게임사 채용 정보 투명성 강화, ISMS-P 인력·조직 관리체계 점검 필요

핵심 요약

- 크래프톤·컴투스홀딩스 등 주요 게임사가 2026년 채용 정보 투명성 강화를 위한 토크콘서트 및 정보 제공 확대 - 채용 공고만으로는 파악하기 어려운 정보 격차 해소를 통해 조직 구성 및 역할 명확화 추구 - ISMS-P 인증기준 중 '인력·조직 관리' 통제항목의 실질적 이행 사례로 평가 가능

주요 내용

2026년 6월 현재 국내 주요 게임사들이 채용 프로세스의 투명성을 강화하는 움직임을 보이고 있다. 크래프톤과 컴투스홀딩스는 단순 채용 공고를 넘어 실제 업무 환경과 조직 구성에 대한 구체적 정보를 제공하는 토크콘서트를 개최하며, 지원자와 조직 간 정보 비대칭을 해소하려는 노력을 기울이고 있다.

이러한 움직임은 개인정보보호 관점에서 중요한 의미를 지닌다. 개인정보 처리조직의 역할과 책임이 명확히 정의되고 공개되는 것은 ISMS-P 인증심사에서 핵심적으로 평가하는 '조직의 명확성' 요건과 직결된다. 특히 게임산업은 대규모 이용자 개인정보를 처리하는 특성상 정보보호 전담조직 구성 및 인력 배치가 법적 의무사항이다.

크래프톤이 제공한다는 '시련의 선물 상자' 등 게임 아이템 지급은 이벤트 참여자 정보 수집을 수반하므로, 이 과정에서 개인정보 처리 목적·항목·보유기간의 명확한 고지와 동의 절차가 필수적이다. 또한 토크콘서트 참가자 관리 과정에서 수집되는 개인정보의 처리 권한과 책임이 명확히 분장되어야 한다.

채용 정보 공개 확대는 내부 정보보호 인력의 역할 명세서 작성 및 관리에도 시사점을 제공한다. ISMS-P 인증 유지기업은 정보보호 및 개인정보보호 담당자의 직무기술서를 상세히 작성·관리해야 하며, 이러한 투명성 제고 노력은 인증심사 시 긍정적으로 평가된다.

전문가 시각

30회 ISMS-P 선임심사원으로서 본 사례는 '2.1.2 조직 구성' 및 '2.1.5 역할 및 책임 할당' 통제항목의 실질적 이행 수준을 판단하는 좋은 참고사례다. 단순히 조직도와 직무기술서를 형식적으로 구비하는 것을 넘어, 실제로 이해관계자에게 조직 정보를 투명하게 공개하고 소통하는 문화가 정착된 기업일수록 내부 정보보호 체계의 실효성도 높은 경향이 있다.

특히 게임사는 개인정보보호법 제32조의2에 따른 개인정보 보호책임자 지정 의무 대상이며, 정보통신망법상 정보보호 최고책임자(CISO) 지정 의무도 부담한다. 채용 단계에서부터 정보보호 조직의 역할과 책임을 명확히 제시하는 것은 향후 인력 충원 및 교육훈련 계획 수립에도 긍정적 영향을 미친다. 실무적으로는 채용 공고 작성 시 개인정보 처리 업무 범위를 구체적으로 명시하고, 신규 입사자 대상 개인정보보호 교육을 입사 즉시 실시하는 체계 구축이 필요하다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.1.2 (조직 구성) 및 2.1.5 (역할 및 책임 할당) - 개인정보 처리조직의 구성 현황과 각 구성원의 역할·책임·권한이 문서화되어 있는지 확인 - 채용 공고 및 직무기술서에 개인정보 처리 업무 범위가 명시되어 있는지 점검 - 개인정보보호법 제31조(개인정보 보호책임자 지정) 이행 여부 및 실질적 역할 수행 증적

2. 인증기준 2.1.6 (정보자산 및 개인정보 식별) - 토크콘서트·이벤트 참가자 정보 등 신규 개인정보 수집 시 정보자산 목록 갱신 여부 - 게임 아이템 지급을 위한 이용자 식별정보 처리 시 법적 근거(개인정보보호법 제15조 제1항) 및 동의 획득 증적 - 채용 과정에서 수집되는 지원자 개인정보의 처리 목적·보유기간 명시 및 파기 절차 수립 여부

3. 인증기준 2.2.2 (정보보호 및 개인정보보호 교육) - 신규 채용 인력에 대한 입사 시 개인정보보호 교육 실시 계획 및 이행 증적 - 정보보호·개인정보보호 담당 인력의 전문성 강화를 위한 보수교육 연간 계획 수립 여부

CPPG·ISMS-P 연계 포인트

개인정보 보호책임자(CPO) 지정 의무 개인정보보호법 제31조는 개인정보 처리자에게 개인정보 보호책임자 지정을 의무화하고 있으며, 특히 정보통신서비스 제공자는 제32조의2에 따라 강화된 지정·공개 의무를 부담한다. 조직 내 역할과 책임이 명확히 정의되고 공개되는 것은 CPO의 실질적 권한 행사를 위한 전제조건이다.

개인정보 처리 위탁 시 수탁자 관리 게임사가 이벤트 운영을 외부 업체에 위탁할 경우 개인정보보호법 제26조에 따른 위탁 관리 의무가 발생한다. 위탁계약서에 수탁자의 개인정보 처리 업무 범위와 책임을 명확히 규정해야 하며, 이는 채용 단계에서의 역할 명확화와 동일한 맥락의 통제 활동이다.