요약
매체를 복제하고 파일을 뽑는 동안의 연속성이 무엇으로 남는지를 묻는다. 이미징과 파일 추출, 분석 보고서의 작성 단계에서 어떤 확인이 기록되는지를 정리하고, 그 기록이 앞 장의 봉인 기록과 어떻게 이어지는지 살핀다.
11.1이미징과 해시 확인의 기록
수집과 봉인의 기록을 넘긴 뒤에 남는 물음은, 압수 현장에서 하드디스크를 복제하고 해시값을 확인서에 적는 일이 무엇을 남기는지이다. 수사관은 하드디스크의 내용을 복제하고 해시값을 확인서에 적은 뒤 피압수자 무의 서명을 받았다. 이 기록이 복제 시점을 어떻게 담아내는지를 가리는 일에서, 확인서에 적힌 순서만으로 해시값이 언제 처음 계산되었는지를 단정할 수 없으므로 그 시점은 미정으로 둔다.
복제본에서 뽑은 문건을 증거로 쓰려면 복제된 자료가 원본과 같은지가 먼저 요구된다. 대법원 2013. 7. 26. 선고 2013도2511 판결은 그 요구를 다음과 같이 밝힌다. "정보저장매체 원본을 대신하여 저장매체에 저장된 자료를 ‘하드카피’ 또는 ‘이미징’한 매체로부터 출력한 문건의 경우에는 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체 사이에 자료의 동일성도 인정되어야 할 뿐만 아니라, 이를 확인하는 과정에서 이용한 컴퓨터의 기계적 정확성, 프로그램의 신뢰성, 입력·처리·출력의 각 단계에서 조작자의 전문적인 기술능력과 정확성이 담보되어야 한다"(대법원 2013. 7. 26. 선고 2013도2511 판결). 복제 그 자체로 동일성이 갖추어지는 것이 아니며, 확인에 쓰인 도구와 사람의 정확성까지가 함께 요구된다는 뜻이다. 수사관이 복제와 해시 확인을 현장에서 수행했다고 기록되어 있으나, 사용한 분석 도구의 종류와 설정은 미정이다.
이 요구를 채우는 방식으로 위 판결은 확인서를 먼저 든다. "이 경우 출력 문건과 정보저장매체에 저장된 자료가 동일하고 정보저장매체 원본이 문건 출력 시까지 변경되지 않았다는 점은, 피압수·수색 당사자가 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체의 해쉬(Hash) 값이 동일하다는 취지로 서명한 확인서면을 교부받아 법원에 제출하는 방법에 의하여 증명하는 것이 원칙이나, 그와 같은 방법에 의한 증명이 불가능하거나 현저히 곤란한 경우에는, 정보저장매체 원본에 대한 압수, 봉인, 봉인해제, ‘하드카피’ 또는 ‘이미징’ 등 일련의 절차에 참여한 수사관이나 전문가 등의 증언에 의해 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체 사이의 해쉬 값이 동일하다거나 정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정을 증명하는 방법 또는 법원이 그 원본에 저장된 자료와 증거로 제출된 출력 문건을 대조하는 방법 등으로도 그와 같은 무결성·동일성을 인정할 수 있으며, 반드시 압수·수색 과정을 촬영한 영상녹화물 재생 등의 방법으로만 증명하여야 한다고 볼 것은 아니다"(대법원 2013. 7. 26. 선고 2013도2511 판결). 확인서면이 원칙의 자리에 놓이고, 그것이 어려울 때에는 참여자의 증언이나 법원의 대조가 자리를 대도록 정해진다.
이 사례에서 확인서에는 해시값과 함께 피압수자 무의 서명이 적혀 있다. 위 판결이 원칙으로 삼는 확인서면은 해쉬 값이 동일하다는 취지를 당사자가 서명한 서면이므로, 무의 서명이 그 자리에 놓인 것은 형식상 그 요구에 맞닿는다. 그러나 그 서명이 언제 받아졌는지와 해시값이 언제 계산되었는지는 기록에 나타나지 않으며, 해시값을 처음 계산한 시점은 미정이다. 복제가 끝난 뒤에 해시값을 적은 것인지, 복제 도중에 계산한 것인지를 확인서만으로는 가릴 수 없다.
한편 증거로 제출된 것은 복제본에서 뽑은 파일 300개와 분석 보고서이다. 앞서 인용한 대목은 출력 문건과 원본 저장 자료의 동일성을 요구하므로, 파일 300개가 복제본에서 나왔다는 점과 분석 보고서의 근거가 그 복제본이라는 점이 함께 놓인다. 같은 판결은 정보저장매체에 입력하여 기억된 문자정보 또는 그 출력물이 증거로 사용되는 경우를 다루며, 그 판시사항 [3]은 "‘증거물인 서면’의 증거조사 방식"(대법원 2013. 7. 26. 선고 2013도2511 판결)을 다룬다. 이 사례에서 파일 300개와 분석 보고서가 어떤 조사 방식을 요구하는지는, 그 문건의 성격이 어떻게 정해지는지에 따라 달라진다.
그래서 압수 현장의 확인서가 남기는 것은 복제와 해시 확인이라는 두 행위가 함께 기록되었다는 사실이며, 그 기록이 복제 시점의 확인을 마무리하는지는 단정할 수 없다. 확인서의 시점이나 순서를 추정해 채워 넣지 않는다면, 남는 것은 무의 서명이 확인서 위에 있다는 사실과, 그 확인서가 원본과 복제본의 동일성을 어떻게 증명하는지에 관한 요구가 함께 놓여 있다는 점이다. 복제본이 압수 현장에서 법정에 이르는 동안 무엇을 거쳤는지는 보관 기록이 다룰 일이다.
11.2복제본 보관 기록의 빈칸
복제 시점의 확인이 확인서에 남는다고 해도, 복제본은 법정에 제출될 때까지 사람의 손을 거쳐 보관된다. 이 시기에 보관 기록이 끊기면 무엇이 비게 되는지를 묻는다. 이 사례에서 보관 기록에는 9일간의 빈칸이 있으며, 그 9일 동안 복제본이 누구의 손에 있었는지와 그 사이의 행위는 알 수 없다.
복제본의 경로는 그 자체로 법적 평가의 대상이 된다. 대법원 2013. 7. 26. 선고 2013도2511 판결은 출력 문건을 증거로 쓰기 위한 전제로 무결성을 요구하면서 그 범위를 다음과 같이 밝힌다. "출력 문건과 정보저장매체에 저장된 자료가 동일하고 정보저장매체 원본이 문건 출력 시까지 변경되지 않았다는 점은, 피압수·수색 당사자가 정보저장매체 원본과 '하드카피' 또는 '이미징'한 매체의 해쉬(Hash) 값이 동일하다는 취지로 서명한 확인서면을 교부받아 법원에 제출하는 방법에 의하여 증명하는 것이 원칙이나, 그와 같은 방법에 의한 증명이 불가능하거나 현저히 곤란한 경우에는, 정보저장매체 원본에 대한 압수, 봉인, 봉인해제, '하드카피' 또는 '이미징' 등 일련의 절차에 참여한 수사관이나 전문가 등의 증언에 의해 정보저장매체 원본과 '하드카피' 또는 '이미징'한 매체 사이의 해쉬 값이 동일하다거나 정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정을 증명하는 방법 또는 법원이 그 원본에 저장된 자료와 증거로 제출된 출력 문건을 대조하는 방법 등으로도 그와 같은 무결성·동일성을 인정할 수 있으며, 반드시 압수·수색 과정을 촬영한 영상녹화물 재생 등의 방법으로만 증명하여야 한다고 볼 것은 아니다." 이 판시는 확인서면의 교부·제출을 원칙적 증명 수단으로 두면서도, 밀봉 유지나 절차 참여자의 증언 등 대체 수단을 열어 둔다. 이 사례에서 피압수자 무의 서명을 받은 확인서는 원칙적 수단에 맞닿는 기록이지만, 복제본이 법정에 이르는 경로에 관한 기록은 별개로 남는다.
9일의 빈칸은 그 경로 중간에 무엇이 비어 있는지를 드러낸다. 복제본이 누구의 손에 있었는지 미정이고, 그 사이에 어떤 조작이 있었는지도 미정이다. 이 항목들이 비어 있는 것은 무결성이 이미 무너졌다는 뜻이 아니라, 무결성을 확인할 근거가 그 구간에서 확인되지 않는다는 뜻이다. 확정할 수 없는 사실을 지어내어 채워 넣지 않는다.
보관 기록의 빈칸은 증명의 통로를 좁히지만 닫지는 않는다. 앞서 인용한 판시가 요구하는 바는 원본과 사본의 동일성, 그리고 원본의 변경 없음이며, 확인서면의 교부·제출은 그 증명을 떠받치는 한 가지 방법이다. 이 사례에서 확인서가 확보되었다는 사실은 그 한 가지 방법이 갖추어졌음을 뜻한다. 다만 파일 300개를 뽑은 기준과 그 선택이 누구의 판단에 따른 것인지, 사용한 분석 도구의 종류와 설정은 미정이므로, 이 항목들은 관찰된 사실의 나열로 남는다.
무결성의 판정은 확인서 하나의 유무로 정해지지 않는다. 확인서는 원본과 복제본의 동일성을 증명하는 원칙적 수단으로 기능하고, 보관 기록의 빈칸은 그 수단이 닿지 않는 구간에 무엇이 남는지를 가른다. 이 사례에서 9일의 빈칸이 남긴 것은 소재와 경위의 미정이며, 그 미정은 무결성의 확정이나 증거능력의 유무라는 법적 평가를 대신하지 않는다.
11.3원본과 사본의 동일성 증명
보관 기록의 빈칸을 해소하는 열쇠는 확인서면에 남은 서명과 해시값뿐 아니라, 그것이 증명해야 할 대상의 범위에 있다. 대법원은 정보저장매체의 출력물을 증거로 쓰기 위한 요건을 다음과 같이 밝혔다. "압수물인 컴퓨터용 디스크 그 밖에 이와 비슷한 정보저장매체(이하 ‘정보저장매체’라고만 한다)에 입력하여 기억된 문자정보 또는 그 출력물(이하 ‘출력 문건’이라 한다)을 증거로 사용하기 위해서는 정보저장매체 원본에 저장된 내용과 출력 문건의 동일성이 인정되어야 하고, 이를 위해서는 정보저장매체 원본이 압수 시부터 문건 출력 시까지 변경되지 않았다는 사정, 즉 무결성이 담보되어야 한다."(대법원 2013. 7. 26. 선고 2013도2511 판결) 확인서면이 겨냥하는 무결성은 압수 시점에서 문건 출력 시점까지의 전 구간에 걸치므로, 보관 기록의 빈칸은 그 구간 중 한 대목에 남게 된다.
복제본을 거쳐 출력 문건이 만들어진 경우에는 판단할 고리가 하나 더 늘어난다. 같은 판결은 그 사정을 이렇게 설명한다. "특히 정보저장매체 원본을 대신하여 저장매체에 저장된 자료를 ‘하드카피’ 또는 ‘이미징’한 매체로부터 출력한 문건의 경우에는 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체 사이에 자료의 동일성도 인정되어야 할 뿐만 아니라, 이를 확인하는 과정에서 이용한 컴퓨터의 기계적 정확성, 프로그램의 신뢰성, 입력·처리·출력의 각 단계에서 조작자의 전문적인 기술능력과 정확성이 담보되어야 한다."(대법원 2013. 7. 26. 선고 2013도2511 판결) 법정에 제출된 것은 복제본에서 뽑은 파일 300개와 분석 보고서이므로, 이 사례에서 원본과 사본의 동일성은 노트북 하드디스크와 그 복제본 사이의 관계를 가리킨다. 아울러 확인 과정에 쓰인 컴퓨터와 프로그램, 각 단계의 조작자에 관한 사정도 함께 담보되어야 하는데, 사용한 분석 도구의 종류와 설정은 미정으로 남는다.
동일성을 증명하는 원칙적인 방법은 당사자 서명이 있는 확인서면의 제출이다. 같은 판결은 그 방법과 예외를 함께 제시한다. "이 경우 출력 문건과 정보저장매체에 저장된 자료가 동일하고 정보저장매체 원본이 문건 출력 시까지 변경되지 않았다는 점은, 피압수·수색 당사자가 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체의 해쉬(Hash) 값이 동일하다는 취지로 서명한 확인서면을 교부받아 법원에 제출하는 방법에 의하여 증명하는 것이 원칙이나, 그와 같은 방법에 의한 증명이 불가능하거나 현저히 곤란한 경우에는, 정보저장매체 원본에 대한 압수, 봉인, 봉인해제, ‘하드카피’ 또는 ‘이미징’ 등 일련의 절차에 참여한 수사관이나 전문가 등의 증언에 의해 정보저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체 사이의 해쉬 값이 동일하다거나 정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정을 증명하는 방법 또는 법원이 그 원본에 저장된 자료와 증거로 제출된 출력 문건을 대조하는 방법 등으로도 그와 같은 무결성·동일성을 인정할 수 있으며, 반드시 압수·수색 과정을 촬영한 영상녹화물 재생 등의 방법으로만 증명하여야 한다고 볼 것은 아니다."(대법원 2013. 7. 26. 선고 2013도2511 판결) 이 사례에서 피압수자 무가 서명한 확인서는 원본과 복제본의 해시값이 동일하다는 취지를 담았으므로, 원칙적인 증명 방법에 부합하는 문서가 채택된 셈이다.
다만 확인서면이 제출되었다고 해서 무결성·동일성의 증명이 마무리되는 것은 아니다. 확인서면이 증명하려는 시점은 해시값을 계산한 시점이므로, 해시값을 처음 계산한 시점이 언제인지에 따라 증명이 덮는 범위가 정해진다. 이 항목은 미정으로 남으므로, 확인서면이 압수 시부터 문건 출력 시까지의 전 구간을 덮는지 여부는 아직 판단할 수 없다. 게다가 그 확인서면은 원본과 복제본 사이의 동일성을 겨냥할 뿐, 복제본에서 파일 300개를 뽑은 기준이나 그 선택이 누구의 판단에 따른 것인지까지 함께 다루지는 않는다. 그 선택의 기준과 주체 역시 미정이므로, 출력 문건으로 제출된 파일 300개와 복제본에 저장된 자료의 동일성은 확인서면만으로는 아직 증명되지 않은 채 남는다.
한편 보관 기록의 빈칸은 판결이 제시한 대체 증명의 길을 남겨 둔다. 앞서 본 바와 같이 확인서면에 의한 증명이 불가능하거나 현저히 곤란한 때에는 절차 참여자의 증언이나 법원의 대조로 무결성·동일성을 인정할 수 있으나, 이 사례에서 9일간의 빈칸은 복제본의 소재와 그 사이의 행위를 비워 둔다. 절차에 참여한 수사관이나 전문가가 그 9일의 경위에 관하여 무엇을 증언하는지, 법원의 대조가 어떤 대상에 대하여 이루어질 수 있는지에 관한 자료는 없다. 따라서 확인서면에 담긴 서명과 해시값이 원본과 사본의 동일성 증명에 어느 구간까지 미치는지, 그리고 그 부족분이 어떤 방법으로 채워질 수 있는지는 미정으로 남는다.
11.4추출 정보의 증거조사 방식
복제본에서 뽑은 파일과 분석 보고서가 법정에서 어떤 방식으로 조사되는지가 남은 쟁점이다. 형사소송규칙 제134조의7은 컴퓨터용디스크 등에 기억된 문자정보를 증거자료로 다루는 경우의 증거조사 방식을 정한다. 그 조문은 「컴퓨터용디스크 그 밖에 이와 비슷한 정보저장매체(다음부터 이 조문 안에서 이 모두를 “컴퓨터디스크 등”이라 한다)에 기억된 문자정보를 증거자료로 하는 경우에는 읽을 수 있도록 출력하여 인증한 등본을 낼 수 있다」(형사소송규칙 제134조의7)고 정한다. 이 사례에서 복제본에서 추출한 파일 300개는 그 복제본에 기억된 문자정보에서 나온 것이므로, 조문이 말하는 증거자료의 모습에 놓인다.
위 조문이 정하는 등본의 요건은 읽을 수 있도록 출력한 것과 그 출력을 인증한 것이다. 여기서 인증이 무엇을 뜻하는지, 누가 어떻게 인증하는지는 조문이 더 말하지 않는다. 이 사례에서 파일 300개가 그 출력에 해당하는지, 그 출력에 인증이 붙었는지는 확정된 사실로 주어지지 않았다. 그러므로 이 사례에서 인증의 구체한 방법이나 주체는 미정으로 남는다.
증거조사를 신청한 쪽이 밝혀야 할 사항도 조문에 정해져 있다. 「컴퓨터디스크 등에 기억된 문자정보를 증거로 하는 경우에 증거조사를 신청한 당사자는 법원이 명하거나 상대방이 요구한 때에는 컴퓨터디스크 등에 입력한 사람과 입력한 일시, 출력한 사람과 출력한 일시를 밝혀야 한다」(형사소송규칙 제134조의7)는 것이 바로 그것이다. 이 사례에서 파일 300개를 뽑은 기준과 그 선택이 누구의 판단에 따른 것인지가 미정으로 남아 있으므로, 출력한 사람과 출력한 일시를 밝히는 일은 그 미정 항목과 맞닿는다.
한편 분석 보고서는 파일 300개와 그 지위가 다르다. 분석 보고서는 복제본에 기억된 문자정보 자체를 읽을 수 있도록 출력한 등본이 아니라, 그 문자정보를 살핀 결과를 적은 문서다. 형사소송규칙 제134조의7 제1항은 증거자료로 삼는 것이 해당 정보저장매체에 기억된 문자정보임을 전제하므로, 그 문자정보에서 파생한 분석의 결과가 같은 방식으로 조사되는지에 관하여는 조문이 답하지 않는다.
아울러 형사소송규칙 제134조의7 제3항은 「컴퓨터디스크 등에 기억된 정보가 도면·사진 등에 관한 것인 때에는 제1항과 제2항의 규정을 준용한다」고 정한다. 이 사례에서 파일 300개가 문자정보인지 도면·사진 등인지는 미정으로 남으나, 어느 쪽이든 위 조문의 준용이 함께 놓인다.
따라서 형사소송규칙 제134조의7은 증거조사의 대상과 방식만을 정할 뿐이다. 이 사례에서 확인서에 기록된 해시값과 9일간의 빈칸이 있는 보관 기록이 어떤 평가를 받을지는, 이 조문이 대답하는 범위에 놓이지 않는다. 조문이 정한 방식대로 조사가 이루어졌다는 사정만으로 증거능력의 유무가 확정된다고 읽을 수 없다.
11.5봉인 기록과 분석 기록의 이음
복제본의 보관 이력이 9일간 비어 있는 사실에서 출발하여, 압수 시점의 봉인과 분석 시점의 확인이 어디에서 맞물리는지를 따져야 한다. 대법원은 정보저장매체의 무결성이 담보되는 시점의 범위를 이렇게 정한다. "정보저장매체 원본에 저장된 내용과 출력 문건의 동일성이 인정되어야 하고, 이를 위해서는 정보저장매체 원본이 압수 시부터 문건 출력 시까지 변경되지 않았다는 사정, 즉 무결성이 담보되어야 한다"(대법원 2013. 7. 26. 선고 2013도2511 판결). 이 사례에서 노트북 하드디스크는 압수 현장에서 복제되었고, 법정에 제출된 파일은 그 복제본에서 뽑힌 것이므로, 무결성이 담보되어야 할 기간은 압수에서 출력에 이르는 전체에 걸친다.
확인의 방법으로는 서명 확인서가 원칙에 해당한다. 같은 판결은 그 취지를 이렇게 밝힌다. "출력 문건과 정보저장매체에 저장된 자료가 동일하고 정보저장매체 원본이 문건 출력 시까지 변경되지 않았다는 점은, 피압수·수색 당사자가 정보저장매체 원본과 '하드카피' 또는 '이미징'한 매체의 해쉬(Hash) 값이 동일하다는 취지로 서명한 확인서면을 교부받아 법원에 제출하는 방법에 의하여 증명하는 것이 원칙이나, 그와 같은 방법에 의한 증명이 불가능하거나 현저히 곤란한 경우에는, 정보저장매체 원본에 대한 압수, 봉인, 봉인해제, '하드카피' 또는 '이미징' 등 일련의 절차에 참여한 수사관이나 전문가 등의 증언에 의해 정보저장매체 원본과 '하드카피' 또는 '이미징'한 매체 사이의 해쉬 값이 동일하다거나 정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정을 증명하는 방법 또는 법원이 그 원본에 저장된 자료와 증거로 제출된 출력 문건을 대조하는 방법 등으로도 그와 같은 무결성·동일성을 인정할 수 있으며, 반드시 압수·수색 과정을 촬영한 영상녹화물 재생 등의 방법으로만 증명하여야 한다고 볼 것은 아니다"(대법원 2013. 7. 26. 선고 2013도2511 판결). 이 사례에서 확인서에는 해시값이 적혀 있고 피압수자 무가 서명을 하였으므로, 원칙에 따른 증명 방법이 쓰인 셈이다. 다만 확인서는 해시가 계산된 시점과 그 값을 계산한 이가 누구인지 드러내지 않는다.
확인서가 기록하는 것은 해시값의 일치이지만, 해시가 계산된 시점이 언제인지 밝혀지지 않았다. 앞에서 본 무결성의 담보 기간이 압수에서 출력까지라는 점에 비추어, 처음 계산된 시점이 이 기간의 어느 지점인지에 따라 확인서가 덮는 범위가 달라진다. 그 지점이 미정으로 남아 있는 한, 확인서와 봉인 기록이 정확히 겹치는 범위 역시 미정이다. 확인서와 봉인 기록 사이에 이어진 고리는 해시값의 동일함이고, 끊긴 자리는 그 해시가 언제 만들어졌는지이다.
보관 기록의 9일간 빈칸은 그 지점에 겹쳐 놓인다. 이 기간 동안 복제본이 누구의 손에 있었는지 미정이므로, 그 사이 복제본의 상태가 어떻게 이어졌는지는 자료가 말하지 않는다. 같은 판결은 무결성의 담보 수단으로 "정보저장매체 원본이 최초 압수 시부터 밀봉되어 증거 제출 시까지 전혀 변경되지 않았다는 등의 사정"을 든다(대법원 2013. 7. 26. 선고 2013도2511 판결). 확인서의 해시로 확인되는 시점과, 빈칸으로 비어 있는 보관 기간 사이의 간격이 어떻게 메워지는지는 정해지지 않았다.
분석 단계의 기록도 마찬가지로 남는다. 사용한 분석 도구의 종류와 설정이 미정이며, 파일 300개를 뽑은 기준과 그 선택이 누구의 판단에 따른 것인지도 미정이다. 앞에서 본 판결은 확인 과정에 쓰인 수단의 신뢰성을 함께 요구하는데, 그 취지는 이렇게 읽힌다. "이를 확인하는 과정에서 이용한 컴퓨터의 기계적 정확성, 프로그램의 신뢰성, 입력·처리·출력의 각 단계에서 조작자의 전문적인 기술능력과 정확성이 담보되어야 한다"(대법원 2013. 7. 26. 선고 2013도2511 판결). 이 사례에서 도구의 종류와 설정, 선택의 기준이 밝혀지지 않았으므로, 이 요구가 어느 범위에서 채워졌는지는 미정이다.
이렇게 봉인 기록과 분석 기록은 해시값을 계기로 이어지되, 계산 시점과 보관 이력, 도구와 선택 기준의 자리에서 끊어진다. 파일 300개 선정 기준의 당부와 그 선택이 법정에서 갖는 증거능력의 유무는 여기에서 정해지지 않는다.