LG헬로비전, ISMS-P 인증 획득…AI 기반 개인정보보호체계 구축

핵심 요약

- LG헬로비전, 2025-2026 지속가능경영보고서에서 ISMS-P 인증 획득 공식 발표 - AI 혁신 서비스 확대와 동시에 정보보호 및 개인정보보호 관리체계 인증으로 신뢰성 확보 - ISO45001 안전보건경영시스템과 함께 통합 리스크 관리체계 구축 완료

주요 내용

LG헬로비전이 2026년 7월 발간한 지속가능경영보고서를 통해 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득했다고 공식 발표했다. 이번 인증은 케이블 방송 및 인터넷 서비스 사업자로서 대규모 개인정보를 처리하는 LG헬로비전이 체계적인 정보보호 관리체계를 구축했음을 대외적으로 입증하는 계기가 되었다.

특히 LG헬로비전은 AI 기반 서비스 혁신을 추진하는 과정에서 개인정보보호를 핵심 경영 과제로 설정한 것으로 알려졌다. AI 기술 활용이 확대될수록 개인정보 처리 범위와 방식이 복잡해지는 만큼, ISMS-P 인증을 통해 법적 요구사항 준수는 물론 고객 신뢰 확보를 동시에 달성한 것으로 평가된다.

LG헬로비전은 ISMS-P 인증과 함께 안전보건경영시스템(ISO45001) 인증도 유지하고 있어, 정보보호·개인정보보호·안전보건을 아우르는 통합 리스크 관리체계를 완성했다. 이는 ESG(환경·사회·지배구조) 경영 강화 추세에 부합하는 것으로, 지속가능경영보고서를 통해 이해관계자들에게 투명하게 공개함으로써 기업의 사회적 책임을 다하고 있다.

방송통신 산업의 디지털 전환이 가속화되는 가운데, LG헬로비전의 ISMS-P 인증 획득은 동종 업계에도 긍정적인 영향을 미칠 것으로 전망된다. 특히 AI 서비스 도입을 고려하는 기업들에게 정보보호 관리체계 구축이 선행되어야 함을 보여주는 사례로 평가받고 있다.

전문가 시각

방송통신 사업자는 개인정보보호법상 정보통신서비스 제공자로서 전년도 말 기준 3개월간 일일평균 이용자 수가 100만 명 이상인 경우 ISMS-P 인증 의무 대상이다. LG헬로비전은 약 480만 가구에 서비스를 제공하는 종합 유선방송사업자로, 가입자 정보, 시청 이력, 결제 정보 등 민감한 개인정보를 대량으로 처리한다. 이번 인증 획득은 법적 의무 이행을 넘어 AI 서비스 확대 과정에서 발생할 수 있는 개인정보 처리 리스크를 사전에 관리하겠다는 경영진의 의지를 반영한 것으로 평가된다.

특히 주목할 점은 AI 기반 맞춤형 콘텐츠 추천, 고객 응대 자동화 등 AI 활용이 확대되는 시점에 ISMS-P 인증을 획득했다는 것이다. AI 시스템은 개인정보를 학습 데이터로 활용하며, 프로파일링 및 자동화된 의사결정을 수행하므로 개인정보 처리 투명성과 통제 가능성 확보가 필수적이다. 심사 과정에서 AI 시스템의 개인정보 처리 단계별 보호조치, 알고리즘 편향성 관리, 정보주체 권리 보장 방안 등이 면밀히 검토되었을 것으로 추정된다. 향후 LG헬로비전은 연간 사후심사를 통해 관리체계의 지속적인 개선과 신기술 도입에 따른 리스크 대응 역량을 입증해야 한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 수집 시 동의 (개인정보보호법 제15조, 제22조) 방송통신 사업자는 가입 단계에서 필수·선택 개인정보를 명확히 구분하여 수집해야 하며, AI 기반 맞춤형 서비스 제공 시 별도 동의를 받아야 한다. 심사 시 ① 동의서 양식의 적법성(필수·선택 구분, 14세 미만 법정대리인 동의), ② AI 서비스를 위한 개인정보 처리 목적의 명확성, ③ 시청 이력 등 행태정보 수집에 대한 별도 동의 여부를 중점 점검한다. 특히 OTT 서비스 연계 시 제3자 제공 동의의 적정성과 철회 절차의 실효성을 확인해야 한다.

2. 2.9.3 개인정보 처리업무 위탁 (개인정보보호법 제26조) LG헬로비전은 콜센터 운영, 고객 상담, 설치·AS 서비스 등을 외부 업체에 위탁하므로 수탁자 관리가 핵심이다. 심사 시 ① 위탁계약서상 ISMS-P 인증기준 준수 의무 명시 여부, ② 수탁자의 개인정보 접근 권한 통제 및 접속 기록 관리, ③ 연 1회 이상 수탁자 관리·감독 실시 기록, ④ 재위탁 시 사전 동의 절차를 검증한다. AI 데이터 라벨링 등 신규 위탁업무 발생 시 개인정보 최소화 및 가명처리 적용 여부도 확인이 필요하다.

3. 2.3.2 개인정보 영향평가 (개인정보보호법 제33조) 정보통신서비스 제공자로서 5만 명 이상 고유식별정보 처리 시 개인정보 영향평가 수행 의무가 있다. 심사 시 ① AI 추천 시스템 등 신규 서비스 도입 시 사전 영향평가 실시 여부, ② 평가 결과에 따른 개인정보 보호조치 이행 현황, ③ 개인정보보호 전문기관의 평가 결과 및 개선 권고사항 반영 여부를 점검한다. 특히 2026년 현재 AI 시스템의 프로파일링 영향을 평가 범위에 포함했는지가 중요한 심사 포인트이다.

CPPG·ISMS-P 연계 포인트

▸ 정보통신서비스 제공자의 ISMS-P 인증 의무 (정보통신망법 제47조, 개인정보보호법 제32조의2) 전년도 말 기준 직전 3개월간 일일평균 이용자 수가 100만 명 이상인 정보통신서비스 제공자는 ISMS-P 인증을 의무적으로 받아야 한다. 방송통신 사업자는 가입자 수 기준으로 판단하며, 인증 유효기간은 3년이고 매년 사후심사를 통해 관리체계 유지 여부를 확인받는다. 미이행 시 과태료 부과 대상이다.

▸ AI 시스템의 개인정보 처리와 자동화된 결정 (개인정보보호법 제37조의2) AI 기반 맞춤형 서비스는 개인정보를 자동으로 처리하여 정보주체에 관한 결정을 내리는 자동화된 결정에 해당할 수 있다. 이 경우 ① 자동화된 결정이 있다는 사실, ② 결정의 기준과 방법, ③ 이의제기 권리를 정보주체에게 고지해야 하며, ISMS-P 인증심사 시 관련 통제의 이행 여부가 평가된다.