외국 서버에 있는 디지털 증거의 압수

재작년에 선고된 대법원 판결을 소개합니다. 대법원 2017. 11. 29. 선고 2017도9747 판결. 

주된 판시 내용은 이렇습니다. 밑줄은 제가 표시한 것입니다. 

인터넷서비스이용자는 인터넷서비스제공자와 체결한 서비스이용계약에 따라 인터넷서비스를 이용하여 개설한 이메일 계정과 관련 서버에 대한 접속권한을 가지고, 해당 이메일 계정에서 생성한 이메일 등 전자정보에 관한 작성·수정·열람·관리 등의 처분권한을 가지며, 전자정보의 내용에 관하여 사생활의 비밀과 자유 등의 권리보호이익을 가지는 주체로서 해당 전자정보의 소유자 내지 소지자라고 할 수 있다. 또한 인터넷서비스제공자는 서비스이용약관에 따라 전자정보가 저장된 서버의 유지·관리책임을 부담하고, 해당 서버 접속을 위해 입력된 아이디와 비밀번호 등이 인터넷서비스이용자가 등록한 것과 일치하면 접속하려는 자가 인터넷서비스이용자인지를 확인하지 아니하고 접속을 허용하여 해당 전자정보를 정보통신망으로 연결되어 있는 컴퓨터 등 다른 정보처리장치로 이전, 복제 등을 할 수 있도록 하는 것이 일반적이다.
따라서 수사기관이 인터넷서비스이용자인 피의자를 상대로 피의자의 컴퓨터 등 정보처리장치 내에 저장되어 있는 이메일 등 전자정보를 압수·수색하는 것은 전자정보의 소유자 내지 소지자를 상대로 해당 전자정보를 압수·수색하는 대물적 강제처분으로 형사소송법의 해석상 허용된다.
나아가 압수·수색할 전자정보가 압수·수색영장에 기재된 수색장소에 있는 컴퓨터 등 정보처리장치 내에 있지 아니하고 그 정보처리장치와 정보통신망으로 연결되어 제3자가 관리하는 원격지의 서버 등 저장매체에 저장되어 있는 경우에도, 수사기관이 피의자의 이메일 계정에 대한 접근권한에 갈음하여 발부받은 영장에 따라 영장 기재 수색장소에 있는 컴퓨터 등 정보처리장치를 이용하여 적법하게 취득한 피의자의 이메일 계정 아이디와 비밀번호를 입력하는 등 피의자가 접근하는 통상적인 방법에 따라 원격지의 저장매체에 접속하고 그곳에 저장되어 있는 피의자의 이메일 관련 전자정보를 수색장소의 정보처리장치로 내려받거나 그 화면에 현출시키는 것 역시 피의자의 소유에 속하거나 소지하는 전자정보를 대상으로 이루어지는 것이므로 그 전자정보에 대한 압수·수색을 위와 달리 볼 필요가 없다.
비록 수사기관이 위와 같이 원격지의 저장매체에 접속하여 그 저장된 전자정보를 수색장소의 정보처리장치로 내려받거나 그 화면에 현출시킨다 하더라도, 이는 인터넷서비스제공자가 허용한 피의자의 전자정보에 대한 접근 및 처분권한과 일반적 접속 절차에 기초한 것으로서, 특별한 사정이 없는 한 인터넷서비스제공자의 의사에 반하는 것이라고 단정할 수 없다.
또한 형사소송법 제109조 제1항, 제114조 제1항에서 영장에 수색할 장소를 특정하도록 한 취지와 정보통신망으로 연결되어 있는 한 정보처리장치 또는 저장매체 간 이전, 복제가 용이한 전자정보의 특성 등에 비추어 보면, 수색장소에 있는 정보처리장치를 이용하여 정보통신망으로 연결된 원격지의 저장매체에 접속하는 것이 위와 같은 형사소송법의 규정에 위반하여 압수·수색영장에서 허용한 집행의 장소적 범위를 확대하는 것이라고 볼 수 없다. 수색행위는 정보통신망을 통해 원격지의 저장매체에서 수색장소에 있는 정보처리장치로 내려받거나 현출된 전자정보에 대하여 위 정보처리장치를 이용하여 이루어지고, 압수행위는 위 정보처리장치에 존재하는 전자정보를 대상으로 그 범위를 정하여 이를 출력 또는 복제하는 방법으로 이루어지므로, 수색에서 압수에 이르는 일련의 과정이 모두 압수·수색영장에 기재된 장소에서 행해지기 때문이다.
위와 같은 사정들을 종합하여 보면, 피의자의 이메일 계정에 대한 접근권한에 갈음하여 발부받은 압수·수색영장에 따라 원격지의 저장매체에 적법하게 접속하여 내려받거나 현출된 전자정보를 대상으로 하여 범죄 혐의사실과 관련된 부분에 대하여 압수·수색하는 것은, 압수·수색영장의 집행을 원활하고 적정하게 행하기 위하여 필요한 최소한도의 범위 내에서 이루어지며 그 수단과 목적에 비추어 사회통념상 타당하다고 인정되는 대물적 강제처분 행위로서 허용되며, 형사소송법 제120조 제1항에서 정한 압수·수색영장의 집행에 필요한 처분에 해당한다. 그리고 이러한 법리는 원격지의 저장매체가 국외에 있는 경우라 하더라도 그 사정만으로 달리 볼 것은 아니다.

압수수색영장에는 수색할 장소와 압수할 물건이 특정한 장소와 물건으로 한정되어 기재되어 있습니다. 그런데 인터넷이나 그와 유사한 전산망 네트워크상에 있는 디지털 형태의 자료(전자정보, 디지털 정보, 디지털 데이터, 디지털 자료 등으로 부를 수 있을 텐데, 이 글에서는 위 판결에서 지칭하는 것처럼 '전자정보'라고 부르겠습니다. 이 전자정보가 소송의 증거가 되면 '디지털 증거'라고 부를 수 있겠지요)는 수색할 장소가 어디가 될까요. 예를 들어 네이버에 가입된 특정인 명의의 이메일 계정에 있는 이메일들을 압수한다면, 보통 수색할 장소는 네이버의 사무실 중 한 곳으로 특정합니다. 네이버에 가서 압수하지 그 특정인의 집에 가서 압수하지는 않는다는 것입니다. 

그런데 만약 네이버와 같은 국내 인터넷서비스제공업체가 아니라 외국의 업체가 운영하는 이메일 계정에 있는 이메일들을 압수하여야 하는데, 국내에 이 업체의 사무실이 전혀 없고 당연히 이 업체의 서버도 외국에 있다면 어떨까요. 가장 생각해보기 쉬운 건, 인터넷이 가능한 컴퓨터가 있는 곳이라면 아무 곳이나 적당한 곳을 수색할 장소로 정하고, 그 장소에 있는 컴퓨터를 이용해 위 이메일 계정에 접속하고 로그인하여 그 계정에 보관되어 있는 이메일들을 다운로드받는 것일 겁니다. 외국에 있는 서버에 들어있는 이메일을 이런 식으로 국내에서 압수하는 게 가능한가에 대해 답을 준 것이 위 대법원 판결입니다. 우리 형사소송법에는 이런 경우 어떻게 해야 하는지에 대한 규정(은 물론 전자정보와 관련된 규정 자체가 매우 희소합니다)이 전혀 없는데, 대법원은 해석상 이게 가능하다고 본 것입니다.

인터넷이라는 게 언제 어디서든 접속만 하면 그 안에 있는 자료를 볼 수 있고 다운받을 수 있는 것이죠. 그 자료가 물리적으로 어디에 있느냐는 아무런 의미가 없는 것인데, 국내에서도 접속하고 로그인하여 얼마든지 들여다볼 수 있는 자료를 단지 외국 서버에 들어있다는 이유만으로 압수수색의 대상이 되지 않는다는 것은 어떻게 봐도 이상한 얘기가 되겠습니다. 따라서 대법원 판결의 결론은 타당해 보입니다.   

미국에서도 비슷한 사례가 있었다고 합니다. 2017년 2월 3일 펜실베니아 동부 연방지방법원이 구글의 해외 서버에 있는 자료에 대한 압수수색영장의 발부가 적법하다는 결정을 한 사례가 있습니다.   

Article 56 En savoir plus sur cet article...
Modifié par LOI n°2016-731 du 3 juin 2016 - art. 58

Si la nature du crime est telle que la preuve en puisse être acquise par la saisie des papiers, documents, données informatiques ou autres objets en la possession des personnes qui paraissent avoir participé au crime ou détenir des pièces, informations ou objets relatifs aux faits incriminés, l'officier de police judiciaire se transporte sans désemparer au domicile de ces derniers pour y procéder à une perquisition dont il dresse procès-verbal. L'officier de police judiciaire peut également se transporter en tous lieux dans lesquels sont susceptibles de se trouver des biens dont la confiscation est prévue à l'article 131-21 du code pénal, pour y procéder à une perquisition aux fins de saisie de ces biens ; si la perquisition est effectuée aux seules fins de rechercher et de saisir des biens dont la confiscation est prévue par les cinquième et sixième alinéas de ce même article, elle doit être préalablement autorisée par le procureur de la République.

Il est procédé à la saisie des données informatiques nécessaires à la manifestation de la vérité en plaçant sous main de justice soit le support physique de ces données, soit une copie réalisée en présence des personnes qui assistent à la perquisition.

Si une copie est réalisée, il peut être procédé, sur instruction du procureur de la République, à l'effacement définitif, sur le support physique qui n'a pas été placé sous main de justice, des données informatiques dont la détention ou l'usage est illégal ou dangereux pour la sécurité des personnes ou des biens.