앞서 살펴 본 바와 같이 디지털 증거가 삭제, 변조되기 전에 이를 신속하게 확보하기 위해 보전명령의 제도화가 필요하다. 이미 여러
나라들이 보전명령을 제도화하였고, 우리나라도 정보 보존을 요청할 수 있도록 형사소송법 개정법률안이 발의되었으나, 다른 나라 보전 명령 규정이나 개정법률안을 그대로 적용하기에는 부족함이 있다.
따라서 보전명령의 의미, 요건과 주체, 보전방법, 보전명령의 대상 등을 구체적으로 살펴보고, 이를 토대로 보전명령 규정(안)을 제안 해 보고자 한다.
가. 보전명령의 규범적 의미
보전명령은 서비스 제공자 등 디지털 정보를 보관하거나 소유하 고 있는 자에게 데이터를 보전하도록 의무를 지우는 것이다.
사이버범죄방지협약상 ‘보전’이란, 이미 존재하여 저장되어 있는 데이터를 저장 시점에서 상태를 변경하거나 악화시킬 수 있는 모든 영향으로부터 보호하는 것이며, 수정, 손상, 삭제되지 못하도록 보호 하는 것을 말한다.47) 이와 달리 데이터의 ‘보관’이란 저장된 데이터 의 내용뿐만 아니라 현재의 상태를 변경할 수 있는 모든 가능성으 로부터 보호하는 것을 말하며,48) 데이터를 저장하는 과정인 보관과 이미 저장되어 있는 데이터를 대상으로 하는 보전은 구별되는 개념 이다. 즉 보전명령만으로 서비스 제공자 등에게 데이터의 보관의무 를 지우게 되는 것은 아니고, 따라서 서비스제공자 등에 대한 의무 부과 정도가 크다고 할 수 없다.
보전명령은 디지털 증거의 취약성에 직접적으로 기초한 긴급처분 의 성격을 갖는다. 영장이 발부되기 전 단계에서 수사기관이 피처분 자로 하여금 대상 정보를 삭제하는 것을 임시적으로 금지하는 명령 이다.49) 따라서 보전명령의 피처분자는 통상의 방법으로 데이터에 47) 이용, 앞의 논문, 190면
48) 노명선, “사이버범죄 대처를 위한 EU사이버범죄협약 가입 필요성과 가 입에 따른 협약이행 방안”, 연구용역보고서, 대검찰청(2011), 103면
접근하고 사용할 수 있으며, 수사기관이 이를 제출받거나 수집하기 위해서는 후속 조치로 제출명령 또는 압수수색이 필요하게 된다. 보 전명령 자체만으로 수사기관은 데이터에 접근할 수가 없어 사생활, 영업비밀 등이 보호될 수 있는 것이다.
나. 보전명령의 요건과 주체
(1) 보전명령의 요건사이버범죄방지협약 제16조에 의하면, ①특별한 범죄수사나 형사 절차의 목적이 있고, ②컴퓨터 시스템에 의해서 저장되어 있는 통신 데이터를 포함한 특정한 컴퓨터 데이터가 특히 손실되거나 변경될 수 있다고 믿을 만한 근거가 있는 경우에 보전조치를 취할 수 있 다.50) 이러한 요건을 고려하면서도 국내에서 이를 제도화하기 위해 서는 비례성의 원칙 등 국내 헌법 및 형사절차상 규정을 준수할 수 있도록 하여야 할 것이다.
개정안은 ‘정보를 압수할 필요가 있는 경우’ 보존요청을 할 수 있 는 것으로 규정하였으나, 보전명령은 압수·수색·검증의 선행단계로 영장 등을 청구하기 위한 절차가 진행되는 사이 데이터가 삭제되는 것을 방지하고자 하는 것이므로 그 요건을 압수의 경우와 동일하게 하거나 엄격히 할 경우 실효성이 없다.
따라서 보전명령은 범죄 수사에 필요한 경우로 피의자가 죄를 범 하였다고 의심할 정황이 있고, 정보가 손실 또는 변경될 수 있다는 근거가 있는 경우에는 가능하다고 할 것이다.
49) 이윤제, 앞의 논문, 305면(6면) 50) 이용, 앞의 논문, 209면
(2) 보전명령의 주체
보전명령은 압수·수색 절차가 진행되는 기간 동안 데이터가 삭제 되기 전에 신속하고 긴급하게 이를 보전하는 것에 목적이 있는 만 큼 보전명령 주체는 검사 등 수사기관이어야 한다. 만약 법원이 주 체가 되면, 압수·수색·검증영장 청구 단계와 같이 사법경찰관, 검사 를 거치는 과정에서 신속, 긴급 보전이 불가능하게 된다. 만약 수사 기관의 남용 가능성이 우려된다면, 사후적으로 압수·수색·검증영장 청구나 발부 단계에서 이를 통제하거나 적법절차 준수 여부에 따라 증거능력을 부인하는 방법으로 통제가 가능하므로 목적 및 취지에 맞게 검사 등 수사기관을 보전명령의 주체로 보는 것이 타당하다.
다. 보전명령의 대상
사이버범죄방지협약에 의하면 보전명령 수범자는 ‘데이터를 보유 하고 있거나 관리하고 있는 자’이다. 사이버범죄방지협약에는 보전 조치 조항(제16조 및 제17조)과 절차규정의 적용범위(제14조) 조항 에서 수범자가 서비스 제공자에 한정된 것인지, 보전 필요가 있는 데이터를 보유하거나 관리하고 있는 개인을 비롯한 모든 단체나 기 관을 포함한 것인지 그 수범자의 범위를 명확하게 규정하고 있지 않다.51) 개정안은 정보통신서비스제공자에게 당해 정보가 삭제·변경 되지 않도록 서면으로 요청할 수 있다고 규정하고 있어, 보전조치 또는 보전명령의 대상자가 정보통신서비스제공자임을 전제로 하고 있다.
보전대상, 보전방법 등을 고려할 때 보전명령의 대상자의 범위를 정하는 것은 쉬운 문제는 아니다. 다만, 압수·수색영장의 피처분권자 51) 이용, 앞의 논문, 197면
에는 피혐의자·피의자·피고인, 이들이 아니면서 그 대상이 되는 정 보를 소유, 소지, 관리하는 제3자가 있고, 보전명령은 향후 압수·수 색영장 청구 등 적법절차를 밟기 위해 필수적으로 소요되는 시간을 확보하는 동안 저장된 데이터의 내용 등이 삭제 또는 변경되지 않 도록 일시적으로 보류하는 것이므로 원칙적으로 보전명령의 대상 역시 압수·수색영장의 피처분권자 범위와 동일하여야 할 것이다.
보전명령은 그 자체만으로 제3자에게 보관의무를 지우는 것이 아 니며, 데이터의 제출을 요구하거나 수사기관이 데이터에 접근할 수 있는 것이 아니라 삭제 보류 요청에 그치는 것이므로 인권침해 정 도가 중하지 않다. 따라서 인권보호 및 침해정도와 수사를 통해 실 현하고자 하는 진실발견, 정의실현 사이의 비례성 원칙을 고려해 본 다면, 보전명령의 대상자는 서비스제공자 뿐만 아니라 서비스 제공 을 목적으로 하지 않는 개인과 단체, 피혐의자 등에까지 넓게 적용 되어야 할 것이다. 다만, 개인이나 영세업체의 경우 설비 등의 미비 로 보전방법의 한계가 있을 수 있으므로 이는 보전방법을 다양화함 으로써 보완할 수 있을 것이다.
라. 보전방법
사이버범죄방지협약에는 컴퓨터 데이터의 보전 방법에 대해서는 구체적으로 규정하고 있지 않다. 다만 보전명령이 실효성을 가지려 면 보전할 데이터가 사실상 존재해야 한다.
우리나라는 통화일시, 발신기지국 위치 등을 1년 동안, 인터넷 로 그기록 및 인터넷 접속기록을 3개월 동안 보관하도록 통신사실확인 자료 보관기간에 대하여 통신비밀보호법에 규정52)하고 있고, 전자금 52) 통신비밀보호법 제15조의2 제2항, 시행령 제41조 제2항
융거래와 관련한 전자적 장치의 접속기록 등 전자금융거래 내용을 추적 검색하거나 오류 발생시 확인, 정정할 수 있는 기록을 5년 동 안 보관하도록 전자금융거래기록 보관기간에 대하여 전자금융거래 법에 규정53)하고 있으며, 주문기록, 매매명세 등 투자자의 금융투자 상품의 매매, 그 밖의 거래 관련 자료 등을 10년간 보관하도록 금융 투자업 영위 관련 자료 보관기간에 대하여 자본시장과금융투자업에 관한법률에 규정54)해 두고 있어, 일부 보전명령의 실효성을 확보할 수 있는 데이터 보전에 관한 규정을 이미 마련해 두고 있다.
사이버범죄방지협약은 데이터 보전방법에 대하여 조약 가입국에 게 일임하며 구제적인 방법을 제안하고 있지는 않다.
가능한 보전방법을 검토해 본다면, 제3자의 접근을 배제하는 원본 데이터의 확보 내지는 동일한 내용을 가진 복제본을 확보하는 방법 을 사용할 수 있다. 개인에 대해서는 데이터의 보전을 명령하고 이 와 함께 적극적인 협력의무를 부담시키거나 이와 유사한 방법을 사 용할 수도 있다.55) 다만 디지털 정보에 대한 보전명령은 수사기관이 보전명령만으로는 그 내용에 접근할 수 없음을 전제로 그 요건 등 을 압수·수색과 달리 취급할 수 있으므로 피처분권자가 누구인지에 따라 그 보전방법은 달리할 수 있다.
통신업체 등 서비스제공자들은 통신자료를 백업(Backup)하는 방 법으로 쉽게 보전할 수 있을 것이다.
그러나 서비스를 제공하지 아니하는 개인 등의 경우에는 소규모 로 운영되거나 장비, 기술 등 보전을 수행할 만한 능력이 되지 못하 는 경우가 있다. 이러한 경우 보전방법으로 원본 데이터를 물리이미 징(하드카피)한 복제본을 암호화한 후 복호화키는 보전명령 대상자
53) 전자금융거래법 제22조, 시행령 제12조
54) 자본시장과금융투자업에관한법률 제60조, 시행령 제62조 55) 이용, 앞의 논문, 193면,
보전명령 규정(안)
형사소송법 제108조의2(정보의 보전명령)
① 검사 또는 사법경찰관은 범죄수사에 필요한 때에는 피의자가 죄를 범하였다고 의심할 만한 정황이 있고, 컴퓨터 시스템에 의해서 저장 또는 신뢰할 수 있는 기관이 보관하는 방법이 가능하다. 이때 비밀 분산 기법(Shamir의 Secret Sharing)56)을 이용하면서, 분할된 비밀 키의 일부만으로도 복호화가 가능한 (k, n) threshold 방식57)을 활용 하면 비밀키를 보다 안전하게 이용할 수 있을 것이다. 수사기관 이 외의 믿을 수 있는 제3기관에 원본 데이터를 업로드하는 방법 등이 고려될 수 있고, 보전명령 기간만큼 유효기간을 설정해 두고 기간이 도과하면 자동 폐기되도록 할 수 있다. 이러한 방법을 이용한다면 보전명령의 대상이 개인이라도 보전명령을 이행할 수 있고, 피혐의 자의 개인정보 자기결정권의 침해가 최소화될 수 있을 것이다.
마. 보전명령의 규정(안)
사이버범죄방지협약에서는 개략적인 보전명령에 대하여 정의하면 서 구체적인 방법 등에 대해서는 가입국에 일임하고 있고, 현재 계 류중인 형사소송법 일부개정법률안의 보존요청에 대한 신설규정은 주체와 요건 등이 보전명령의 목적 및 취지에 맞지 않다. 따라서 앞 서 살펴 본 보전명령의 의의 및 취지, 요건 등을 고려하여 보전명령 에 대한 규정안을 제시하면 아래와 같다.
56) 비밀키를 여러 개의 비밀 조각으로 분할하여 다수에게 공유시킴으로써 비밀키를 보다 안전하게 관리하는 방법
57) 분할된 비밀키 조각을 shadow라고 하고, n개의 shadow가 있을 때 k 개의 shadow만 모으면 비밀 정보가 복구 가능하도록 구성하는 방법