[뉴스스페이스=이은주 기자] 삼성전자 임직원 10만여 명의 개인정보를 활용해 노조 가입 여부 등이 담긴 명단을 작성한 혐의를 받는 삼성그룹 초기업노동조합 삼성전자지부 최승호 위원장과 노조 간부, 사내 시스템 이상접속자 등 6명이 개인정보보호법 위반 혐의로 검찰에 불구속 송치됐다.

사측이 문제를 제기한 지 약 5개월 만에 경찰 수사가 송치 단계에 이른 것으로, 이번 사건은 노사 갈등의 쟁의 국면에서 구성원의 노동조합 가입 정보가 어떻게 대규모로 수집·이용됐는지를 다루는 개인정보 사건이라는 점에서 파장이 예상된다.

10만명 정보와 ‘2만회 접속’

경기 화성동탄경찰서는 9월 4일 최 위원장과 삼성전자 직원인 노조 간부 A씨를 개인정보보호법 위반 혐의로 검찰에 넘겼다. 경찰 수사 대상에는 사내 시스템에 비정상적으로 접속한 삼성전자 직원 4명도 포함돼, 전체 송치 인원은 6명이다. 이들은 모두 불구속 상태에서 검찰의 기소 여부 판단을 받게 된다.

핵심 의혹은 총파업 가능성이 높아졌던 올해 3월 전후 노조 가입 여부가 포함된 임직원 명단이 작성됐다는 것이다. 경찰은 사내 시스템 관련 업무를 맡았던 A씨가 업무 목적과 무관한 방식으로 10만명을 넘는 임직원 명단 파일을 확보해 노조 측에 넘긴 것으로 보고 있다. 이 자료에는 이름, 부서명, 사번, 노조 가입 여부 등 개인식별 및 인사 관련 정보가 포함됐을 가능성이 제기된다.

삼성전자는 4월 10일 사내 공지를 통해 특정 부서의 단체 메신저방에서 수십 명 이상의 부서명·성명·사번·조합 가입 여부가 기재된 명단 자료가 전달된 사실을 확인했다고 밝혔다. 이어 4월 16일에는 A씨를 특정해 별도 고소했다. 회사 측은 이상 트래픽 탐지 시스템에서 A씨가 약 1시간 동안 사내 업무 사이트에 약 2만 회 접속해 직원 개인정보를 조회한 정황을 포착했다고 주장했다. 단순히 개별 구성원의 가입 여부를 확인한 수준을 넘어, 대량 데이터 접근과 제3자 제공이 이뤄졌는지가 사건의 중심 축이다.

‘블랙리스트’ 판단의 쟁점

수사기관과 언론이 사용하는 ‘노조 블랙리스트’라는 표현은 이 사건에서 회사가 노조원을 선별·배제했다는 전통적 의미의 노조 탄압형 블랙리스트와는 결이 다르다. 이번 의혹은 노조 측이 파업을 준비하는 과정에서 조합 가입 여부와 파업 참여 가능성을 가늠할 수 있는 명단을 만들었는지에 초점이 맞춰져 있다.

경찰은 최 위원장이 유튜브 방송에서 “파업에 참여하지 않고 회사를 위해 일하는 자들을 명단으로 관리하겠다”는 취지로 발언한 정황도 들여다본 것으로 전해졌다. 이 발언과 대량 개인정보 수집·전달 정황을 결합해 최 위원장의 명단 작성 관여 여부를 조사했고, 약 5개월의 수사 끝에 최 위원장과 A씨를 송치했다. 검찰의 보완수사와 기소 판단, 이후 법원의 재판을 거쳐 형사책임이 가려진다.

최 위원장은 연합뉴스에 “쟁의와 관련해 직원 명단을 전달받고 업무 외적으로 사용했던 부분으로 조사를 받았다”며 대응을 계속하고 있다고 밝혔다. 이는 대량 자료의 전달과 업무 외 사용 자체에 대한 해명이 향후 검찰 수사의 주요 검증 대상이 될 수 있음을 시사한다.

6명 송치, 그러나 사건은 둘

이번 송치는 숫자만 보면 ‘6명 일괄 송치’이지만, 경찰은 이를 동일한 공모 사건으로 보지 않았다. 최 위원장과 A씨가 연루된 대량 개인정보 수집 및 명단 작성 의혹 사건이 하나이고, 다른 직원 4명의 사내 시스템 이상접속 사건이 별도로 존재한다는 설명이다.

합의 이후에도 멈추지 않은 수사

삼성전자 노사는 총파업 직전인 5월 20일 임금협상 잠정합의안을 도출하며 파업 사태를 봉합했다. 당시 노사는 블랙리스트 의혹 등을 둘러싼 민형사 사건의 고소를 취하하기로 했던 것으로 전해진다. 다만 연합뉴스는 실제 경찰에 접수된 취하서는 없는 것으로 확인됐다고 보도했다.

더 근본적으로 개인정보보호법 위반은 친고죄나 반의사불벌죄가 아니기 때문에, 설령 고소 취하나 처벌불원 의사가 제출됐더라도 수사기관이 사건을 종결해야 하는 구조는 아니다. 최 위원장 역시 회사가 5월 27일 선처를 바란다는 처벌불원서를 제출했다고 밝혔지만, 경찰 수사는 계속돼 검찰 송치로 이어졌다. 노사 합의는 노사관계의 충돌을 완화할 수는 있어도, 대량 개인정보 처리 과정에서 발생한 형사책임 가능성까지 자동으로 해소하지는 못한다는 점을 보여준다.

산업 현장에 남긴 질문

이번 사건은 삼성전자 노사관계의 갈등 사례를 넘어, 대기업 내부 시스템의 접근권한 통제와 노동조합 활동에서의 개인정보 처리 원칙을 동시에 묻는 사건이다. 특히 조합 가입 여부는 개인의 단결권 행사와 직결되는 민감한 노동 관련 정보로 작동할 수 있다. 해당 정보를 파업 참여 독려, 조직관리, 비조합원 분류 등 어떤 목적으로든 대규모로 수집·가공·공유했다면, 목적의 정당성뿐 아니라 취득 경위, 접근권한, 이용 범위, 보관·폐기 방식이 엄격한 검증 대상이 될 수 있다.

삼성전자 측에서는 내부망의 이상 접속을 포착한 뒤 고소와 압수수색으로 이어졌고, 경찰은 기흥사업장 등을 포함해 세 차례 압수수색을 진행하며 비정상 접속 기록이 확인된 IP 4건을 확보한 것으로 알려졌다. 기업 보안 관점에서는 ‘누가 어떤 권한으로 개인정보에 접근했는가’뿐 아니라 ‘정상 권한을 가진 내부자가 업무 목적 밖으로 데이터를 활용했을 때 이를 얼마나 빠르게 탐지하고 차단할 수 있는가’가 핵심 과제로 부상한다.