3.1.7 마케팅 목적의 개인정보 수집·이용

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

홍보와 판매 권유·광고성 정보 전송에 개인정보를 쓰려면 목적을 명확히 알리고 별도 동의를 받아야 한다. 전자적 광고를 보낼 때는 사전 동의와 정기 확인, 수신거부, 광고 표시, 야간 전송에 관한 요건도 준수한다.

마케팅 동의의 법적 요건은 일반적인 ITGC 범위 밖에 있다. 다만 시스템이 동의·철회 상태와 캠페인 대상자를 통제한다면 인터페이스와 배치·변경통제, 대상 목록의 완전성·정확성을 확인할 수 있다.

ISMS-P 요구사항	IT감사 연계 절차	모집단	표본
동의·철회	채널별 상태·시간·문안 버전과 철회 반영 재수행	동의 기록	표본
대상자 산출	수신동의 조건·제외목록·중복·실패 처리 확인	캠페인 실행	표본
변경관리	동의 기본값·필터·야간규칙 변경 승인·시험 확인	관련 변경	표본

광고성 정보 표시와 야간 전송·정기 확인이 법적으로 적절한지는 마케팅 준거성 영역에서 판단한다.

A. 아니다. 알림을 나중에 끄는 기능과 전송 전에 동의받아야 하는 의무는 서로 다르다. 광고성 정보를 보낼 법적 근거와 예외, 채널별 동의·철회 상태를 따로 확인해야 한다.