소비자 35,000명
메릴랜드 소비자 최소 35,000명의 데이터를 관리하거나 처리했습니다. 결제를 완료하는 데만 쓰인 데이터는 포함되지 않습니다.
가이드 · 미국 주법
Maryland Online Data Privacy Act는 2025년 10월 1일부터 시행되었으며 미국에서 가장 엄격한 주법으로 평가받습니다. 이 가이드는 엄격한 데이터 최소화, 민감 정보 판매 금지, 18세 미만에 대한 규정, 그리고 AdSense나 Ad Manager 사이트에 달라지는 점을 설명합니다.
정의
Maryland Online Data Privacy Act, 즉 MODPA는 메릴랜드의 포괄적 개인정보 보호법입니다. 2024년에 통과되어 2025년 10월 1일에 시행되었습니다. 법 자체에서 2026년 4월 1일 이전의 데이터 처리 활동에는 적용되지 않는다고 하며, 이날부터 집행이 본격화됩니다.
방문자의 권리는 다른 주와 비슷합니다. 열람, 정정, 삭제, 이동, 그리고 타겟 광고, 판매, 프로파일링의 거부입니다. 차이는 기업의 의무에 있습니다. 대부분의 주에서는 방문자가 거부할 때까지 사이트가 데이터를 사용할 수 있습니다. 메릴랜드에서는 방문자가 요청한 서비스에 수집이 필요해야 합니다.
이 법은 또한 동의가 있어도 민감 정보 판매를 금지하고, 민감 정보의 처리를 반드시 필요한 것으로 제한합니다. 18세 미만 청소년에게는 기업이 나이를 알았거나 알았어야 하는 경우 타겟 광고가 금지됩니다.
광고 사이트에는 메릴랜드가 가장 많은 점검이 필요한 주입니다. 제3자 스크립트, 그것이 받는 데이터, 건강, 금융, 커뮤니티 사이트가 민감한 정보를 처리하는 방식을 신중하게 살펴봐야 합니다.
체크리스트
사이트가 MODPA의 기준을 넘는다면 아래 항목이 모두 작동해야 해요.
데이터 수집은 방문자가 요청한 제품이나 서비스에 합리적으로 필요하고 비례해야 해요.
광고 스크립트를 설치하기 전에 그 스크립트가 어떤 데이터를 받고 사이트가 왜 그것이 필요한지 적어 두세요.
민감 정보의 판매는 금지돼요. 이런 데이터의 수집이나 공유는 요청된 서비스에 꼭 필요한 경우에만 허용돼요.
방문자가 13세에서 17세임을 알았거나 알았어야 한다면, 그 데이터를 타겟 광고에 쓸 수 없어요. 이런 데이터를 판매하려면 동의가 필요해요.
2025년 10월 1일부터 방문자는 GPC 같은 선호 신호로 타겟 광고를 거부할 수 있고, 사이트는 이를 존중해야 해요.
GPC가 켜진 방문자에게는 사이트가 그 방문자에게만 Google의 제한된 데이터 처리를 켜요.
<!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
data-restrict-data-processing="1"></ins>
// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
'restrictDataProcessing': true
});사이트가 데이터를 판매하거나 타겟 광고를 한다면 이를 명확하고 눈에 띄게 알리고 거부하는 방법을 설명해야 해요.
타겟 광고에 회원님의 데이터를 사용해요. 거부하려면 Do Not Sell or Share My Personal Information을 클릭하세요.
AdSense는 개인정보처리방침에 Google과 다른 공급업체의 광고 쿠키에 대한 안내를 요구해요. 방문자가 맞춤 광고를 거부하는 방법도 정책에 있어야 해요.
Google을 포함한 제3자 공급업체는 사용자가 이전에 이 사이트나 다른 사이트를 방문한 기록을 바탕으로 광고를 보여 주려고 쿠키를 사용해요. Google 광고 설정에서 맞춤 광고를 끌 수 있어요.
권리 요청을 위한 안전하고 믿을 수 있는 방법을 제공하세요. 방문자에게 새 계정을 만들라고 요구하지 마세요.
타겟 광고, 판매, 민감 정보처럼 위험이 높은 처리를 하기 전에 평가를 하세요. 위험한 알고리즘도 각각 평가해야 해요.
실제 사례
공식 도구
Google은 메릴랜드에 대해 인증 CMP나 GPP를 요구하지 않아요. 그래서 Google 자체 메시지나 GPP가 있는 CMP를 쓸 수 있어요.
적용 대상과 정의
이 법은 메릴랜드에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서, 직전 역년에 아래 기준 중 하나를 넘은 사람에게 적용됩니다. 비영리 단체에는 일반적인 면제가 없으며, 적용 대상 기업을 위해 일하는 프로세서에게도 의무가 있습니다.
메릴랜드 소비자 최소 35,000명의 데이터를 관리하거나 처리했습니다. 결제를 완료하는 데만 쓰인 데이터는 포함되지 않습니다.
소비자 최소 10,000명의 데이터를 관리하거나 처리했고, 총수익의 20% 넘게 개인정보 판매에서 얻었습니다.
인종 또는 민족적 출신, 종교적 신념, 소비자 건강 데이터, 성생활과 성적 지향, 트랜스젠더 또는 논바이너리 상태, 출신 국가, 이민 상태, 유전 또는 생체 데이터, 어린이의 데이터, 정확한 지리적 위치입니다.
성별 확정 치료와 생식 및 성 건강 관련 데이터를 포함해, 사람의 신체적 또는 정신적 건강 상태를 파악하는 데 쓰이는 개인 데이터입니다.
돈이나 그 밖의 가치 있는 대가를 받고 개인 데이터를 교환하는 것입니다. 프로세서에 대한 전달과 소비자 요청에 따른 전달은 제외됩니다.
다른 회사의 사이트와 앱에서 방문자의 활동으로 얻거나 추론한 데이터로 선택된 광고입니다. 맥락 광고, 해당 사이트 안의 광고, 성과 측정은 포함되지 않습니다.
엄격한 최소화
MODPA의 핵심 규칙은 최소화입니다. 기업은 소비자가 요청한 특정 상품이나 서비스를 제공하거나 유지하는 데 합리적으로 필요하고 비례하는 범위에서만 개인 데이터를 수집할 수 있습니다. 다른 주처럼 개인정보처리방침에 목적을 알리는 것만으로는 충분하지 않습니다.
민감 정보는 기준이 더 높아집니다. 민감 정보의 수집, 처리, 공유는 요청한 상품이나 서비스를 제공하거나 유지하는 데 엄격하게 필요할 때만 허용됩니다. 그리고 민감 정보 판매는 동의가 있어도 금지됩니다. 메릴랜드 법무장관은 이 법에 관한 페이지에서 두 규칙을 모두 언급합니다.
18세 미만에게는 기업이 나이를 알았거나 알았어야 하는 경우 데이터를 타겟 광고에 쓰는 것이 금지되며, 이들의 데이터 판매도 제한됩니다. 알았어야 한다는 기준은 다른 주에서 쓰는 실제로 알고 있었다는 기준보다 넓습니다.
실제로 광고 스크립트가 각 기사의 주제를 읽고 파트너에게 넘기게 두는 건강 사이트나 시뮬레이터의 응답을 넘기는 금융 사이트는 이 흐름을 다시 평가해야 합니다. 맥락 광고와 프로파일링 없는 측정은 계속 가능합니다.
개인의 권리
응답은 45일 이내에 해야 하며, 최초 기간 안에 알리면 45일을 더 연장할 수 있습니다. 12개월마다 첫 번째 요청은 무료이고, 이의 제기에는 60일 이내에 서면으로 답해야 합니다.
기업이 자신의 데이터를 처리하는지 알고 그 데이터에 접근하는 것입니다.
잘못된 데이터를 정정하고, 법에 정해진 예외를 제외하고 개인 데이터의 삭제를 요청합니다.
자동으로 처리된 데이터의 이동 가능한 사본을 받습니다.
자신의 데이터를 받은 제3자 범주의 목록을 받습니다. 기업이 사람별로 기록하지 않으면 모든 소비자의 목록을 받습니다.
데이터를 타겟 광고에 쓰지 않고 판매하지 않도록 요청합니다. GPC 같은 범용 신호나 권한을 위임받은 대리인을 통해서도 가능합니다.
일부 자동화된 프로파일링을 거부하고, 한 번 한 동의를 철회합니다. 철회 후 기업은 최대 30일 안에 중단해야 합니다.
사이트의 의무
집행과 과태료
이 법은 메릴랜드 법무장관의 소비자 보호 부서가 집행합니다. 위반은 주의 소비자 보호법에 따라 불공정, 남용적 또는 기만적인 상거래 관행으로 취급됩니다.
과태료는 위반 1건당 최대 US$ 10,000이 될 수 있습니다.
반복된 위반은 건당 최대 US$ 25,000이 될 수 있습니다. 법무장관은 법원 명령, 원상회복, 이득 반환도 요청할 수 있습니다.
2027년 4월 1일까지의 위반에 대해서는 부서가 통지하고, 고칠 수 있는 경우 최소 60일의 시정 기간을 줄 수 있습니다. 이는 부서의 판단이며 보장이 아닙니다.
시정 기간을 결정할 때 부서는 위반 건수, 기업의 규모, 오류가 인적 오류인지 기술적 오류인지 등을 고려합니다.
타임라인
2026년 11월 현재 이 법은 시행 중이며, 2026년 4월 이후의 처리에 적용되고, 선택적 시정 기간도 아직 있습니다.
메릴랜드가 Online Data Privacy Act를 통과시킵니다.
법이 시행되며, 범용 신호가 의무가 되고 이 날짜 이후 시작된 처리에 평가가 적용됩니다.
법은 이 날짜 이전의 처리 활동에는 적용되지 않으며, 이 날짜가 집행의 실질적인 시작입니다.
조치를 취하기 전에 부서가 최소 60일의 시정 기간을 줄 수 있는 기간이 끝납니다.
AdSense와 Ad Manager를 사용하는 사이트
2025년 10월 1일부터 적용 대상 사이트는 Global Privacy Control, 즉 GPC 같은 선호 신호로 전송된 판매 및 타겟 광고 옵트아웃을 받아들여야 합니다. 이 메커니즘은 기본으로 켜져 있으면 안 되며, 방문자가 주에 거주하는지 확인할 수 있어야 합니다.
Google은 AdSense와 Ad Manager의 개인 정보 보호 및 메시지에서 미국 주 규정 메시지를 제공하며, 메릴랜드는 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시됩니다. 거부하면 제한된 데이터 처리인 RDP가 켜지고, Google은 광고를 고를 때 이전 행동을 사용하지 않습니다.
GPC와 관련해서 Google은 신호를 구현한 파트너가 옵트아웃 GPC를 받았을 때 RDP를 켜도록 선택할 수 있다고 말합니다. 설정은 사이트나 CMP에 있으며, GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성을 이용해 태그에서 할 수 있습니다.
IAB Tech Lab은 메릴랜드 전용 GPP 섹션을 이미 공개했지만, Google이 지원하는 섹션 목록에는 없습니다. Google의 경우 US National 섹션을 쓰는 방법입니다. 옵트아웃은 일부일 뿐이라는 점을 기억하세요. 메릴랜드에서는 최소화와 민감 정보 판매 금지가 한 번도 거부하지 않은 사람에게도 적용됩니다.
실제 사례
프로그래매틱 광고로 수익을 내는 메릴랜드 트래픽이 있는 사이트의 예시입니다.
흔한 오류
다른 주에서는 충분한 설정이 메릴랜드에서는 충분하지 않을 수 있습니다.
사이트는 옵트아웃을 제공하지만 요청한 서비스에 필요하지 않은 데이터를 계속 수집합니다. 메릴랜드에서는 최소화가 모두에게 적용됩니다.
광고와 측정 스크립트가 질병이나 임신에 관한 기사의 주소를 받습니다. 이는 소비자 건강 데이터를 드러낼 수 있습니다.
사이트가 정확한 위치 정보를 파트너에게 넘기기 위해 동의를 요청합니다. 메릴랜드에서는 이 판매가 동의가 있어도 금지됩니다.
사이트에 청소년을 대상으로 한 콘텐츠가 있는데 모두에게 타겟 광고를 보여 줍니다. 알았어야 한다는 기준이 불리하게 작용할 수 있습니다.
CMP가 GPC를 캘리포니아에만 적용하고 메릴랜드 방문자의 신호는 무시합니다.
CMP가 Google이 읽지 않는 메릴랜드 섹션만 보냅니다. US National이 없으면 옵트아웃이 Google에 전달되지 않습니다.
ConsentMode에서
옵트아웃 외에도 수집을 요청한 서비스에 필요한 범위로 제한하고, 동의가 있어도 민감 정보 판매를 금지하며, 기업이 나이를 알았거나 알았어야 하는 18세 미만에게는 타겟 광고를 금지하기 때문입니다.
이 법은 성인 대상 타겟 광고를 금지하지 않습니다. 방문자는 GPC를 포함해 거부할 수 있고, 수집은 최소화 원칙을 지켜야 합니다. 18세 미만에게는 기업이 나이를 알았거나 알았어야 하는 경우 타겟 광고가 금지됩니다.
네, 법이 내 사이트에 적용된다면 그렇습니다. 2025년 10월 1일부터 선호 신호로 전송된 옵트아웃을 받아들여야 합니다.
이 법은 2025년 10월 1일부터 시행되지만 2026년 4월 1일 이전의 처리 활동에는 적용되지 않습니다. 2027년 4월 1일까지는 부서가 원한다면 시정 기간을 줄 수 있습니다.
꼭 그런 것은 아닙니다. 메릴랜드는 보험 사기에 대해 경찰을 돕거나 재난 구호 인력을 돕기 위해서만 데이터를 처리하는 비영리 단체만 면제합니다.
ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPC, GPP, 제3자 스크립트, 개인정보 보호 페이지로 실제로 무엇을 하는지 보여 주며, 공급업체와 변호사와 함께 고칠 수 있게 돕습니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 GPC가 있을 때와 없을 때 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.