[이데일리 한광범 기자] 우체국 직원들이 고객 개인정보를 사적으로 조회하거나 외부에 유출한 혐의가 잇따라 드러났지만, 이를 걸러내야 할 우정사업본부의 내부 점검에서는 문제가 발견되지 않은 것으로 나타났다. 심야·주말 반복 조회까지 점검 대상이었지만 결과는 모두 ‘이상없음’으로 처리돼 개인정보 관리체계의 실효성에 의문이 제기된다.

19일 국회 과학기술정보방송통신위원회 소속 김선민 조국혁신당 의원이 우정사업본부에서 제출받아 공개한 자료에 따르면, 우정사업본부는 지난 8일 경찰이 제공한 피해 추정 명단과 개인정보 조회기록을 다시 대조하는 과정에서 고객 개인정보 유출 혐의가 있는 직원 C씨를 추가로 발견했다.

이에 따라 고객 개인정보를 사적보복 대행조직에 유출한 혐의로 수사를 받거나 고발된 우체국 직원은 기존 2명에서 3명으로 늘었다. 기존 직원 A씨와 B씨의 재직기간은 각각 20년 1개월, 18년 8개월이며 새로 적발된 C씨도 8년 6개월간 근무한 직원이었다.

C씨가 개인정보를 조회한 대상 가운데 15명은 경찰이 제공한 피해 추정 명단과 일치했다. 우정사업본부는 자체 조사를 통해 개인정보 유출 정황을 확인한 뒤 같은 날 C씨의 포스트넷 접속 권한을 회수하고 경찰에 고발했다. 지난 12일에는 징계의결을 요구하고 직위해제했다.

개인정보 유출 가능성을 안내받은 고객도 늘었다. 우정사업본부는 기존 혐의자 2명이 최근 2년간 개인정보를 조회한 1461명에게 유출 가능성을 안내한 데 이어 C씨의 조회 대상 가운데 기존 안내 대상과 겹치는 78명을 제외한 466명에게 추가 안내했다. 전체 안내 대상은 1927명으로 확대됐다.

문제는 이런 개인정보 조회가 우정사업본부의 기존 점검체계에서 걸러지지 않았다는 점이다. 김 의원실이 우정사업본부로부터 받은 2025년 7·8·12월과 올해 1~3월 포스트넷 개인정보 접속기록 점검표를 분석한 결과, 6개월간 총 3362만여건의 접속기록에 대한 점검 결과가 모두 ‘이상없음’으로 기록됐다.

점검항목에는 대량 개인정보 다운로드 이력과 업무시간 외인 심야·주말 개인정보 조회·다운로드, 비인가자의 불법 접속 등이 포함돼 있었다. 기존 혐의자들의 심야·주말 반복 조회 역시 점검 대상이었지만 이상 징후로 식별되지 않았다.

우정사업본부는 우체국 업무 특성상 24시간 업무 처리가 이뤄진다고 설명했다. 그러나 해당 직원들의 심야·주말 조회가 실제 업무와 관련됐는지를 판단한 구체적인 기준이나 근거는 제시하지 못했다고 김 의원실은 밝혔다. ‘업무시간 외 조회’를 별도 점검항목으로 두고도 실제 부적절한 조회를 찾아내지 못한 셈이다.

개인정보를 사적으로 이용한 사례가 이전에도 있었지만 처분 수위가 낮았던 점도 문제로 지적됐다. 우정사업본부 자료에 따르면 2021년 이후 포스트넷을 통해 개인정보를 무단 조회·누설하거나 목적 외로 이용해 개인정보보호법을 위반한 직원은 4명이었다. 특정인의 주소를 확인해 직접 찾아가거나 민원인 또는 내부 직원의 휴대전화번호를 조회해 사적으로 연락한 사례 등이 포함됐다.

하지만 4명 가운데 3명은 정식 징계에 해당하지 않는 불문경고 처분을 받는 데 그쳤다. 나머지 1명에게는 감봉 1개월 처분이 내려졌다.

김선민 의원은 “혐의 직원들의 심야·주말 반복 조회가 점검 대상에 포함돼 있었는데도 결과는 모두 ‘이상없음’이었다”며 “중요한 것은 접속기록을 몇 건 점검했느냐가 아니라, 업무와 무관한 조회를 실제로 찾아낼 수 있었느냐는 것”이라고 지적했다.

이어 “과거에도 고객의 주소와 전화번호를 사적으로 이용한 일이 있었지만, 관련 직원 4명 중 3명은 불문경고에 그쳤다”며 “우정사업본부는 개인정보 접근권한을 업무에 필요한 범위로 최소화하고, 직원의 담당업무와 조회 사유를 대조하는 실질적인 점검체계를 갖춰야 한다. 무단 조회와 유출에 대한 처분 기준과 실제 적용이 적정했는지도 점검해야 한다”고 강조했다.