데이터복구는 삭제되거나 손상되어 접근할 수 없게 된 데이터를 다시 사용할 수 있도록 복원하는 기술로, 형사절차에서는 디지털포렌식의 핵심 분야입니다. 파일 시스템은 '삭제' 시 데이터를 즉시 지우기보다 관리정보만 바꾸는 경우가 많아, 덮어쓰기 전까지는 흔적이 남을 수 있습니다. 성범죄 수사에서는 삭제된 촬영물·메시지의 복원이 혐의 입증에 쓰이는 한편, 피의자 측의 무고 정황 소명과 절차 하자 탄핵에도 활용됩니다.
성범죄 사건의 사실관계는 문자, 사진·영상, 메신저 대화, 위치 정보 같은 전자정보에 의해 좌우되는 경우가 많습니다. 데이터복구는 "삭제했다는 이유만으로 사라지지 않는 흔적"을 객관화합니다. 수사기관은 삭제된 불법촬영물이나 협박성 메시지, 파일 생성·이동 흔적을 복원해 혐의를 뒷받침하고, 검색 기록·이동 경로·앱 사용 기록으로 사전 계획 여부나 증거 인멸 시도 같은 정황을 구체화합니다.
반대 방향으로도 작동합니다. 피의자 측은 삭제되거나 남아 있는 대화의 전체 맥락, 시간대별 접속 기록, 동선 자료를 복원해 진술의 신빙성을 검증하고 알리바이를 소명할 수 있습니다. 나아가 수사기관의 복구·분석 과정에 영장 범위 일탈이나 참여권 배제 같은 절차 위반이 있었다면, 그 결과물의 증거능력 자체를 다투는 방어 전략이 가능합니다. 결국 "무엇을 복구했는가"만큼 "어떻게 복구했는가"가 사건의 결론에 영향을 미칩니다.
복구 가능성은 조건에 따라 크게 달라집니다. 삭제된 영역이 새 데이터로 덮어쓰기(Overwrite)된 경우 복구는 사실상 불가능에 가깝고, 최신 스마트폰·SSD는 강력한 암호화와 TRIM(자동 정리) 기능 때문에 삭제 영역이 빠르게 정리되어 복구가 어려운 경우가 많습니다. 물리적 손상이 심한 저장매체도 복구율이 현저히 떨어집니다. 반면 스마트폰 내부 데이터베이스에는 삭제한 대화의 흔적이 상당 기간 남는 경우가 많아, 메신저에서 지웠다고 해서 기기에서도 사라졌다고 볼 수는 없습니다.
절차가 관건입니다. 원칙적으로 법관이 발부한 압수수색 영장에 근거해야 하고, 영장에 기재된 혐의 사실과 관련된 정보만 선별하여 탐색·복구해야 합니다(관련성 원칙). 형사소송법은 정보저장매체 압수 시 원칙적으로 범위를 정한 출력·복제 방식을 요구하고(제106조 제3항), 영장 집행에 피의자·변호인의 참여(제121조)와 사전 통지(제122조)를 규정합니다. 실무상 복구·분석은 원본 훼손을 막기 위해 포렌식 이미지 등 사본을 대상으로 진행하고, 해시값·작업기록·보관기록으로 원본과 제출본의 동일성 및 무결성을 설명하는 것이 중요합니다. 중대한 절차 위반이 있으면 형사소송법 제308조의2에 따라 증거능력이 배제될 위험이 커집니다.
수사를 의식해 데이터를 삭제하는 행위는 매우 위험합니다. 다만 형법 제155조의 증거인멸죄는 원칙적으로 타인의 형사사건에 관한 증거를 인멸·은닉한 경우에 문제되므로, 본인 사건의 자료를 스스로 삭제했다는 사정만으로 곧바로 증거인멸죄가 성립한다고 단정할 수는 없습니다. 그러나 삭제 시도는 포렌식으로 드러날 수 있고, 구속 필요성·양형·진술 신빙성 판단에서 불리한 정황으로 평가될 수 있습니다. 공범 또는 제3자의 사건과 관련된 자료를 삭제하거나 타인에게 본인 사건의 증거 삭제를 부탁하는 경우에는 증거인멸죄 또는 그 교사·방조 문제가 생길 수 있으므로, 수사 개시 이후의 데이터 처리에는 각별한 주의가 필요합니다.
Q. 삭제된 지 오래된 데이터도 복구가 가능한가요? 저장매체 종류, 암호화 여부, 삭제 후 사용 패턴(덮어쓰기), 경과 시간에 따라 달라집니다. 시간이 지날수록 복구가 어려워지는 것이 일반적이지만, 상황에 따라 일부 흔적이 남아 분석 단서가 되는 경우도 있습니다.
Q. 개인적으로 복구업체에 의뢰해 얻은 자료도 증거가 되나요? 제출 자체는 가능하지만, 원본성·무결성(해시값, 작업기록)과 수집 경위의 적법성이 핵심입니다. 특히 타인의 기기나 계정에 무단 접근해 취득한 자료는 형사·민사상 문제가 될 수 있고 증거능력도 다투어질 수 있어, 변호인 상담 후 진행하는 것이 안전합니다.
Q. 복구 과정에서 피의자는 참여할 수 있나요? 형사소송법상 영장 집행 참여권과 사전 통지 규정이 있고, 이미징·탐색·출력 등 포렌식 과정에서 참여 기회가 부여되었는지는 증거능력 판단의 중요한 쟁점입니다. 통지 방식과 예외 사유 등 구체적 사정에 따라 평가가 달라집니다.
Q. 복구된 증거의 증거능력이 다투어지는 주된 이유는 무엇인가요? 크게 두 가지입니다. 영장 범위 일탈·참여권 배제 등 적법절차 문제, 그리고 복구·복제 과정에서 원본이 변경되었을 가능성 등 무결성·동일성 문제입니다. 어느 쪽이든 방어 측이 적극적으로 점검해야 할 지점입니다.
Q. 클라우드에 저장된 데이터도 수사기관이 복구할 수 있나요? 가능한 경우가 있습니다. 수사기관은 법원의 영장을 발부받아 클라우드 서비스 제공자에게 저장 데이터의 제출을 요청할 수 있고, 서비스 제공자가 보관하고 있는 백업 데이터에서 삭제된 파일이 복구되는 경우도 있습니다. 다만 해외 서버에 저장된 데이터의 경우 국제사법공조 절차가 필요하여 시간이 걸리거나 확보가 어려운 경우도 있습니다.