휴대폰 압수목록만 받았는데 경찰이 어떤 파일을 포렌식했는지 알 수 있나요?

압수목록만으로 경찰이 어떤 파일을 실제로 탐색하거나 복제했는지 전부 알 수는 없습니다. 압수목록은 수사기관이 확보한 물건이나 자료를 확인하는 출발점입니다. 이후 포렌식 자료를 보더라도 추출된 항목, 실제로 선별·분석한 자료, 보고서에 실린 자료를 나누어 읽어야 합니다. 특히 서로 다른 문서의 숫자를 곧바로 같은 파일 수라고 비교하지 않는 것이 중요합니다.

압수목록에 휴대전화 한 대만 적혀 있다면요?

증거 절차에서는 압수된 물건 자체와 복제·출력 방식으로 확보된 전자정보를 구분합니다. 따라서 목록에 휴대전화 한 대가 적혀 있다면 먼저 기기 자체가 확보됐다는 점을 확인할 수 있지만, 그 한 줄에서 분석된 모든 파일의 이름이나 범위까지 읽어낼 수는 없습니다.

반대로 목록에 기기 이름만 있다는 이유로 나중에 아무 전자정보도 복제되지 않았다고 추정해서도 안 됩니다. 이 기본 구분은 기기 압수와 전자정보 확보의 차이에서 설명합니다. 여기서는 그다음에 받은 분석 자료의 항목과 범위를 실제로 어떻게 맞춰 볼지 살펴봅니다.

추출된 자료와 보고서에 실린 자료는 같은 목록인가요?

같다고 전제할 수 없습니다. NIST는 검사·선별 단계와 분석결과를 설명하는 보고 단계를 구분합니다. 기술적으로 확보한 자료 중 무엇을 검사하고 어떤 결과를 보고했는지 확인하는 관점이며, 한국 수사기관이 반드시 아래 이름의 문서를 작성·교부한다는 뜻은 아닙니다.

실제 확인 가능한 자료	먼저 맞춰 볼 항목	그 자료만으로 확정하지 않을 것
압수목록·기기 인수 관련 문서	기기 명칭·식별정보, 확보 날짜, 사건번호	기기 안 모든 파일의 탐색·복제 여부
추출 또는 획득 관련 기록	어느 기기·계정에서 어떤 종류의 자료를 확보했는지	추출된 항목을 모두 개별적으로 읽고 분석했다는 사실
선별·분석 범위에 관한 설명	대상 기간·앱·자료 종류와 적용된 선별 조건	설명에 없는 기간이나 앱까지 동일하게 분석했다는 사실
감정·분석 결과보고와 첨부자료	결론에 사용한 파일·항목 번호, 인용 구간, 분석의 한계	보고서 밖 모든 자료가 없었거나 사용되지 않았다는 결론

이 구분은 NIST의 Examination 및 Reporting 설명을 참고한 자료 확인 방법입니다. 보고서의 요약만 받았거나 구두 설명만 들었다면 아직 보지 못한 전체 추출 목록이 있다고 단정하지 말고, 현재 확인 가능한 자료부터 구별합니다.

파일 수가 서로 다르면 무엇부터 확인해야 하나요?

우선 각 문서가 파일 개수, 메시지·앱 기록의 항목 수, 보고서의 첨부 번호, 출력 쪽수 중 무엇을 세고 있는지 확인합니다. 예를 들어 설명에서 말한 ’자료 100건’과 보고서에 첨부된 ’사진 10장’은 집계 대상이 다를 수 있습니다. 숫자의 차이만으로 나머지 90건을 삭제했다거나 숨겼다고 해석할 수 없습니다.

다음으로 같은 기기의 같은 분석 결과인지, 날짜·앱·파일 종류로 선별한 결과인지 대조합니다. 중복 사본이나 썸네일을 별도 항목으로 세었는지 역시 실제 기록에 설명이 있을 때만 확인합니다. 사용 도구의 방식이나 중복 제거 여부를 알지 못하면서 개수를 임의로 다시 계산하지 않습니다.

확인표에는 문서명과 받은 날짜 / 기기·계정 / 집계 대상과 단위 / 대상 기간·자료 종류 / 실제 제시된 파일 번호를 적습니다. 숫자가 다르다는 문제와 압수목록의 물건 표시가 다르다는 문제는 구별해야 합니다. 후자는 압수목록과 포렌식 자료가 다르게 보이는 경우에서 다룹니다.

영장으로 가져간 휴대폰과 임의제출한 휴대폰은 무엇이 다른가요?

영장에 따라 압수된 경우에는 영장에 적힌 사건·대상과 실제 확보된 기기를 먼저 맞춰 봅니다. 휴대전화에서 어느 전자정보를 탐색·복제했는지는 집행·분석 경위를 별도로 확인합니다.

형사소송법 제218조는 소유자·소지자·보관자가 임의로 제출한 물건 등의 영장 없는 압수를 규정합니다. 임의제출이라도 기기를 넘긴 경위와 실제 분석한 정보의 범위는 구별해야 합니다. 자발적으로 제출했다는 이유만으로 모든 파일을 분석했다거나 특정 파일만 보았다고 단정할 수는 없습니다.

다른 파일도 나왔다고 들었다면 무엇을 구별해야 하나요?

처음 설명받은 사건과 관련된 자료인지, 다른 시기나 다른 사건의 자료까지 새로 언급된 것인지 구분합니다. 원래 확보 목적, 실제 탐색 과정, 추가로 확인됐다는 파일을 같은 단계의 사실로 취급하지 않습니다.

별도 파일이 확인됐다는 말만 듣고 수집절차가 적법하거나 위법하다고 결론 내리지 않습니다. 영장 범위를 넘는 포렌식의 증거 사용 문제는 그 자료의 재판상 사용을 다룹니다. 이 글은 우선 어떤 자료를 확보·선별·분석했다고 설명하는지 문서와 항목을 특정하는 단계입니다.

문서가 부족할 때는 어떤 순서로 확인하나요?

압수목록, 영장이나 임의제출 관련 문서, 담당자가 안내한 분석 시점과 범위를 각각 적습니다. 이어 실제 받은 결과보고의 문서명·날짜와 파일·항목 번호를 연결합니다. 원본을 직접 본 내용, 요약본에서 읽은 내용, 구두로 들은 내용은 구분해야 합니다.

기록을 더 확인할 필요가 있으면 사건 단계에 맞는 열람·자료 확인 방법을 담당 수사관이나 변호인과 검토합니다. 요청만 하면 모든 수사자료를 즉시 받거나 분석 로그 전체를 교부받는다고 단정하지 않습니다. 확인하지 못한 부분은 빈칸으로 두고, 알려진 항목만으로 전체 범위를 추정하지 않는 것이 좋습니다.

흔한 오해와 변호인 검토가 필요한 지점

‘휴대전화가 압수됐다’, ‘자료를 추출했다’, ‘특정 파일을 분석했다’, ’보고서에 첨부했다’는 서로 다른 설명입니다. 어느 단계의 문서인지와 실제 항목을 연결해야 파일 존재·사용자·사건 관련성에 관한 주장도 정확하게 검토할 수 있습니다.

기기나 계정 내용을 삭제·초기화하거나 자료 수를 맞추려고 파일을 옮기지 않습니다. 변호인에게는 압수 근거와 기기 정보, 확보·분석 범위에 관한 문서, 수량 차이와 아직 확인하지 못한 항목을 나누어 전달합니다. 자료가 부족한 경우에는 영장 사본 없이 압수목록만 남은 상황의 문서 정리 방법도 함께 볼 수 있습니다.