워크스페이스 열기

가이드 · 미국 주법

광고로 수익을 내는 사람을 위한 Florida Digital Bill of Rights 설명

플로리다 개인정보 보호법은 2024년 7월 1일부터 시행되고 있지만, 대부분의 규정은 초대형 기업에만 적용됩니다. 이 가이드에서는 이처럼 좁은 적용 범위, 훨씬 많은 기업에 적용되는 민감 정보 규정, 그리고 플로리다에서 사이트를 방문한 사람의 옵트아웃을 Google이 어떻게 처리하는지 알아봅니다.

미국 대상으로 내 사이트 감사하기가이드 읽기
  • ✓Florida Statutes 501.701조부터 501.722조까지의 본문 기준
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
US$ 10억전 세계 연간 총수익: 이 법에서 컨트롤러가 되기 위한 기준
50%이상이 온라인 광고 판매에서 나오는 수익: 세 가지 진입 조건 중 하나
US$ 50,000위반 1건당 민사 과태료 최대 금액으로, 특정한 경우에는 3배까지 늘어날 수 있음
45일소비자 요청에 응답하는 기간이며, 15일 연장 가능

정의

가장 큰 기술 기업을 위해 만들어진 개인정보 보호법

Florida Digital Bill of Rights, 줄여서 FDBR은 플로리다의 개인정보 보호법입니다. 2023년 6월 6일에 서명되었고 2024년 7월 1일에 시행되었습니다. 이 법은 Florida Statutes 제501장 V부, 501.701조부터 501.722조까지에 있습니다.

소비자에게 주어지는 권리는 다른 주와 비슷합니다. 열람, 정정, 삭제, 이동, 그리고 타겟 광고, 판매, 자동화된 프로파일링에 대한 거부권입니다. 플로리다는 음성 인식이나 얼굴 인식을 통한 데이터 수집 거부권처럼 자체적인 권리도 추가했습니다.

이 법이 다른 점은 적용 범위입니다. 대부분의 의무는 전 세계 매출이 US$ 10억을 넘으면서 아주 구체적인 세 가지 유형 중 하나에도 해당하는 컨트롤러에게만 적용됩니다. 실제로는 대형 광고 플랫폼, 음성 비서, 앱 스토어를 겨냥한 것입니다.

그래도 작은 사이트가 이 법을 무시해서는 안 됩니다. 민감 정보 판매에 관한 규정은 플로리다에서 사업을 하며 데이터를 수집하는 모든 영리 기업에 적용됩니다. 그리고 사이트의 데이터를 받는 광고 파트너는 이 법의 적용을 받을 수 있습니다.

체크리스트

꼭 지켜야 할 것

법의 대부분은 아주 큰 관리자에게만 적용되지만, 민감 정보 규칙은 훨씬 많은 사이트에 해당해요.

  1. 동의 없이 민감 정보 판매하지 않기

    이 규칙은 플로리다에서 사업을 하고 데이터를 수집하는 영리 기업에 적용되고, 10억 달러 기준은 없어요. 민감 정보를 판매하려면 사전 동의가 필요해요.

    예시

    건강 데이터를 파트너에게 넘기기 전에 허용과 허용 안 함 옵션으로 허락을 구하세요.

  2. 민감 정보를 판매한다면 정해진 문구 게시하기

    민감 정보를 판매하는 곳은 정해진 영어 문구로 된 고지를 게시해야 해요.

    예시

    NOTICE: This website may sell your sensitive personal data.

  3. 미성년자의 민감 정보 다루기

    아는 범위에서 13세에서 18세 미성년자의 민감 정보라면, 판매하려면 본인의 허가가 필요해요. 13세 미만은 부모 동의가 있는 연방법 COPPA가 적용돼요.

  4. 관리자라면: 매년 고지 검토하기

    고지는 명확해야 하고 데이터, 목적, 제3자, 권리, 이의 신청, 요청 경로를 나열해야 해요. 최소 1년에 한 번은 업데이트해야 해요.

  5. 관리자라면: 생체 정보 문구

    생체 정보를 판매하는 곳도 정해진 영어 문구로 된 고지를 게시해야 해요.

    예시

    NOTICE: This website may sell your biometric personal data.

  6. 관리자라면: 거부 방법 알리기

    데이터를 판매하거나 타겟 광고를 하는 곳은 이를 명확하고 눈에 띄게 알리고 거부하는 방법을 설명해야 해요.

    예시

    푸터 링크: Do Not Sell or Share My Personal Information.

  7. 거부를 Google까지 전달하기

    Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. 플로리다는 GPP에 전용 섹션이 있고 Google이 이 섹션을 받아들여요.

    예시

    AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요. 플로리다는 Google이 받아들이는 전용 GPP 섹션이 있는 몇 안 되는 주 중 하나예요.

준수해야 하는 대상

플로리다에서 컨트롤러의 좁은 적용 범위

컨트롤러가 되려면 기업이 영리 목적이어야 하고, 플로리다에서 사업을 하며, 소비자 데이터를 수집하고, 그 데이터의 사용 방식을 결정하고, 전 세계 매출이 US$ 10억을 넘으며, 아래 유형 중 하나 이상에 해당해야 합니다.

광고에서 나오는 수익

전 세계 연간 총수익의 절반 이상이 타겟 광고를 포함한 온라인 광고 판매에서 나옵니다.

음성 비서

클라우드와 연결되어 핸즈프리로 작동하는 가상 비서가 있는 스마트 스피커나 음성 명령 서비스를 운영합니다. 자동차 제조사의 시스템은 제외됩니다.

앱 스토어

서로 다른 앱이 25만 개 이상 있는 앱 스토어나 디지털 유통 플랫폼을 운영합니다.

관계 회사

컨트롤러를 지배하거나 컨트롤러의 지배를 받는 기업도 정의에 포함됩니다.

민감 정보 규정은 더 많은 사람에게 적용됩니다

동의 없이 민감 정보를 판매하는 것을 금지하는 규정은 US$ 10억 기준 없이, 플로리다에서 사업을 하며 데이터를 수집하는 모든 영리 기업에 적용됩니다.

소비자란

개인 또는 가정의 자격으로 행동하는, 플로리다에 거주하거나 주소를 둔 사람입니다. 상업적 또는 업무적 맥락에서 행동하는 사람은 제외됩니다.

용어

법의 용어를 사이트 운영자의 언어로

정의는 501.702조에 있으며 다른 주법의 모델과 거의 같습니다.

개인정보

식별되었거나 식별 가능한 사람과 연결되었거나 합리적으로 연결될 수 있는 모든 정보이며, 추가 정보로 그 사람과 연결될 수 있는 가명 데이터도 포함합니다. 비식별 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교적 신념, 건강 진단, 성적 지향, 이민 신분, 개인을 식별하는 유전 또는 생체 데이터, 알려진 아동의 데이터, 정밀한 위치 정보입니다.

판매

돈이나 그 밖의 가치 있는 대가를 받고 개인 데이터를 제3자와 공유, 공개 또는 전달하는 것입니다. 수탁자에 대한 전달과 소비자 요청에 따른 전달은 제외됩니다.

타겟 광고

여러 사이트와 앱에서 시간에 따른 소비자의 활동을 바탕으로 선택된 광고입니다. 해당 사이트 안에서의 검색 맥락에 따른 광고는 포함되지 않습니다.

개인의 권리

플로리다 소비자가 요청할 수 있는 것

컨트롤러는 45일 이내에 응답해야 하며, 최초 기간 안에 소비자에게 알리면 한 번 15일 연장할 수 있습니다. 또한 이의 제기 절차도 제공해야 합니다.

열람

기업이 자신의 데이터를 처리하는지 알고, 그 데이터를 확인합니다.

정정 및 삭제

잘못된 데이터를 정정하고, 개인 데이터의 일부 또는 전부를 삭제해 달라고 요청합니다.

이동성

가능한 경우, 다른 서비스에서 사용할 수 있는 형식으로 데이터 사본을 받습니다.

타겟 광고, 판매, 프로파일링 거부

타겟 광고, 데이터 판매, 법적 효과나 그에 준하는 결정으로 이어지는 프로파일링을 거부합니다.

민감 정보 거부

정확한 위치 정보를 포함한 민감 정보의 수집이나 처리를 거부합니다.

음성 및 얼굴 거부

음성 인식이나 얼굴 인식 기능을 통한 데이터 수집을 거부합니다.

의무

컨트롤러가 갖춰야 하는 것

  1. 매년 검토하는 개인정보 고지고지는 접근하기 쉽고 명확해야 하며, 민감 정보를 포함해 처리하는 데이터의 범주, 목적, 권리 행사와 이의 제기 방법, 공유하는 데이터의 범주, 제3자의 범주, 요청 접수 채널을 담아야 합니다. 최소 1년에 한 번 업데이트해야 합니다.
  2. 표준화된 판매 고지민감 정보를 판매하는 경우 NOTICE: This website may sell your sensitive personal data. 고지를 게시해야 합니다. 생체 정보를 판매하는 경우 NOTICE: This website may sell your biometric personal data. 고지를 게시해야 합니다.
  3. 판매 및 타겟 광고 공개컨트롤러가 데이터를 판매하거나 타겟 광고를 한다면, 이를 명확하고 눈에 잘 띄게 알리고 소비자가 거부하는 방법을 설명해야 합니다.
  4. 데이터 보호 평가이 법은 타겟 광고, 데이터 판매, 프로파일링, 민감 정보 같은 고위험 처리에 대해 기록된 평가를 요구합니다.
  5. 수탁자와의 계약컨트롤러를 대신해 데이터를 처리하는 공급업체는 컨트롤러의 지시를 따라야 하며, 처리 규칙이 담긴 계약이 필요합니다.
  6. 민감한 데이터에 대한 동의이 규정이 적용되는 어떤 기업도 소비자의 사전 동의 없이 민감 정보를 판매할 수 없습니다. 어린이의 경우 별도의 규정과 연방법인 COPPA가 적용됩니다.

집행과 과태료

주 법률 중 가장 높은 과태료

집행은 플로리다 법무장관 산하의 Department of Legal Affairs가 맡습니다. 이 법은 소비자에게 개인 소송권을 주지 않는다고 명시합니다.

위반 1건당 최대 US$ 50,000

민사 과태료의 최대 금액은 위반 1건당 US$ 50,000이며, 플로리다 상거래 관행법에 따른 다른 조치도 추가될 수 있습니다.

3배로 늘어나는 과태료

알려진 어린이와 관련된 경우, 유효한 요청 이후에도 데이터를 삭제하거나 정정하지 않은 경우, 또는 옵트아웃 이후에도 계속 데이터를 판매한 경우에는 금액이 3배까지 늘어날 수 있습니다.

기관이 원하면 45일의 시정 기간

기관은 기업이 문제를 고칠 수 있도록 45일을 줄 수 있지만, 이는 기관의 재량이며 기업의 권리가 아닙니다. 어린이와 관련된 위반에는 이 기간이 없습니다.

연간 공개 보고서

매년 2월 1일까지 기관은 접수한 민원, 조치, 부과한 과태료를 담은 보고서를 공개합니다.

타임라인

FDBR의 주요 날짜

이 법은 서명부터 시행까지 1년의 준비 기간을 두었습니다.

  1. 2023년 6월 6일

    서명

    주지사가 Florida Digital Bill of Rights를 만드는 SB 262 법안을 승인합니다.

  2. 2024년 7월 1일

    시행

    이 법이 시행됩니다. 컨트롤러는 요청에 응답하고, 옵트아웃을 제공하고, 개인정보 고지를 게시해야 합니다.

  3. 매년 2월 1일

    집행 보고서

    Department of Legal Affairs가 자체 사이트에 민원, 조치, 과태료에 대한 연간 결산을 게시합니다.

  4. 2025년 9월

    Google의 GPP 업데이트

    Google이 GPP의 US National 섹션 버전 2를 지원하기 시작하며, 플로리다 전용 섹션도 계속 지원합니다.

AdSense와 Ad Manager를 사용하는 사이트

플로리다의 옵트아웃이 Google에 전달되는 방식

FDBR은 사이트가 Global Privacy Control, 즉 GPC 같은 범용 옵트아웃 신호를 인식하도록 의무화하지 않습니다. 방문자는 사이트가 제공하는 방법을 이용해야 합니다. 그래도 GPC를 존중하는 것은 좋은 관행이며, GPC가 의무인 주에서도 통합니다.

Google은 AdSense와 Ad Manager의 개인 정보 보호 및 메시지에서 미국 주 규정 메시지를 제공합니다. 플로리다는 지원되는 주 목록에 있습니다. 이 메시지에는 Do Not Sell or Share 링크가 표시되고, 방문자가 거부하면 제한된 데이터 처리인 RDP가 켜져서 이전 행동에 기반한 광고가 나오지 않습니다.

자체 CMP를 쓰는 경우, 플로리다는 Google이 지원하는 GPP 전용 섹션이 있는 몇 안 되는 주 중 하나입니다. 이 섹션에서 판매 또는 타겟 광고 거부가 표시되면 RDP가 켜집니다. US National 섹션도 지원되며, 판매, 공유, 타겟 광고에 대해 같은 방식으로 작동합니다.

태그에서 직접 처리하는 방법도 있습니다. 옵트아웃을 요청한 사람에게만 GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성을 사용하는 것입니다. 어떤 방법을 쓰든 테스트는 같습니다. 거부한 뒤에 광고 요청이 달라져야 합니다.

실제 사례

플로리다에서 해도 되는 것과 안 되는 것

플로리다 방문자를 받으며 프로그래매틱 광고로 수익을 내는 사이트의 예시입니다.

허용

  • 타겟 광고를 거부한 사람에게 맥락 광고 표시하기
  • GPP의 플로리다 섹션 또는 US National 섹션을 사용해 옵트아웃을 Google에 알리기
  • Google의 주법 메시지를 사용해 옵트아웃 링크 제공하기
  • 플로리다가 요구하는 내용을 담았다면, 미국 전체에 하나의 개인정보 고지를 유지하기
  • 개인정보 보호 페이지를 최소 1년에 한 번 검토하고 업데이트하기

허용 안 됨

  • 작은 기업이더라도 사전 동의 없이 정확한 위치 정보 같은 민감 정보를 판매하기
  • 법에서 요구하는 표준 고지를 게시하지 않고 민감 정보를 판매하기
  • 옵트아웃 이후에도 데이터를 계속 판매하거나 공유하기: 과태료가 3배가 될 수 있는 경우
  • 옵트아웃 링크를 아무도 찾지 못하는 페이지에 숨겨 두기
  • 내 사이트가 작다는 이유만으로 광고 파트너가 이 법의 적용을 받지 않는다고 생각하기

흔한 오류

사이트들이 플로리다 법에서 걸려 넘어지는 부분

이 법의 적용 범위가 좁아서 많은 사람이 아무것도 안 해도 된다고 생각합니다. 가장 흔한 실수는 다음과 같습니다.

민감 정보 규정 무시하기

사이트가 정확한 위치 정보를 수집해 파트너에게 넘기는 SDK나 스크립트를 쓰고 있습니다. US$ 10억 기준이 없어도 이런 판매에는 동의가 필요합니다.

방치된 개인정보처리방침

개인정보 보호 페이지가 몇 년째 바뀌지 않았습니다. 이 법은 컨트롤러에게 최소 1년에 한 번 업데이트하도록 요구합니다.

플로리다가 빠진 메시지

Google의 옵트아웃 메시지가 캘리포니아에만 켜져 있어서, 플로리다 트래픽은 링크를 전혀 보지 못합니다.

잘못된 주 섹션을 보내는 GPP

CMP가 Google이 지원하지 않는 섹션을 보내고, 플로리다 섹션과 US National 섹션은 빼 버립니다. 옵트아웃이 광고에 전달되지 않습니다.

판매를 멈추지 않는 옵트아웃

방문자가 클릭해도 광고 요청에는 맞춤 설정용 데이터가 그대로 들어 있습니다. 플로리다에서는 이 경우 과태료가 3배가 될 수 있습니다.

미성년자를 잊어버림

알려진 어린이와 관련된 위반에는 시정 기간이 없고 과태료가 3배가 될 수 있습니다.

ConsentMode에서

플로리다에 대해 감사에서 확인하는 항목

  • 미국 방문자로 사이트를 열고 푸터, 메뉴, 개인정보 보호 메시지에서 옵트아웃 링크를 찾습니다.
  • 페이지 코드로 CMP 또는 Google의 주법 메시지를 식별합니다.
  • GPP 문자열을 읽고 플로리다 섹션 또는 US National 섹션이 있는지, 옵트아웃 이후에 바뀌는지 알려 줍니다.
  • 감사용 브라우저에서 GPC 신호를 켜고, 페이지와 광고 요청이 반응하는지 보여 줍니다.
  • 개인정보 보호 페이지에 판매, 타겟 광고, 권리, 이의 제기, 그리고 해당하는 경우 민감 정보 판매 고지가 언급되어 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

제 사이트는 작습니다. 플로리다 법이 저에게 적용되나요?

대부분의 의무는 적용되지 않습니다. 컨트롤러가 되려면 전 세계 매출이 US$ 10억을 넘고 법에 나온 세 가지 유형 중 하나에 해당해야 하기 때문입니다. 하지만 동의 없이 민감 정보를 판매하는 것을 금지하는 규정은 플로리다에서 사업을 하며 데이터를 수집하는 모든 영리 기업에 적용됩니다.

그런데 왜 플로리다의 옵트아웃을 신경 써야 하나요?

내 사이트에서 광고를 사고 게재하는 파트너가 이 법상 컨트롤러일 수 있고, 기준이 더 낮은 다른 주의 법이 내 사업에 적용될 수 있기 때문입니다. 미국 전체 트래픽에 옵트아웃을 제공하면 운영이 단순해집니다.

플로리다는 GPC를 존중하도록 요구하나요?

아니요. 이 법은 범용 옵트아웃 신호를 규정하지 않습니다. 그래도 많은 CMP가 모든 주에서 GPC를 처리하며, 이것이 GPC를 요구하는 법에 도움이 됩니다.

Google은 GPP의 플로리다 섹션을 읽나요?

네. 플로리다는 US National, 캘리포니아, 콜로라도, 코네티컷, 버지니아와 함께 Google이 지원하는 섹션 목록에 있습니다. 이 섹션에서 판매 또는 타겟 광고 거부가 표시되면 제한된 데이터 처리가 켜집니다.

법에서 요구하는 NOTICE 고지는 무엇인가요?

민감 정보나 생체 정보를 판매하는 사람이 게시해야 하는 영어 표준 문구입니다. 사이트가 이런 종류의 데이터를 판매할 수 있다고 알립니다. 광고를 싣는 대부분의 사이트는 이런 데이터를 판매하지 않으므로 이 고지가 필요하지 않습니다.

ConsentMode를 쓰면 제 사이트가 플로리다 법을 준수하게 되나요?

ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPP, 개인정보 보호 페이지로 무엇을 하는지 캡처 화면과 함께 보여 주며, 공급업체와 변호사와 함께 고칠 수 있게 돕습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

플로리다의 옵트아웃이 내 광고에 전달되는지 확인해 보세요

감사는 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기