소비자 10만 명
미네소타 소비자 최소 100,000명의 데이터를 관리하거나 처리합니다. 결제를 완료하는 데만 쓰인 데이터는 포함되지 않습니다.
가이드 · 미국 주법
Minnesota Consumer Data Privacy Act는 2025년 7월 31일부터 시행되었으며, 자동화된 프로파일링 결과에 이의를 제기하는 것처럼 다른 주에 없던 권리를 가져왔습니다. 이 가이드는 누가 따라야 하는지, 데이터 목록, 의무적인 GPC, 그리고 AdSense나 Ad Manager 사이트에 달라지는 점을 설명합니다.
정의
Minnesota Consumer Data Privacy Act, 즉 MCDPA는 미네소타의 포괄적 개인정보 보호법입니다. 2024년 5월 19일에 서명되었고, 주법 제325M장에 있으며, 2025년 7월 31일에 시행되었습니다. 주의 규제를 받는 고등 교육 기관은 2029년 7월 31일부터 따르면 됩니다.
기본은 코네티컷과 콜로라도의 법과 같습니다. 열람, 정정, 삭제, 이동, 그리고 타겟 광고, 판매, 자동화된 프로파일링의 거부입니다. 적용 대상 사이트는 GPC 같은 범용 옵트아웃 신호도 존중해야 합니다.
미네소타는 두 가지에서 더 나아갔습니다. 소비자는 자신에 대한 중요한 결정을 낳은 자동화된 프로파일링의 결과에 이의를 제기할 수 있습니다. 그리고 기업은 처리하는 데이터의 목록을 유지하고, 책임자의 이름과 함께 개인정보 보호 방침을 문서화해야 합니다.
광고 사이트에서 가장 중요한 부분은 늘 그렇듯 제대로 작동하는 옵트아웃, 존중되는 GPC, 완전한 개인정보 보호 페이지입니다. 하지만 새로운 내부 의무는 미네소타가 대량으로 데이터를 처리하는 사람에게 더 많은 체계를 기대한다는 것을 보여 줍니다.
체크리스트
사이트가 MCDPA의 기준을 넘는다면 아래 항목이 모두 작동해야 해요.
사이트는 방문자가 직접 켠 GPC 같은 선호 신호로 보낸 옵트아웃을 받아들여야 해요. 신호가 기본으로 켜져 있으면 안 돼요.
GPC가 켜진 방문자에게는 사이트가 그 방문자에게만 Google의 제한된 데이터 처리를 켜요.
<!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
data-restrict-data-processing="1"></ins>
// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
'restrictDataProcessing': true
});데이터를 판매하거나 타겟 광고나 프로파일링을 하는 곳은 고지 본문 밖에 명확하고 눈에 띄는 거부 방법이 필요해요.
푸터에 Your Opt-Out Rights 또는 Your Privacy Rights라는 링크를 두세요.
개인정보 고지는 홈페이지에서 privacy라는 단어가 있는 눈에 띄는 링크로 접근할 수 있어야 해요.
홈페이지 푸터에 Privacy Policy 링크가 있어요.
AdSense는 개인정보처리방침에 Google과 다른 공급업체의 광고 쿠키에 대한 안내를 요구해요. 방문자가 맞춤 광고를 거부하는 방법도 정책에 있어야 해요.
Google을 포함한 제3자 공급업체는 사용자가 이전에 이 사이트나 다른 사이트를 방문한 기록을 바탕으로 광고를 보여 주려고 쿠키를 사용해요. Google 광고 설정에서 맞춤 광고를 끌 수 있어요.
옵트아웃은 가능한 한 빨리, 늦어도 45일 안에 적용돼요. 다른 요청도 45일이고 연장이 가능해요.
민감 정보는 동의가 있어야만 처리할 수 있어요. 방문자가 동의를 철회하면 15일 안에 사용을 멈춰요.
동의 철회는 동의만큼 쉬워야 해요. 예를 들어 같은 자리에 같은 버튼을 두세요.
방문자가 13세에서 16세임을 안다면, 그 데이터를 타겟 광고에 쓰거나 판매하려면 본인의 동의가 필요해요.
사이트가 처리하는 데이터의 목록을 유지하세요. 개인정보처리방침은 책임자의 이름과 연락처와 함께 문서로 남기세요.
실제 사례
공식 도구
Google은 미네소타에 대해 인증 CMP나 GPP를 요구하지 않아요. 그래서 Google 자체 메시지나 GPP가 있는 CMP를 쓸 수 있어요.
적용 대상과 정의
이 법은 미네소타에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서, 한 역년에 아래 기준 중 하나를 넘은 사람에게 적용됩니다. 비영리 단체에 대한 일반적인 면제는 없습니다. 개인 데이터는 쿠키와 광고 식별자처럼 사람과 연결되었거나 연결될 수 있는 모든 정보입니다.
미네소타 소비자 최소 100,000명의 데이터를 관리하거나 처리합니다. 결제를 완료하는 데만 쓰인 데이터는 포함되지 않습니다.
소비자 최소 25,000명의 데이터를 관리하거나 처리하면서 총수익의 25% 넘게를 개인 데이터 판매에서 얻습니다.
미국 연방 정의상의 소규모 기업은 법의 대부분에서 제외되지만, 사전 동의 없이 민감 정보를 판매할 수는 없습니다.
인종 또는 민족적 출신, 종교적 신념, 건강, 성적 지향, 이민 상태, 사람을 식별하는 생체 또는 유전 데이터, 알려진 어린이의 데이터, 구체적인 지리적 위치입니다.
돈이나 그 밖의 가치 있는 대가를 받고 개인 데이터를 교환하는 것입니다. 프로세서, 같은 그룹의 회사, 합병에 대한 전달은 제외됩니다.
다른 회사의 사이트와 앱에서 시간에 따른 방문자의 활동 데이터로 선택된 광고입니다. 자체 광고, 맥락 광고, 성과 측정은 포함되지 않습니다.
개인의 권리
응답은 45일 이내에 해야 하며, 최초 기간 안에 알리면 45일을 더 연장할 수 있습니다. 연 2건의 요청은 무료입니다. 옵트아웃에는 신원 확인이 필요하지 않습니다.
기업이 자신의 데이터를 처리하는지 알고, 처리하는 데이터의 범주를 압니다.
잘못된 데이터를 정정하고, 삭제를 요청하고, 데이터의 이동 가능한 사본을 받습니다.
GPC 같은 범용 신호를 통한 경우를 포함해, 데이터를 타겟 광고에 사용하지 않고 판매하지 않도록 요청하는 것입니다.
주거, 보험, 교육, 고용, 건강, 금융 서비스처럼 법적 효과나 그에 준하는 영향을 주는 결정에 쓰이는 프로파일링을 거부합니다.
중요한 결정을 낳은 프로파일링의 결과에 이의를 제기하고, 이유를 알고, 사용된 데이터를 검토합니다.
자신의 데이터를 받은 특정 제3자의 목록을 받습니다. 기업이 사람별로 기록하지 않으면 모든 제3자의 목록을 받습니다.
미네소타의 다른 점
프로파일링에 이의를 제기할 권리는 이 법의 가장 큰 새로움입니다. 자동화된 프로파일링이 법적 효과나 그에 준하는 영향을 주는 결정으로 이어지면 소비자는 결과에 이의를 제기하고, 이유를 알고, 가능하다면 다른 결정을 받으려면 무엇을 할 수 있었는지 알 수 있습니다. 사용된 데이터를 검토하고, 틀렸다면 정정과 재평가를 요청할 수도 있습니다.
미네소타 법무장관은 이 권리가 인공지능의 사용 여부와 상관없이 적용된다고 강조했습니다. 대부분의 콘텐츠 사이트에서는 이 권리가 드물게 나타나지만, 신용 사전 분석, 보험 견적, 채용 선별을 하는 사이트에는 중요합니다.
두 번째 새로운 점은 내부적인 것입니다. 이 법은 기업이 처리하는 데이터의 목록을 포함한 합리적인 보안을 요구합니다. 또한 기업이 개인정보 보호 방침과 절차를 문서화하고, 주요 책임자의 이름과 연락처를 두도록 요구하며, 개인정보 보호 담당자가 있다면 그 사람이 해당됩니다.
광고로 수익을 내는 사람에게는 이 목록이 좋은 연습입니다. 사이트에서 어떤 스크립트와 광고 파트너가 실행되는지, 각각 어떤 데이터를 받는지, 어디로 가는지 나열하세요. 소비자가 요청할 수 있는 제3자 목록에 답하는 데도 도움이 되는 같은 지도입니다.
사이트의 의무
집행과 과태료
미네소타 법무장관만이 이 법을 집행합니다. 이의 제기가 거부된 소비자는 법무장관에게 민원을 제기할 수 있습니다.
처음 6개월 동안 법무장관은 통지를 보내고 30일의 시정 기간을 줘야 했습니다. 이 규정은 2026년 1월 31일에 만료되었습니다.
민사 과태료는 위반 1건당 최대 US$ 7,500이며, 관행을 중단하라는 법원 명령도 있을 수 있습니다.
주가 승소하면 판사는 기업에 소송 비용의 일부 또는 전부를 지급하라고 명령할 수 있습니다.
기업은 45일 이내에 이의 제기를 결정해야 하며 60일을 더 연장할 수 있고, 이의 제기 기록을 최소 24개월 보관해야 합니다.
타임라인
2026년 11월 현재 이 법은 시행된 지 1년이 넘었고 시정 기간은 이미 끝났습니다.
미네소타가 Consumer Data Privacy Act를 통과시킵니다.
법이 시행되며, GPC가 의무이고 30일의 시정 기간이 있습니다.
법무장관이 조치를 취하기 전에 30일의 시정 기간을 줘야 한다는 규정이 만료됩니다.
주의 규제를 받는 고등 교육 기관이 법을 따라야 하게 됩니다.
AdSense와 Ad Manager를 사용하는 사이트
미네소타에서는 적용 대상 사이트가 Global Privacy Control, 즉 GPC처럼 방문자의 동의로 전송되는 범용 옵트아웃 신호를 존중해야 합니다. 법은 방문자가 주에 거주하는지 아는 데 IP 주소로 충분하다고 합니다. 신호가 로열티 프로그램과 충돌하면 신호가 우선하며, 사이트는 확인을 요청할 수 있습니다.
Google은 AdSense와 Ad Manager의 개인 정보 보호 및 메시지에서 미국 주 규정 메시지를 제공하며, 미네소타는 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시됩니다. 거부하면 제한된 데이터 처리인 RDP가 켜지고, Google은 광고를 고를 때 이전 행동을 사용하지 않습니다.
GPC와 관련해서 Google은 신호를 구현한 파트너가 옵트아웃 GPC를 받았을 때 RDP를 켜도록 선택할 수 있다고 말합니다. 설정은 사이트나 CMP에 있으며, GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성을 이용해 태그에서 할 수 있습니다.
IAB Tech Lab은 미네소타 전용 GPP 섹션을 이미 공개했지만, Google이 지원하는 섹션 목록에는 없습니다. Google의 경우 US National 섹션을 쓰는 방법이며, 이 섹션에서 판매, 공유 또는 타겟 광고 거부가 표시되면 RDP가 켜집니다.
실제 사례
프로그래매틱 광고로 수익을 내는 미네소타 트래픽이 있는 사이트의 예시입니다.
흔한 오류
미네소타는 대부분의 주보다 방침에 더 많은 항목과 더 많은 내부 체계를 요구합니다.
개인정보 보호 페이지에 데이터 보관 내용이나 마지막 업데이트 날짜가 없으며, 이는 미네소타에서 요구되는 항목입니다.
사이트에서 어떤 광고 스크립트가 실행되고 각각 무엇을 받는지 아무도 말하지 못합니다. 제3자 목록에 답할 수 없게 됩니다.
CMP가 GPC를 캘리포니아에만 적용하고 미네소타 방문자의 신호는 무시합니다.
옵트아웃 양식이 로그인이나 문서를 요구합니다. 법은 옵트아웃에 인증이 필요하지 않다고 말합니다.
CMP가 Google이 읽지 않는 미네소타 섹션만 보냅니다. US National이 없으면 옵트아웃이 Google에 전달되지 않습니다.
방문자는 거부했지만 광고 요청에는 여전히 RDP가 없고 GPP 문자열에도 옵트아웃이 없습니다.
ConsentMode에서
대부분의 경우 거의 영향이 없습니다. 이 권리는 신용, 보험, 주거, 고용처럼 법적 효과나 그에 준하는 효과를 가진 결정으로 이어지는 프로파일링에 적용됩니다. 광고를 고르는 것은 보통 그런 결정이 아니지만, 신용 사전 분석이나 채용 선별을 하는 사이트는 준비해야 합니다.
네, 법이 내 사이트에 적용된다면 그렇습니다. 이 법은 범용 옵트아웃 신호를 존중하도록 요구하며, 방문자가 주에 거주하는지 아는 데 IP 주소를 인정합니다.
기업이 처리하는 데이터를 정리해 유지하는 목록입니다. 이 법은 목록을 합리적인 보안 관행의 일부로 봅니다.
거의 그렇습니다. 미국 연방 정의상의 소규모 기업은 법의 대부분에서 제외되지만, 사전 동의 없이 민감 정보를 판매할 수는 없습니다.
아니요. 30일의 기간은 2026년 1월 31일까지 유효했습니다. 그 이후 법무장관은 이 기간을 주지 않고 조치를 취할 수 있습니다.
ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPC, GPP, 개인정보 페이지로 실제로 무엇을 하는지 보여 주므로, 공급업체와 변호사와 함께 고칠 수 있습니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 GPC가 있을 때와 없을 때 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.