디지털 증거 압수·수색 시 선별 압수 원칙에 따른 실무적 한계와 디지털 본래증거를 활용한 진정성립 입증의 중요성 doc_id CNTS-00118875217_3

2015년 종근당 사건의 대법원 판례 등을 통해 선별 압수가 강조되면서, ‘정보저장매체’ 자체를 압수하는 것이 사실상 불가능한 상황이 되었다. 이는 압수·수색 시 혐의 사실과 관련이 있는 ‘파일’에 한정하여 압수할 것을 수사기관에게 사실상 강요하였으며, 법원의 이러한 태도는 수사기관의 디지털 증거 압수·수색 실무에서 증거물 압수의 단위를 ‘파일’로 획일화하여 접근하게 되는 결과를 초래하였다. 개정 형사소송법 제313조에 따라 디지털 전문증거인 경우 작성자가 성립의 진정을 부인하는 경우에도 디지털 포렌식 등의 객관적 방법으로 진정성립을 할 수 있게 되었음에도 불구하고, 압수의 단위를 ‘파일’로 획일화하여 접근하는 현행 디지털 증거 압수 절차 아래서는 개정된 형사소송법을 바로 적용하기에는 다소 무리가 있는 것이 사실이다. 하지만 법원은 선별하여 압수하는 것을 원칙으로 보고, 정보저장매체 자체의 압수는 원칙 이행을 위한 중간단계에 불과한 것으로 해석하고 있다. 다시 말하면 정보저장매체 자체를 압수하는 것은, 현장에서 압수 대상 파일의 선별이 불가능한 경우에 수행할 수 있는 대안에 불과하므로, 현장에서 정보저장매체 자체를 압수한 경우에도, 압수대상 파일을 선별할 수 있는 상황이 되었다면, 이후 선별을 수행하여 압수를 완료해야한다는 것이다. 이와 같은 법원의 태도는 최근 소위 종근당 사건의 대법원 판결에 그대로 반영되었다. 그리고 위 판결 이후 이와 같은 소위 ‘선별 압수 원칙’은 더욱 더 굳어지게 되었다. 종근당 사건 판례 이후 생긴 압수·수색 실무 절차에 가장 큰 변화는 영장에 명시되어 있는 경우를 제외하고 형사소송법 제106조에 명시되어있는 ‘정보저장매체 자체 압수’가 사실상 불가능해졌다는 것이다. 만약 압수·수색현장에서 압수의 목적을 달성하기에 현저히 곤란함을 이유로 정보저장매체 자체를 압수하거나 디스크 복제 또는 이미징을 통해 복제했다 하더라도, 실제 혐의사실과 관련 있는 파일을 특정하여 해당 파일을 압수할 때까지를 압수·수색의 연장으로 간주하기 때문에 해당 파일을 선별한 후 복제·출력의 방법으로 압수해야 한다. 앞서 살펴본 바에 따르면 압수물 동일성 문제를 해결하기 위한 방법은 수사단계에서 디지털 본래증거를 압수·수색하는 것이 유일하다고 할 수 있다. 하지만 증거 확보의 어려움을 이유로 수사단계에서 디지털 본래증거의 압수·수색하는 것을 허용한다고 해도, 수사단계에서는 디지털 본래증거에 대해 혐의 사실과 관련된 범위를 특정할 수 없다는 문제가 남는다. 정보저장매체에 대한 압수·수색은 사생활의 비밀과 자유, 정보에 대한 자기결정권, 재산권 등을 침해할 우려가 크므로 포괄적으로 이루어져서는 안되고, 비례의 원칙에 따라 최소한의 범위에서 이루어져야한다는 것이 종래 법원의 입장이다. 내부 메타데이터를 제외한 디지털 본래증거들은 해당 정보처리시스템 전반에 대한 정보를 포괄적으로 가지고 있는 것이 일반적이다. 디지털 본래증거를 포괄적으로 압수하는 것은 피압수자의 권익을 침해할 우려가 높으며, 따라서 디지털 본래증거들도 혐의 사실과 관련이 있는 최소한의 범위 내에서 압수·수색을 하는 것이 당연할 것이다. 2012년 형사소송법 제106조 제1항, 제109조 제1항, 제215조가 개정되면서 압수·수색의 대상에 대해 ‘해당사건과의 관련성’이 명문화되었다. 종래에도 ‘관련성’은 형사소송법에 규정된 ‘필요성’과 같이 당연히 요구되는 것이었다. 하지만 형사소송법에 명문화되어 있지는 않았다. 위 ‘관련성’ 규정은 종전에 계속되어 왔던 사건과 관련 없는 물건에 대한 ‘과잉압수’ 논란에 의하여 형사소송법에 새로이 규정된 점에 비추어 볼 때, ‘관련성’ 개념이 명문화되기 전보다 강조되었다고 볼 수 있다. 압수·수색 실무에서 ‘파일’을 증거물 압수의 단위로 접근하는 것은 디지털 본래 증거를 수집하는 데에 큰 문제가 되지 않는다. 특히 윈도우 운영체제에서는 원래 파일 내에 존재하는 내부 메타데이터는 물론이고, 파일 관련 본래증거 중 외부 메타데이터인 ‘MFT’나 행위 관련 본래증거인 ‘이벤트 로그’ 그리고 설정 관련 증거인 ‘레지스트리’가 모두 파일의 형태로 존재하므로 어렵지 않게 압수할 수 있다. 사전에 디지털 본래증거를 수집하는 데에 있어 혐의 사실 관련성이 문제가 된다면, 이후 관련성이 발생하였을 때 해당 본래증거를 압수하는 방법을 고려할 수도 있다. 다시 말하자면 작성자가 디지털 전문증거의 진정성립을 부인할 때, 해당 전문증거의 진정성립에 사용할 본래증거를 압수하는 것이다. 하지만 이 방법에도 다른 문제가 있다. 현행 압수·수색 절차에서 압수의 대상이 되는 정보저장매체는 압수·수색 종료 이후에 피압수자가 점유하게 된다. 현장에서 선별 압수하는 경우는 물론이고, 정보저장매체 자체를 압수한 경우에도 선별하여 재압수한 후 정보저장매체는 피압수자에게 환부 또는 가환부하기 때문이다. 압수·수색 이후 압수물을 분석하고, 그 분석 결과를 토대로 한 피의자·참고인조사를 거쳐, 공소제기가 이루어진다. 때문에 압수·수색의 종료부터 실제 공소제기까지는 상당한 시일이 소요된다. 이 기간 동안 피압수자는 압수 대상 정보저장매체에 자유롭게 접근할 수 있다. 이 경우 피압수자가 의도적으로 정보저장매체에 존재하는 정보를 변경 또는 삭제할 수 있다. 증거인멸의 의도가 없었더라도, 피압수자가 정보저장매체를 사용하는 과정에서 해당 정보저장매체 내에 있는 정보를 변경 또는 삭제될 수도 있다. 정보저장매체에 존재하는 디지털 본래증거는 크게 ‘파일과 관련된 디지털 본래증거’, ‘행위와 관련된 디지털 본래증거’, ‘설정과 관련된 디지털 본래증거’로 나눌 수 있다. 각각의 본래증거에서는 파일에 대한 접근 및 취급, 사용자의 행위, 시스템의 환경 설정에 대한 정보를 확인할 수 있으며, 이를 토대로 디지털 전문증거의 성립을 진정할 수 있다. 이 장에서는 세 가지 디지털 본래증거에 해당하는 대표적인 아티팩트들을 살펴보고, 이를 통해 해당 디지털 본래증거의 입증 범위에 대해서 알아보고자 한다. 운영체제 설치 여부나 설치된 운영체제의 종류에 따라서 정보저장매체에 남는 디지털 본래증거는 크게 달라진다. 본 논문에서는 대상을 윈도우 7 운영체제가 설치된 정보저장매체로 한정하여 내용을 전개하겠다. 운영체제는 내부에 있는 파일을 효율적으로 관리하기 위하여, 파일이 생성 또는 수정될 때마다 파일과 관련된 정보를 마스터파일 테이블(이하 MFT)과 같은 메타데이터 파일에 기록한다. 반면 응용 프로그램은 사용자 편의를 제공하고, 효율적으로 파일을 이용하기 위하여 파일의 부가정보를 작업 중인 파일 내부에 기록한다. 부가정보를 기록하는 작업은 응용 프로그램이 파일을 생성하거나 수정할 때 발생할 수 있으나, 필수적인 것은 아니다. 운체제가 생성하는 정보나 응용 프로그램이 생성하는 부가정보는 사람의 개입 없이 운영 체제나 응용 프로그램의 알고리즘에 의하여 자동으로 생성되는 것으로 ‘컴퓨터가 생성한 증거’, 즉 ‘디지털 본래증거’에 해당한다. 운영체제가 기록한 정보나 응용 프로그램이 기록한 부가정보와 같은 데이터를 ‘메타데이터’라고 부른다. 메타데이터는 다른 말로 ‘속성 정보’라고 부르기도 한다. 메타데이터는 대량의 정보 가운데서 대상 정보를 효율적으로 이용하기 위해 일정한 규칙에 따라 콘텐츠에 대응하여 부여되는 정보를 의미한다. 이런 정보 중에는 파일의 내용과 관련되어 있는 정보들도 있지만, 파일 자체의 할당, 변경, 접근, 권한 등 파일 자체에 대한 정보들도 있다. 파일 자체에 대한 정보들은 디지털 전문증거의 진정 성립에 활용할 수 있다.