Para poder tomarlo por post puedes generar en el popup, un formulario con esos datos y luego enviarlos con document.frm.submit(), de esa manera evitas que salga la variable en el browser.
Tambien tienes opciones de cambiar la ruta con mod_rewrite o enviar el dato a una variable de sesion o cookie para tomarla desde el otro lado.
De todas maneras siempre existe la posibilidad de tomar la variable en cualquiera de los casos (abre la pagina con firefox+firebug y tienes todas las transacciones post o get e incluso podrias sacar las variables de cookies y sesion con un plugin mas
).
Si bien no es aconsejable, me he dado cuenta durante muchos desarrollos de sistemas, que finalmente todos (o la mayoria que he hecho) son sistemas internos de empresas, y llevan informacion que las mismas personas que trabajan ahi utilizan, por lo tanto tanto para ellos como para la empresa es importante no crear problemas en el sistema.
Ahora... tambien se que existe la posibilidad de que alguien estime conveniente obtener esa informacion para su propio uso, pero para eso estan los logs e historiales de los cuales una investigacion minima podria traernos al "sospechoso numero uno" y dejarlo en evidencia.
Para los mas avanzados en estos temas, es probable que no sea nada del otro mundo entrar directamente al servidor y sacar los datos que necesita, asi que eso de seguridad en sistemas internos, creo que es un punto que podria ser discutible dependiendo de la informacion guardada y de las capacidades de cada empleado.
Suerte
