LG헬로비전, ISMS-P 인증 획득…통신사 개인정보보호 강화 확산

핵심 요약

- LG헬로비전이 2026년 상반기 ESG보고서를 통해 ISMS-P 인증 획득 성과를 공개 - 케이블방송·초고속인터넷 사업자로서 약 390만 가입자의 개인정보보호 체계 강화 - ISO45001 안전보건경영시스템 유지와 함께 정보보호 관리체계 고도화 완료

주요 내용

LG헬로비전은 2026년 7월 15일 기준, 2025년과 2026년 상반기 ESG 성과를 담은 보고서를 발간하며 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 획득을 주요 성과로 발표했다. 케이블방송, 초고속인터넷, IPTV 등 통신서비스를 제공하는 LG헬로비전은 약 390만 가입자의 개인정보를 처리하는 사업자로서 법적 의무를 충족하고 정보보호 수준을 대외적으로 인정받았다.

ISMS-P 인증은 정보통신망법 및 개인정보보호법에 따라 일정 규모 이상의 정보통신서비스 제공자와 집적정보통신시설 사업자에게 의무화된 인증제도다. LG헬로비전은 전년도 매출액 및 이용자 수 기준으로 의무 대상에 해당하며, 이번 인증 획득으로 법적 요구사항을 충족함과 동시에 고객정보 보호 역량을 입증했다.

특히 LG헬로비전은 AI 기반 지역 상생 프로그램 운영과 함께 환경 캠페인, 생물다양성 보전 등 ESG 전반의 성과를 통합적으로 제시했다. ISO45001(안전보건경영시스템) 인증 유지와 ISMS-P 인증 획득을 동시에 언급함으로써, 직원 안전과 고객정보 보호를 핵심 경영 과제로 설정하고 체계적으로 관리하고 있음을 강조했다.

통신·방송 사업자들의 ISMS-P 인증 획득은 2026년 들어 더욱 확산되고 있다. 개인정보 유출사고가 기업 평판과 직결되는 상황에서, 사전 예방적 정보보호 체계 구축이 ESG 경영의 핵심 요소로 자리 잡고 있는 추세다.

전문가 시각

LG헬로비전의 ISMS-P 인증 획득은 통신·방송 융합 사업자가 법적 의무를 넘어 정보보호를 ESG 경영의 핵심 축으로 설정했다는 점에서 의미가 크다. 케이블방송 사업자는 가입자의 시청 패턴, 결제정보, 위치정보 등 민감한 개인정보를 대량으로 처리하며, 특히 AI 기반 맞춤형 서비스 확대 시 개인정보 처리 범위가 더욱 확장된다. 이번 인증은 이러한 복잡한 개인정보 처리 환경에서 104개 인증기준을 충족하는 관리체계를 구축했음을 의미한다.

다만 ISMS-P 인증 획득 이후가 더 중요하다. 인증 유효기간 3년 동안 매년 사후심사를 통해 관리체계의 지속적 운영과 개선이 검증되며, 특히 AI 서비스 도입, 클라우드 전환, 협력사 연계 등 사업 환경 변화 시 즉각적인 위험 분석과 통제 강화가 필수다. LG헬로비전이 언급한 'AI 기반 지역 상생'은 개인정보 영향평가(PIA) 대상이 될 가능성이 높으며, 정보주체 권리 보장 절차의 실효성이 지속적으로 심사될 것이다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.9.1 (개인정보 수집 시 동의) 및 개인정보보호법 제15조·제22조 - 케이블방송·인터넷 서비스 가입 시 필수/선택 개인정보 구분의 적정성, 민감정보(시청이력) 및 고유식별정보(주민등록번호) 처리 시 별도 동의 절차의 적법성 확인 - AI 맞춤형 콘텐츠 추천 서비스 제공 시 개인정보 제3자 제공 또는 목적 외 이용에 대한 동의 획득 여부 점검 - 약관 및 동의서의 명확성, 쉬운 용어 사용 여부, 정보주체 열람 권리 고지 적정성 심사

2. 인증기준 2.10.3 (개인정보 영향평가) 및 개인정보보호법 제33조 - 500만 명 이상 정보주체의 민감정보 또는 고유식별정보를 처리하는 시스템 구축·운영 시 개인정보 영향평가(PIA) 수행 의무 준수 여부 - AI 기반 시청 패턴 분석, 맞춤형 광고 시스템 등 신규 서비스 도입 시 사전 PIA 실시 및 개인정보보호위원회 또는 전문기관 제출 이력 확인 - 영향평가 결과에 따른 개선조치 이행 현황 및 경영진 보고 체계 점검

3. 인증기준 2.8.2 (개인정보 처리업무 위탁) 및 개인정보보호법 제26조 - 고객센터 운영, 청구서 발송, 시스템 유지보수 등 업무 위탁 시 수탁자 관리·감독 체계의 실효성 심사 - 위탁계약서 내 정보보호 및 개인정보보호 의무사항 명시 여부, 연 1회 이상 수탁자 보안점검 실시 기록 확인 - 재위탁 통제 절차, 위탁 종료 시 개인정보 반환·파기 절차의 문서화 및 이행 증적 점검

CPPG·ISMS-P 연계 포인트

1. 의무인증 대상 판단 기준 (정보통신망법 제47조, 개인정보보호법 시행령 제48조의2) 전년도 매출액 1,500억 원 이상 또는 직전 분기 말 기준 3개월간 일일평균 이용자 100만 명 이상 정보통신서비스 제공자는 ISMS-P 의무인증 대상이다. 집적정보통신시설 사업자(IDC) 중 전년도 매출액 100억 원 이상도 해당된다. LG헬로비전과 같은 종합유선방송사업자(케이블SO)는 가입자 수와 매출 규모에 따라 의무 대상 여부가 결정되며, 인증 미이행 시 과태료 부과 대상이다.

2. 개인정보 영향평가(PIA) 대상 및 절차 (개인정보보호법 제33조) 5백만 명 이상 정보주체의 민감정보·고유식별정보 처리, 100만 명 이상 정보주체의 개인정보 처리 시스템 구축·운영·변경 시 영향평가가 의무화된다. 평가항목은 ①처리 현황 및 법령 준수 여부 ②개인정보 유출·오용·남용 위험도 분석 ③정보주체 권리 침해 가능성 ④안전성 확보조치 적정성이며, 전문평가기관의 평가를 거쳐 개인정보보호위원회 또는 관계 중앙행정기관에 제출해야 한다. AI 기반 서비스는 자동화된 개인정보 처리로 인한 권리 침해 가능성이 높아 PIA 핵심 점검 대상이다.