워크스페이스 열기

가이드 · 미국 주법

광고로 수익을 내는 사람을 위한 CCPA와 CPRA 설명

캘리포니아는 미국에서 가장 상세한 개인정보 보호법을 가지고 있고 과태료도 가장 많이 부과합니다. 이 가이드에서는 이 법이 언제 내 사이트에 적용되는지, 왜 맞춤 광고가 데이터 판매나 공유로 간주되는지, 방문자가 거부할 수 있도록 페이지에 무엇이 표시되어야 하는지 알아봅니다.

  • ✓법 조문, 기관 규정, 공개된 합의 사례를 기반으로 합니다
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 캘리포니아 소비자 또는 가구 수: 회사가 법의 적용 대상이 되는 기준 중 하나
US$7,988고의 위반 또는 16세 미만 관련 위반 1건당 최대 과태료로, 2025년에 조정된 금액
16이 나이 미만이면 데이터를 판매하거나 공유하기 전에 사전 허가가 필요합니다
2026위험 평가, 자동화된 의사 결정, 감사에 관한 새 규칙이 시행된 연도

정의

방문자에게 데이터 판매를 거부할 권리를 준 법

California Consumer Privacy Act, 즉 CCPA는 2018년에 통과되어 2020년 1월 1일부터 시행되었습니다. 캘리포니아 주민은 회사가 어떤 데이터를 수집하는지 알 권리, 그 데이터의 삭제를 요청할 권리, 판매를 막을 권리를 갖습니다.

2020년 11월 유권자들이 California Privacy Rights Act, 즉 CPRA를 승인했고, 이 법이 CCPA의 상당 부분을 다시 썼습니다. 변경 사항은 2023년 1월 1일부터 적용됩니다. 그래서 오늘날 CCPA라고 하면 거의 항상 CPRA로 개정된 법을 가리킵니다.

CPRA는 개인정보 보호만을 위한 기관인 California Privacy Protection Agency를 만들었으며, 지금은 대중에게 CalPrivacy라고 소개합니다. 이 기관은 세부 규정을 만들고, 기업을 조사하고, 과태료를 부과합니다. 캘리포니아 법무장관도 법을 어기는 곳을 기소할 권한을 계속 갖습니다.

광고가 있는 사이트에서 핵심은 간단합니다. 방문자가 다른 사이트에서 한 행동을 바탕으로 광고를 보여 주려고 쿠키와 식별자를 사용하면, 법은 이를 데이터 공유로 봅니다. 그리고 방문자에게는 거부할 권리가 있습니다.

체크리스트

꼭 지켜야 할 것

법의 기준 중 하나를 넘고 캘리포니아 주민의 데이터를 판매하거나 공유하는 기업에 적용돼요.

  1. 홈페이지에 거부 링크 두기

    데이터를 판매하거나 공유하는 곳은 홈페이지 헤더나 푸터에 명확한 링크를 두어야 해요. Your Privacy Choices 또는 Your California Privacy Choices라는 단일 링크와 공식 아이콘을 함께 두는 것도 규정상 인정돼요.

    예시

    푸터: Do Not Sell or Share My Personal Information

  2. GPC를 유효한 거부로 인정하기

    주 법무장관은 GPC를 유효한 거부 요청으로 존중해야 한다고 해요. 2026년부터 시행되는 규정은 사이트가 방문자에게 선택 상태를 보여 주도록 요구해요.

    예시

    개인정보 패널: GPC 신호를 받았어요. 회원님의 데이터를 판매하거나 공유하지 않아요.

  3. 거부를 빠르게 처리하기

    거부는 가능한 한 빨리, 늦어도 영업일 기준 15일 안에 처리해야 해요. 열람, 삭제, 정정 요청은 45일이고, 방문자에게 알리면 45일을 더 쓸 수 있어요.

  4. 수집 시점 안내와 전체 정책 유지하기

    안내는 데이터를 수집하기 전이나 수집하는 순간에 보여 주고, 개인정보처리방침 링크를 넣어야 해요. 정책에는 방문자의 권리와 행사 방법을 설명해야 해요.

    예시

    광고 파트너의 쿠키를 사용해요. 캘리포니아 법상 이는 데이터 공유에 해당할 수 있어요. 거부하려면 Do Not Sell or Share My Personal Information을 클릭하세요.

  5. 최소 두 가지 경로 제공하기

    데이터를 판매하거나 공유하는 곳은 거부 방법을 두 가지 이상 마련해야 해요. 열람이나 삭제 요청의 경우 온라인 전용 기업은 이메일 하나만 제공해도 돼요.

    예시

    개인정보 요청: privacidade@seusite.com

  6. 선택지를 균형 있게 두기

    규정은 선택지의 대칭을 요구해요. 예와 나중에 묻기만 있는 안내는 거부할 방법이 없어서 균형이 맞지 않아요.

    예시

    크기와 색이 같은 두 버튼: 수락과 거부

  7. 16세 미만은 허가를 받기

    16세 미만임을 알고 있는 사람의 데이터를 판매하거나 공유하려면 사전 허가가 필요해요. 13세 미만은 부모나 보호자의 허가가 필요해요.

  8. 거부를 Google에 전달하기

    GPP string의 캘리포니아 섹션에서 판매나 공유 거부가 들어오면 RDP가 켜져요. 링크를 누른 사람에게만 태그에서 RDP를 켜는 방법도 있어요.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 캘리포니아에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지, GPP를 생성하는 CMP, 태그의 RDP 중 하나를 쓸 수 있어요. 아래는 공식 링크예요.

적용 대상

다음 세 가지 기준 중 하나만 넘으면 됩니다

이 법은 캘리포니아에서 사업을 하고, 주민의 데이터를 수집하고, 아래 기준 중 하나 이상을 충족하는 영리 기업에 적용됩니다. 본사가 그곳에 있을 필요는 없습니다. 캘리포니아 주민에게 서비스를 제공하는 외국 기업도 해당될 수 있습니다.

매출 US$26,625,000 초과

연간 총수익이 이 금액을 넘는 경우로, 원래 US$2,500만이었으나 2025년 1월 물가 상승에 맞춰 조정되었습니다. 매출은 캘리포니아에서 나온 것만이 아니라 전체를 계산합니다.

소비자 또는 가구 10만 명

연간 캘리포니아 소비자 또는 가구 10만 명 이상의 데이터를 구매, 판매 또는 공유하는 경우입니다. 캘리포니아 트래픽이 많고 맞춤 광고를 쓰는 포털은 모르는 사이에 여기에 도달할 수 있습니다.

수익의 절반이 데이터에서 발생

회사 규모와 상관없이, 연간 수익의 50% 이상을 캘리포니아 주민의 개인정보 판매나 공유로 얻는 경우입니다.

대상에서 제외되는 곳

비영리 단체와 공공 기관은 원칙적으로 해당되지 않습니다. 세 가지 기준 미만인 회사도 해당되지 않지만, 광고 파트너가 그래도 옵트아웃 신호를 요구할 수 있습니다.

용어

광고가 있는 사이트에서 모든 것을 바꾸는 용어

CCPA는 자체 용어를 씁니다. 아래 네 가지를 이해하면 혼란의 대부분을 피할 수 있습니다.

개인정보

개인이나 가구에 연결되었거나 연결될 수 있는 모든 데이터입니다. 법에는 온라인 식별자, IP 주소, 탐색 기록, 사이트 및 광고와의 상호작용이 포함됩니다.

민감한 개인정보

신분증, 계정 로그인, 정밀한 위치, 인종적 출신, 종교, 건강, 성생활, 생체 정보 같은 데이터입니다. 방문자는 이 데이터의 사용을 제한해 달라고 요청할 수 있습니다.

판매

돈이나 다른 가치를 받고 제3자에게 데이터를 넘기는 것입니다. 직접적인 대금이 없어도 됩니다. 서비스를 받는 대가로 파트너가 데이터를 수집하게 두는 것도 판매로 볼 수 있습니다.

공유

교차 맥락 행동 광고, 즉 다른 사이트와 앱에서 한 행동을 바탕으로 선택한 광고를 위해 데이터를 제3자에게 넘기는 것입니다. 대금이 없어도 해당됩니다.

권리

캘리포니아 방문자가 요청할 수 있는 것

기업은 요청에 45일 안에 답해야 하며, 필요하면 45일을 연장할 수 있습니다. 옵트아웃 요청은 훨씬 더 빠르고 번거로움 없이 처리해야 합니다.

알고 접근하기

어떤 데이터가 수집되었는지, 어디서 왔는지, 무엇에 쓰이는지, 누구에게 판매되거나 공유되었는지 알아보는 것입니다.

삭제 및 정정

법에 정해진 일부 예외를 제외하고, 수집된 데이터의 삭제와 잘못된 데이터의 정정을 요청하는 것입니다.

판매 및 공유 거부

사이트의 링크나 브라우저의 자동 신호를 통해, 맞춤 광고를 포함해 데이터 판매나 공유를 중단하라고 기업에 요구하는 것입니다.

민감한 데이터 제한 및 보복 금지

민감한 데이터의 사용을 필요한 범위로 제한하고, 이러한 권리를 사용했다는 이유로 더 높은 가격이나 축소된 서비스 같은 불이익을 받지 않는 것입니다.

사이트의 의무

옵트아웃 링크, GPC 신호, 개인정보 고지

데이터를 판매하거나 공유하는 곳은 보통 모든 페이지 푸터에 Do Not Sell or Share My Personal Information이라는 문구의 분명한 링크를 제공해야 합니다. 기관의 규정은 이 링크와 민감한 데이터 링크를 공식 아이콘이 붙은 Your Privacy Choices라는 하나의 링크로 대체하는 것을 허용합니다. 클릭하면 회원 가입이나 서류 요구 없이 간단하게 거부할 수 있는 방법으로 연결되어야 합니다.

자동 옵트아웃 신호도 의무입니다. 가장 잘 알려진 예가 Global Privacy Control, 즉 GPC로, 사용자가 자신의 데이터가 판매되거나 공유되는 것을 원하지 않는다고 모든 사이트에 알리는 브라우저나 확장 프로그램의 설정입니다. 2026년 1월 1일부터 규정은 사이트가 이 신호를 처리했는지 표시하도록 요구합니다. 예를 들어 옵트아웃 요청이 처리되었다는 메시지가 있습니다.

수집 시점의 고지와 완전한 개인정보 처리방침도 필요합니다. 방침에는 수집하는 데이터의 범주, 목적, 데이터를 받는 회사의 범주, 판매나 공유 여부, 데이터 보관 기간, 각 권리를 행사하는 방법이 나와야 합니다. 기관의 규정은 마지막 업데이트 날짜도 요구합니다.

규정은 이른바 기만적 설계를 금지합니다. 거부가 수락보다 더 많은 단계를 요구해서는 안 되고, 팝업을 닫는 것을 동의로 볼 수 없습니다. 16세 미만임을 알고 있는 사람의 데이터를 판매하거나 공유하려면 사전 허가가 필요합니다. 13세에서 16세 사이는 청소년 본인이, 13세 미만은 부모가 허가합니다.

타임라인

캘리포니아 법이 지금에 이른 과정

캘리포니아 주 공식 자료에서 확인된 날짜입니다.

  1. 2020년 1월 1일

    CCPA 시행

    데이터에 대해 알고, 삭제하고, 판매를 거부할 권리가 생깁니다.

  2. 2022년 8월 24일

    첫 과태료: Sephora

    제3자 추적기로 데이터를 판매하고 GPC를 무시한 건으로 US$120만에 합의했습니다.

  3. 2023년 1월 1일

    CPRA 적용 시작

    광고를 위한 공유, 정정, 민감한 데이터 제한이 도입되고, 처벌 전 30일의 의무 시정 기간이 없어집니다.

  4. 2025년 1월 1일

    금액 조정

    매출 기준이 US$26,625,000으로, 과태료가 US$2,663과 US$7,988로 오릅니다.

  5. 2026년 1월 1일

    새 규정 패키지

    중대한 위험이 있는 활동의 위험 평가, 옵트아웃 신호의 눈에 보이는 확인, 기만적 설계에 대한 새 규정이 적용됩니다.

  6. 2027년 1월 1일

    자동화된 의사 결정과 브라우저

    중요한 결정에 대한 자동화된 의사 결정 규정이 시작됩니다. 2025년 AB 566 법에 따라 브라우저는 옵트아웃 신호를 기본 내장해 제공해야 합니다.

  7. 2028년 4월 1일

    기관에 대한 신고

    위험 평가의 신고서와 요약을 제출하는 기한입니다. 보안 감사 인증은 이 날짜부터 매출 US$1억 초과 기업에 시작되고, 나머지 기업에는 2029년과 2030년에 이어집니다.

집행과 과태료

누가 집행하고 잘못하면 얼마나 드는가

개인정보 보호 기관과 법무장관이 조치할 수 있습니다. 2023년부터는 처벌 전 30일의 의무 시정 기간이 더 이상 없습니다. 기관은 선의를 고려할 수 있지만 미리 알릴 필요는 없습니다.

과태료는 2025년 1월에 조정되었습니다. 위반 1건당 최대 US$2,663, 고의 위반이나 16세 미만이 관련된 위반은 1건당 최대 US$7,988입니다. 방문자 한 명 또는 요청 하나가 위반 1건이 될 수 있어서 금액이 빠르게 커집니다. 시민은 데이터 유출 사건에서만 직접 소송할 수 있으며, 1인당 사건당 US$107에서 US$799의 배상이 가능합니다.

Sephora는 2022년에 추적기와 GPC 건으로 US$120만을 냈습니다. 2025년 3월 Honda는 옵트아웃에 너무 많은 데이터를 요구하고, 선택지를 균형 있게 보여 주지 않는 도구를 썼다는 이유로 기관에 US$632,500을 냈습니다. 2025년 5월 의류 브랜드 Todd Snyder는 잘못 설정된 포털이 40일 동안 옵트아웃 요청을 처리하지 못해 US$345,178을 냈습니다.

2025년 7월 법무장관은 GPC를 포함해 타겟 광고 거부를 존중하지 않은 건강 사이트 Healthline과 US$155만에 합의했습니다. 2025년 9월 Tractor Supply는 GPC 처리 실패가 포함된 US$135만의 과태료를 받았습니다. 2026년 2월 Disney는 옵트아웃과 GPC가 한 기기나 서비스에서만 적용되었다는 이유로 당시 최대 규모인 US$275만에 합의했습니다.

AdSense 및 Ad Manager

Google 광고가 있는 사이트에서 달라지는 점

Google은 RDP라고 하는 제한된 데이터 처리를 제공합니다. 신호가 있으면 Google은 방문자의 이전 행동을 바탕으로 한 광고를 보여 주지 않고 구매자에게 비맞춤 요청을 보냅니다. 이 모드에서 Google은 서비스 제공자로 행동하며, 캘리포니아 법은 이를 판매로 보지 않습니다.

방법은 두 가지입니다. 첫째는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 관리하는 CMP입니다. AdSense와 Ad Manager는 US National 섹션과 캘리포니아 섹션을 읽습니다. 캘리포니아 섹션에서 판매나 공유를 거부하면 RDP가 켜지고, 16세 미만에 대한 거부는 아동 대상 처리를 작동시킵니다. 둘째는 옵트아웃 링크를 클릭한 사람에게만, 예를 들어 GPT의 restrictDataProcessing으로 태그에서 직접 RDP를 켜는 것입니다.

AdSense와 Ad Manager의 개인정보 보호 및 메시지 메뉴에 있는 미국 주 대상 개인정보 보호 메시지는 캘리포니아를 다룹니다. Do Not Sell or Share My Personal Information 링크를 표시하고, 거부를 기록하고, 선택을 GPP에 저장합니다. 다만 Google은 법을 준수할 책임은 여전히 사이트에 있다고 상기시킵니다.

헤더 입찰, 동영상 네트워크, 소셜 미디어 픽셀도 데이터를 받습니다. 옵트아웃은 Google뿐 아니라 이 모두에게 전달되어야 합니다.

실제 사례

캘리포니아에서 해도 되는 일과 안 되는 일

AdSense나 Ad Manager를 쓰고 캘리포니아 방문자가 있는 사이트의 일상적인 사례입니다.

허용

  • 옵트아웃 링크가 보이는 한, 방문자가 거부할 때까지 맞춤 광고 표시하기
  • 푸터에 공식 아이콘이 있는 Your Privacy Choices 링크 하나 사용하기
  • GPC를 읽고 GPP 문자열에서 방문자를 자동으로 옵트아웃으로 표시하기
  • 옵트아웃 신호가 처리되었음을 확인하는 짧은 메시지 표시하기
  • 거부한 사람에게 비맞춤 광고 표시하기
  • Google의 미국 주 대상 메시지 사용하기

허용 안 됨

  • 옵트아웃을 기록하려고 회원 가입이나 서류 요구하기
  • 수락 버튼은 컬러로, 거부 버튼은 회색으로 숨기기
  • 팝업을 닫는 것을 수락으로 처리하기
  • Google만 끄고 헤더 입찰과 픽셀은 계속 데이터를 받게 두기
  • 방문자가 링크를 클릭하지 않았다는 이유로 GPC 무시하기
  • 16세 미만임을 아는 사람의 데이터를 허가 없이 맞춤 광고에 사용하기

흔한 오류

집행 사례에서 나타나는 실패

공개된 합의 거의 모두가 작동하는 것처럼 보이지만 실제로는 작동하지 않는 옵트아웃을 다룹니다.

글로 연결되는 링크

Do Not Sell or Share 링크가 방문자가 실제로 거부할 수 있는 화면이 아니라 개인정보 처리방침을 엽니다.

읽었지만 효과가 없는 GPC

CMP는 GPC를 감지하지만, 광고 태그가 먼저 로드되거나 거부하지 않았다는 신호를 계속 받습니다.

Google에만 적용되는 옵트아웃

Google에서는 RDP가 켜지지만 헤더 입찰 파트너와 제3자 픽셀은 계속 데이터를 수집합니다.

균형이 맞지 않는 배너

한 번 클릭으로 모두 수락할 수 있지만 거부는 설정을 연 다음에야 할 수 있습니다. 선택지의 불균형은 Honda 사건에서 무겁게 작용했습니다.

오래된 방침

업데이트 날짜가 없거나, 데이터 범주가 없거나, 광고를 위한 공유가 있다는 말이 없는 방침입니다.

캘리포니아에만 메시지가 있고 문자열이 없음

배너는 나타나지만 GPP 문자열이 생성되지 않아서 Google과 파트너가 방문자의 선택을 받지 못합니다.

ConsentMode에서

감사가 CCPA에 대해 확인하는 항목

  • 캘리포니아 방문자로 사이트를 열어 분석한 모든 페이지에서 Do Not Sell or Share 또는 Your Privacy Choices 링크를 찾습니다.
  • GPC를 켜고 다시 방문해 GPP 문자열, RDP, 확인 메시지가 페이지에서 바뀌는지 관찰합니다.
  • 광고 요청에서 GPP 문자열을 읽고 US National 또는 캘리포니아 섹션이 거부를 나타내는지 보여 줍니다.
  • 페이지 코드로 CMP를 식별하고 광고 태그가 CMP의 응답을 기다리는지 확인합니다.
  • 개인정보 처리방침을 읽고 데이터 범주, 광고를 위한 공유, 업데이트 날짜처럼 빠진 항목을 알려 줍니다.

CCPA에 관한 자주 묻는 질문

제 사이트는 브라질 사이트입니다. CCPA가 저에게 적용되나요?

적용될 수 있습니다. 법은 캘리포니아에 본사가 있을 것을 요구하지 않습니다. 회사가 주 주민에게 서비스를 제공하고 광고용으로 공유하는 데이터가 연간 소비자 또는 가구 10만 명처럼 세 가지 기준 중 하나를 넘으면 해당됩니다. 기준 미만이면 법은 적용되지 않지만, Google과 다른 파트너는 계속 옵트아웃 신호를 읽습니다.

AdSense 광고는 판매로 간주되나요?

다른 사이트에서의 탐색을 바탕으로 한 맞춤 광고는 공유의 개념에 해당합니다. RDP가 켜져 있으면 Google은 서비스 제공자로 행동하고 그 방문자에게 비맞춤 광고만 표시합니다.

캘리포니아에 쿠키 배너가 필요한가요?

CCPA는 옵트아웃 방식으로 작동하므로 성인에게는 사전에 허락을 구하도록 요구하지 않습니다. 요구하는 것은 수집 시점의 고지, 거부 링크, GPC 존중입니다. 16세 미만은 옵트인이 필요합니다.

GPC는 정말 의무인가요?

네. 법무장관과 기관은 GPC를 유효한 옵트아웃 요청으로 봅니다. Sephora, Tractor Supply, Disney 사건 같은 여러 합의가 GPC 실패를 언급합니다. 2026년부터 사이트는 신호를 처리했는지도 표시해야 합니다.

블로그에도 위험 평가가 적용되나요?

법의 적용을 받는 회사 중 활동이 기관 규정의 중대한 위험 목록에 있는 곳에 적용됩니다. 맞춤 광고를 하는 곳은 변호사와 함께 이 목록을 확인해야 합니다. CCPA 기준 미만의 블로그는 필요 없습니다. 기준을 넘고 목록에 해당하는 곳은 평가를 문서화하고 2028년 4월 1일까지 신고서를 제출해야 합니다.

ConsentMode가 CCPA 문제를 해결해 주나요?

아니요. ConsentMode는 CMP가 아니며 배너를 표시하지 않습니다. 외부에서 사이트를 감사하고 무엇을 고쳐야 하는지 보여 줍니다. 법적 판단은 변호사의 몫입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 옵트아웃이 정말 작동하는지 확인하세요

감사는 GPC가 있을 때와 없을 때 캘리포니아 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기