워크스페이스 열기

가이드 · 미국 주법

CTDPA: 광고가 있는 사이트를 위한 코네티컷 법 설명

코네티컷은 2025년에 개인정보 보호법을 개정했고, 변경 사항은 2026년 7월 1일부터 시행되고 있습니다. 방문자 기준이 크게 낮아졌고, 청소년은 타겟 광고로부터 완전히 보호받게 되었으며, 개인정보 고지에 대한 요구가 더 엄격해졌습니다. 광고 사이트에 이것이 무엇을 뜻하는지 알아보세요.

내 사이트를 코네티컷 기준으로 감사하기가이드 읽기
  • ✓법과 코네티컷 법무장관 페이지 기준
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
35,000연간 코네티컷 소비자 수: 2026년 7월부터 시행되는 새 기준
1813세 이상 청소년에게는 동의가 있어도 판매와 타겟 광고가 금지되는 연령 미만
US$ 5,000주의 불공정 상거래 관행법에 따른 위반 1건당 민사 과태료 최대 금액
US$ 85,0002025년 7월에 발표된 TicketNetwork와 법무장관의 합의 금액

정의

버지니아와 비슷하게 시작해서 점점 엄격해진 법

Connecticut Data Privacy Act, 즉 CTDPA는 2022년 5월 10일에 서명되어 2023년 7월 1일부터 시행되었습니다. 버지니아와 콜로라도의 모델을 따릅니다. 소비자 권리, 타겟 광고 옵트아웃, 민감 정보에 대한 동의, 데이터 보호 평가입니다.

그 후 이 법은 여러 번 개정되었습니다. 2023년에는 소비자 건강 데이터와 미성년자에게 제공되는 온라인 서비스에 대한 규정이 추가되었습니다. 2025년에는 SB 1295로 통과된 대규모 개정이 적용 기준을 낮추고, 민감 정보를 확대하고, 미성년자 규정을 강화했습니다. 이 개정은 2026년 7월 1일부터 시행됩니다.

광고 사이트에 핵심은 세 가지입니다. 방문자는 타겟 광고와 데이터 판매를 거부할 수 있고, 사이트는 2025년부터 브라우저의 자동 거부 신호를 존중해야 하며, 13세에서 17세 청소년에게는 타겟 광고를 보여 줄 수 없습니다.

이 법은 성인에게는 옵트아웃 방식으로 작동합니다. 맞춤 광고를 보여 주기 전에 허락을 구할 필요는 없지만, 거부는 쉽고 눈에 띄며 실제로 작동해야 합니다.

체크리스트

꼭 지켜야 할 것

코네티컷 법의 기준에 해당하는 곳에 적용돼요. 내 사이트가 해당하는지는 법무팀에 확인하세요.

  1. 찾기 쉬운 링크 제공하기

    타겟 광고를 하거나 데이터를 판매하는 곳은 방문자가 거부할 수 있는 접근하기 쉬운 링크를 사이트에 두어야 해요.

    예시

    푸터: Do Not Sell or Share My Personal Information

  2. 브라우저의 거부 신호 존중하기

    2025년 1월 1일부터 적용 대상 관리자는 모두 GPC 같은 신호를 존중해야 해요. 신호로 그 사람이 코네티컷 거주자인지 알 수 있어야 해요.

  3. 개인정보 고지에 모두 설명하기

    고지에는 어떤 데이터를 처리하는지, 무엇을 위한 것인지, 제3자와 공유하는지, 방문자가 권리를 행사하는 방법이 들어가야 해요.

    예시

    타겟 광고를 위해 탐색 데이터를 광고 파트너와 공유해요. 푸터의 링크로 거부할 수 있어요.

  4. 민감 정보는 동의 받기

    건강이나 정확한 위치 같은 민감 정보를 처리하기 전에 사이트는 방문자의 동의를 받아야 해요.

  5. 미성년자 보호하기

    16세 미만은 판매와 타겟 광고에 사전 동의가 필요해요. 18세 미만 대상 온라인 서비스에서는 법이 타겟 광고와 데이터 판매를 금지해요.

  6. 기한 안에 답하기

    요청에는 45일 안에 답해야 하고, 45일을 더 연장할 수 있어요. 이의 신청에는 60일 안에 서면으로 답해야 해요.

  7. 위험 평가 문서화하기

    타겟 광고, 데이터 판매, 프로파일링, 민감 정보는 시작 전에 데이터 보호 평가가 필요해요.

  8. 거부를 Google에 전달하기

    GPP string의 코네티컷 섹션에서 판매나 타겟 광고 거부가 들어오면 RDP가 켜져요. AdSense 태그에서도 거부한 사람에게 RDP를 켤 수 있어요.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 코네티컷에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지나 GPC를 읽고 GPP를 생성하는 CMP를 쓰세요. 아래는 공식 링크예요.

적용 대상

2026년에 기준이 크게 낮아졌습니다

이 법은 코네티컷에서 사업을 하거나 주민에게 제품과 서비스를 제공하는 사람에게 적용됩니다. 2026년 7월 1일부터는 전년도에 아래 기준 중 하나만 충족하면 됩니다.

소비자 35,000명

결제를 완료하는 데만 쓰는 데이터를 제외하고, 코네티컷 소비자 최소 35,000명의 데이터를 관리하거나 처리합니다. 이전 기준은 100,000명이었습니다.

모든 민감 정보

규모에 상관없이 소비자의 민감 정보를 관리하거나 처리하면 해당 기업도 법의 적용을 받습니다.

모든 데이터 판매

규모에 상관없이 개인 데이터를 판매하면 해당 기업도 법의 적용을 받습니다. 이전에는 소비자 25,000명과 수익의 25% 초과가 판매에서 나오는 경우여야 했습니다.

개인 소비자만 해당

이 법은 업무 맥락이 아니라 소비자로서 행동하는 코네티컷 주민을 보호합니다.

용어

광고를 파는 사람에게 중요한 용어

코네티컷은 미국 주 중에서 민감 정보 목록이 가장 긴 곳 중 하나입니다.

개인정보

식별되었거나 식별 가능한 개인에게 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 출신, 종교, 건강, 장애, 성적 지향, 트랜스젠더 또는 논바이너리 정체성, 이민 상태, 문서, 금융 계정 로그인, 신경 데이터, 유전, 생체, 어린이 데이터, 반경 1,750피트 이내의 정확한 위치 정보입니다.

판매

돈이나 다른 가치를 받고 제3자와 개인 데이터를 교환하는 것입니다. 서비스를 대가로 광고 파트너에게 데이터를 넘기는 것도 이 정의에 포함될 수 있습니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고는 포함되지 않습니다.

권리와 옵트아웃

방문자의 권리, 거부 링크, 2025년부터의 GPC

코네티컷 방문자는 자신의 데이터와 그로부터 도출된 결론에 접근하고, 정정하고, 삭제하고, 사본을 가져가고, 자신의 데이터를 구매한 제3자 목록을 요청하고, 타겟 광고, 판매, 위험 프로파일링을 거부할 수 있습니다. 2026년부터는 프로파일링에 기반한 결정에 이의를 제기할 수도 있습니다. 기업은 45일 안에 응답해야 하고, 이의 제기에는 60일 안에 응답해야 합니다.

타겟 광고를 하거나 데이터를 판매하는 사람은 사이트에 거부할 수 있는 명확하고 눈에 띄는 링크를 두어야 합니다. 법은 정확한 문구를 정하지 않지만, 링크는 새 계정을 만들 필요 없이 간단한 경로로 이어져야 합니다.

2025년 1월 1일부터 사이트는 Global Privacy Control, 즉 GPC 같은 자동 거부 신호도 받아들여야 합니다. 법은 이 신호가 기본으로 켜져 있는 설정이 아니라 소비자의 적극적인 선택을 반영해야 하며, 기업이 그 사람이 코네티컷에 사는지 알 수 있어야 한다고 규정합니다.

신호가 방문자가 사이트에서 이전에 선택한 설정과 충돌하면 신호가 우선합니다. 사이트는 충돌을 알리고 이전 선택을 유지하는 옵션을 제공할 수 있습니다. 실제로는 CMP가 GPC를 감지하고 첫 요청 전에 광고 파트너에게 거부를 전달해야 합니다.

고지, 미성년자, 평가

2026년에 개인정보 고지가 더 상세해졌습니다

2025년 개정으로 개인정보 고지에는 첫 페이지에 개인정보라는 단어가 있는 링크, 월과 연도가 있는 업데이트 날짜, 제3자에게 판매하는 데이터의 범주, 타겟 광고와 판매에 대한 명확한 설명이 있어야 합니다. 데이터를 대규모 언어 모델 학습에 쓰는지도 밝혀야 합니다.

민감 정보는 동의가 있어야만 처리할 수 있습니다. 13세 미만 어린이는 연방법 COPPA 방식의 부모 동의가 적용됩니다.

13세에서 17세 청소년에 대해 2025년 개정은 동의가 있어도 데이터 판매와 타겟 광고를 금지합니다. 미성년자에게 제공되는 온라인 서비스에서는 프로파일링과 정확한 위치 정보 수집도 제한합니다.

타겟 광고, 데이터 판매, 민감 정보, 위험 프로파일링에는 문서화된 데이터 보호 평가가 필요합니다. 중요한 결정에 쓰이는 프로파일링에는 2025년 개정이 2026년 8월 1일 이후 시작된 활동에 대해 영향 평가도 요구합니다.

타임라인

코네티컷 법의 주요 날짜

법 본문과 코네티컷 법무장관 페이지로 확인한 날짜입니다.

  1. 2022년 5월 10일

    법 서명

    CTDPA가 Senate Bill 6으로 서명됩니다.

  2. 2023년 7월 1일

    시행

    권리, 옵트아웃, 60일의 의무 시정 기간이 시행됩니다.

  3. 2025년 1월 1일

    GPC 의무화와 의무 시정 기간 종료

    사이트는 범용 거부 신호를 받아들여야 합니다. 소송 전에 시정할 기회를 주는 것은 법무장관의 판단이 됩니다.

  4. 2025년 7월 8일

    TicketNetwork 합의

    TicketNetwork가 읽을 수 없는 개인정보 고지와 작동하지 않는 요청 수단에 대해 US$ 85,000을 지급합니다.

  5. 2026년 7월 1일

    SB 1295 개정 시행

    새로운 기준, 더 많은 민감 정보, 13세에서 17세 청소년에 대한 타겟 광고 금지, 더 완전한 개인정보 고지가 시행됩니다.

집행과 과태료

법무장관, 공개 보고서, 위반당 과태료

코네티컷 법무장관만이 이 법을 집행할 권한을 가집니다. 개인은 CTDPA를 근거로 기업을 고소할 수 없습니다.

2023년 7월부터 2024년 12월까지, 문제를 시정할 수 있는 경우 법무장관은 통지하고 60일의 시정 기간을 줘야 했습니다. 2025년 1월 1일부터는 이 기회가 법무장관의 판단이 되었으며, 위반 건수, 기업의 규모, 데이터의 민감도, 오류가 인적 오류인지 기술적 오류인지를 고려합니다.

CTDPA 위반은 불공정 상거래 관행으로 취급됩니다. 민사 과태료는 위반 1건당 최대 US$ 5,000이며, 법무장관은 법원 명령, 원상회복, 이득 반환도 요청할 수 있습니다.

사무소는 연간 집행 보고서를 공개합니다. 2025년 7월 8일에 발표된 합의에서 TicketNetwork는 개인정보 고지가 읽기 어렵고 권리를 행사하는 경로가 고장 나 있었으며, 통지를 받은 뒤에도 그랬기 때문에 US$ 85,000을 지급했습니다.

AdSense 및 Ad Manager

Google이 코네티컷 방문자를 처리하는 방식

AdSense와 Ad Manager는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 읽습니다. 코네티컷에 대해 Google은 주 전용 섹션과 US National 섹션을 지원합니다. 문자열에 판매 또는 타겟 광고 거부가 표시되어 있으면 Google은 제한된 데이터 처리인 RDP를 켜고 맞춤 설정이 아닌 광고만 표시합니다.

코네티컷 섹션에서 Google은 미성년자 필드도 읽습니다. 13세에서 15세 청소년의 판매나 타겟 광고에 대한 동의가 없으면 RDP를 켭니다. 알려진 어린이의 민감 정보에는 어린이 처리를 적용합니다. 2026년 규정에 따라 CMP는 13세에서 17세 청소년에게 타겟 광고를 보여 줄 수 없다는 점을 반영해야 합니다.

AdSense와 Ad Manager의 미국 주별 개인 정보 보호 메시지에는 코네티컷이 포함됩니다. 거부 링크를 표시하고 선택을 GPP에 기록합니다. Google은 법적 책임이 사이트에 있다고 안내합니다.

헤더 비딩, 동영상, 픽셀, 다른 회사의 위젯에도 거부가 전달되어야 합니다. Google만 끄는 것으로는 충분하지 않습니다.

실제 사례

코네티컷에서 해도 되는 것과 안 되는 것

코네티컷 방문자가 있는 광고 사이트의 일상적인 예시입니다.

허용

  • 눈에 보이는 거부 링크와 함께 성인에게 맞춤 광고 표시하기
  • GPC를 거부로 처리하고, 이전 선택과 충돌하면 방문자에게 알리기
  • 미성년자와 거부한 사람에게 맥락 광고 표시하기
  • 첫 페이지 푸터에 개인정보라는 단어가 있는 링크 두기
  • 정책에 마지막 검토의 월과 연도 표시하기

허용 안 됨

  • 13세에서 17세라고 알고 있는 사용자에게 타겟 광고 표시하기
  • 방문자가 배너를 클릭하지 않았다는 이유로 GPC 무시하기
  • 어떤 데이터 범주가 판매되는지 밝히지 않은 채 방침 두기
  • 오류가 나거나 아무에게도 닿지 않는 권리 양식 유지하기
  • 동의 없이 건강 정보나 정확한 위치 정보 처리하기

흔한 오류

법무장관이 이미 지적한 실수

TicketNetwork 보고서와 합의는 많은 사이트에서 기본이 여전히 지켜지지 않는다는 것을 보여 줍니다.

읽을 수 없는 고지

TicketNetwork 사건처럼, 길고 혼란스러우며 코네티컷 소비자의 권리가 빠진 방침입니다.

고장 난 양식

권리 요청 링크가 제출되지 않는 양식이나 아무도 읽지 않는 이메일로 연결됩니다.

예전 기준

방문자가 100,000명 미만이라 해당되지 않는다고 생각했지만, 기준은 2026년 7월에 35,000명으로 낮아졌습니다.

효과 없는 GPC

배너는 GPC를 인식하지만, 광고로 전송되는 GPP 문자열에는 여전히 거부가 없습니다.

ConsentMode에서

CTDPA에 대해 감사에서 확인하는 항목

  • GPC를 끄고 켠 상태로 코네티컷 방문자로 사이트에 접속해서 광고 요청을 비교합니다.
  • GPP 문자열을 읽고 코네티컷 섹션이나 US National 섹션에 거부가 표시되는지 보여 줍니다.
  • 첫 페이지에서 개인정보라는 단어가 있는 링크와 눈에 보이는 거부 링크를 찾습니다.
  • 방침을 읽고 업데이트 날짜, 판매되는 범주, 타겟 광고, 언어 모델 학습 사용이 빠져 있는지 알려 줍니다.
  • CMP를 식별하고 광고 태그가 CMP의 응답을 기다리는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

코네티컷 법에 대한 자주 묻는 질문

제 사이트에는 연간 코네티컷 방문자가 40,000명 있습니다. 법이 적용되나요?

2026년 7월 1일부터는 그렇습니다. 쿠키와 광고 식별자처럼 이 방문자들의 데이터를 관리하거나 처리한다면요. 기준이 소비자 100,000명에서 35,000명으로 낮아졌습니다.

코네티컷을 위해 동의 배너가 필요한가요?

성인에게 이 법은 사전 허락이 아니라 옵트아웃을 요구합니다. 민감 정보에는 동의가 필요하고, 13세에서 17세 청소년에게는 타겟 광고가 금지됩니다.

방문자가 미성년자인지 어떻게 알 수 있나요?

법은 기업이 방문자의 나이에 대해 아는 것을 봅니다. 사이트가 가입 때 나이를 묻거나 청소년을 대상으로 한 콘텐츠가 있다면, 광고 설정에서 이를 고려해야 합니다.

과태료 전에 시정할 기간이 아직 있나요?

2025년 1월 1일부터 의무가 아닙니다. 법무장관이 이 기회를 줄 수 있지만 사안별로 결정합니다.

ConsentMode가 내 방침을 업데이트해 주나요?

아니요. ConsentMode는 사이트를 바꾸지 않습니다. 방침과 전송되는 신호를 읽고, 무엇이 빠졌고 어떻게 고치는지 보고서로 제공합니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

2026년 규정에 맞는지 사이트를 확인해 보세요

감사는 코네티컷 방문자로 사이트에 접속해, 아무것도 바꾸지 않고 고지와 신호에서 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기