сервера, сведения о подписи домена отправителя. Их не видно в обычном интерфейсе, но они сохраняются и позволяют проверить, было ли письмо отправлено в заявленную дату с заявленного адреса.

Если сторона ссылается на уведомление, направленное по электронной почте, экспертиза устанавливает, существует ли письмо в ящике отправителя и получателя, совпадают ли идентификаторы, прошло ли оно через внешний сервер или было создано локально. Вложение к письму исследуется как самостоятельный файл, и его контрольное значение сравнивается с файлом, представленным в суд. Совпадение подтверждает, что в суд передан тот же документ, который отправлялся.

Письмо, распечатанное из почтового клиента или сохраненное как пдф, теряет служебные заголовки. Поэтому для исследования нужен доступ к ящику либо выгрузка писем в исходном формате с сохранением всех полей.

Заключение специалиста до суда

Не каждый спор требует судебной экспертизы с первого шага. До подачи иска, при подготовке претензии или ответа на нее, в ходе внутренней проверки сторона заказывает внесудебное исследование. Результат оформляется заключением специалиста.

В суде заключение специалиста оценивается как письменное доказательство. Если оппонент его не оспаривает, суд может положить его в основу решения. Если оспаривает, заключение обосновывает ходатайство о назначении судебной экспертизы и подсказывает вопросы. Специалиста можно вызвать в заседание для консультации по статье 188 Гражданского процессуального кодекса или статье 55.1 Арбитражного процессуального кодекса.

Для файлов и баз данных раннее исследование ценно еще и тем, что фиксирует состояние объектов, пока следы не перезаписаны. Эксперт снимает копии, вычисляет контрольные значения и описывает файлы. Если дело дойдет до суда через год, судебный эксперт будет работать с той же копией, а оппонент не сможет заявить, что данные менялись в промежутке.

Разграничение со смежными исследованиями

Экспертиза обстоятельств создания и использования файлов и баз данных пересекается с несколькими родами экспертиз. Правильное разграничение экономит время: суд назначает экспертизу один раз, и ошибка в роде экспертизы стоит нескольких месяцев.

Техническая экспертиза документов исследует бумажный экземпляр: способ печати, последовательность нанесения реквизитов, давность подписи и оттиска печати. Электронный файл и его распечатка — разные объекты. Если спор о том, когда создан файл договора, нужна экспертиза файла. Если о том, когда подписан бумажный экземпляр, — техническая экспертиза документов или экспертиза давности. Нередко назначаются обе, и выводы сопоставляются.

Информационно-компьютерная экспертиза шире по охвату: она включает переписку, историю браузера, сетевые события. Экспертиза файлов и баз данных сосредоточена на происхождении и истории конкретных документов и записей. На уровне методики они совпадают, различие в постановке задачи.

Экспертиза 1С исследует учетную систему целиком: конфигурацию, доработки, настройку, механизм проведения. Если вопрос касается только истории отдельных записей и документов в учетной базе, достаточно экспертизы базы данных. Если спор о том, правильно ли система считает налог или себестоимость, нужна экспертиза 1С вместе с бухгалтерской.

Обнаружение и восстановление удаленных данных — техническая процедура, которая может входить в экспертизу файлов, а может заказываться отдельно, когда задача сводится к поиску и извлечению информации без исследования ее истории. Эта услуга описана на странице об обнаружении данных.

Нотариальный осмотр документа или сайта фиксирует то, что видно на экране, по статьям 102 и 103 Основ законодательства Российской Федерации о нотариате. Метаданные и историю файла нотариус не исследует. Протокол осмотра полезен, когда нужно быстро зафиксировать содержание, но на вопрос о подлинности он не отвечает.

Где применяется заключение АНО «СЗЭПЦ»

АНО «СЗЭПЦ» проводит экспертизу файлов и баз данных в гражданском, арбитражном и административном судопроизводстве, по делам об административных правонарушениях и во внесудебном порядке: для досудебного урегулирования, обоснования претензии, внутренней проверки и подготовки к процессу.

Исследование ведется на объектах, переданных судом или владельцем носителя и учетной записи, с фиксацией их состояния и контрольными значениями копий. Заключение описывает технические факты о файлах и записях: когда, где и какой программой они созданы, изменялись ли, кем и как использовались. Правовую оценку этих фактов дает суд. Если спорный документ существует и в бумажном виде, исследование файла сочетается с технической экспертизой документов в рамках одного дела.

Нормативная база

Порядок производства судебной экспертизы и требования к заключению установлены Федеральным законом от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», статьями 79–87 Гражданского процессуального кодекса Российской Федерации, статьями 82–87 Арбитражного процессуального кодекса Российской Федерации, статьями 77–83 Кодекса административного судопроизводства Российской Федерации. Статья 41 закона № 73-ФЗ распространяет требования к экспертизе на негосударственных экспертов.

Допустимость электронных документов как доказательств основана на части 1 статьи 71 Гражданского процессуального кодекса и части 3 статьи 75 Арбитражного процессуального кодекса, которые прямо относят документы в электронном виде к письменным доказательствам. Постановление Пленума Верховного Суда Российской Федерации от 26 декабря 2017 года № 57 разъясняет порядок представления и оценки таких документов. Заявление о подложности доказательства рассматривается по статье 186 Гражданского процессуального кодекса, о фальсификации — по статье 161 Арбитражного процессуального кодекса.

Материальное право: Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» определяет электронный документ и информационную систему. Федеральный закон от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» — условия равнозначности электронного документа бумажному. Статья 1260 Гражданского кодекса Российской Федерации определяет базу данных как объект авторского права, статьи 1333–1336 — права изготовителя базы данных. Статьи 160 и 434 Гражданского кодекса допускают заключение договора обменом электронными документами.

Методическая основа — стандарты обращения с цифровыми свидетельствами: ГОСТ Р ИСО/МЭК 27037-2014 о порядке их идентификации, сбора и сохранения и ГОСТ Р 34.11-2012 о функции хэширования, которой подтверждается неизменность копий. Для формата пдф применяется международный стандарт ИСО 32000, описывающий его внутреннюю структуру, в том числе механизм последовательных обновлений, на котором основано выявление правок.

Категории дел

Исследование файлов и баз данных востребовано в спорах, где письменное доказательство существует только в электронном виде или его электронная версия расходится с бумажной.

Хозяйственные споры о заключении и условиях договора, когда стороны представили разные редакции файла.

Споры о поставке и выполнении работ, где факт приемки подтверждается электронными передаточными документами.

Корпоративные конфликты: протоколы собраний, изготовленные задним числом, решения, датированные периодом до смены директора, выгрузка документации при уходе участника.

Банкротство: давность договоров, которые конкурсный управляющий оспаривает как подозрительные сделки, восстановление электронной бухгалтерии должника.

Трудовые споры: приказы и уведомления, якобы доведенные до работника по электронной почте, служебные записки, табели в электронном виде, разглашение сведений.

Налоговые споры, где инспекция и налогоплательщик по-разному трактуют время формирования первичных документов.

Споры об авторстве программ, баз данных, текстов и изображений, когда нужно установить, у кого файл появился раньше.

Наследственные и семейные дела: завещательные распоряжения в электронном виде, переписка, фотографии.

Назначение экспертизы в суде

Экспертизу назначает суд по ходатайству стороны. Ходатайство составляется письменно и содержит перечень обстоятельств, для установления которых нужны специальные знания, вопросы эксперту, объекты исследования, предлагаемую экспертную организацию и кандидатуру эксперта, а также сведения о готовности оплатить исследование. К нему прилагается письмо экспертной организации о сроке и стоимости с копиями документов о квалификации экспертов.

Главное условие успешного назначения — точное указание объектов. Экспертиза файла без носителя, на котором он хранится, дает ограниченный результат. Если спор о файле договора, в ходатайстве указывается компьютер или внешний носитель, откуда файл получен, а также почтовый ящик, из которого он отправлялся. Если экспертиза базы данных, указывается сервер или резервная копия и дата, на которую она сделана. Объекты, которые находятся у оппонента или у третьих лиц, истребуются судом по отдельному ходатайству до назначения экспертизы.

Сроки заявления ходатайства имеют значение. В апелляционной инстанции новые доказательства и ходатайство о назначении экспертизы принимаются, только если сторона обоснует невозможность их представления в суде первой инстанции, — это следует из статьи 327.1 Гражданского процессуального кодекса и части 2 статьи 268 Арбитражного процессуального кодекса. Поэтому вопрос о подлинности электронного документа нужно ставить сразу, как только оппонент его представил.

В арбитражном процессе сумма на оплату экспертизы вносится на депозитный счет суда до вынесения определения. В гражданском процессе суд распределяет расходы между сторонами. После назначения материалы передает эксперту суд, сторона с экспертом по существу дела не общается.

Вопросы эксперту

Вопросы должны касаться фактов, относиться к указанным объектам и не содержать готового вывода. Ниже приведены формулировки, которые суды принимают без правки, при условии их адаптации к материалам конкретного дела.

Вопросы о файле документа

Какова дата создания файла, дата его последнего сохранения и дата последнего открытия по данным внутренних служебных сведений файла и файловой системы носителя? Согласуются ли эти сведения между собой?

Имеются ли признаки изменения системного времени компьютера либо корректировки временных отметок файла?

В какой программе и какой ее версии создан и последний раз сохранен файл? Соответствует ли дата выпуска этой версии дате, указанной в документе?

Вносились ли изменения в текст документа после определенной даты? Если да, в чем они состоят?

Является ли файл первичным экземпляром или получен путем копирования, конвертации либо распознавания другого документа?

Вопросы о базе данных

Содержалась ли в базе данных запись о конкретной операции по состоянию на определенную дату? Каково ее первоначальное содержание?

Вносились ли изменения в эту запись после определенной даты? Когда, под какой учетной записью и какие именно?

Имеются ли в базе данных признаки удаления записей за определенный период? Возможно ли их восстановление?

Соответствует ли распечатанный отчет данным, содержащимся в базе на дату его формирования?

Вопросы об использовании файлов

Открывался ли файл на исследуемом компьютере в указанный период?

Копировался ли файл на внешние носители, отправлялся ли по электронной почте или через иные средства передачи данных? Если да, когда и куда?

Имеются ли на носителе удаленные файлы с указанными признаками и возможно ли их восстановление?

Эксперт вправе включить в заключение выводы об обстоятельствах, по которым ему не задавались вопросы, если они имеют значение для дела. Это предусмотрено частью 2 статьи 86 Гражданского процессуального кодекса. Но полагаться на эту норму не стоит: вопрос, которого нет в определении, может остаться без ответа.

Порядок проведения исследования

Исследование строится так, чтобы ни одно действие эксперта не изменило объект. Если это правило нарушено, оппонент получает довод о том, что выводы получены на измененных данных, и суд с ним соглашается.

На первом этапе эксперт принимает объекты, описывает упаковку, серийные номера, состояние носителей и фиксирует вскрытие на фото и видео. Стороны вправе присутствовать при вскрытии, и в спорах о подложности документов это присутствие полезно.

На втором этапе с носителей снимаются точные копии через устройство, блокирующее запись. Для оригинала и копии вычисляются контрольные значения, которые вносятся в заключение. Если исследуется отдельный файл, представленный на флеш-накопителе или диске, вычисляется контрольное значение самого файла. Для базы данных работающей информационной системы эксперт получает резервную копию штатными средствами в присутствии представителей сторон либо исследует копию, изготовленную по определению суда.

На третьем этапе эксперт исследует копии. Извлекает внутреннюю структуру файлов, служебные сведения, предыдущие редакции. Восстанавливает файловую систему, удаленные данные, журналы. Для базы данных разворачивает копию в изолированной среде и анализирует таблицы, журналы транзакций, служебные поля. Сопоставляет временные отметки из независимых источников и составляет хронологию.

На четвертом этапе оформляется заключение. Каждый вывод сопровождается ссылкой на наблюдение: какой файл, какое поле, какое значение. Прикладываются таблицы временных отметок, снимки служебных структур, перечни восстановленных файлов. Объекты упаковываются и возвращаются в суд.

Что можно проверить самостоятельно до обращения к эксперту

Сторона может провести предварительную оценку, не рискуя испортить доказательство, если соблюдает одно правило: работать только с копией. Файл копируется на отдельный носитель, оригинал больше не открывается.

На копии полезно посмотреть свойства документа в редакторе: автора, организацию, даты, число редакций. Если в файле договора, датированного прошлым годом, автором указан сотрудник, которого тогда в компании не было, это повод заказать экспертизу. Для пдф можно открыть сведения о документе и посмотреть программу-создатель и дату. Для отсканированного документа — проверить, одинаково ли выглядят все страницы или одна отличается разрешением и цветом.

Самостоятельная проверка не заменяет экспертизу и в суде доказательством не станет. Ее цель — понять, есть ли признаки, ради которых стоит тратить время и деньги. Если признаки есть, дальше работает эксперт с оригиналом.

Чего делать нельзя: открывать и пересохранять оригинальный файл, переименовывать его, пересылать самому себе для удобства, запускать программы очистки и оптимизации на компьютере, где он хранился, переустанавливать систему. Каждое из этих действий уничтожает часть следов.

Структура заключения

Заключение оформляется по статье 25 Федерального закона № 73-ФЗ и статье 86 Гражданского процессуального кодекса либо статье 86 Арбитражного процессуального кодекса. Вводная часть содержит основание производства экспертизы, сведения об эксперте с образованием, специальностью и стажем, подписку о предупреждении об ответственности по статье 307 Уголовного кодекса Российской Федерации, перечень объектов и вопросов.

Исследовательская часть описывает состояние объектов при поступлении, способ копирования, контрольные значения, примененные программные средства с указанием версий, ход исследования по каждому вопросу. В выводах каждый вопрос получает отдельный ответ. Вывод может быть категорическим, вероятным или выводом о невозможности решения вопроса с указанием причины.

Приложения содержат таблицы временных отметок, извлеченные служебные сведения, сравнительные таблицы редакций, выдержки из журналов транзакций, перечни восстановленных файлов. Часть приложений передается на носителе. Без приложений заключение нельзя проверить, и рецензент оппонента укажет на это первым.

Что передать для исследования

Для предварительного анализа достаточно описания спора и копий файлов. Для экспертизы нужны оригинальные объекты в том виде, в каком они были на момент спора:

носитель, на котором хранится файл, — компьютер, ноутбук, внешний накопитель, флеш-накопитель, а не только сам файл на новом диске;

если файл получен по электронной почте, доступ к почтовому ящику или выгрузка письма целиком, со служебными заголовками;

для базы данных — резервная копия на дату, существенная для спора, и текущая база, если нужно выявить изменения между ними, а также сведения о пользователях системы и настройках журналирования;

для электронного передаточного документа — сам файл, файлы подписей, квитанции оператора электронного документооборота;

все имеющиеся экземпляры спорного документа — электронные и бумажные, чтобы эксперт определил первичный;

опись передаваемых объектов с серийными номерами.

Если объекты находятся у оппонента, их истребует суд. Добровольная передача оппонентом «копии файла» по почте обычно исследованию не помогает: при пересылке теряется часть служебных сведений.

Электронные документы в налоговых и бухгалтерских спорах

В налоговых проверках и спорах о вычетах вопрос о времени формирования первичных документов стоит остро. Инспекция указывает, что счета-фактуры и акты оформлены после окончания периода, налогоплательщик настаивает на своевременном оформлении. Если документооборот велся в электронном виде, ответ содержится в файлах и в квитанциях оператора, а при бумажном документообороте — в базе учетной системы, из которой документы распечатывались.

Эксперт сопоставляет дату документа с датой создания записи в учетной базе, с датой формирования файла выгрузки, с журналом обмена с контрагентом. Расхождение в несколько дней объяснимо порядком работы бухгалтерии. Документы целого квартала, созданные в базе в один день через полгода, — признак восстановления учета задним числом, и заключение это покажет. Экономическую оценку последствий дает эксперт-экономист, поэтому в налоговых спорах экспертиза базы данных часто назначается как комплексная вместе с бухгалтерской.

Как оценить готовое заключение

Сторона, получившая заключение, может проверить его по нескольким признакам до обращения к рецензенту.

Указано ли, какой объект исследовался: носитель целиком, отдельный файл, резервная копия базы, и приведены ли контрольные значения.

Описан ли способ получения копии и примененные средства с версиями.

Сопоставлены ли временные отметки из нескольких независимых источников или вывод о дате основан на свойствах файла.

Рассмотрена ли версия о пересохранении файла без изменения содержания.

Отвечает ли каждый вывод на поставленный вопрос, нет ли выводов правового характера.

Приложены ли таблицы, выдержки из служебных структур и журналов, по которым вывод можно проверить.

Если хотя бы по двум пунктам ответ отрицательный, у стороны есть основания для рецензии и ходатайства о повторной экспертизе.

Сроки

Срок проведения зависит от числа и объема объектов и от доступности данных. Исследование одного файла документа, документа в формате пдф или файла с электронной подписью занимает 3–5 дней. Проверка на оригинальность и первичность экземпляра требует 5–10 дней, исследование обстоятельств использования файлов 5–12 дней, структурированных документов и выгрузок 7–12 дней. Экспертиза базы данных с восстановлением истории изменений занимает 8–14 дней: основная часть времени уходит на развертывание копии, изучение структуры таблиц и настройки журналов конкретной системы. Рецензия на чужое заключение готовится за 4–8 дней. Если объекты передаются не полностью и эксперт запрашивает дополнительные материалы через суд, срок продлевается на время рассмотрения ходатайства. Точный срок называется после предварительного анализа и указывается в письме для суда.

Повторная экспертиза и рецензия

Если заключение вызывает сомнения, сторона ходатайствует о повторной экспертизе по части 2 статьи 87 Гражданского процессуального кодекса или части 2 статьи 87 Арбитражного процессуального кодекса. Если заключение неполное, назначается дополнительная экспертиза. Суд удовлетворяет такое ходатайство, когда сомнения конкретны и обоснованы.

Обоснование дает рецензия — письменный анализ заключения другим специалистом. Для экспертизы файлов в рецензии обычно проверяется: исследовался ли оригинальный носитель или только копия файла без контрольных значений; анализировались ли временные отметки из нескольких источников или эксперт ограничился свойствами файла; учтена ли возможность пересохранения без изменения содержания; указаны ли версии программных средств; не вышел ли эксперт за пределы вопросов. Определением Судебной коллегии по экономическим спорам Верховного Суда Российской Федерации от 25 января 2018 года по делу № 305-ЭС17-11486 разъяснено, что такой документ образует мотивированные возражения стороны, и отказ в его приобщении нарушает право на доказывание.

Возражения оппонента и ответы на них

«Даты файла ничего не доказывают, их легко изменить». Отдельную отметку действительно легко изменить. Поэтому эксперт сверяет отметки файловой системы, внутренние служебные сведения файла, журналы операционной системы, записи почтового сервера, резервные копии. Согласованно изменить все источники без следов практически невозможно, и заключение описывает, какие источники сопоставлены.

«Файл пересохранялся, поэтому даты изменились». Возражение проверяемое: пересохранение без правки текста оставляет один набор признаков, правка содержания — другой. Эксперт сравнит редакции и укажет, менялось ли содержание.

«Исследовалась не та база данных». Ответ содержится в акте приемки и в контрольных значениях копии, а также в описании способа ее получения. Поэтому резервную копию базы данных лучше изготавливать по определению суда и в присутствии сторон.

«Пдф изготовлен сканированием, признаки монтажа — дефекты сканера». Эксперт разграничивает дефекты сканирования, которые распределены по всей странице равномерно, и локальные отличия в области подписи или печати: иное разрешение, иная цветовая модель, отсутствие шума.

Стоимость и сроки

Стоимость зависит от вида и числа объектов, объема данных и числа вопросов. Предварительный анализ материалов бесплатный: по его итогам называется точная сумма и срок и готовится письмо для суда.

Типичные ошибки

Сторона открывает спорный файл на своем компьютере, пересохраняет его или пересылает себе по почте, чтобы распечатать, и тем самым меняет служебные сведения.

В суд представляется распечатка вместо файла, а носитель, где хранился файл, впоследствии утрачен или отформатирован.

Файл передается эксперту на новом флеш-накопителе без исходного носителя. Эксперт исследует файл, но не может проверить его историю на устройстве.

Экспертиза базы данных назначается без указания даты резервной копии, и эксперт исследует текущее состояние, в котором спорные изменения уже слиты с последующими.

Не истребуются квитанции оператора электронного документооборота, и вывод о передаче документа ограничен содержимым файла.

В ходатайстве вопросы об истории файла смешаны с вопросами о подписи на бумажном экземпляре и о смысле текста.

Экспертиза заказывается через год после события, когда журналы операционной системы и почтового сервера уже перезаписаны.

Распространенные заблуждения

Заблуждение первое: дата в свойствах файла и есть дата его создания. Эта отметка меняется при копировании, распаковке, пересохранении и может быть изменена намеренно. Для вывода нужны несколько независимых источников.

Заблуждение второе: пдф нельзя изменить. Формат позволяет вносить правки, и существуют редакторы, которые делают это незаметно для читателя. Именно поэтому экспертиза pdf файла исследует последовательность обновлений внутри него.

Заблуждение третье: если контрольные суммы двух файлов различаются, один из них подделан. Различие может объясняться пересохранением без изменения текста. Эксперт устанавливает, в чем состоит различие.

Заблуждение четвертое: удаленная из базы запись исчезает бесследно. В системах с журналом транзакций след изменения сохраняется, а в файлах баз данных удаленные строки часто остаются в свободном пространстве до перезаписи.

Заблуждение пятое: распечатка отчета из учетной системы равна самой системе. Отчет показывает состояние базы на момент формирования и может быть получен после изменения данных. Проверить это можно только по базе и ее резервным копиям.

Заблуждение шестое: эксперт определит, кто именно работал с файлом. Экспертиза устанавливает учетную запись и устройство, а связь с конкретным человеком суд устанавливает по совокупности доказательств.

Заблуждение седьмое: проверить оригинальность можно онлайн-сервисом. Сервисы проверки текста на заимствования отвечают на другой вопрос, а бесплатные просмотрщики метаданных показывают лишь часть служебных сведений и не оценивают их согласованность.

Что делать, если оппонент представил электронный документ, который вы считаете изготовленным задним числом

Шаг первый. Сохраните собственные экземпляры документа и переписку о нем: файлы, письма с вложениями, резервные копии. Не открывайте и не пересохраняйте их, сделайте копию и работайте с ней.

Шаг второй. Получите предварительный анализ материалов у специалиста. Он укажет, какие признаки изготовления задним числом можно выявить и какие объекты для этого нужны.

Шаг третий. Заявите суду о фальсификации доказательства по статье 161 Арбитражного процессуального кодекса либо о подложности по статье 186 Гражданского процессуального кодекса. Заявление подается письменно.

Шаг четвертый. Ходатайствуйте об истребовании у оппонента оригинального файла на исходном носителе, а при необходимости — сведений у оператора электронного документооборота или почтового сервиса.

Шаг пятый. Подайте ходатайство о назначении экспертизы с вопросами о дате создания, изменениях и первичности экземпляра, приложите письмо экспертной организации о сроке и стоимости, внесите сумму на депозит суда.

Шаг шестой. Получив заключение, проверьте наличие контрольных значений, сопоставление нескольких источников временных отметок, соответствие выводов вопросам. При дефектах подготовьте рецензию и ходатайство о повторной экспертизе.

Частые вопросы

Что устанавливает экспертиза обстоятельств создания и использования файлов и баз данных?

Дату и способ создания файла или записи, программу и устройство, внесение изменений и их содержание, первичность экземпляра, а также действия с файлом после создания: открытие, копирование, передачу, удаление.

Можно ли по экспертизе файла установить, что договор изготовлен задним числом?

Да, если сохранились признаки: противоречия между временными отметками разных источников, версия программы, выпущенная позже даты договора, следы изменения системного времени, отсутствие файла в резервных копиях за заявленный период. Вывод делается по совокупности признаков.

Проводится ли экспертиза файла документов по распечатке?

Нет. Распечатка не содержит служебных сведений файла. Нужен сам файл, а лучше носитель, на котором он хранился.

Что показывает экспертиза pdf файла?

Способ создания файла, наличие последовательных правок после первого сохранения, программу-создатель и даты, признаки вставки изображений подписи и печати, расхождения между изображением скана и распознанным текстом.

Можно ли установить, изменялся ли подписанный электронной подписью файл пдф?

Да. Подпись вычисляется от содержимого файла, и любое последующее изменение выявляется при проверке. Экспертиза файла пдф с подписью устанавливает также время подписания и действительность сертификата на этот момент.

Какой xml файл для экспертизы нужно представить в споре об электронном передаточном документе?

Исходный файл документа, файлы подписей и квитанции оператора электронного документооборота. Визуализация на бумаге или в пдф служебных сведений не содержит.

Что дает экспертиза базы данных в споре с бывшим сотрудником?

Сведения о запросах к базе с его учетной записи, массовых выгрузках, сохранении файлов на диск, подключении внешних носителей и отправке данных за пределы организации, если система и рабочая станция фиксировали эти действия.

Можно ли восстановить удаленные записи базы данных?

Во многих случаях да — из журналов транзакций, свободного пространства файлов базы и резервных копий. Перспективы зависят от системы и времени, прошедшего с удаления, и оцениваются при предварительном анализе.

Как провести экспертизу на оригинальность файлов, если есть два экземпляра документа?

Передать эксперту оба экземпляра с носителями, на которых они хранились. Эксперт сравнит их по контрольным значениям и внутренней структуре, укажет различия и определит, какой из экземпляров первичный.

Чем экспертиза электронного файла отличается от технической экспертизы документов?

Экспертиза электронного файла исследует цифровой объект и его историю. Техническая экспертиза документов исследует бумажный экземпляр: печать, реквизиты, давность подписи. В одном споре могут понадобиться обе.

Нужна ли судебная экспертиза, если оппонент не спорит с документом?

Если достоверность электронного документа не оспаривается, суд оценивает его наряду с другими доказательствами. Экспертиза назначается, когда сторона заявляет о подложности или сомневается в дате и содержании.

Сколько стоит экспертиза файла документа?

Исследование файла документа на дату создания, изменения и редакции стоит от 35 000 ₽, срок 3–5 дней. Цена растет с числом файлов, количеством редакций для сравнения и необходимостью исследовать носитель, на котором файл хранился.

Сколько стоит экспертиза pdf файла?

Исследование документа в формате пдф на признаки правки и монтажа стоит от 45 000 ₽, срок 3–5 дней. Столько же стоит исследование электронного документа с электронной подписью. Дороже обходятся отсканированные многостраничные документы, где сверяется каждая страница.

Сколько стоит экспертиза базы данных?

От 65 000 ₽, срок 8–14 дней. Стоимость определяется типом системы, объемом базы, наличием журналов транзакций и периодом, за который восстанавливается история изменений.

Сколько стоит исследование структурированных электронных документов и выгрузок?

От 65 000 ₽, срок 7–12 дней. В работу входит проверка файла по утвержденной схеме, подписей, квитанций оператора электронного документооборота и сопоставление с записями учетной системы.

Сколько стоит провести экспертизу на оригинальность файлов?

От 55 000 ₽, срок 5–10 дней. Цена зависит от числа сравниваемых экземпляров и от того, нужно ли восстанавливать цепочку конвертаций между форматами.

Сколько стоит рецензия на заключение экспертизы файлов и баз данных?

От 50 000 ₽, срок 4–8 дней. На цену влияет объем заключения и приложений и необходимость проверить контрольные значения копий.

Основные термины

Метаданные: служебные сведения о файле, записанные в файловой системе или внутри файла, — автор, программа, даты, идентификаторы.

Временная отметка: зафиксированное системой или программой время события — создания, сохранения, открытия, изменения.

Файловая система: способ организации хранения файлов на носителе, который ведет собственные записи о времени и расположении файлов.

Журнал транзакций: служебный файл системы управления базой данных, в который записывается каждое изменение данных до его внесения в таблицы.

Резервная копия: сохраненное состояние файлов или базы данных на определенный момент.

Последовательное обновление: механизм формата пдф, при котором изменения дописываются в конец файла, а исходное содержимое сохраняется.

Контрольное значение: результат вычисления хэш-функции от содержимого файла или носителя, совпадение которого подтверждает идентичность.

Первичный экземпляр: файл, созданный непосредственно в исходной программе, в отличие от копий, конвертированных и распознанных версий.

Структурированный электронный документ: файл, данные в котором записаны по утвержденной схеме и обрабатываются программой, например электронный передаточный документ.

Оператор электронного документооборота: организация, обеспечивающая обмен электронными документами между сторонами и выдающая квитанции о передаче.

Служебные заголовки письма: сведения о маршруте, отправителе, дате и идентификаторе электронного письма, не отображаемые в обычном интерфейсе почтовой программы.

Изолированная среда: компьютерная среда без связи с внешними сетями, в которой разворачивается копия базы данных для исследования без риска изменения.

Коротко о главном

Экспертиза обстоятельств создания и использования файлов и баз данных восстанавливает историю цифрового документа: когда, где и в какой программе он создан, менялся ли, кто и как с ним работал. Вывод строится на совокупности независимых источников, а не на одной дате в свойствах файла.

Экспертиза файла документов, экспертиза pdf файла, исследование структурированных файлов и экспертиза базы данных используют разные методики, но подчиняются одному правилу: исследование ведется на копии, неизменность которой подтверждена контрольными значениями.

Результат зависит от объектов. Нужен файл, а не распечатка; носитель, а не файл на новой флешке; резервная копия базы на существенную дату, а не текущее состояние системы. Объекты, которые находятся у оппонента, истребует суд.

При сомнениях в чужом заключении сторона готовит рецензию и заявляет ходатайство о повторной экспертизе. Раннее внесудебное исследование фиксирует данные до того, как журналы будут перезаписаны.

Об АНО «СЗЭПЦ»

АНО «Северо-Западный экспертно-правовой центр» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям России. Головной офис расположен в Санкт-Петербурге, представительства работают в Москве, Екатеринбурге, Новосибирске, Казани, Краснодаре и Нижнем Новгороде. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах.

По исследованию файлов и баз данных АНО «СЗЭПЦ» проводит судебные экспертизы по определениям судов, готовит заключения специалиста до суда и рецензии на чужие заключения, помогает сформулировать вопросы и подготовить ходатайство. Предварительный анализ материалов бесплатный. Эксперты дают пояснения по заключению в судебном заседании.

Направьте описание задачи и копии спорных файлов на info@szexp.ru или позвоните: +7 (812) 982-86-69, +7 (905) 222-86-69 — АНО «СЗЭПЦ» проведет предварительный анализ и подготовит письмо для суда о сроке и стоимости экспертизы.

Узнать стоимость экспертизы