워크스페이스 열기

가이드 · 미국 주법

광고로 수익을 내는 사람을 위한 Colorado Privacy Act 설명

콜로라도는 캘리포니아 다음으로 사이트가 브라우저의 자동 거부 신호를 존중하도록 요구한 주입니다. 이 가이드에서는 법이 언제 내 사이트에 적용되는지, GPC로 무엇이 달라지는지, 법무장관이 어떻게 집행하는지 알아봅니다.

  • ✓법, 규정, 콜로라도 법무장관 페이지를 기반으로 합니다
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 콜로라도 소비자 수: 법이 적용되는 주요 기준
1지금까지 주가 인정한 범용 옵트아웃 메커니즘: Global Privacy Control
US$20,000콜로라도 소비자 보호법에 따른 위반 1건당 최대 민사 과태료
45일소비자 요청에 응답해야 하는 기한이며, 한 번 45일 더 연장 가능

정의

법무장관의 상세한 규정이 있는 짧은 법

Colorado Privacy Act, 즉 CPA는 2021년 7월 7일에 서명되어 2023년 7월 1일부터 시행되었습니다. 버지니아 모델을 따르며, 소비자 권리, 타겟 광고 옵트아웃, 민감한 데이터 동의가 있습니다.

차이는 세부 사항에 있습니다. 콜로라도 법무장관은 4 CCR 904-3으로 알려진 자체 규정을 발표했으며, 개인정보 고지는 어떠해야 하는지, 동의는 어떻게 요청하는지, 범용 거부 신호는 어떻게 인식하는지 설명합니다.

광고가 있는 사이트에서 가장 중요한 점은 범용 옵트아웃 메커니즘입니다. 2024년 7월 1일부터 해당 기업은 Global Privacy Control(GPC)을 타겟 광고 및 데이터 판매에 대한 유효한 거부 요청으로 처리해야 합니다.

이 법은 광고에 대해 옵트아웃 방식으로 작동합니다. 성인에게 맞춤 광고를 보여 주기 전에 허락을 구하도록 요구하지는 않지만, 거부가 간단하고, 눈에 띄고, 브라우저가 알릴 때는 자동이어야 한다고 요구합니다.

체크리스트

꼭 지켜야 할 것

콜로라도 법의 기준 중 하나를 넘는 곳에 적용돼요. 검찰총장 규칙에 각 항목이 자세히 나와 있어요.

  1. GPC 존중하기

    2024년 7월 1일부터 기준을 넘는 곳은 GPC를 판매와 타겟 광고의 거부로 받아들여야 해요. 현재 주에서 인정하는 신호는 GPC뿐이에요.

  2. 거부 링크는 정책 밖에 두기

    거부 경로는 개인정보처리방침 밖의 눈에 띄고 찾기 쉬운 곳에 두세요. 링크는 거부 화면으로 바로 연결되고 용도가 분명해야 해요.

    예시

    푸터: Your Privacy Choices 또는 Your Colorado Privacy Choices

  3. 개인정보처리방침 완성하기

    정책에는 방문자가 권리를 행사하는 방법, GPC 거부가 처리되는 방식, 마지막 업데이트 날짜가 들어가야 해요.

    예시

    마지막 업데이트: 2026년 3월. Global Privacy Control을 판매와 타겟 광고의 거부로 존중해요.

  4. 민감 정보는 적극적인 동의 받기

    동의는 자유롭고, 구체적이고, 충분한 설명을 거쳤고, 명확해야 해요. 미리 체크된 상자는 인정되지 않고, 동의를 쉽게 철회할 수 있어야 해요.

  5. 로그인이나 과도한 정보를 요구하지 않기

    GPC를 받아들일 때 사이트는 로그인을 요구하거나 꼭 필요한 것 이상의 정보를 요청하면 안 돼요.

  6. 45일 안에 답하기

    요청에는 45일 안에 답해야 하고, 방문자에게 알리면 45일을 더 연장할 수 있어요. 12개월 안의 첫 열람 요청은 무료예요.

  7. 데이터 보호 평가 하기

    데이터를 판매하거나 민감 정보를 처리하거나 위험이 높은 다른 처리를 하기 전에, 기업은 평가를 문서로 남겨야 해요. 검찰총장이 이 문서를 요청할 수 있어요.

  8. 거부를 Google에 전달하기

    GPP string의 콜로라도 섹션에서 판매나 타겟 광고 거부가 들어오면 RDP가 켜져요. 태그에서 바로 RDP를 켤 수도 있어요.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 콜로라도에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지나 GPC를 읽고 GPP를 생성하는 CMP를 쓰세요. 아래는 공식 링크예요.

적용 대상

두 가지 기준, 매출 금액은 없음

CPA는 콜로라도에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서 아래 기준 중 하나에 도달하는 곳에 적용됩니다. 매출 기준은 없습니다.

소비자 10만 명

1년에 콜로라도 소비자 10만 명 이상의 개인정보를 관리하거나 처리합니다. 쿠키와 광고 식별자가 있는 방문자도 포함됩니다.

2만 5천 명과 판매 수익

소비자 2만 5천 명 이상의 데이터를 처리하고 데이터 판매에서 수익이나 할인을 얻습니다. 어떤 수익이든 포함되며 최소 비율은 없습니다.

생체 인식 규칙

2025년 7월 1일부터 개정으로 식별자와 생체 데이터에 대한 별도 규칙이 생겼습니다. 생체 정보를 수집하는 곳은 이 규칙을 따로 확인해야 합니다.

개인 소비자만 해당

이 법은 개인적 또는 가정적 맥락에서 행동하는 주민을 보호합니다. 직원과 비즈니스 연락처의 데이터는 제외됩니다.

용어

광고를 파는 사람에게 중요한 용어

콜로라도는 버지니아보다 판매를 더 넓게 정의하는데, 이것이 법을 광고 시장의 현실에 더 가깝게 만듭니다.

개인정보

식별되었거나 식별 가능한 개인에게 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교, 건강 상태, 성생활과 성적 지향, 시민권, 유전·생체 데이터, 13세 미만 아동의 데이터입니다.

판매

개인정보를 돈이나 다른 가치를 받고 제3자와 교환하는 것입니다. 서비스를 받는 대가로 파트너가 데이터를 수집하게 두는 것도 이 정의에 포함될 수 있습니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고는 포함되지 않습니다.

범용 옵트아웃

GPC는 2024년 7월 1일에 의무가 되었습니다

CPA는 범용 옵트아웃 메커니즘이라는 개념을 만들었습니다. 브라우저나 확장 프로그램이 보내는 신호로, 모든 사이트에 그 사람이 타겟 광고도 데이터 판매도 원하지 않는다고 알립니다. 그러면 사이트마다 거부를 클릭할 필요가 없습니다.

법무장관은 2023년 말에 신청을 받아 공식 목록을 발표했습니다. 지금까지 인정된 유일한 메커니즘은 Global Privacy Control입니다. 주는 앞으로 목록에 새 이름이 추가될 수 있다고 말합니다.

2024년 7월 1일부터 기준을 넘는 기업은 GPC를 존중해야 합니다. 실제로는 사이트가 신호를 감지하고, 방문자를 거부한 사람으로 처리하고, 추가 클릭을 요구하지 않고 이 거부를 모든 광고 파트너에게 전달해야 합니다.

거부 링크는 여전히 필요합니다. 법은 거부 경로가 개인정보 고지에 분명하게 나타나야 하며, 사이트 푸터처럼 고지 밖의 눈에 띄는 곳에도 있어야 한다고 요구합니다.

권리와 의무

방문자의 권리, 개인정보 고지, 동의

콜로라도 방문자는 타겟 광고, 데이터 판매, 일부 프로파일링을 거부할 수 있고, 자신의 데이터에 접근하고, 정정하고, 삭제하고, 다른 서비스로 가져갈 수 있습니다. 회사는 45일 안에 답해야 하며, 알리고 이유를 설명하면 45일 연장할 수 있고, 요청이 거절된 사람에게 이의 제기 경로를 제공해야 합니다.

개인정보 고지는 어떤 범주의 데이터가 처리되는지, 어떤 목적인지, 어떤 데이터가 어떤 범주의 제3자로 가는지, 권리를 어떻게 행사하는지 말해야 합니다. 판매나 타겟 광고가 있다면 거부 방법과 함께 분명하게 쓰여 있어야 합니다.

민감한 데이터는 동의가 있어야만 처리할 수 있습니다. 콜로라도 규정은 능동적이고, 자유롭고, 구체적이고, 충분한 정보에 기반하며, 모호하지 않은 동의를 요구합니다. 미리 체크된 상자, 침묵, 기만적 설계는 인정되지 않습니다.

2025년 10월 1일부터 개정으로 미성년자의 데이터가 보호됩니다. 미성년자 본인의 동의(13세 미만이면 부모의 동의) 없이는 회사가 그 데이터를 타겟 광고, 판매, 중요한 결정과 연결된 프로파일링에 사용할 수 없습니다.

타임라인

콜로라도 법의 주요 날짜

콜로라도 법무장관 페이지와 발표된 개정 사항에서 확인된 날짜입니다.

  1. 2021년 7월 7일

    법 서명

    CPA가 SB 21-190으로 서명됩니다.

  2. 2023년 3월 15일

    최종 규정

    법무장관이 고지, 동의, 옵트아웃을 구체적으로 정한 규정 4 CCR 904-3을 등록합니다.

  3. 2023년 7월 1일

    시행

    권리, 옵트아웃, 데이터 보호 평가가 시행됩니다.

  4. 2024년 7월 1일

    GPC 의무화

    해당 기업은 주가 인정한 범용 옵트아웃 메커니즘을 존중해야 합니다.

  5. 2025년 1월 1일

    의무 시정 기간 종료

    소송 전에 시정할 60일을 알려 주어야 했던 규칙이 끝납니다.

  6. 2025년 7월 1일

    생체 데이터

    식별자와 생체 데이터에 대한 별도 규칙이 시행됩니다.

  7. 2025년 10월 1일

    18세 미만

    미성년자의 데이터를 타겟 광고, 판매, 일부 프로파일링에 사용하려면 동의가 필요하다는 요건이 시행됩니다.

평가, 집행, 과태료

법무장관, 검사, 최대 US$20,000의 과태료

CPA는 콜로라도 법무장관과 주의 지방 검사가 집행할 수 있습니다. 시민은 이 법을 근거로 회사를 고소할 수 없습니다.

2025년 1월 1일까지, 결함을 시정할 수 있는 경우 법무장관이나 검사는 통지를 보내고 시정에 60일을 주어야 했습니다. 이 의무 기간은 끝났습니다. 이제는 사전 통지 없이 소송이 제기될 수 있습니다.

CPA 위반은 콜로라도 소비자 보호법에 따라 기만적 상거래 관행으로 취급됩니다. 이 법에서 민사 과태료는 위반 1건당 최대 US$20,000이며, 피해자가 고령자이면 US$50,000입니다. 영향을 받은 소비자 한 명 한 명이 위반 1건이 될 수 있습니다.

타겟 광고, 데이터 판매, 민감한 데이터 사용처럼 위험이 높은 활동에는 문서화된 데이터 보호 평가가 필요합니다. 법무장관이 조사 중에 이 문서를 요청할 수 있습니다.

AdSense 및 Ad Manager

Google이 콜로라도 방문자를 다루는 방식

AdSense와 Ad Manager는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 읽습니다. 콜로라도의 경우 Google은 주 자체 섹션과 US National 섹션을 받습니다. 문자열이 판매나 타겟 광고의 거부를 나타내면, Google은 제한된 데이터 처리인 RDP를 켜고 비맞춤 광고만 표시합니다.

Google은 GPC를 직접 읽는다고 하지 않습니다. 그래서 안전한 방법은 CMP가 GPC를 감지하고, 거부를 GPP 문자열에 기록한 다음에야 광고 태그를 풀어 주는 것입니다. 또 다른 방법은 신호를 보낸 사람에 대해 GPT의 restrictDataProcessing처럼 태그에서 직접 RDP를 켜는 것입니다.

AdSense와 Ad Manager의 미국 주 대상 개인정보 보호 메시지는 콜로라도를 포함합니다. 거부 링크를 표시하고 선택을 GPP에 기록합니다. 법을 준수할 책임은 여전히 사이트에 있습니다.

사이트가 헤더 입찰, 동영상, 소셜 미디어 픽셀을 사용한다면 거부가 이 파트너에게도 도달해야 합니다. Google만 끄는 것으로는 충분하지 않습니다.

실제 사례

콜로라도에서 해도 되는 일과 안 되는 일

광고가 있고 콜로라도 방문자가 있는 사이트의 일상적인 사례입니다.

허용

  • 옵트아웃을 제공하면서, 사전에 허락을 구하지 않고 성인에게 맞춤 광고 표시하기
  • GPC를 켠 사람의 방문을 자동으로 거부로 처리하기
  • 개인정보 고지 밖의 푸터에 거부 링크 유지하기
  • 거부한 사람에게 맥락 광고 표시하기
  • Google의 미국 주 대상 개인정보 보호 메시지를 출발점으로 사용하기

허용 안 됨

  • GPC를 켠 방문자에게 거부를 확인하려고 다시 클릭해 달라고 요청하기
  • 거부를 개인정보 처리방침 안에만 숨기기
  • 민감한 데이터의 동의를 받으려고 미리 체크된 상자 사용하기
  • 미성년자의 데이터를 동의 없이 타겟 광고에 사용하기
  • 거부한 뒤에 헤더 입찰 파트너에게 데이터 넘기기

흔한 오류

콜로라도 방문자가 있는 사이트의 흔한 실패

문제의 대부분은 배너가 말하는 것과 태그가 하는 일 사이의 거리에 있습니다.

캘리포니아에서만 적용되는 GPC

CMP가 캘리포니아에서는 GPC를 존중하지만 콜로라도 방문자의 신호는 무시합니다.

서류상으로만 있는 거부

거부 링크는 있지만 GPP 문자열이 바뀌지 않고 광고는 계속 맞춤으로 나갑니다.

일반적인 방침

고지가 경험 개선을 말하지만 타겟 광고가 있다는 점도 거부하는 방법도 말하지 않습니다.

시정 기간을 믿기

2025년부터 60일 의무 통지는 더 이상 없습니다. 통지를 기다렸다가 조치하는 것은 위험합니다.

ConsentMode에서

감사가 CPA에 대해 확인하는 항목

  • 콜로라도 방문자로 GPC를 껐을 때와 켰을 때 사이트를 열어 페이지와 광고 요청에서 무엇이 달라지는지 비교합니다.
  • GPP 문자열을 읽어 GPC가 켜져 있을 때 콜로라도 섹션이나 US National이 거부를 나타내는지 보여 줍니다.
  • 개인정보 처리방침 밖의 눈에 띄는 곳에서 거부 링크를 찾습니다.
  • CMP를 식별하고 광고 태그와 헤더 입찰 태그가 CMP의 응답을 기다리는지 확인합니다.
  • 개인정보 처리방침을 읽고 목적, 제3자, 권리, 이의 제기, 거부 방법이 빠져 있는지 알려 줍니다.

콜로라도 법에 관한 자주 묻는 질문

콜로라도에 동의 배너가 필요한가요?

성인 대상 맞춤 광고에는 필요하지 않습니다. 법은 옵트아웃을 요구합니다. 동의는 민감한 데이터에 필요하며, 2025년 10월부터는 미성년자의 데이터를 타겟 광고에 사용할 때도 필요합니다.

GPC는 정확히 무엇인가요?

브라우저와 확장 프로그램의 설정으로, 사이트에 거부 알림을 보냅니다. 콜로라도는 GPC를 범용 옵트아웃 메커니즘으로 인정하며, 해당 사이트는 2024년 7월 1일부터 이를 존중해야 합니다.

제 사이트는 콜로라도 방문자가 적습니다. 법이 적용되나요?

연간 주 소비자 10만 명을 넘거나, 데이터 판매에서 얻은 수익이 있으면서 2만 5천 명을 넘는 경우에만 적용됩니다. 그 미만이면 CPA의 대부분은 적용되지 않습니다. 생체 정보를 수집하는 곳은 2025년 7월부터 적용되는 규칙을 따로 확인해야 합니다.

과태료 전에 아직 시정 기간을 받나요?

60일의 의무 기간은 2025년 1월 1일에 끝났습니다. 법무장관은 바로 조치할 수 있습니다.

ConsentMode가 내 사이트의 GPC를 켜 주나요?

아니요. ConsentMode는 CMP가 아니며 사이트를 변경하지 않습니다. GPC가 있는 방문을 시뮬레이션하고, 신호가 존중되는지 보여 주고, 어디를 고쳐야 하는지 알려 줍니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

GPC를 켠 상태로 내 사이트를 테스트하세요

감사는 콜로라도 방문자로 사이트를 열어서, 아무것도 변경하지 않고 거부가 광고에 도달하는지 보여 줍니다.

감사 시작하기