【형사<디지털증거 : 압수수색의 대상 및 장소>】《디지털증거에 대한 압수수색의 대상 및 장소 - 원격지에 저장된 정보에 대한 압수수색, 국외의 서버에 보관중인 정보의 압수수색》〔윤경 변호사 더리드(The Lead) 법률사무소〕
<디지털증거에 대한 압수수색의 대상 및 장소 - 원격지에 저장된 정보에 대한 압수수색, 국외의 서버에 보관중인 정보의 압수수색>
◈ 디지털증거에 대한 압수수색의 대상 및 장소
1. 압수수색의 대상
개정 형사소송법 제106조 제3항은 마치 ‘정보저장매체’가 압수수색의 대상임을 명시한 것처럼 보이기도 하나, 동조 제4항에서는 ‘제3항에 따라 정보를 제공받은 경우’의 통지의무를 규정하고 있고, 또한, 압수수색 방법은 원칙적으로 출력이나 복제에 의하도록 정하고 있다. 이에 따르면, 제106조 제3항 전단에도 불구하고 압수수색의 대상은 ‘전자정보’라는 해석이 가능하다고 할 것이다.
2. 압수수색의 장소
가. 압수수색 장소의 특정 : 원격지에 저장된 정보에 대한 압수수색
디지털정보에 대한 압수수색시 통상적으로 그 디지털정보가 담긴 컴퓨터디스크 등의 소재지를 압수수색장소로 하여 왔다.
최근 기업들이 본사가 아닌 곳에 소재한 데이터센터에 서버를 보관하거나, 제3자 소유의 서버를 임차하여 사용하는 경우가 증가하고 있다. 원격 컴퓨팅 서비스 내지 클라우드 컴퓨팅이 보편화되면, 집이나 사무실에 설치된 컴퓨터가 아닌 원거리에 있는 서버나 저장장치에 중요한 디지털정보가 저장되어 있는 경우가 더욱 증가할 것이다.
위와 같은 경우, 압수수색영장에 압수수색장소로 기재된 장소에서 다른 장소에 위치한 저장매체에 접근하여 해당 디지털정보를 가져오는 방법으로 이를 압수할 수 있는지가 문제된다.
살피건대, 압수대상인 디지털정보는 압수수색을 개시할 때부터 수색장소에 있을 것을 요하지 아니하고 압수수색이 종료되기 전까지 수색장소에 확보됨으로써 족하다고 할 것이다.
영장에 기재된 수색장소에서 해당 서버에 접속하여 범죄와 관련된 디지털정보를 수색장소에 있는 PC 등에 다운로드받거나 출력함으로써, 해당 디지털정보가 수색장소에 존재하게 된다.
따라서 이와 같은 방법으로 압수수색을 할 경우 영장에서 허용한 범위를 넘는지의 문제는 실제로는 발생하지 않는다고 볼 것이다.
다만, 압수수색영장이 압수수색의 대상을 ‘특정 장소에서 저장 중인 디지털정보’로 특정하고 있는 경우에는, 그 문언상 압수수색영장의 집행에 착수하여 네트워크를 통하여 다운로드받음으로써 그 장소에 존재하게 되는 정보까지 포함한다고는 보기 어렵다[디지털정보에 관한 것은 아니나, ‘제주도지사 선거법위반 사건’에서, 평소 도지사실에서 보관하던 서류를 도지사 비서관이 압수수색 당시 압수수색 영장에 기재된 장소로 가져갔다가 압수된 경우, 이는 영장에서 압수대상으로 적시하고 있는 ‘특정 장소에서 보관 중인 서류’로 볼 수 없다 하여 그 서류의 증거능력을 부정하였다(대법원 2007. 11. 15. 선고 2007도3061 전 원합의체 판결)].
현재 실무는 수사기관이 ‘압수수색장소에 존재하는 컴퓨터로 해당 웹 사이트에 접속하여 디지털정보를 다운로드한 후 이를 출력 또는 복사하거나 화면을 촬영하는 방법으로 압수한 다.’는 취지를 영장청구서에 기재하여 압수수색영장을 발부받는 등으로 그 적법성을 확보하는 방안을 취하고 있는 것으로 보인다.
위와 같은 취지가 기재된 압수수색영장이 발부되면 수사기관은 피압수자에게 해당 웹 사이트에 접속할 수 있는 아이디와 패스워드 등의 제공을 요구할 수 있고, 이는 형사소송법 제120조에서 정한 ‘압수수색영장의 집행에 필요한 처분’의 범위에 포함될 수 있다고 할 것이다.
피압수자가 아이디와 패스워드를 임의로 제공하지 아니할 경우, 수사기관이 추측하거나 피압수자가 해당 사이트의 접속에 사용하던 PC를 수색하여 여기에 남겨진 아이디, 패스워드 정보를 취득하는 등의 방법으로 범죄 관련정보가 저장된 서버에 접속하는 것이 형사소송법 제120조의 ‘압수수색영장의 집행에 필요한 처분’인지가 문제될 수 있다.
사안의 경중이나 대체 수단(전기통신사업자에 대한 압수수색)의 유무, 긴급성 등 개별적, 구체적 상황에 따라 차이가 있겠으나, 유형물에 대한 압수수색에서 시건된 문이나 금고를 열기 위하여 열쇠기술자를 부르거나, 금고의 시건장치를 손괴하는 것이 허용될 수 있다는 점에 비추어 보면, 필요성을 인정하여야 할 경우가 있을 것으로 판단된다[피고인들이 국가보안법상 국가기밀의 탐지, 수집 등의 혐의로 기소되었던‘일심회’ 사건 항소심에서 피고인들은 국가정보원이 피고인들에게 진술거부권을 고지하지 않은 상태에서 강압적으로 디지털 저장매체의 암호를 획득하였으므로, 이러한 위법한 암호 획득에 따라 디지털 저장매체로부터 출력된 문건은 증거능력이 없다는 주장을 하였다. 이에 대하여 재판부는, 피고인들 이 국가정보원이 자신의 진술 없이 암호를 알아내었다고 진술하였었던 점(암호는 ‘목련’, ‘백유향’, ‘천재왕’, ‘이기자’ 등이었 다)과 수사관이 암호를 묻기에 능력이 있으면 풀어보라고 말했더니 15분 만에 암호(암호는 ‘투쟁’이었다)를 알아내 왔다는 점 등을 들어 피고인들의 위 주장을 배척한 바 있다. 즉, 국가정보원이 피고인들의 동의없이(다만 피고인들에게 진술을 강제하 지 아니하고) 상당한 방법으로 암호를 알아내어 이를 이용하여 문서파일을 열고 출력한 문서의 증거능력을 인정한 것이다].
나. 국외의 서버에 보관중인 정보의 압수수색
우리나라에 지사를 두지 아니한 외국 포탈사의 경우 압수수색영장을 발부하더라도 이를 현실적으로 집행할 방법이 없을 것이다.
반면, 우리나라에 지사를 두고 있는 외국 포탈사라면, 앞에서 원격지 서버에 위치한 정보의 압수수색의 경우와 같이 한국 내에 소재한 동사의 컴퓨터로 외국의 서버에 접속하여 해당 정보를 한국 내에 존재하게 한 다음 압수하는 것은 이론상 가능하다고 할 것이다.
피의자가 구글 등 외국에 서버를 둔 전기통신사업자의 이메일을 사용하는 경우, 위 회사에 대하여 압수수색영장이 발부되는 경우가 있으나, 실무상 자료를 제공받지 못하는 예가 있다.
이러한 경우에도 피의자의 집이나 사무실을 수색하여 그가 사용하는 컴퓨터 등에서 해당 포탈사의 아이디나 패스워드 정보를 취득한 후에 외국에 있는 서버에 접속하여 이메일 정보를 가져와 이를 압수하는 것은 가능하다고 할 것이다.
실무상 일부 외국계 서비스제공자들은 수사기관에 대한 협력을 위하여 홈페이지나 연락처 등을 개설하고(구글은 각 서비스 별로 본사의 이메일계정을 통하여, 페이스북은 수사기관 협력 홈페이지를 통하여 각 본사에 자료제공을 요청할 수 있도록 창구를 개설하고 있는 반면, 한국 지사에서는 자료제공 협조 등의 업무를 제공하지 않고 있는 것으로 보인다), 수사기관이 압수․수색영장을 발부받아 위 연락처 등을 통하여 영장의 사본 등을 제시할 경우 해당된 전자정보를 추출하여 제공하고 있다.
이러한 경우 실무상 압수․수색 영장에 기재하는 압수․수색의 대상은 해외 본사가 보관 중인 정보로, 압수․수색의 장소 역시 외국에 소재한 본사의 주소로 기재하고 있는 것으로 보인다.
따라서, 외국계 서비스제공자가 보유한 전자정보에 대한 압수․수색 영장청구서에 집행의 방법이나 집행 가능성에 대하여 소명이 부족하거나, 압수․수색영장의 실효성에 의문이 있는 경우에는 수사기관으로 하여금 이에 대하여 추가적으로 소명하도록 할 필요가 있다.
정보의 보관자가 피의자인 경우도 문제가 된다.
구글코리아가 스트리트뷰 서비스 준비를 위하여 와이파이(Wi-Fi)망에서 불특정 사용자들이 주고받은 통신정보를 무단 수집, 저장한 혐의로 압수수색을 당한 적이 있다.
당시 위와 같은 정보를 저장한 서버가 미국에 설치되어 있는데, 우리 법관이 발부한 압수수색영장에 의하여 증거를 수집할 수 있는지가 논란이 된 바 있다.
구글코리아가 미국에 있는 서버에 접속하여 해당 디지털정보를 임의로 제공하는 경우 이를 압수하는 것은 문제가 없다.
임의로 제공하지 아니할 경우 압수수색영장의 집행에 필요한 처분(형사소송법 제120조)에 의하여 아이디나 패스워드를 얻어 외국 서버에 접속하는 것은 가능할수 있다.
그러나 피의자가 임의로 정보를 제공하거나, 해당 서버에 접근할 수 있는 아이디나 패스워드를 제공하지 않고, 통상적인 방법으로 접근이 불가능하여 외국 소재 서버에 있는 정보를 우리나라의 사법권이 미치는 영역으로 가져올 수 없다면, 압수수색은 불가능하다고 할 것다.
피의자가 정보보관자인 경우 이에 대하여 관련 증거의 제출이나 증거수집에 협력할 의무를 부과하는 것은 가능할까.
헌법상 자기부죄금지원칙에 비추어 피의자는 자신에게 불리한 증거의 수집에 협력하여야 할 의무를 부과할 수는 없다(이는 전기통신사업자가 정보만 보관할 뿐 범죄혐의와는 무관한 제3자인 경우와는 다르다고 할 것이다).
따라서 제출의무나 협력의무를 부과하거나, 또는 이러한 의무 불이행을 이유로 제재를 가하는 것은 어렵다.
사이버범죄방지조약 제31, 32조가 국경을 넘는 데이터 접근을 허용하는 조항을 두고 있는 점은 국경을 초월하여 저질러지는 사이버범죄에 대하여 각 회원국의 사법기관이 효과적으로 대응하기 위한 방안으로서 시사하는 바가 크다.
