매출 US$26,625,000 초과
연간 총수익이 이 금액을 넘는 경우로, 원래 US$2,500만이었으나 2025년 1월 물가 상승에 맞춰 조정되었습니다. 매출은 캘리포니아에서 나온 것만이 아니라 전체를 계산합니다.
가이드 · 미국 주법
캘리포니아는 미국에서 가장 상세한 개인정보 보호법을 가지고 있고 과태료도 가장 많이 부과합니다. 이 가이드에서는 이 법이 언제 내 사이트에 적용되는지, 왜 맞춤 광고가 데이터 판매나 공유로 간주되는지, 방문자가 거부할 수 있도록 페이지에 무엇이 표시되어야 하는지 알아봅니다.
정의
California Consumer Privacy Act, 즉 CCPA는 2018년에 통과되어 2020년 1월 1일부터 시행되었습니다. 캘리포니아 주민은 회사가 어떤 데이터를 수집하는지 알 권리, 그 데이터의 삭제를 요청할 권리, 판매를 막을 권리를 갖습니다.
2020년 11월 유권자들이 California Privacy Rights Act, 즉 CPRA를 승인했고, 이 법이 CCPA의 상당 부분을 다시 썼습니다. 변경 사항은 2023년 1월 1일부터 적용됩니다. 그래서 오늘날 CCPA라고 하면 거의 항상 CPRA로 개정된 법을 가리킵니다.
CPRA는 개인정보 보호만을 위한 기관인 California Privacy Protection Agency를 만들었으며, 지금은 대중에게 CalPrivacy라고 소개합니다. 이 기관은 세부 규정을 만들고, 기업을 조사하고, 과태료를 부과합니다. 캘리포니아 법무장관도 법을 어기는 곳을 기소할 권한을 계속 갖습니다.
광고가 있는 사이트에서 핵심은 간단합니다. 방문자가 다른 사이트에서 한 행동을 바탕으로 광고를 보여 주려고 쿠키와 식별자를 사용하면, 법은 이를 데이터 공유로 봅니다. 그리고 방문자에게는 거부할 권리가 있습니다.
체크리스트
법의 기준 중 하나를 넘고 캘리포니아 주민의 데이터를 판매하거나 공유하는 기업에 적용돼요.
데이터를 판매하거나 공유하는 곳은 홈페이지 헤더나 푸터에 명확한 링크를 두어야 해요. Your Privacy Choices 또는 Your California Privacy Choices라는 단일 링크와 공식 아이콘을 함께 두는 것도 규정상 인정돼요.
푸터: Do Not Sell or Share My Personal Information
주 법무장관은 GPC를 유효한 거부 요청으로 존중해야 한다고 해요. 2026년부터 시행되는 규정은 사이트가 방문자에게 선택 상태를 보여 주도록 요구해요.
개인정보 패널: GPC 신호를 받았어요. 회원님의 데이터를 판매하거나 공유하지 않아요.
거부는 가능한 한 빨리, 늦어도 영업일 기준 15일 안에 처리해야 해요. 열람, 삭제, 정정 요청은 45일이고, 방문자에게 알리면 45일을 더 쓸 수 있어요.
안내는 데이터를 수집하기 전이나 수집하는 순간에 보여 주고, 개인정보처리방침 링크를 넣어야 해요. 정책에는 방문자의 권리와 행사 방법을 설명해야 해요.
광고 파트너의 쿠키를 사용해요. 캘리포니아 법상 이는 데이터 공유에 해당할 수 있어요. 거부하려면 Do Not Sell or Share My Personal Information을 클릭하세요.
데이터를 판매하거나 공유하는 곳은 거부 방법을 두 가지 이상 마련해야 해요. 열람이나 삭제 요청의 경우 온라인 전용 기업은 이메일 하나만 제공해도 돼요.
개인정보 요청: privacidade@seusite.com
규정은 선택지의 대칭을 요구해요. 예와 나중에 묻기만 있는 안내는 거부할 방법이 없어서 균형이 맞지 않아요.
크기와 색이 같은 두 버튼: 수락과 거부
16세 미만임을 알고 있는 사람의 데이터를 판매하거나 공유하려면 사전 허가가 필요해요. 13세 미만은 부모나 보호자의 허가가 필요해요.
GPP string의 캘리포니아 섹션에서 판매나 공유 거부가 들어오면 RDP가 켜져요. 링크를 누른 사람에게만 태그에서 RDP를 켜는 방법도 있어요.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});실제 사례
공식 도구
Google은 캘리포니아에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지, GPP를 생성하는 CMP, 태그의 RDP 중 하나를 쓸 수 있어요. 아래는 공식 링크예요.
적용 대상
이 법은 캘리포니아에서 사업을 하고, 주민의 데이터를 수집하고, 아래 기준 중 하나 이상을 충족하는 영리 기업에 적용됩니다. 본사가 그곳에 있을 필요는 없습니다. 캘리포니아 주민에게 서비스를 제공하는 외국 기업도 해당될 수 있습니다.
연간 총수익이 이 금액을 넘는 경우로, 원래 US$2,500만이었으나 2025년 1월 물가 상승에 맞춰 조정되었습니다. 매출은 캘리포니아에서 나온 것만이 아니라 전체를 계산합니다.
연간 캘리포니아 소비자 또는 가구 10만 명 이상의 데이터를 구매, 판매 또는 공유하는 경우입니다. 캘리포니아 트래픽이 많고 맞춤 광고를 쓰는 포털은 모르는 사이에 여기에 도달할 수 있습니다.
회사 규모와 상관없이, 연간 수익의 50% 이상을 캘리포니아 주민의 개인정보 판매나 공유로 얻는 경우입니다.
비영리 단체와 공공 기관은 원칙적으로 해당되지 않습니다. 세 가지 기준 미만인 회사도 해당되지 않지만, 광고 파트너가 그래도 옵트아웃 신호를 요구할 수 있습니다.
용어
CCPA는 자체 용어를 씁니다. 아래 네 가지를 이해하면 혼란의 대부분을 피할 수 있습니다.
개인이나 가구에 연결되었거나 연결될 수 있는 모든 데이터입니다. 법에는 온라인 식별자, IP 주소, 탐색 기록, 사이트 및 광고와의 상호작용이 포함됩니다.
신분증, 계정 로그인, 정밀한 위치, 인종적 출신, 종교, 건강, 성생활, 생체 정보 같은 데이터입니다. 방문자는 이 데이터의 사용을 제한해 달라고 요청할 수 있습니다.
돈이나 다른 가치를 받고 제3자에게 데이터를 넘기는 것입니다. 직접적인 대금이 없어도 됩니다. 서비스를 받는 대가로 파트너가 데이터를 수집하게 두는 것도 판매로 볼 수 있습니다.
교차 맥락 행동 광고, 즉 다른 사이트와 앱에서 한 행동을 바탕으로 선택한 광고를 위해 데이터를 제3자에게 넘기는 것입니다. 대금이 없어도 해당됩니다.
권리
기업은 요청에 45일 안에 답해야 하며, 필요하면 45일을 연장할 수 있습니다. 옵트아웃 요청은 훨씬 더 빠르고 번거로움 없이 처리해야 합니다.
어떤 데이터가 수집되었는지, 어디서 왔는지, 무엇에 쓰이는지, 누구에게 판매되거나 공유되었는지 알아보는 것입니다.
법에 정해진 일부 예외를 제외하고, 수집된 데이터의 삭제와 잘못된 데이터의 정정을 요청하는 것입니다.
사이트의 링크나 브라우저의 자동 신호를 통해, 맞춤 광고를 포함해 데이터 판매나 공유를 중단하라고 기업에 요구하는 것입니다.
민감한 데이터의 사용을 필요한 범위로 제한하고, 이러한 권리를 사용했다는 이유로 더 높은 가격이나 축소된 서비스 같은 불이익을 받지 않는 것입니다.
사이트의 의무
데이터를 판매하거나 공유하는 곳은 보통 모든 페이지 푸터에 Do Not Sell or Share My Personal Information이라는 문구의 분명한 링크를 제공해야 합니다. 기관의 규정은 이 링크와 민감한 데이터 링크를 공식 아이콘이 붙은 Your Privacy Choices라는 하나의 링크로 대체하는 것을 허용합니다. 클릭하면 회원 가입이나 서류 요구 없이 간단하게 거부할 수 있는 방법으로 연결되어야 합니다.
자동 옵트아웃 신호도 의무입니다. 가장 잘 알려진 예가 Global Privacy Control, 즉 GPC로, 사용자가 자신의 데이터가 판매되거나 공유되는 것을 원하지 않는다고 모든 사이트에 알리는 브라우저나 확장 프로그램의 설정입니다. 2026년 1월 1일부터 규정은 사이트가 이 신호를 처리했는지 표시하도록 요구합니다. 예를 들어 옵트아웃 요청이 처리되었다는 메시지가 있습니다.
수집 시점의 고지와 완전한 개인정보 처리방침도 필요합니다. 방침에는 수집하는 데이터의 범주, 목적, 데이터를 받는 회사의 범주, 판매나 공유 여부, 데이터 보관 기간, 각 권리를 행사하는 방법이 나와야 합니다. 기관의 규정은 마지막 업데이트 날짜도 요구합니다.
규정은 이른바 기만적 설계를 금지합니다. 거부가 수락보다 더 많은 단계를 요구해서는 안 되고, 팝업을 닫는 것을 동의로 볼 수 없습니다. 16세 미만임을 알고 있는 사람의 데이터를 판매하거나 공유하려면 사전 허가가 필요합니다. 13세에서 16세 사이는 청소년 본인이, 13세 미만은 부모가 허가합니다.
타임라인
캘리포니아 주 공식 자료에서 확인된 날짜입니다.
데이터에 대해 알고, 삭제하고, 판매를 거부할 권리가 생깁니다.
제3자 추적기로 데이터를 판매하고 GPC를 무시한 건으로 US$120만에 합의했습니다.
광고를 위한 공유, 정정, 민감한 데이터 제한이 도입되고, 처벌 전 30일의 의무 시정 기간이 없어집니다.
매출 기준이 US$26,625,000으로, 과태료가 US$2,663과 US$7,988로 오릅니다.
중대한 위험이 있는 활동의 위험 평가, 옵트아웃 신호의 눈에 보이는 확인, 기만적 설계에 대한 새 규정이 적용됩니다.
중요한 결정에 대한 자동화된 의사 결정 규정이 시작됩니다. 2025년 AB 566 법에 따라 브라우저는 옵트아웃 신호를 기본 내장해 제공해야 합니다.
위험 평가의 신고서와 요약을 제출하는 기한입니다. 보안 감사 인증은 이 날짜부터 매출 US$1억 초과 기업에 시작되고, 나머지 기업에는 2029년과 2030년에 이어집니다.
집행과 과태료
개인정보 보호 기관과 법무장관이 조치할 수 있습니다. 2023년부터는 처벌 전 30일의 의무 시정 기간이 더 이상 없습니다. 기관은 선의를 고려할 수 있지만 미리 알릴 필요는 없습니다.
과태료는 2025년 1월에 조정되었습니다. 위반 1건당 최대 US$2,663, 고의 위반이나 16세 미만이 관련된 위반은 1건당 최대 US$7,988입니다. 방문자 한 명 또는 요청 하나가 위반 1건이 될 수 있어서 금액이 빠르게 커집니다. 시민은 데이터 유출 사건에서만 직접 소송할 수 있으며, 1인당 사건당 US$107에서 US$799의 배상이 가능합니다.
Sephora는 2022년에 추적기와 GPC 건으로 US$120만을 냈습니다. 2025년 3월 Honda는 옵트아웃에 너무 많은 데이터를 요구하고, 선택지를 균형 있게 보여 주지 않는 도구를 썼다는 이유로 기관에 US$632,500을 냈습니다. 2025년 5월 의류 브랜드 Todd Snyder는 잘못 설정된 포털이 40일 동안 옵트아웃 요청을 처리하지 못해 US$345,178을 냈습니다.
2025년 7월 법무장관은 GPC를 포함해 타겟 광고 거부를 존중하지 않은 건강 사이트 Healthline과 US$155만에 합의했습니다. 2025년 9월 Tractor Supply는 GPC 처리 실패가 포함된 US$135만의 과태료를 받았습니다. 2026년 2월 Disney는 옵트아웃과 GPC가 한 기기나 서비스에서만 적용되었다는 이유로 당시 최대 규모인 US$275만에 합의했습니다.
AdSense 및 Ad Manager
Google은 RDP라고 하는 제한된 데이터 처리를 제공합니다. 신호가 있으면 Google은 방문자의 이전 행동을 바탕으로 한 광고를 보여 주지 않고 구매자에게 비맞춤 요청을 보냅니다. 이 모드에서 Google은 서비스 제공자로 행동하며, 캘리포니아 법은 이를 판매로 보지 않습니다.
방법은 두 가지입니다. 첫째는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 관리하는 CMP입니다. AdSense와 Ad Manager는 US National 섹션과 캘리포니아 섹션을 읽습니다. 캘리포니아 섹션에서 판매나 공유를 거부하면 RDP가 켜지고, 16세 미만에 대한 거부는 아동 대상 처리를 작동시킵니다. 둘째는 옵트아웃 링크를 클릭한 사람에게만, 예를 들어 GPT의 restrictDataProcessing으로 태그에서 직접 RDP를 켜는 것입니다.
AdSense와 Ad Manager의 개인정보 보호 및 메시지 메뉴에 있는 미국 주 대상 개인정보 보호 메시지는 캘리포니아를 다룹니다. Do Not Sell or Share My Personal Information 링크를 표시하고, 거부를 기록하고, 선택을 GPP에 저장합니다. 다만 Google은 법을 준수할 책임은 여전히 사이트에 있다고 상기시킵니다.
헤더 입찰, 동영상 네트워크, 소셜 미디어 픽셀도 데이터를 받습니다. 옵트아웃은 Google뿐 아니라 이 모두에게 전달되어야 합니다.
실제 사례
AdSense나 Ad Manager를 쓰고 캘리포니아 방문자가 있는 사이트의 일상적인 사례입니다.
흔한 오류
공개된 합의 거의 모두가 작동하는 것처럼 보이지만 실제로는 작동하지 않는 옵트아웃을 다룹니다.
Do Not Sell or Share 링크가 방문자가 실제로 거부할 수 있는 화면이 아니라 개인정보 처리방침을 엽니다.
CMP는 GPC를 감지하지만, 광고 태그가 먼저 로드되거나 거부하지 않았다는 신호를 계속 받습니다.
Google에서는 RDP가 켜지지만 헤더 입찰 파트너와 제3자 픽셀은 계속 데이터를 수집합니다.
한 번 클릭으로 모두 수락할 수 있지만 거부는 설정을 연 다음에야 할 수 있습니다. 선택지의 불균형은 Honda 사건에서 무겁게 작용했습니다.
업데이트 날짜가 없거나, 데이터 범주가 없거나, 광고를 위한 공유가 있다는 말이 없는 방침입니다.
배너는 나타나지만 GPP 문자열이 생성되지 않아서 Google과 파트너가 방문자의 선택을 받지 못합니다.
ConsentMode에서
적용될 수 있습니다. 법은 캘리포니아에 본사가 있을 것을 요구하지 않습니다. 회사가 주 주민에게 서비스를 제공하고 광고용으로 공유하는 데이터가 연간 소비자 또는 가구 10만 명처럼 세 가지 기준 중 하나를 넘으면 해당됩니다. 기준 미만이면 법은 적용되지 않지만, Google과 다른 파트너는 계속 옵트아웃 신호를 읽습니다.
다른 사이트에서의 탐색을 바탕으로 한 맞춤 광고는 공유의 개념에 해당합니다. RDP가 켜져 있으면 Google은 서비스 제공자로 행동하고 그 방문자에게 비맞춤 광고만 표시합니다.
CCPA는 옵트아웃 방식으로 작동하므로 성인에게는 사전에 허락을 구하도록 요구하지 않습니다. 요구하는 것은 수집 시점의 고지, 거부 링크, GPC 존중입니다. 16세 미만은 옵트인이 필요합니다.
네. 법무장관과 기관은 GPC를 유효한 옵트아웃 요청으로 봅니다. Sephora, Tractor Supply, Disney 사건 같은 여러 합의가 GPC 실패를 언급합니다. 2026년부터 사이트는 신호를 처리했는지도 표시해야 합니다.
법의 적용을 받는 회사 중 활동이 기관 규정의 중대한 위험 목록에 있는 곳에 적용됩니다. 맞춤 광고를 하는 곳은 변호사와 함께 이 목록을 확인해야 합니다. CCPA 기준 미만의 블로그는 필요 없습니다. 기준을 넘고 목록에 해당하는 곳은 평가를 문서화하고 2028년 4월 1일까지 신고서를 제출해야 합니다.
아니요. ConsentMode는 CMP가 아니며 배너를 표시하지 않습니다. 외부에서 사이트를 감사하고 무엇을 고쳐야 하는지 보여 줍니다. 법적 판단은 변호사의 몫입니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 GPC가 있을 때와 없을 때 캘리포니아 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.