第 3 章 客户数据与广告性信息发送

学习目标

• 阐明何谓营利性广告信息，并理解即使是通过 AI 进行个性化定制的消息也适用相同的规则。
• 运用韩国《信息通信网法》第50条的事前同意原则、交易关系例外、拒绝接收、夜间发送、明示事项、禁止行为及定期确认等规定，判断是否能够发送。
• 阐明将发送业务委托给代理机构或 AI 自动化系统时委托人仍须承担的责任。
• 根据韩国《个人信息保护法》的目的限制、最少处理、宣传目的处理同意、儿童同意以及委托规定，确定用于 AI 个性化的数据范围。
• 区分假名信息与匿名信息各自可行与不可行的事项。

引言

某预制菜半成品商城的 CRM 负责人利用生成式 AI 为 3 万名会员分别制作了不同的折扣短信。文案十分出色，那种仿佛记得会员最近订单的口吻似乎能大幅提高转化率。然而就在即将按下发送按钮的前一刻，法务负责人提出了四个问题：这些会员同意接收广告了吗？准备在几点发送？是否已经排除了拒绝接收的会员？制作文案时将包含会员数据的信息输入到哪里了？

AI 个性化改变的只是消息的内容，却无法改变消息本身属于广告的事实。即使针对每位客户撰写了不同的语句，只要涉及劝诱折价销售，便属于营利性广告信息，韩国《信息通信网法》第50条所规定的同意、时间与标识规则依然完全适用。而在为了生成这些语句将客户数据输入 AI 工具的那一刻起，韩国《个人信息保护法》的相关质询便随之展开：该数据是否可用于此目的？在何种环境下进行处理？是否仅输入了必不可少的项目？

本章将依次探讨这两部法律。前半部分依据韩国《信息通信网法》，梳理“可以向谁、在何时、通过何种媒介发送”；后半部分依据韩国《个人信息保护法》，总结“可以在何种条件下将哪些数据输入 AI”；最后将这两个问题整合为一个判定表与标准化流程。

核心概念

营利性广告信息与电子传输媒介

韩国《信息通信网法》第50条适用于利用电子传输媒介发送营利性广告信息的所有主体。短信、App 推送、即时通讯工具通知、电子邮件是其中的典型代表。智能手机上的允许 App 通知仅属于设备设置，并不等同于韩国《信息通信网法》意义上的广告性信息接收同意。只要包含折扣、新品、劝诱复购等劝诱销售商品的内容，即属于广告性信息。

请牢记以下三点：

1. 个性化不会改变信息的性质。 即使 AI 针对每位客户撰写了不同的文案，只要涉及劝诱销售，就属于广告性信息。
2. 只要夹杂即视为广告。 若在配送通知或预约确认等交易信息中附带优惠券文案，该条消息便整体成为包含广告性信息的消息。
3. 标题并不能决定信息的性质。 即使冠以“会员专享福利通知”之名，只要内容涉及劝诱销售，便属于广告性信息。

原则：明示的事前同意

第50条第1款规定，若要发送广告性信息，必须取得接收者的明示的事前同意。正因要求“明示”，接收者必须明确表达同意意愿；以未明确拒绝为由推定为同意的模式（选择性退出，Opt-out）并不构成有效同意。在实操中，通常采用由接收者先行表达同意意愿的模式（选择性加入，Opt-in）。正因要求“事前”，在发送首条广告后再询问是否拒绝的方式同样是不被允许的。

同意的范围同样至关重要。若在注册会员时仅同意了“接收服务通知”，这并不等同于同意接收广告。在抽奖活动中同意“接收中奖通知”亦是如此。同意仅能在该主体具体同意的事项范围之内使用。

交易关系例外的三项条件

第50条第1款第1项规定了无需事前同意即可发送的例外情形。但必须同时满足以下三项条件：

该例外仅免除“事前同意”。下文所述的拒绝接收、夜间发送、明示事项、禁止行为等规定依然完全适用。

拒绝接收与撤回同意

第50条第2款规定，一旦接收者表达了拒绝接收的意愿或撤回了事前同意，便不得向其发送广告性信息。无论是基于交易关系例外进行发送的客户，还是以往曾表示同意的客户，概莫能外。

发送应当自收到相关意愿表达之时起立即停止。下文提及的14天是告知处理结果的法定限期，绝非允许在此期间继续发送信息的宽限期。法律及施行令针对拒绝接收所规定的程序如下：

• 必须采取必要措施，确保接收者在拒绝接收或撤回同意时不承担由此产生的电话费等任何费用（第6款；施行令第62条规定须依据附表6明示并提供免费电话服务等）。
• 接收者表达同意、拒绝、撤回意愿的，必须在自该日起14日以内告知发送者名称、接收者表达意愿的事实与日期以及处理结果（第7款、施行令第62条之2）。

意愿表达不限渠道。若客户在 AI 咨询聊天机器人中输入“别再发广告了”，这同样构成拒绝接收的意愿表达。内部系统同步滞后是公司的问题，而非客户的过错。

夜间发送与电子邮件例外

第50条第3款规定，若要在晚9点至次日上午8点发送广告性信息，必须在第1款同意之外另行取得事前同意。但书将总统令规定的媒介列为例外，施行令第61条第2款将该媒介规定为电子邮件。

夜间规定以“尽管有第1款的规定”起笔，因此即使对于符合交易关系例外、原本无需同意即可发送信息的客户，若要向其发送夜间短信，也必须取得另行同意。

必须明示的事项与禁止行为

第50条第4款规定，广告性信息中必须具体明示下列各项等内容：

1. 发送者的名称及联系方式
2. 便于表达拒绝接收或撤回接收同意意愿的措施及方法相关事项

具体的明示事项及方法依据施行令第61条第3款在附表6中作出规定。

在考试中，需警惕类似“只要标注了‘（广告）’便无其他标识义务”这种遗漏法律明确规定的两项法定义务的干扰选项。

禁止行为。 第50条第5款对发送广告性信息的主体明令禁止下列行为。这也是利用 AI 智能体实现自动化发送时，在架构设计阶段必须予以规避的行为清单：

1. 规避、妨碍拒绝接收或撤回接收同意的行为（如将退订流程设计为多重步骤或要求登录的设计）
2. 通过组合数字、符号、文字自动生成电话号码、电子邮件地址等联系方式的行为
3. 为发送广告性信息而自动注册电话号码或电子邮件地址的行为
4. 为隐瞒发送者身份或广告发送来源而采取的各种行为
5. 为发送广告性信息而欺骗接收者以诱导其回复的各种行为

每隔2年进行的接收同意确认

第50条第8款规定，获得接收同意的主体须定期确认是否继续同意接收；施行令第62条之3将该确认周期规定为自取得同意之日起每2年（截至每满2年当年的同月同日之前）。进行确认时，必须明示发送者名称、接收者曾表示同意的事实与同意日期，以及维持同意或撤回同意的方法。

法律规定的是确认程序。切勿将其误读为“满2年后同意便自然失效”，而应在 CRM 中内置以同意日期为基准的确认日程管理功能。

委托发送时的规定

第50条之3是关于将广告性信息发送委托给他人时的相关规则：

• 若要委托利用韩国《电气通信事业法》第2条第14项（b）目的劳务发送广告性信息，必须委托给依据同法第22条之11第1款取得发送资格认证的主体（第1款，2026年3月31日新增）。
• 委托人必须对受托人进行管理与监督，以防止受托人违反第50条（第2款）。
• 在因受托人就该业务违反法律而产生损害赔偿责任时，受托人被视为委托人的在职员工（第3款）。

即使在合同中写明“违法责任由代理机构承担”，这一法律责任结构亦不会发生改变。在委托合同中，必须将夜间同意确认、拒绝接收同步周期、明示事项以及提供发送记录等要求纳入其中，并进行切实的检查与核实。

韩国《个人信息保护法》的基本原则

接下来探讨生成消息时所使用的数据。韩国《个人信息保护法》第3条规定，必须明确处理目的，且仅在实现该目的所必需的范围内处理最少量的个人信息，不得用于目的之外的用途。第3条第7款规定，若通过匿名或假名处理即可实现目的，则应以匿名方式处理；若匿名无法实现，则应以假名方式处理。

收集与使用的法律依据见于第15条（同意、履行合同、正当利益等），而第18条则禁止超出收集时确定的目的范围进行使用，同时设置了另行取得同意等例外情形。将其转化为业务实操中的追问即是：“当初收集这批数据原本是为了做什么，客户具体同意了什么？”客服中心以“处理咨询”为目的收集的咨询记录，若要用于广告受众定位，就必须另行具备超目的使用的法律依据。

宣传目的同意与拒绝权、儿童

第22条第1款规定，在取得同意时须将各项同意事项分别区分；特别是第7项规定，为宣传货物或服务或劝诱销售而进行的个人信息处理同意，必须单独区分并取得。此外，第5款规定，不得以信息主体未给予该同意为由拒绝提供货物或服务。将营销同意作为使用功能的先决条件这一产品设计，直接与该条款相抵触。

第22条之2规定，若依据本法通过取得同意的方式处理未满14周岁儿童的个人信息，必须取得其法定代理人的同意，并核实法定代理人是否确实同意。由儿童自行勾选的营销同意无法满足该法定要件。

向 AI 工具输入客户数据的条件

将客户数据输入 AI 服务以生成公司营销文案，通常属于将公司的个人信息处理业务交由外部企业的委托。然而，若该企业将接收到的数据亦用于自身目的（例如用于训练自家模型），则可能不属于委托，而是构成向第三方提供（第17条）；若该企业的服务器位于境外，导致数据在境外被委托处理或存储，则还必须核验跨境传输要件（第28条之8：另行取得同意，或作为履行合同所必需的委托处理与存储而公开处理方针或单独告知等）。在属于委托情形时，第26条规定的要件如下：

1. 必须通过载明禁止超出委托业务目的进行处理、技术性与管理性保护措施以及施行令规定的其他事项（目的与范围、再委托限制、访问限制、管理现状检查、损害赔偿等）的书面文件进行委托（第1款、施行令第28条第1款）。
2. 必须对委托业务的内容及受托人予以公开，以便信息主体随时随地轻松查阅。施行令原则上规定应持续刊登于委托人的互联网站点上（第2款、施行令第28条第2款）。
3. 委托宣传或劝诱销售业务的，必须将委托业务的内容及受托人告知信息主体（第3款）。告知方式包括书面等形式（施行令第28条第4款）。
4. 必须对受托人进行培训，并通过检查处理现状等方式实施监督（第4款）。
5. 受托人若要进行再委托，必须取得委托人的同意（第6款）。

在此基础上还需补充两条实操原则：第一，切勿将客户数据输入未与公司签订正式合同的个人账号或免费服务中。因为此类服务既无书面合同，亦无监督机制，更无法控制数据是否会被用于模型训练。第二，即使在有合同保障的环境下，也仅输入必需的项目。在撰写推荐文案时，并不需要支付方式或地址，而联系方式只需在最后的发送系统中进行关联拼接即可。

假名信息与匿名信息

将其对应到营销实操中表现如下：各年龄段或地区的购买倾向等统计数据，可以通过假名信息或匿名汇总来生成。但是，将假名信息与原始会员信息重新比对并向特定会员发送优惠券，绝非假名信息制度所允许的事项。针对个人发送个性化消息，必须基于具备同意等合法依据的个人信息来进行。

是否可发送判定表

对于每项发送计划，按照以下顺序进行判定：

确定 AI 个性化数据范围

用于个性化的数据按照以下流程确定：

1. 明确个性化的最终产出为何物。是个性化专属文案，还是群体层面的策略。
2. 若群体层面的结果已足够，则采用匿名汇总或假名信息进行处理。
3. 若需要面向个人的产出结果，则需核实收集数据的原始目的与同意范围。是否具备宣传目的处理同意？未满14周岁儿童是否具备法定代理人同意？
4. 仅筛选生成文案必不可少的项目。身份识别信息仅在最终发送阶段进行关联拼接。
5. 必须在完备委托合同、公开与告知、监督流程的合规 AI 环境中进行处理。
6. 明确产出物及输入数据的存储与销毁期限。

深入阅读

个性化无法改变的事实

AI个性化能让信息看起来像是专为某一个人量身定制的。正因这种感觉，业务人员常常会陷入一个误区：“这不是大批量群发广告，而是个人通知，所以没关系。”然而，法律看重的是信息的目的，而非形式。只要推销打折商品，无论发送给一个人还是发送给一百万人，都属于营利性广告信息。

个性化反而会带来新的风险。文案若提及客户很久以前仅购买过一次的商品，可能会引发“这家公司到底把我的信息用到了什么程度”的担忧；而若将从咨询记录中提炼出的不满反映在广告文案中，则构成超出授权目的的使用。个性化的深度必须限定在客户同意的范围与预期的范围之内。

当AI智能体实现发送自动化时

当AI智能体自动处理从文案撰写到目标筛选、发送以及拒收处理的全流程时，人工失误虽然会减少，但设计上的失误却会被大规模重复。在实际业务中，容易发生事故的环节有四个。

1. 同步延迟：来自聊天机器人、客服中心、应用设置的拒收意愿未能及时同步反映到发送列表中的问题。应设立在发送前夕再次核对最新状态的步骤。
2. 时间段计算：定时发送出现延迟导致超过晚上9点的问题。应让发送引擎识别各类媒介的夜间规则，并在超时的瞬间自动停止发送。
3. 渠道拓展：将同一营销活动从电子邮件拓展至应用推送时，直接套用夜间例外规则的问题。应按媒介分别独立设置规则。
4. 优化的诱惑：为了降低拒收率而将拒收流程复杂化的“优化”。这属于法律明令禁止的规避与妨碍行为。

假名信息能做与不能做的事

假名信息虽然拓宽了数据利用的途径，但在营销中的界限却十分明确。第28条之2所指的编制统计，是指生成无法识别特定个人的汇总结果，因此在购买趋势分析或营销活动效果统计方面具有应用空间。具体范围与程序请参阅个人信息保护委员会的假名信息处理指南。然而，一旦输出结果指向“特定个人”，即变为针对个人的目标受众列表或个人定制信息时，便超出了假名信息制度的适用范围。假名化处理并非绕过同意的手段，而是用于无需识别个人身份的操作的安全机制。

工作场景

海村水产：节日礼品CRM营销活动

水产商城“海村水产”在春节礼品季来临之际，计划利用生成式AI为每位客户生成个性化礼品推荐信息。目标受众分为三组：① 同意接收广告的2万名会员、② 去年中秋（4个月前）购买过礼品套装但未同意接收广告的6千名客户、③ 1年半前完成最后一笔购买后便再无活动的1万名客户。营销团队提议在互动反响较好的晚上9点30分通过短信发送。

负责人针对各组分别适用了判断标准表。第①组虽然已获得广告同意，但若要在晚上9点30分发送短信，则需要单独取得夜间同意。夜间同意者的比例为25%。负责人同时提出了两套方案：一是仅在晚上9点30分向夜间同意者发送，其余人员顺延至次日上午9点发送；二是全部改为电子邮件并在晚上9点30分发送。团队以短信互动率更高为由，选择了第一套方案。

第②组由于是4个月前直接发生过交易的客户，且推销的是礼品套装同类商品，因此符合交易关系例外情形。但夜间规定并不适用该例外，故决定在白天向该组发送。尽管有营销人员提出“反正属于例外客户，晚上发也没关系”，但负责人指出，即使符合第1款的情形，夜间规定依然适用。第③组因交易结束已超过6个月而不符合例外情形，且未取得同意，因此从广告短信发送对象中剔除。

数据方面也进行了梳理。在生成AI文案时仅输入近期购买品类与偏好价格区间，姓名与电话号码则由发送系统在后续环节进行拼接。AI服务决定仅使用已完成委托合同签订并在官网公示的企业级环境。最后，在与发送代发机构的合同中载明了夜间同意确认方式与拒收同步周期，并增加了在发送前夕重新核对拒收列表的步骤。

吃书河马：儿童会员与定制推荐

儿童图书订阅服务“吃书河马”计划利用AI为每个孩子生成定制化的图书推荐信息，并推送到家长端应用。会员数据中包含孩子姓名、年龄、阅读记录以及家长联系方式。策划团队提议将孩子们在应用中直接勾选“接收推荐”的记录作为同意依据。

负责人首先对处理对象进行了分类。孩子的阅读记录属于不满14周岁儿童的个人信息，若出于宣传目的进行处理，必须取得法定代理人同意并核实该同意。孩子自行勾选并未满足这一要件。负责人设计了在家长账户中单独获取宣传目的处理同意的界面，决定仅将同意的家庭纳入个性化推荐对象。未同意的家庭仍可正常使用订阅服务。

策划团队询问：“那么如果把数据进行假名化处理后再使用，是不是无需同意也可以呢？”负责人回答称，假名信息虽可用于编制统计等用途，但不能用于针对特定孩子的定制推荐。作为替代方案，团队决定将各年龄段的热门图书统计制作成假名信息，作为可向未同意家庭发送的通用推荐列表。不过负责人也留下了备注说明：通过应用推送发送该列表仍属于发送广告性信息，因此家长的广告接收同意与夜间规定必须另行遵守。

易错点

1. “AI为每位客户分别撰写的信息不属于广告。” 只要推销销售，无论是否个性化，均属于营利性广告信息。
2. “既然已获得服务通知同意，发送广告也可以。” 同意仅在授权范围内有效。服务通知同意绝不等同于广告接收同意。
3. “若符合交易关系例外情形，夜间也可以发送。” 例外情形仅免除事前同意。单独取得夜间同意、明示事项以及拒收规定依然有效。
4. “夜间例外适用于所有信息。” 适用例外的媒介仅限电子邮件。短信与应用推送仍需取得单独同意。
5. “拒收处理只需在内部做好记录即可。” 必须自表达拒收意向之日起14日内通知处理结果。
6. “既然合同约定由发送代发机构承担责任，我们便无需负责。” 委托方负有管理与监督义务，在损害赔偿方面，受托方被视为委托方的所属员工。
7. “只要进行假名化处理，即可在无需同意的情况下发送个性化广告。” 假名信息不得出于识别特定个人的目的进行处理。
8. “若用户不同意营销条款，可以限制其部分功能。” 不得以用户未给予宣传目的同意为由拒绝提供服务。

要点速览

查阅官方文档

• 韩国《信息通信网法》第50条：事前同意、例外、拒收、夜间、明示事项、禁止行为、处理结果通知、定期确认。
• 韩国《信息通信网法》第50条之3：委托发送时的发送资质认证、管理与监督、损害赔偿。
• 韩国《信息通信网法施行令》第61条：6个月、电子邮件例外、附表6。请同时参阅第62条、第62条之2、第62条之3。
• 韩国《个人信息保护法》：第2条（定义）、第3条（原则）、第18条（超出授权目的的使用）、第22条与第22条之2（同意方式、儿童）、第26条（委托）、第28条之2与第28条之5（假名信息）、第58条之2（适用除外）。
• 韩国《个人信息保护法施行令》第28条：委托书面文件中应载明的事项、公开方式、宣传委托告知方式。

自测

3-1. 写出韩国《信息通信网法》中交易关系例外成立的三项条件，并列举三项即使例外成立也仍须遵守的规定。

3-2. 结合法条依据，说明在晚上10点发送广告性信息时，电子邮件与 App 推送的区别。

3-3. 按顺序列出接收方表达拒绝接收意愿后公司须处理的事项，包含期限与通知内容。

3-4. 选出下列各项中韩国《信息通信网法》第50条第5款所禁止的所有行为。(甲) 点击拒绝链接即可立即处理的设计 (乙) 通过组合手机号码规律生成潜在客户名单的功能 (丙) 每次更改发件号码以隐匿来源的设置 (丁) 以同意日为基准每满2年询问一次是否同意的通知。

3-5. 分别说明韩国《个人信息保护法》中的“宣传与推销目的处理同意”与韩国《信息通信网法》中的“广告性信息接收同意”各指对何种事项的同意，并分别列举仅具备其中一项时会导致的问题。

3-6. 结合法条依据，写出一项可使用假名信息开展的营销分析，以及一项不得使用假名信息进行的营销活动。

3-7. （方案设计）将客户数据委托给外部 AI 企业生成个性化文案时，写出应纳入委托合同与公司内部流程的六项以上事项。

实操练习