워크스페이스 열기

가이드 · 미국 주법

MCDPA: 새로운 권리가 있는 미네소타 법

Minnesota Consumer Data Privacy Act는 2025년 7월 31일부터 시행되었으며, 자동화된 프로파일링 결과에 이의를 제기하는 것처럼 다른 주에 없던 권리를 가져왔습니다. 이 가이드는 누가 따라야 하는지, 데이터 목록, 의무적인 GPC, 그리고 AdSense나 Ad Manager 사이트에 달라지는 점을 설명합니다.

  • ✓미네소타 법 제325M장과 주 법무장관 자료 기준
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 미네소타 소비자 수: 법의 주요 기준
25%데이터 판매에서 나오는 수익의 비율: 이 경우 소비자 25,000명이면 충분합니다
45일요청에 응답하고 옵트아웃을 적용하는 기간
US$7,500위반 1건당 최대 민사 과태료

정의

옵트아웃을 넘어서는 권리가 있는 개인정보 보호법

Minnesota Consumer Data Privacy Act, 즉 MCDPA는 미네소타의 포괄적 개인정보 보호법입니다. 2024년 5월 19일에 서명되었고, 주법 제325M장에 있으며, 2025년 7월 31일에 시행되었습니다. 주의 규제를 받는 고등 교육 기관은 2029년 7월 31일부터 따르면 됩니다.

기본은 코네티컷과 콜로라도의 법과 같습니다. 열람, 정정, 삭제, 이동, 그리고 타겟 광고, 판매, 자동화된 프로파일링의 거부입니다. 적용 대상 사이트는 GPC 같은 범용 옵트아웃 신호도 존중해야 합니다.

미네소타는 두 가지에서 더 나아갔습니다. 소비자는 자신에 대한 중요한 결정을 낳은 자동화된 프로파일링의 결과에 이의를 제기할 수 있습니다. 그리고 기업은 처리하는 데이터의 목록을 유지하고, 책임자의 이름과 함께 개인정보 보호 방침을 문서화해야 합니다.

광고 사이트에서 가장 중요한 부분은 늘 그렇듯 제대로 작동하는 옵트아웃, 존중되는 GPC, 완전한 개인정보 보호 페이지입니다. 하지만 새로운 내부 의무는 미네소타가 대량으로 데이터를 처리하는 사람에게 더 많은 체계를 기대한다는 것을 보여 줍니다.

체크리스트

꼭 지켜야 할 것

사이트가 MCDPA의 기준을 넘는다면 아래 항목이 모두 작동해야 해요.

  1. 범용 옵트아웃 신호 존중하기

    사이트는 방문자가 직접 켠 GPC 같은 선호 신호로 보낸 옵트아웃을 받아들여야 해요. 신호가 기본으로 켜져 있으면 안 돼요.

    예시

    GPC가 켜진 방문자에게는 사이트가 그 방문자에게만 Google의 제한된 데이터 처리를 켜요.

    <!-- AdSense: anúncio sem dados de comportamento -->
    <ins class="adsbygoogle" ...
         data-restrict-data-processing="1"></ins>
    
    // GPT (Ad Manager)
    googletag.pubads().setPrivacySettings({
      'restrictDataProcessing': true
    });
  2. 개인정보 고지 밖의 옵트아웃

    데이터를 판매하거나 타겟 광고나 프로파일링을 하는 곳은 고지 본문 밖에 명확하고 눈에 띄는 거부 방법이 필요해요.

    예시

    푸터에 Your Opt-Out Rights 또는 Your Privacy Rights라는 링크를 두세요.

  3. privacy라는 단어가 있는 링크

    개인정보 고지는 홈페이지에서 privacy라는 단어가 있는 눈에 띄는 링크로 접근할 수 있어야 해요.

    예시

    홈페이지 푸터에 Privacy Policy 링크가 있어요.

  4. Google이 요구하는 문구가 있는 정책

    AdSense는 개인정보처리방침에 Google과 다른 공급업체의 광고 쿠키에 대한 안내를 요구해요. 방문자가 맞춤 광고를 거부하는 방법도 정책에 있어야 해요.

    예시

    Google을 포함한 제3자 공급업체는 사용자가 이전에 이 사이트나 다른 사이트를 방문한 기록을 바탕으로 광고를 보여 주려고 쿠키를 사용해요. Google 광고 설정에서 맞춤 광고를 끌 수 있어요.

  5. 45일 기한

    옵트아웃은 가능한 한 빨리, 늦어도 45일 안에 적용돼요. 다른 요청도 45일이고 연장이 가능해요.

  6. 민감한 데이터에 대한 동의

    민감 정보는 동의가 있어야만 처리할 수 있어요. 방문자가 동의를 철회하면 15일 안에 사용을 멈춰요.

    예시

    동의 철회는 동의만큼 쉬워야 해요. 예를 들어 같은 자리에 같은 버튼을 두세요.

  7. 13세에서 16세 청소년

    방문자가 13세에서 16세임을 안다면, 그 데이터를 타겟 광고에 쓰거나 판매하려면 본인의 동의가 필요해요.

  8. 목록과 문서화된 정책

    사이트가 처리하는 데이터의 목록을 유지하세요. 개인정보처리방침은 책임자의 이름과 연락처와 함께 문서로 남기세요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미네소타에 대해 인증 CMP나 GPP를 요구하지 않아요. 그래서 Google 자체 메시지나 GPP가 있는 CMP를 쓸 수 있어요.

적용 대상과 정의

MCDPA의 기준과 법의 핵심 용어

이 법은 미네소타에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서, 한 역년에 아래 기준 중 하나를 넘은 사람에게 적용됩니다. 비영리 단체에 대한 일반적인 면제는 없습니다. 개인 데이터는 쿠키와 광고 식별자처럼 사람과 연결되었거나 연결될 수 있는 모든 정보입니다.

소비자 10만 명

미네소타 소비자 최소 100,000명의 데이터를 관리하거나 처리합니다. 결제를 완료하는 데만 쓰인 데이터는 포함되지 않습니다.

2만 5천 명과 데이터 판매

소비자 최소 25,000명의 데이터를 관리하거나 처리하면서 총수익의 25% 넘게를 개인 데이터 판매에서 얻습니다.

소규모 기업

미국 연방 정의상의 소규모 기업은 법의 대부분에서 제외되지만, 사전 동의 없이 민감 정보를 판매할 수는 없습니다.

민감한 데이터

인종 또는 민족적 출신, 종교적 신념, 건강, 성적 지향, 이민 상태, 사람을 식별하는 생체 또는 유전 데이터, 알려진 어린이의 데이터, 구체적인 지리적 위치입니다.

판매

돈이나 그 밖의 가치 있는 대가를 받고 개인 데이터를 교환하는 것입니다. 프로세서, 같은 그룹의 회사, 합병에 대한 전달은 제외됩니다.

타겟 광고

다른 회사의 사이트와 앱에서 시간에 따른 방문자의 활동 데이터로 선택된 광고입니다. 자체 광고, 맥락 광고, 성과 측정은 포함되지 않습니다.

개인의 권리

미네소타 주민이 요청할 수 있는 것

응답은 45일 이내에 해야 하며, 최초 기간 안에 알리면 45일을 더 연장할 수 있습니다. 연 2건의 요청은 무료입니다. 옵트아웃에는 신원 확인이 필요하지 않습니다.

확인 및 접근

기업이 자신의 데이터를 처리하는지 알고, 처리하는 데이터의 범주를 압니다.

정정, 삭제, 이동

잘못된 데이터를 정정하고, 삭제를 요청하고, 데이터의 이동 가능한 사본을 받습니다.

타겟 광고 및 판매 거부

GPC 같은 범용 신호를 통한 경우를 포함해, 데이터를 타겟 광고에 사용하지 않고 판매하지 않도록 요청하는 것입니다.

자동화된 프로파일링 거부

주거, 보험, 교육, 고용, 건강, 금융 서비스처럼 법적 효과나 그에 준하는 영향을 주는 결정에 쓰이는 프로파일링을 거부합니다.

프로파일링에 이의 제기

중요한 결정을 낳은 프로파일링의 결과에 이의를 제기하고, 이유를 알고, 사용된 데이터를 검토합니다.

제3자 목록

자신의 데이터를 받은 특정 제3자의 목록을 받습니다. 기업이 사람별로 기록하지 않으면 모든 제3자의 목록을 받습니다.

미네소타의 다른 점

프로파일링에 이의 제기와 데이터 목록 유지

프로파일링에 이의를 제기할 권리는 이 법의 가장 큰 새로움입니다. 자동화된 프로파일링이 법적 효과나 그에 준하는 영향을 주는 결정으로 이어지면 소비자는 결과에 이의를 제기하고, 이유를 알고, 가능하다면 다른 결정을 받으려면 무엇을 할 수 있었는지 알 수 있습니다. 사용된 데이터를 검토하고, 틀렸다면 정정과 재평가를 요청할 수도 있습니다.

미네소타 법무장관은 이 권리가 인공지능의 사용 여부와 상관없이 적용된다고 강조했습니다. 대부분의 콘텐츠 사이트에서는 이 권리가 드물게 나타나지만, 신용 사전 분석, 보험 견적, 채용 선별을 하는 사이트에는 중요합니다.

두 번째 새로운 점은 내부적인 것입니다. 이 법은 기업이 처리하는 데이터의 목록을 포함한 합리적인 보안을 요구합니다. 또한 기업이 개인정보 보호 방침과 절차를 문서화하고, 주요 책임자의 이름과 연락처를 두도록 요구하며, 개인정보 보호 담당자가 있다면 그 사람이 해당됩니다.

광고로 수익을 내는 사람에게는 이 목록이 좋은 연습입니다. 사이트에서 어떤 스크립트와 광고 파트너가 실행되는지, 각각 어떤 데이터를 받는지, 어디로 가는지 나열하세요. 소비자가 요청할 수 있는 제3자 목록에 답하는 데도 도움이 되는 같은 지도입니다.

사이트의 의무

해당 사이트가 갖추어야 하는 것

  1. 완전한 개인정보 처리방침고지에는 데이터의 범주와 목적, 권리 행사와 이의 제기 방법, 판매되거나 공유되는 데이터의 범주와 받는 쪽, 이메일이나 온라인 수단의 연락처, 보관 정책, 마지막 업데이트 날짜가 있어야 합니다.
  2. privacy라는 단어가 있는 링크고지는 첫 페이지에서 privacy라는 단어가 있는 눈에 띄는 링크로 연결되어야 하며, 앱에서는 설정에도 있어야 합니다.
  3. 고지 밖의 옵트아웃데이터를 판매하거나 타겟 광고나 프로파일링을 하는 사람은 방침 본문과 별도로, 예를 들어 Your Opt-Out Rights나 Your Privacy Rights라는 링크로 옵트아웃을 제공해야 합니다.
  4. 속임수 없는 동의민감 정보는 동의가 있을 때만 처리할 수 있으며, 기만적인 기본값이나 일반 약관 수락으로 얻은 동의는 유효하지 않습니다. 소비자가 동의를 철회하면 사용은 15일 이내에 중단되어야 합니다.
  5. 청소년 보호기업이 소비자가 13세에서 16세라는 것을 안다면 동의 없이 그의 데이터를 타겟 광고에 쓰거나 판매할 수 없습니다.
  6. 데이터 보호 평가타겟 광고, 판매, 민감 정보, 위험한 프로파일링에는 기록된 평가가 필요하며, 법무장관이 조사 중에 요청할 수 있습니다.

집행과 과태료

누가 집행하고 잘못하면 얼마나 드는가

미네소타 법무장관만이 이 법을 집행합니다. 이의 제기가 거부된 소비자는 법무장관에게 민원을 제기할 수 있습니다.

시정 기간 종료

처음 6개월 동안 법무장관은 통지를 보내고 30일의 시정 기간을 줘야 했습니다. 이 규정은 2026년 1월 31일에 만료되었습니다.

위반 1건당 최대 US$7,500

민사 과태료는 위반 1건당 최대 US$ 7,500이며, 관행을 중단하라는 법원 명령도 있을 수 있습니다.

소송 비용

주가 승소하면 판사는 기업에 소송 비용의 일부 또는 전부를 지급하라고 명령할 수 있습니다.

기록된 이의 제기

기업은 45일 이내에 이의 제기를 결정해야 하며 60일을 더 연장할 수 있고, 이의 제기 기록을 최소 24개월 보관해야 합니다.

타임라인

MCDPA의 주요 날짜

2026년 11월 현재 이 법은 시행된 지 1년이 넘었고 시정 기간은 이미 끝났습니다.

  1. 2024년 5월 19일

    서명

    미네소타가 Consumer Data Privacy Act를 통과시킵니다.

  2. 2025년 7월 31일

    시행

    법이 시행되며, GPC가 의무이고 30일의 시정 기간이 있습니다.

  3. 2026년 1월 31일

    시정 기간 종료

    법무장관이 조치를 취하기 전에 30일의 시정 기간을 줘야 한다는 규정이 만료됩니다.

  4. 2029년 7월 31일

    고등 교육

    주의 규제를 받는 고등 교육 기관이 법을 따라야 하게 됩니다.

AdSense와 Ad Manager를 사용하는 사이트

GPC 의무와 Google까지의 옵트아웃 경로

미네소타에서는 적용 대상 사이트가 Global Privacy Control, 즉 GPC처럼 방문자의 동의로 전송되는 범용 옵트아웃 신호를 존중해야 합니다. 법은 방문자가 주에 거주하는지 아는 데 IP 주소로 충분하다고 합니다. 신호가 로열티 프로그램과 충돌하면 신호가 우선하며, 사이트는 확인을 요청할 수 있습니다.

Google은 AdSense와 Ad Manager의 개인 정보 보호 및 메시지에서 미국 주 규정 메시지를 제공하며, 미네소타는 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시됩니다. 거부하면 제한된 데이터 처리인 RDP가 켜지고, Google은 광고를 고를 때 이전 행동을 사용하지 않습니다.

GPC와 관련해서 Google은 신호를 구현한 파트너가 옵트아웃 GPC를 받았을 때 RDP를 켜도록 선택할 수 있다고 말합니다. 설정은 사이트나 CMP에 있으며, GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성을 이용해 태그에서 할 수 있습니다.

IAB Tech Lab은 미네소타 전용 GPP 섹션을 이미 공개했지만, Google이 지원하는 섹션 목록에는 없습니다. Google의 경우 US National 섹션을 쓰는 방법이며, 이 섹션에서 판매, 공유 또는 타겟 광고 거부가 표시되면 RDP가 켜집니다.

실제 사례

미네소타에서 해도 되는 것과 안 되는 것

프로그래매틱 광고로 수익을 내는 미네소타 트래픽이 있는 사이트의 예시입니다.

허용

  • IP 주소로 미네소타 방문자를 식별하고 GPC 적용하기
  • 거부했거나 GPC를 켜고 접속한 방문자에게 맥락 광고 보여 주기
  • 푸터에 옵트아웃을 위한 Your Privacy Rights라는 링크 두기
  • 사이트가 사람별로 기록하지 않는다면, 소비자에게 모든 제3자의 목록 제공하기
  • 같은 처리를 다룬다면, 다른 주를 위해 한 평가 활용하기

허용 안 됨

  • 옵트아웃을 받아들이기 위해 신분증 요구하기
  • 기만적인 버튼으로 민감 정보 동의를 얻어 내기
  • 13~16세 청소년의 데이터를 동의 없이 타겟 광고에 사용하기
  • 보관 정책도 업데이트 날짜도 없는 방침 게시하기
  • 옵트아웃 요청을 적용하는 데 45일 넘게 걸리기

흔한 오류

사이트가 미네소타 법에서 걸려 넘어지는 부분

미네소타는 대부분의 주보다 방침에 더 많은 항목과 더 많은 내부 체계를 요구합니다.

불완전한 방침

개인정보 보호 페이지에 데이터 보관 내용이나 마지막 업데이트 날짜가 없으며, 이는 미네소타에서 요구되는 항목입니다.

데이터 목록 없음

사이트에서 어떤 광고 스크립트가 실행되고 각각 무엇을 받는지 아무도 말하지 못합니다. 제3자 목록에 답할 수 없게 됩니다.

캘리포니아에서만 적용되는 GPC

CMP가 GPC를 캘리포니아에만 적용하고 미네소타 방문자의 신호는 무시합니다.

번거로운 옵트아웃

옵트아웃 양식이 로그인이나 문서를 요구합니다. 법은 옵트아웃에 인증이 필요하지 않다고 말합니다.

GPP에서 주 섹션만 보냄

CMP가 Google이 읽지 않는 미네소타 섹션만 보냅니다. US National이 없으면 옵트아웃이 Google에 전달되지 않습니다.

광고를 바꾸지 못하는 옵트아웃

방문자는 거부했지만 광고 요청에는 여전히 RDP가 없고 GPP 문자열에도 옵트아웃이 없습니다.

ConsentMode에서

미네소타에 대해 감사에서 확인하는 항목

  • 미국 방문자로 사이트를 열고 홈페이지에서 옵트아웃 링크와 privacy라는 단어가 있는 링크를 찾습니다.
  • 감사 브라우저에서 GPC 신호를 켜고, 신호가 있을 때와 없을 때의 페이지와 광고 요청을 비교합니다.
  • GPP 문자열을 읽어 US National 섹션이 있는지, 옵트아웃이 기록되는지 확인합니다.
  • 페이지에서 로드되는 스크립트와 광고 파트너를 나열하며, 이는 데이터 목록을 만드는 출발점입니다.
  • 개인정보 보호 페이지에 범주, 목적, 제3자, 권리, 이의 제기, 연락처, 보관, 업데이트 날짜가 있는지 확인합니다.

자주 묻는 질문

프로파일링에 이의를 제기할 권리가 콘텐츠 사이트에 영향을 주나요?

대부분의 경우 거의 영향이 없습니다. 이 권리는 신용, 보험, 주거, 고용처럼 법적 효과나 그에 준하는 효과를 가진 결정으로 이어지는 프로파일링에 적용됩니다. 광고를 고르는 것은 보통 그런 결정이 아니지만, 신용 사전 분석이나 채용 선별을 하는 사이트는 준비해야 합니다.

미네소타에서 GPC를 존중해야 하나요?

네, 법이 내 사이트에 적용된다면 그렇습니다. 이 법은 범용 옵트아웃 신호를 존중하도록 요구하며, 방문자가 주에 거주하는지 아는 데 IP 주소를 인정합니다.

데이터 목록이란 무엇인가요?

기업이 처리하는 데이터를 정리해 유지하는 목록입니다. 이 법은 목록을 합리적인 보안 관행의 일부로 봅니다.

저희 회사는 소기업입니다. 면제되나요?

거의 그렇습니다. 미국 연방 정의상의 소규모 기업은 법의 대부분에서 제외되지만, 사전 동의 없이 민감 정보를 판매할 수는 없습니다.

통지를 받은 후에도 아직 시정 기간이 있나요?

아니요. 30일의 기간은 2026년 1월 31일까지 유효했습니다. 그 이후 법무장관은 이 기간을 주지 않고 조치를 취할 수 있습니다.

ConsentMode를 쓰면 제 사이트가 법을 준수하게 되나요?

ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPC, GPP, 개인정보 페이지로 실제로 무엇을 하는지 보여 주므로, 공급업체와 변호사와 함께 고칠 수 있습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트가 미네소타에 대응하는지 확인해 보세요

감사는 GPC가 있을 때와 없을 때 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기