▎先看一个真案子：几部坏手机，翻了一起死刑案
甘肃有一起抢劫案，原审时法院认为在案证据不足，"被害人生前和谁联系、怎么死的"都说不清，指控的事实没能认定下来。
转机出现在一堆已经损坏的手机上。甘肃省检察院对原审被告人马某林使用的多部损坏手机做数据恢复和数据提取，再委托兰州市人民检察院司法鉴定中心解析鉴定，查明被害人失踪当天的最后 8 次手机通话人，都是马某林。
2024 年 1 月 31 日，最高人民法院指令甘肃省高级人民法院再审；当年 12 月 4 日，甘肃高院作出判决，撤销原审判决、裁定，以抢劫罪判处马某林死刑、缓期两年执行。这个案子后来成为最高检第 261 号指导性案例（马某林抢劫再审抗诉案）。
数据恢复不是电影里的黑科技，它就是这种案子里的常规工序。所以值得说清楚三件事：删掉的东西去了哪、谁能把它找回来、找回来之后凭什么能用。
▎一、删除删掉的是"目录"，不是"内容"
多数人理解的删除是"东西没了"。真发生的事只有两件：
系统把文件目录里的那一行记录划掉，这个文件从此不再显示；它原来占用的那块空间被标记成"空闲、可覆盖"。
内容本身还留在原地。只要那块空间没被新数据写进去，恢复工具就能顺着目录残留和文件碎片把它拼回来。所以误删之后最要紧的事是停手——别再拍照、别再装软件、别再往这台设备里存新东西。往里写得越多，覆盖的概率越高。
反过来，能恢复不等于都能恢复。手机比电脑难得多：iPhone 默认全盘加密，安卓也有文件级加密，没有密钥，盘拿在手里也读不出内容；固态硬盘还会主动清理已被删除的数据。云盘的删除另有一套规则（回收期、服务器侧留存），那是另一个话题。
▎二、技术上能恢复，不等于法庭上能认
这里要分两层。技术层的问题是"能不能拿出来"，证据层的问题是"拿出来算不算数"。
电子数据是法定证据种类之一（民事诉讼法第六十三条）。但《最高人民法院关于民事诉讼证据的若干规定》第九十三条列了真实性审查的七项因素；两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第二十二条也给了五项重点：有没有移送原始存储介质、有没有数字签名或数字证书、收集提取的过程能不能重现、有增删改有没有附说明、完整性能不能保证。
"过程能不能重现"这一条，和今天讲的恢复关系最直接。最高法的法官著述里讲得很明白：审查从原始存储介质里恢复出来的数据是否真实，除了看扣押笔录和封存状态，还可以再做一次数据恢复，比较两次恢复的内容是否相同。两次对得上，采信的可能性就大；对不上，谁都说不清这份数据是怎么来的。
配套的是过程留痕。同一份规定要求：通过恢复、破解、统计、关联、比对等方式检查电子数据，应当把存储介质经写保护设备接入检查设备，拆封过程要录像，还要制作笔录，写明方法、过程和结果。换句话说，恢复这个动作本身，就是要被记录下来、并且可以被复核的。
▎三、谁有资格做这件事
刑事程序里，"恢复"有它固定的位置。它不是现场勘验，也不一定是司法鉴定，而是夹在两者中间的"电子数据检查"——由侦查人员在扣押之后做，用恢复、破解、统计、关联、比对把数据里的线索整理出来。该走的程序没走、该留的痕迹没留，辩方就有话说。
民事纠纷里，自己的设备恢复自己的数据，本身没问题，但有两件事要注意。
一是别自己反复折腾。不少人拿到恢复软件就一顿试，试一次往盘里写一次，反而把原始状态破坏了。稳妥的做法是先对设备做镜像，所有操作在镜像上做，原始设备封存不动。
二是别碰别人的数据。翻配偶的手机、恢复离职同事交回的工作手机、想办法读出别人删掉的聊天记录，技术上也许做得到，法律上是另一回事：违反国家有关规定获取公民个人信息，可能触犯刑法第二百五十三条之一（"公民个人信息"的范围，法释〔2017〕10 号第一条有界定，包括账号密码、行踪轨迹等）；非法获取计算机信息系统里的数据，对应的是刑法第二百八十五条第二款。技术给的是能力，不是权利。
▎四、真遇上误删，按这四步办
第一步，立刻停用。 能关机就关机，别充电、别连电脑、别再存新文件。这一步的价值，比后面所有操作加起来都大。
第二步，先保全，再操作。 请专业人员对原始设备做镜像，或者至少把设备原封不动收好，所有恢复动作都在副本上做。
第三步，问清过程。 谁做的恢复、用什么工具和版本、能不能复现、有没有校验值。这些将来就是你在法庭上回答"这是不是拼出来的"的底气。
第四步，值钱的事走鉴定或公证。 涉及大额钱款、抚养权、刑事线索的，别拿着一份免费软件导出的截图就去立案，鉴定意见和公证书的分量完全不一样。
▎最后说一句
数据能不能恢复，是技术问题；恢复出来的东西能不能用，是规则问题。这两件事混在一起，是最容易吃亏的地方。