디바이스 복호화 명령과 자기부죄거부특권 미국 법원의 실행과 영국의 입법례를 중심으로

State v. Stahl 사건에서 피고인은 어느 가게에서 쇼핑하고 있던 여성 피해자의 신체를 몰래 촬영하려고 시도했다는 혐의로 체포되어 불법 비디오촬영죄(video voyeurism)로 기소되었다. 체포과정에서 피고인은 Sarasota 카운티 경찰에게 그는 스마트폰을 소지하지 않고 있고 스마트폰이 집에 있다고 진술하였다. 경찰은 영장을 발부받아 그의 자택을 수색하여 스마트폰을 압수하였으나, 암호 없이는 잠금을 해제할 수 없었다. 피고인은 암호를 제공하지 않고 협조를 거부하였으며, 플로리다 주 정부는 암호를 제출하도록 강제하는 명령을 법원에 신청하였다. 1심 법원에서는 주 정부의 신청을 기각하였고 피고인에게 암호를 넘겨주도록 강제하는 것은 그의 수정헌법 제5조 자기부죄거부특권을 침해하는 것이라고 판시하였다. 암호를 넘겨주는 행위는 피고인에게 암호를 기억해내도록 강제하는 과정에서 “그의 머릿속에 있는 내용을 사용”하도록 강요하는 것이 된다. 만약 증거의 강제가 피고인에게 머릿속에 있는 내용을 공개하도록 하는 것이라면, 해당 증거는 형사상 불리한 진술에 해당하므로 수정헌법 제5조에 의해 보호되어야 한다. 스마트폰의 잠금을 해제하거나 비밀번호를 제공하라고 강제하는 것이 진술에 해당하는지에 대해서 아직까지 미국 연방대법원이 직접적으로 판단을 내린 적이 없다. 그러나 일련의 판례에서 연방대법원은 문서를 제출하는 특정 행위가 수정헌법 제5조의 취지상 진술에 해당하는지에 대해서는 판단한 바 있다. 중요한 것은 이러한 판례들은 인터넷이나 스마트폰이 존재하지 않던 시절에 발달된 것이라는 점이다. 연방대법원은 형사상 불리할 수 있는 신체적 특징(physical characteristic)을 공개 하도록 강제하는 것은 수정헌법 제5조가 적용되지 않는다고 판시한 바 있다. 연방대법원은 여러 신체적 특징 중에서 지문은 진술에 해당하지 않는다고 판시한 바 있다. 그러나 오늘날 안면 인식이나 홍채 스캔과 같은 생체정보를 통한 최첨단 보안 기술의 발전을 고려하면 당시의 판례를 현대 사회에 적용하기에는 무리가 있다. 2018년 미국 연방대법원 역시 Carpenter 판결에서 ”디지털 기술로 인해 발생되는 새로운 문제에 직면했을 때, 연방대법원은 기존의 선례를 무비판적으로 확장하지 않기 위해 신중하게 접근해왔다“고 언급하였는데, 결국 기존의 문서나 유형의 물건에 적용되던 기준을 새로운 디지털 기술에 그대로 수용하여 적용하는 것은 문제가 있다는 지적이다. 2007년부터 영국은 수사권한규제법(Regulation of Investigatory Powers Act, RIPA)에 따라 복호화 명령을 허용해왔다. 2016년 수사권한법(Investigatory Powers Act of 2016, IPA)은 이러한 권한을 유지하고 더욱 확장했다. 수사권한법은 영장에 따라 통신을 복호화하는데 기술적 협조를 의무화하였고, 기업들에게 단대단 암호 통신을 복호화할 수 있도록 강제할 수 있는 권한을 부여하였다. 2000년 영국은 수사권한규제법(RIPA)을 제정하였고 복호화는 동법에 핵심적인 내용이었다. 전문에서는 이 법이 “통신 감청”권한 뿐만 아니라 암호 또는 패스워드로 보호된 데이터를 복호화하거나 접근할 수 있도록 하는 수단도 제공하기 위하여 제정되었음을 명확히 하고 있다. 동법의 제3부에서는 “암호화 등으로 보호된 전자데이터의 수사”를 규정하고 있다. 특히 정부가 “보호된 정보”를 적법하게 취득한 경우에, 특정 공무원은 소위 “제49조 통지서(Section 49 Notice)”를 발부할 수 있으며, 이를 통해 특정인에게 암호화 키를 공개하거나 정보를 인지할 수 있는 형태로 제출할 것을 요구할 수 있다. 그러나 이러한 통지에 불응하면 2년 이하의 징역에 처하고 국가안보 사건이나 아동음란물 사건의 경우에는 5년 이하의 징역에 처한다. 제49조 통지서는 비밀유지의 무도 포함하고 있는데 만약 이러한 통지서를 송달한 자는 해당 사실에 대한 비밀유지의무가 있고 이를 위반할 경우에 벌금 또는 5년 이하의 징역형이 규정되어 있다. 영국 의회가 2000년에 RIPA를 제정하였으나 내무부는 이러한 복호화 규정을 바로 적용하지는 않기로 했다. 왜냐하면, 당시에는 암호기술의 사용이 예상보다 그리 많지 않았기 때문이다. 이러한 복호화 권한은 2007년 10월 1일 발효되었고, 당시 내무부는 관련된 실무규칙(code of practice)을 발표하였다. Office of the Surveillance Commissioners(OSC)a에서는 연례보고서를 통해서 영국의 정보기관인 정부통신본부(Government Communications Headquarters (GCHQ)) 산하의 국가기술지원센터(National Technical Assistance Centre (NTAC))의 통계를 제공하고 있다. 2016년 영국 의회는 수사권한법을 제정하였다. 총291페이지에 달하는 구체적이고 기술적인 이 법은 영국의 정보기관, 안보기관 및 법집행기관의 감시 권한을 더욱 강화하였다. 수사권한법은 통신내용과 메타데이터의 감청과 보관에 대하여 규정하고 있으며 장비 감청(equipment interference)과 복호화에 대한 규정도 포함하고 있다. 영국에서는 최초로 수사권한법에서 영장에 대한 사법심사를 도입하였다, 수사권한법은 RIPA 제3부 하의 암호화된 데이터의 수사를 그대로 유지하면서 일부를 개정하였다. 수사권한법은 제49조 통지서를 수사권한 감독관(Investigatory Powers Commissioner(IPC))의 강화된 감독 권한 하에 두었다. IPC는 정부의 수사 권한 사용을 감독하여야 하고 매년 국무총리에게 보고서를 제출하여야 한다. 또한 IPC는 암호로 보호된 전자정보의 수사를 독자적으로 심사하여야 하며, 법집행기관은 개인에게 암호화 키를 제출하라고 요구하는 제49조 통지를 할 때마다 IPC에게 통보하여야 한다. 또한 수사권한법은 복호화를 강제할 수 있는 광범위한 법적 권한을 신설하였다. 그러나 법 규정에서는 암호화(encryption)이라는 용어는 사용하지 않았다. 제253조에서는 국무장관이 전화통신 서비스제공자에게 정부기관에게 협력할 것을 요구하는 “기술역량 통지서(technical capability notices)”를 제시할 수 있다고 규정하고 있다. 이러한 기술역량 통지서를 통해 부과할 수 있는 의무의 범위는 광범위하다. 정부는 서비스제공자에게 디바이스, 설비, 또는 서비스를 무제한적으로 제공하라고 요구할 수 있고 “서비스제공자에 의해 적용된 통신 또는 데이터의 전자적 보호”를 제거하도록 요구할 수 있으며, “정보의 처리 또는 공개와 관련된 의무”를 이행할 것을 요구할 수 있다. 동 법은 국무장관으로 하여금 기술자문위원회 및 다른 이해관계자와의 협의하여 이러한 광범위한 권한을 적절한 규정을 통해서 이행할 것을 요구하고 있다. 우리나라에서도 수사과정에서 스마트폰 잠금해제를 하지 못한 사례가 종종 언론을 통해 보도되고 있다. 2016년도에는 참여연대 공직선거법 위반 사건 수사 과정에서 압수한 스마트폰(아이폰 6)의 잠금해제 비밀번호를 피의자가 알려주지 않아 분석하지 못한 사례가 있었고, 최근에는 청와대 하명수사 의혹과 관련하여 사망한 수사관의 스마트폰(아이폰X)의 잠금해제를 하지 못한 사례가 보도되었다. 위에서 살펴본 미국의 사례와 같이 우리나라에서 수사기관이 스마트폰 암호화 해제 또는 암호화된 디스크의 파일을 복호화하라고 요구하는 것이 현행법상 가능한가? 이와 관련하여 도박사이트 수사 과정에서 서울북부지원이 스마트폰 잠금해제를 위해 필요한 지문정보에 대한 검증영장을 발부한 사례가 있다. 만약 위 사례의 경우 압수수색검증영장의 집행을 거부하면 어떻게 되는가? 우선 현재 영장집행을 강제할 법적 근거는 없으며, 미국과 같이 법원의 명령을 불이행하는 경우 사법방해죄 또는 법정모독죄로 처벌하는 것도 현행법상 불가하다. 국내 일선의 수사 실무에서는 일부 특수한 경우를 제외하고 스마트폰 등 디바이스 내 전자정보에 대한 압수수색 영장 집행 과정에서 대부분의 피의자나 피압수자가 잠금해제 비밀번호 제공에 협조하고 있다. 만약 압수수색영장 집행 시 스마트폰 잠금 해제를 위한 비밀번호를 알려주지 않는 경우, 형사소송법 제120조 제1항 규정상의 “건정을 여는 것” 또는 “기타 필요한 처분”을 근거로 지문정보 등을 요구하거나 기술적인 잠금해제 시도를 해볼 수 있겠으나 실무에서는 통상 추가로 지문, 홍채 등 생체정보에 대한 검증영장을 발부받아 이를 해결하고 있다. 현재 일반적인 범죄수사 과정에서는 피의자들 대부분이 스마트폰 압수수색 과정에서 잠금암호의 제공에 응하고 있으나, 안보 사건이나 중범죄의 경우 잠금암호의 제공을 거부하거나 법정에서 다투어지는 경우가 종종 발생하고 있고 선진국의 사례에 비추어 앞으로 이러한 사례는 더욱 증가할 것이다. 스마트폰 자체에 저장되어있는 정보 및 스마트폰의 계정과 연동되어 클라우드에 저장되어 있는 정보 등 스마트폰 압수수색을 통해 파악할 수 있는 정보는 무궁무진하다. 이로 인해 수사기관은 사건과 관련 없는 데이터를 과도하게 확보하게 되며, 개인의 프라이버시가 과도하게 침해될 가능성이 높아진다. 대부분의 미국 법원에서는 수정헌법 제5조의 자기부죄거부특권 조항이 기밀성(confidentiality)과 관련하여 프라이버시를 보호하는 조항이라고 인식하고 있다. 따라서 전통적인 종이 기반의 매체와 비교하여 스마트폰에 저장된 디지털 정보의 양은 질적으로나 양적으로 어마어마한 차이가 난다. 또한 스마트폰은 이를 사용하는 개인의 프라이버시가 집약되어 있는 디바이스라고 할 수 있다. 따라서, 스마트폰 비밀번호의 공개를 강제하는 것은 프라이버시와 관련하여 분명 시사점이 있다고 할 수 있다. 디지털 정보의 저장매체에 대한 법적인 평가는 기존의 문서에 대한 법적 평가와는 분명히 달라야 하고 법원은 보다 설득력 있는 접근방식을 도입해야 할 것이다. 우리나라에는 아직 스마트폰 등 디바이스 복호화에 대한 문제가 심각하게 대두되고 있지 않지만 몇몇 사례가 언론을 통해 보도되고 있다. 향후 이러한 문제에 대비하여 다양한 법적 쟁점에 대한 연구와 심도 깊은 논의가 필요하고 기술적으로도 암호화 문제를 극복할 수 있는 방안을 모색해야 할 것이다.