워크스페이스 열기

가이드 · 미국 주법

ICDPA: 미국에서 가장 간결한 아이오와 개인정보 보호법

Iowa Consumer Data Protection Act는 2025년 1월 1일부터 시행되었으며 다른 주법보다 권리를 적게 주는 법으로 알려져 있습니다. 이 가이드는 누가 따라야 하는지, 방문자가 무엇을 요청할 수 있는지, 타겟 광고는 어떻게 되는지, AdSense나 Ad Manager 사이트에 달라지는 점을 설명합니다.

미국 대상으로 내 사이트 감사하기가이드 읽기
  • ✓아이오와 법전 제715D장 기준
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 아이오와 소비자 수: 법의 주요 기준
90일요청에 응답하는 기간으로, 주법 중 가장 긴 기간
90일법무장관의 통지 후 결함을 시정할 수 있는 기간
US$7,500위반 1건당 최대 민사 과태료

정의

최소한의 의무만 있는 개인정보 보호법

Iowa Consumer Data Protection Act, 즉 ICDPA는 아이오와의 포괄적 개인정보 보호법입니다. 2023년에 서명되었고, 아이오와 법전 제715D장에 있으며, 2025년 1월 1일에 시행되었습니다.

이 법은 버지니아 모델을 따르지만 여러 부분을 덜어 냈습니다. 데이터 정정권이 없습니다. 데이터 보호 평가 요구가 없습니다. 범용 옵트아웃 신호를 받아들일 의무가 없습니다. 그리고 민감 정보는 사전 동의가 아니라 고지와 거부 모델로 작동합니다.

그렇다고 광고 사이트에 이 법이 무해하다는 뜻은 아닙니다. 기준을 넘는 사람은 데이터를 판매하거나 타겟 광고를 하는지 명확하고 눈에 띄게 밝혀야 하고, 방문자가 이런 활동을 어떻게 거부할 수 있는지 설명해야 합니다.

여러 주에 방문자가 있다면 아이오와는 가장 엄격한 주가 되는 일이 드뭅니다. 하지만 차이를 알아 두면 개인정보 보호 페이지에서 내 절차가 제공하지 못하는 권리를 약속하거나, 법이 실제로 요구하는 것을 잊는 일을 피할 수 있습니다.

체크리스트

꼭 지켜야 할 것

사이트가 ICDPA의 기준을 넘는다면 이것이 기본 목록이에요. 아이오와는 다른 주보다 요구하는 것이 적어요.

  1. 판매나 타겟 광고가 있다고 알리기

    데이터를 판매하거나 타겟 광고를 하는 곳은 이를 명확하고 눈에 띄게 알리고 방문자가 거부하는 방법을 설명해야 해요.

    예시

    푸터 링크: Do Not Sell or Share My Personal Information, 거부 화면으로 연결.

  2. 완전한 개인정보 고지 게시하기

    고지는 명확하고 찾기 쉬워야 해요. 처리하는 데이터, 목적, 권리, 이의 신청 방법, 제공하는 데이터, 제3자 범주를 나열해요.

    예시

    고지에 양식과 이메일 같은 요청 경로를 넣으세요.

  3. 민감 정보를 쓰기 전에 알리기

    아이오와는 민감 정보에 동의를 요구하지 않아요. 명확한 고지와 사용 전에 거부할 기회를 요구해요. 아동의 민감 정보는 COPPA를 따라요.

    예시

    정확한 위치를 쓰기 전에 내 위치 사용 안 함 옵션이 있는 안내를 보여 주세요.

  4. 90일 안에 요청에 답하기

    90일 안에 답하고, 이유를 알리면 45일을 더 연장할 수 있어요. 요청에 새 계정을 요구하지 마세요.

  5. 이의 신청 절차 갖추기

    요청이 거부된 사람은 이의를 신청할 수 있어요. 이의 신청에는 60일 안에 서면으로 답하고, 거부하면 검찰총장에게 연락할 수 있는 온라인 경로를 알려 주세요.

  6. 데이터 보안 유지하기

    법은 개인 데이터에 대해 합리적인 행정적, 기술적, 물리적 보안 조치를 요구해요.

  7. 거부를 Google까지 전달하기

    Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. GPP를 쓰면 Google은 아이오와에 대해 US National 섹션을 읽어요.

    예시

    AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요.

적용 대상과 정의

ICDPA의 기준과 법의 핵심 용어

이 법은 아이오와에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서, 한 역년에 아래 두 기준 중 하나를 넘은 사람에게 적용됩니다. 소비자는 상업이나 고용 맥락이 아니라 개인으로서 행동하는 아이오와 주민입니다. 정의는 715D.1조에 있습니다.

소비자 10만 명

아이오와 소비자 최소 100,000명의 개인 데이터를 관리하거나 처리합니다.

2만 5천 명과 데이터 판매

소비자 최소 25,000명의 데이터를 관리하거나 처리하면서 총수익의 50% 넘게를 개인 데이터 판매에서 얻습니다.

개인정보

식별되었거나 식별 가능한 자연인과 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 비식별, 집계, 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교적 신념, 건강 진단, 성적 지향, 이민 신분, 개인을 식별하는 유전 또는 생체 데이터, 알려진 아동의 데이터, 정밀한 위치 정보입니다.

판매

제3자와 돈을 받고 하는 개인 데이터 교환만 해당됩니다. 다른 종류의 가치는 인정되지 않으며, 프로세서, 같은 그룹의 회사, 소비자 요청에 따른 전달은 제외됩니다.

타겟 광고

다른 회사의 사이트와 앱에서 시간에 따른 방문자의 활동 데이터로 선택된 광고입니다. 맥락 광고, 자체 광고, 성과 측정은 제외됩니다.

개인의 권리

아이오와 주민이 요청할 수 있는 것과 없는 것

아이오와의 권리 목록은 주법 중 가장 짧습니다. 응답에는 최대 90일이 걸릴 수 있으며, 필요하고 최초 기간 안에 알리면 45일을 더 연장할 수 있습니다. 연 2건의 요청은 무료입니다.

확인 및 접근

기업이 자신의 데이터를 처리하는지 알고 그 데이터에 접근하는 것입니다.

직접 제공한 것 삭제하기

소비자가 직접 제공한 데이터의 삭제를 요청합니다. 다른 출처에서 얻은 데이터는 이 권리의 본문에 포함되지 않습니다.

이동성

처리가 자동화된 경우, 자신이 제공한 데이터의 사본을 이동 가능한 형식으로 받습니다.

판매 거부

데이터를 판매하지 말라고 요청합니다. 법의 권리 목록에 나오는 유일한 거부권입니다.

정정권 없음

아이오와는 대부분의 주와 달리 소비자에게 잘못된 데이터의 정정을 요청할 권리를 주지 않습니다.

이의 제기

요청이 거절되면 소비자는 이의를 제기할 수 있습니다. 기업은 60일 이내에 서면으로 답해야 하고, 다시 거절하는 경우 법무장관에게 민원을 제기하는 방법을 알려야 합니다.

타겟 광고

권리 목록에는 없지만 옵트아웃은 있어야 합니다

아이오와에 대한 흔한 의문은 방문자가 타겟 광고를 거부할 수 있느냐입니다. 715D.3조의 권리 목록에는 데이터 판매 거부만 있습니다. 버지니아나 콜로라도처럼 타겟 광고를 거부하는 별도의 권리는 없습니다.

하지만 715D.4조는 기업에 의무를 부여합니다. 제3자에게 개인 데이터를 판매하거나 타겟 광고를 하는 사람은 이를 명확하고 눈에 띄게 공개해야 하고, 소비자가 이 활동을 거부하는 방법도 공개해야 합니다. 실제로 법의 적용을 받는 사이트는 타겟 광고에 대한 옵트아웃 경로를 보여 주어야 합니다.

민감 정보도 같은 고지와 거부 논리를 따릅니다. 면제되지 않는 목적으로 민감 정보를 처리하기 전에 기업은 명확한 고지와 거부할 기회를 줘야 합니다. 알려진 어린이의 데이터는 연방법 COPPA를 따릅니다.

그래서 광고 사이트의 실제 설정은 다른 주와 비슷해집니다. 눈에 띄는 옵트아웃 링크, 광고를 위한 데이터 사용을 설명하는 개인정보 보호 페이지, 개인화를 실제로 끄는 거부입니다.

사이트의 의무

해당 회사가 갖추어야 하는 것

  1. 개인정보 고지고지에는 처리하는 데이터의 범주, 목적, 권리 행사와 이의 제기 방법, 제3자와 공유하는 데이터의 범주, 그 제3자의 범주가 있어야 합니다.
  2. 판매 및 타겟 광고 고지사이트가 데이터를 판매하거나 타겟 광고를 한다면, 이를 분명하고 눈에 띄게 알리고 방문자가 거부하는 방법을 설명해야 합니다.
  3. 요청을 위한 안전한 채널기업은 요청을 위한 하나 이상의 안전하고 신뢰할 수 있는 수단을 제공해야 하며, 소비자에게 새 계정을 만들도록 요구해서는 안 됩니다.
  4. 민감 정보 전의 고지민감 정보를 처리하려면 명확한 고지와 거부할 기회가 필요하며, 어린이 데이터는 COPPA를 따릅니다.
  5. 보안과 비차별기업은 합리적인 보안 관행을 유지해야 하며, 권리를 행사한 사람을 더 나쁘게 대우해서는 안 됩니다.
  6. 처리자와의 계약회사를 대신해 데이터를 처리하는 공급업체는 처리 규칙이 담긴 계약에 따라 회사의 지시를 따릅니다.

집행과 과태료

전국에서 가장 긴 시정 기간

아이오와 법무장관만이 이 법을 집행할 수 있습니다. 소비자는 이 법을 근거로 기업을 고소할 수 없습니다.

시정 기간 90일

조치를 취하기 전에 법무장관은 위반 사항을 짚은 서면 통지를 보냅니다. 기업에는 90일의 시정 기간이 있습니다.

서면 진술서

사건을 마무리하려면 기업은 문제를 고치고, 고쳤으며 같은 일을 반복하지 않겠다는 서면 진술을 해야 합니다.

위반 1건당 최대 US$7,500

문제가 계속되면 법무장관은 법원 명령과 위반 1건당 최대 US$ 7,500의 민사 과태료를 요청할 수 있습니다.

조사

법무장관은 조사 중에 기업에 문서와 정보를 요구할 수 있습니다.

타임라인

ICDPA의 주요 날짜

아이오와는 서명부터 시행까지 거의 2년의 준비 기간을 두었습니다.

  1. 2023

    서명

    아이오와는 캘리포니아, 버지니아, 콜로라도, 유타, 코네티컷에 이어 포괄적인 개인정보 보호법을 통과시킨 초기 주 중 하나가 됩니다.

  2. 2025년 1월 1일

    시행

    법이 시행되며, 법무장관이 단독으로 집행합니다.

  3. 2025년 9월

    Google의 GPP 업데이트

    Google이 GPP의 US National 섹션 버전 2를 지원하기 시작합니다. 아이오와 같은 주의 옵트아웃에 대해 Google이 읽는 경로입니다.

AdSense와 Ad Manager를 사용하는 사이트

아이오와의 옵트아웃이 Google에 전달되는 방식

아이오와는 사이트가 Global Privacy Control, 즉 GPC 같은 범용 옵트아웃 신호를 인식하도록 의무화하지 않습니다. 그래도 미국 전체 트래픽에 GPC를 존중하는 것은 좋은 관행입니다. 여러 주에서 요구하고 CMP 설정도 단순해지기 때문입니다.

Google은 AdSense와 Ad Manager의 개인 정보 보호 및 메시지에서 미국 주 규정 메시지를 제공하며, 아이오와는 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시됩니다. 방문자가 거부하면 Google은 제한된 데이터 처리인 RDP를 켜고 광고를 고를 때 이전 행동을 사용하지 않습니다.

IAB Tech Lab의 GPP에는 아이오와 전용 섹션이 있지만, Google이 지원하는 섹션 목록에는 없습니다. Google의 경우 US National 섹션을 쓰는 방법입니다. 이 섹션에서 판매, 공유 또는 타겟 광고 거부가 표시되면 RDP가 켜집니다.

또 다른 방법은 옵트아웃을 요청한 사람에게만 GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성으로 태그에서 직접 RDP를 켜는 것입니다. 최종 테스트는 항상 같습니다. 거부한 뒤에 광고 요청이 달라져야 합니다.

실제 사례

아이오와에서 해도 되는 것과 안 되는 것

법의 기준을 넘으면서 프로그래매틱 광고로 수익을 내는 기업의 예시입니다.

허용

  • 판매나 타겟 광고를 거부한 사람에게 맥락 광고 표시하기
  • Google의 주법 메시지를 사용해 옵트아웃 링크 제공하기
  • 90일 이내에 요청에 응답하되, 45일이 더 필요하면 미리 알리기
  • 반복적이거나 명백히 근거 없는 요청에 대해 남용임을 입증하고 요금 부과하기
  • 모든 미국 트래픽에 같은 옵트아웃 및 GPC 정책 적용하기

허용 안 됨

  • 개인정보 보호 페이지에 밝히지 않고 거부 방법도 설명하지 않은 채 타겟 광고하기
  • 방문자가 열람이나 삭제를 요청하려면 계정을 만들도록 요구하기
  • 명확한 고지도 거부할 기회도 없이 민감 정보 처리하기
  • 요청이 거절된 소비자의 이의 제기 무시하기
  • 아이오와가 주지 않고 내 절차가 충족하지 못하는 권리를 방침에서 약속하기

흔한 오류

사이트가 아이오와 법에서 걸려 넘어지는 부분

가장 간결한 법에도 함정이 있으며, 특히 권리 목록만 읽는 사람에게 그렇습니다.

광고 옵트아웃이 없다고 생각하기

권리 목록에 없으니 사이트가 타겟 광고 거부를 제공하지 않습니다. 하지만 공개하고 거부하는 방법을 설명할 의무는 있습니다.

타겟 광고가 빠진 방침

개인정보 보호 페이지에 쿠키 일반은 나오지만 데이터가 타겟 광고에 쓰인다는 점은 나오지 않습니다.

캘리포니아에만 메시지가 있음

Google의 옵트아웃 메시지가 캘리포니아에만 설정되어 있어서, 아이오와 트래픽은 링크를 전혀 보지 못합니다.

GPP에 아이오와 섹션만 있음

CMP가 Google이 읽지 않는 아이오와 주 섹션만 보냅니다. US National이 없으면 옵트아웃이 Google 광고에 전달되지 않습니다.

아무것도 바꾸지 않는 옵트아웃 링크

방문자가 클릭해도 광고 요청은 그대로이며, RDP도 없고 GPP에 옵트아웃도 없습니다.

규모를 잘못 세기

사이트가 가입자만 계산합니다. 쿠키와 광고 식별자도 사람을 식별하므로 계산에 들어갑니다.

ConsentMode에서

아이오와에 대해 감사에서 확인하는 항목

  • 미국 방문자로 사이트를 열고 푸터, 메뉴, 개인정보 보호 메시지에서 옵트아웃 링크를 찾습니다.
  • 페이지 코드로 CMP 또는 Google의 주법 메시지를 식별합니다.
  • GPP 문자열을 읽고 US National 섹션이 있는지, 클릭 후에 옵트아웃이 기록되는지 확인합니다.
  • 감사용 브라우저에서 GPC 신호를 켜고, 페이지와 광고 요청이 반응하는지 보여 줍니다.
  • 개인정보 보호 페이지에 타겟 광고나 데이터 판매가 있다고 밝히고 거부 방법을 설명하는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

아이오와에서 방문자가 타겟 광고를 거부할 수 있나요?

아이오와의 권리 목록에는 판매 거부만 있습니다. 하지만 법은 타겟 광고를 하는 사람에게 이를 명확하게 공개하고 소비자가 이 활동을 거부하는 방법을 설명하도록 요구합니다. 실제로 법의 적용을 받는 사이트는 이 경로를 제공해야 합니다.

아이오와가 GPC를 존중하도록 요구하나요?

아니요. 이 법은 범용 옵트아웃 신호를 규정하지 않습니다. 하지만 다른 주는 요구하며, 대부분의 CMP는 미국 전체 트래픽에 GPC를 처리합니다.

아이오와를 위해 데이터 보호 평가를 해야 하나요?

아니요. 아이오와 법은 데이터 보호 평가를 요구하지 않습니다. 평가를 요구하는 다른 주에도 해당된다면, 그 주를 위해 한 평가는 여전히 필요합니다.

요청에 응답하는 데 얼마나 시간이 있나요?

최대 90일이며, 필요하고 최초 기간 안에 알리면 45일을 더 연장할 수 있습니다. 소비자 한 명당 연 2건의 요청은 무료여야 합니다.

아이오와는 동의 배너를 요구하나요?

아니요. 이 법은 민감 정보에도 고지와 거부할 기회가 있는 옵트아웃 모델을 씁니다. 어린이에게는 연방법 COPPA가 적용됩니다.

ConsentMode로 아이오와 법 준수가 해결되나요?

ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃 링크, GPP, 개인정보 보호 페이지로 실제로 무엇을 하는지 보여 주며, 공급업체와 변호사와 함께 고칠 수 있게 돕습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트의 옵트아웃이 아이오와에서 작동하는지 확인하세요

감사는 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기