Criminal · Lead review files · 2026-09-30
Was only the data related to the charge taken from the phone?
In practice materials where a mobile phone was seized, the on-site selection record, the record of creating a full copy, the hash value records, and the analysis report point to different ranges of data. Before discussing the reliability and admissibility of digital evidence, we compare what data was selected and copied, when and how, and how data unrelated to the charge was handled.
For review and research; this file does not make a legal determination or verify a precedent.
Use this file when
It is used when the seizure of the phone is not disputed, but the explanations diverge over what and how much was taken, whether the copy is identical to the original, and how unrelated data was dealt with.
Material to examine
- In practice materials of this kind, the selection record made when the phone was seized, the record of creating a full copy at the investigating agency's office, hash value records from two points in time, and an analysis report are given together.
- The selection record states that only messages from a certain period were extracted, but the analysis report also cites photos and location data from outside that period, without stating which copy that data came from.
- The hash records state that the values at the time of copying and just before analysis are the same, but no record is given of deleting or disposing of data unrelated to the charge, or of giving the owner an opportunity to participate or notice.
Two readings to test
If the photos and location data cited in the analysis report were found by searching the full copy again, whether that search was conducted within the warrant's scope with an opportunity to participate becomes the first question.
If that data was extracted together at the on-site selection stage, whether the period stated in the selection record failed to describe the actual extraction range, and what the hash values confirm, remain as questions.
From material to a review packet
- 01
Evidence
Linking each cited item in the report to its source copy
Read and compare: For each message, photo, and location entry cited in the analysis report, which of the selected extraction and the full copy it came from is traced by file path and creation time.
Leave for review: A link table is left separating citations whose source is confirmed from citations whose source is blank.
- 02
Domain desks
Setting the scope of selection and copying against the warrant
Read and compare: The warrant's description of the scope and period of data to be seized is mapped to the target ranges in the on-site selection record and the full-copy creation record.
Leave for review: A summary table is left separating extractions within the warrant's description, extractions outside it, and extractions that require interpretation.
- 03
Other side
Dividing what the hash values confirm
Read and compare: Which file or image each hash value at copying and just before analysis was calculated for, and with what tool and at what time, is drawn from the records.
Leave for review: A custody timeline is left marking the intervals where identity is confirmed and where it is not, and noting that a hash value does not speak to the truth of the content.
- 04
Matter organiser
Summarizing the questions the record cannot answer
Read and compare: Whether there are materials showing deletion or disposal of unrelated data, records of participation opportunities and notice, and whether the data subjects were notified, is examined.
Leave for review: A memo is left separating the parts to be confirmed through inspection of records or examination of evidence from the questions requiring separate legal analysis.
Working judgment
What the materials confirm is that the phone was seized, that a selected extraction and a full copy were made, and that some hash values match. Whether the data cited in the report was lawfully searched within the permitted scope has not yet been determined. No source is assumed in advance; the link table by citation and the custody timeline are left side by side.
What would change this judgment
If analysis records identifying the source files of the cited data, or records of participation and notice when the full copy was searched, are confirmed, the scope comparison changes. The affected citations are linked again, and the previous link table is left in place alongside.
Study
Reading the provisions
Written by an AI model from the official article text on the National Law Information Center alone, then checked against the same text by a second model (multi-model cross-check). General information, not legal advice. Articles as of 2026-10-05
휴대전화 한 대에는 혐의와 관련된 메시지뿐 아니라 사진, 위치, 연락처, 다른 사람과 나눈 사적인 대화가 함께 들어 있어서, 휴대전화를 압수했다는 사실만으로 그 안의 모든 정보를 가져가도 된다는 결론이 나오지 않습니다. 이런 연습 자료에서는 현장 선별 기록과 전체 복제본 생성 기록, 해시값 기록과 분석 보고서가 서로 다른 범위를 가리키면서 보고서가 인용한 정보의 출처와 무관한 정보의 처리가 흐려집니다. 이 지점에서는 정보저장매체의 압수 방식을 정한 조문과 정보주체에 대한 통지, 디지털 자료의 성립을 증명하는 방법을 정한 조문을 같은 연표 위에 놓고 함께 살필 필요가 생깁니다.
정보저장매체 압수의 원칙과 예외
형사소송법 제106조 제3항은 압수의 목적물이 컴퓨터용디스크, 그 밖에 이와 비슷한 정보저장매체인 경우에는 기억된 정보의 범위를 정하여 출력하거나 복제하여 제출받아야 하고, 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 때에는 정보저장매체 등을 압수할 수 있다고 정합니다. 같은 조 제1항은 압수를 피고사건과 관계가 있다고 인정할 수 있는 것에 한정하며, 형사소송법 제219조는 이 조를 사법경찰관의 압수에 준용합니다. 따라서 범위를 정한 선별이 원칙이고 매체 자체나 전체 복제본을 가져가는 일은 예외이므로, 그 예외 사유가 기록에 남아 있는지를 먼저 살핍니다.
일상에서는 휴대전화를 가져갔다는 말과 그 안의 정보를 가져갔다는 말이 같은 뜻으로 쓰이지만, 이 조문은 매체와 정보를 구분하고 정보 가운데서도 범위를 정하도록 요구합니다. 이런 연습 자료에서는 현장 선별 기록이 특정 기간의 메시지만 추출했다고 적으면서도 사무실에서 전체 복제본을 따로 만들었으므로, 전체 복제가 어떤 예외 사유에 기댄 것인지와 그 사유가 어느 기록에 적혀 있는지를 정리표에 적습니다.
탐색 단계의 참여와 영장 범위
형사소송법 제121조는 검사, 피고인 또는 변호인이 압수·수색영장의 집행에 참여할 수 있다고 하고, 형사소송법 제122조는 집행의 일시와 장소를 미리 통지하여야 한다고 정하며, 형사소송법 제219조는 이 조문들을 사법경찰관의 압수·수색에 준용합니다. 판례는 정보저장매체 자체나 전체 복제본을 수사기관 사무실로 옮겨 그 안에서 혐의와 관련된 정보를 탐색하고 출력하는 과정도 압수·수색영장 집행의 일환이라고 보고, 그 과정에서 피압수자 측에 참여의 기회를 보장하는 등 절차를 지켜야 한다고 봅니다. 그러므로 현장 선별 단계와 사무실 탐색 단계를 하나의 집행으로 묶어 적지 않고 단계마다 참여와 통지의 기록을 따로 붙입니다.
판례는 혐의사실과 관련된 정보를 탐색하는 과정에서 별도의 범죄 혐의에 관한 정보를 우연히 발견한 경우 더 이상의 추가 탐색을 멈추고 별도의 영장을 발부받아야 그 정보를 적법하게 압수·수색할 수 있다고 봅니다. 이런 연습 자료에서 분석 보고서가 선별 기간 밖의 사진과 위치 정보를 인용하고 있다면, 그 정보가 영장의 범위 안에 있는지, 범위 밖이라면 별도의 근거가 있는지를 인용마다 표시합니다. 형사소송법 제198조 제4항은 수사기관이 수사 중인 사건의 범죄 혐의를 밝히기 위한 목적으로 합리적인 근거 없이 별개의 사건을 부당하게 수사하여서는 아니 된다고 정하므로, 범위 밖 정보가 활용된 경위도 함께 기록합니다.
해시값이 확인하는 것과 확인하지 않는 것
해시값은 같은 계산 방식을 같은 데이터에 적용하면 같은 값이 나온다는 성질을 이용하여 두 시점의 파일이나 이미지가 서로 같은지를 확인하는 데에 쓰입니다. 그러나 해시값이 같다는 것은 계산 대상이 된 데이터가 그사이에 바뀌지 않았다는 점을 보여 줄 뿐, 그 데이터가 언제 어떤 범위로 만들어졌는지나 그 안의 내용이 사실과 맞는지까지 말해 주지는 않습니다. 이런 연습 자료에서는 복제 당시와 분석 직전의 해시값이 어떤 파일 또는 이미지에 대해 계산되었는지부터 확인하고, 보고서가 인용한 정보가 그 계산 대상 안에 있는지를 따로 표시합니다.
판례는 정보저장매체에서 출력한 문건을 증거로 쓰려면 원본과 출력 문건 사이의 동일성과 무결성이 인정되어야 하고, 이는 해시값의 비교나 압수·봉인·복제의 과정에 관한 기록 등으로 증명할 수 있다고 봅니다. 그러므로 보관 연표에는 압수와 봉인, 복제, 분석의 각 단계에서 누가 매체를 다루었고 어떤 값이 기록되었는지를 시각순으로 적고, 기록이 비어 있는 구간은 빈칸 그대로 남깁니다. 보관 경위에 공백이 있다는 점과 실제로 내용이 바뀌었다는 점은 서로 다른 질문이므로 같은 결론으로 묶지 않습니다.
무관한 정보의 처리와 정보주체
형사소송법 제106조 제4항은 법원이 제3항에 따라 정보를 제공받은 경우 개인정보 보호법 제2조 제3호에 따른 정보주체에게 해당 사실을 지체 없이 알려야 한다고 정하고, 형사소송법 제219조는 이 조를 사법경찰관의 압수에 준용합니다. 개인정보 보호법 제2조 제3호는 정보주체를 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람이라고 정의하므로, 휴대전화 소유자뿐 아니라 메시지와 사진에 등장하는 다른 사람도 정보주체가 될 수 있는지 함께 살핍니다. 이런 연습 자료에서는 통지 기록이 주어지지 않았으므로 통지가 있었는지를 단정하지 않고 확인할 항목으로 남깁니다.
형사소송법 제198조 제2항은 사법경찰관리와 그 밖에 직무상 수사에 관계있는 자가 피의자 또는 다른 사람의 인권을 존중하고 수사과정에서 알게 된 비밀을 엄수하여야 한다고 정합니다. 판례는 혐의사실과 관련된 정보의 압수가 끝나면 혐의와 무관한 정보를 삭제·폐기하거나 반환하여야 하고, 이를 계속 보관하면서 다시 탐색하는 일은 원칙적으로 허용되지 않는다고 봅니다. 이런 연습 자료에서는 전체 복제본이 분석 뒤에도 남아 있었는지와 무관한 정보의 삭제·폐기 기록이 있는지를 보관 연표의 마지막 단계로 적습니다.
디지털 자료의 성립 증명과 조문 밖의 질문
형사소송법 제313조 제1항은 피고인 또는 피고인 아닌 자가 작성한 진술서나 그 진술을 기재한 서류에 정보저장매체에 저장된 문자·사진·영상 등의 정보를 포함시키고, 공판준비나 공판기일에서 작성자 또는 진술자의 진술에 의하여 그 성립의 진정함이 증명된 때에는 증거로 할 수 있다고 정합니다. 같은 조 제2항은 진술서의 작성자가 성립의 진정을 부인하는 경우에도 과학적 분석결과에 기초한 디지털포렌식 자료, 감정 등 객관적 방법으로 성립의 진정함이 증명되는 때에는 증거로 할 수 있다고 하면서, 피고인 아닌 자가 작성한 진술서는 피고인 또는 변호인이 그 기재 내용에 관하여 작성자를 신문할 수 있었을 것을 요한다고 정합니다. 이 조문은 수집 절차의 적법성과는 다른 층위의 요건이므로, 메시지의 작성자가 누구인지와 그 성립을 무엇으로 증명하는지는 연결표와 별도의 칸에 적습니다.
형사소송법 제308조의2가 정한 대로 적법한 절차에 따르지 아니하고 수집한 증거는 증거로 할 수 없으므로, 범위 밖에서 탐색된 정보는 성립의 진정을 묻기 전에 수집 절차의 질문을 먼저 거칩니다. 전체 복제가 예외 사유에 해당하는지, 참여의 기회가 실질적으로 보장되었는지, 무관한 정보의 보관이 어느 시점부터 문제 되는지는 조문만으로 정해지지 않으며 사안마다 달라질 수 있습니다. 이 해설은 증거능력의 결론을 제시하지 않으며, 절차의 진행이나 증명 방법에 관한 나머지 부분은 다루지 않습니다.
Checks, in order
- 분석 보고서가 인용한 정보마다 선별 추출본과 전체 복제본 가운데 어느 파일에서 나왔는지 확인합니다.
- 영장에 적힌 압수할 정보의 범위와 기간이 현장 선별 기록과 전체 복제본의 대상 범위와 맞는지 확인합니다.
- 전체 복제를 한 사유와 사무실 탐색 단계의 참여 기회·통지 기록이 있는지 확인합니다.
- 두 시점의 해시값이 어떤 파일 또는 이미지에 대해 어떤 도구로 계산되었는지 확인합니다.
- 혐의와 무관한 정보의 삭제·폐기·반환 기록과 정보주체에 대한 통지 기록이 있는지 확인합니다.
Articles discussed
- 형사소송법 제106조피고사건과 관계가 있는 것에 한정한 압수, 정보저장매체의 경우 범위를 정한 출력·복제의 원칙과 매체 압수의 예외, 정보를 제공받은 경우 정보주체에 대한 지체 없는 통지를 정합니다.
- 형사소송법 제219조제106조, 제114조, 제118조부터 제132조까지 등 법원의 압수·수색에 관한 규정을 사법경찰관의 압수, 수색 또는 검증에 준용함을 정합니다.
- 형사소송법 제121조검사, 피고인 또는 변호인이 압수·수색영장의 집행에 참여할 수 있음을 정합니다.
- 형사소송법 제122조영장 집행의 일시와 장소를 참여권자에게 미리 통지하여야 함과 참여하지 아니한다는 의사를 명시한 때 또는 급속을 요하는 때의 예외를 정합니다.
- 형사소송법 제198조인권 존중과 수사과정에서 알게 된 비밀의 엄수, 수사 관련 서류와 물건의 목록 작성, 합리적 근거 없는 별개 사건 수사의 금지 등 수사의 준수사항을 정합니다.
- 형사소송법 제313조정보저장매체에 저장된 정보를 포함한 진술서 등의 성립 진정 증명, 작성자가 부인하는 경우 디지털포렌식 자료나 감정 등 객관적 방법에 의한 증명, 감정서의 취급을 정합니다.
- 형사소송법 제308조의2적법한 절차에 따르지 아니하고 수집한 증거는 증거로 할 수 없음을 정합니다.
- 형사소송법 제292조의3도면·사진·녹음테이프·비디오테이프·컴퓨터용디스크 등 문서가 아닌 증거의 조사에 필요한 사항을 대법원규칙으로 정하도록 합니다.
- 개인정보 보호법 제2조개인정보, 가명처리, 처리, 정보주체 등의 뜻을 정하며 정보주체를 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람으로 정의합니다.
Questions that remain
- 선별 기간 밖의 사진과 위치 정보가 어느 단계에서 추출되었는지는 어떤 기록으로 가릴 수 있습니까?
- 해시값이 같다는 기록은 보고서가 인용한 개별 정보의 동일성까지 보여 줍니까?
- 무관한 정보를 보관한 기간은 어느 시점부터 문제로 볼 수 있습니까?
Read the complete review brief
Review this preparation file. Keep the supplied material separate from interpretations and missing information. Do not invent legal provisions, precedents or deadlines. Return a review draft, not a filing or an external message. Was only the data related to the charge taken from the phone? In practice materials where a mobile phone was seized, the on-site selection record, the record of creating a full copy, the hash value records, and the analysis report point to different ranges of data. Before discussing the reliability and admissibility of digital evidence, we compare what data was selected and copied, when and how, and how data unrelated to the charge was handled. Material to examine In practice materials of this kind, the selection record made when the phone was seized, the record of creating a full copy at the investigating agency's office, hash value records from two points in time, and an analysis report are given together. The selection record states that only messages from a certain period were extracted, but the analysis report also cites photos and location data from outside that period, without stating which copy that data came from. The hash records state that the values at the time of copying and just before analysis are the same, but no record is given of deleting or disposing of data unrelated to the charge, or of giving the owner an opportunity to participate or notice. Two readings to test If the photos and location data cited in the analysis report were found by searching the full copy again, whether that search was conducted within the warrant's scope with an opportunity to participate becomes the first question. If that data was extracted together at the on-site selection stage, whether the period stated in the selection record failed to describe the actual extraction range, and what the hash values confirm, remain as questions. 1. Evidence — Linking each cited item in the report to its source copy Read and compare: For each message, photo, and location entry cited in the analysis report, which of the selected extraction and the full copy it came from is traced by file path and creation time. Leave for review: A link table is left separating citations whose source is confirmed from citations whose source is blank. 2. Domain desks — Setting the scope of selection and copying against the warrant Read and compare: The warrant's description of the scope and period of data to be seized is mapped to the target ranges in the on-site selection record and the full-copy creation record. Leave for review: A summary table is left separating extractions within the warrant's description, extractions outside it, and extractions that require interpretation. 3. Other side — Dividing what the hash values confirm Read and compare: Which file or image each hash value at copying and just before analysis was calculated for, and with what tool and at what time, is drawn from the records. Leave for review: A custody timeline is left marking the intervals where identity is confirmed and where it is not, and noting that a hash value does not speak to the truth of the content. 4. Matter organiser — Summarizing the questions the record cannot answer Read and compare: Whether there are materials showing deletion or disposal of unrelated data, records of participation opportunities and notice, and whether the data subjects were notified, is examined. Leave for review: A memo is left separating the parts to be confirmed through inspection of records or examination of evidence from the questions requiring separate legal analysis. Working judgment: What the materials confirm is that the phone was seized, that a selected extraction and a full copy were made, and that some hash values match. Whether the data cited in the report was lawfully searched within the permitted scope has not yet been determined. No source is assumed in advance; the link table by citation and the custody timeline are left side by side. What would change this judgment: If analysis records identifying the source files of the cited data, or records of participation and notice when the full copy was searched, are confirmed, the scope comparison changes. The affected citations are linked again, and the previous link table is left in place alongside.