워크스페이스 열기

가이드 · 미국 주법

MTCDPA: 2025년에 더 엄격해진 몬태나 법

Montana Consumer Data Privacy Act는 2024년 10월 1일부터 시행되고 있으며, 2025년 10월 1일에 시행된 개정으로 강화되었습니다. 이 가이드에서는 새 기준, 시정 기간의 종료, 범용 옵트아웃 신호, AdSense나 Ad Manager를 쓰는 사이트에 달라지는 점을 알아봅니다.

미국 대상으로 내 사이트 감사하기가이드 읽기
  • ✓몬태나 법전과 주 법무부를 기반으로 합니다
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
25,000연간 몬태나 소비자 수: 2025년 개정 이후의 기준
15,000총수익의 25% 넘게 데이터 판매에서 나오는 경우 소비자 수 기준
45일요청에 응답해야 하는 기한이며 45일 더 연장 가능
US$7,5002025년 개정으로 추가된 위반 1건당 최대 민사 과태료

정의

이미 개혁을 거친 개인정보 보호법

Montana Consumer Data Privacy Act, 즉 MTCDPA는 몬태나의 포괄적 개인정보 보호법입니다. 2023년에 통과되었고, 몬태나 법전 Title 30, 14장, 28부에 있으며 2024년 10월 1일에 시행되었습니다.

모델은 코네티컷을 따릅니다. 방문자는 자신의 데이터에 접근하고, 정정하고, 삭제하고, 가져갈 수 있으며, 판매, 타겟 광고, 일부 자동화된 프로파일링을 거부할 수 있습니다. 민감한 데이터는 동의가 있어야만 사용할 수 있습니다. 그리고 해당 사이트는 GPC 같은 범용 옵트아웃 신호를 받아들여야 합니다.

2025년에 주는 SB 297 개정안을 통과시켰고, 2025년 5월에 서명되어 2025년 10월 1일부터 시행되고 있습니다. 이 개정은 적용 기준을 낮추고, 집행 전 시정 기간을 없애고, 위반 1건당 최대 US$7,500의 과태료를 정했으며, 18세 미만에 대한 새 규칙을 만들었습니다.

미국 방문자가 있는 사이트에게 몬태나는 주의해야 하는 주가 되었습니다. 연간 소비자 25,000명이면 이미 법의 적용을 받을 수 있고, 법무장관이 조치하기 전에 사전 통지가 보장되지도 않습니다.

체크리스트

꼭 지켜야 할 것

사이트가 MTCDPA의 기준을 넘는다면, 가장 급한 것부터 순서대로 정리한 기본 목록이에요.

  1. 홈페이지에 privacy라는 단어로 고지 링크 켜기

    개인정보 고지에는 홈페이지에 privacy라는 단어를 쓴 눈에 띄는 링크가 있어야 해요.

    예시

    홈페이지 푸터: Privacy Policy.

  2. 고지 밖에 거부 경로 두기

    데이터를 판매하거나 타겟 광고를 하는 곳은 개인정보 고지 밖에 명확한 거부 경로가 필요해요.

    예시

    푸터 링크: Your Opt-Out Rights 또는 Your Privacy Rights.

  3. 브라우저의 선호 신호 받아들이기

    2025년 1월 1일부터 사이트는 선호 신호로 보낸 거부를 받아들여야 해요. 신호가 이전의 선택과 충돌하면 신호가 우선해요.

    예시

    GPC가 켜진 방문자에게는 판매와 타겟 광고를 멈추세요.

  4. 민감 정보와 청소년은 동의 받기

    민감 정보는 동의가 있어야만 쓸 수 있어요. 방문자가 13세에서 15세임을 알거나 일부러 모른 척하는 경우, 타겟 광고와 판매에도 동의가 필요해요.

  5. 완전하고 최신인 고지 유지하기

    고지에는 데이터, 목적, 제3자, 권리, 작동하는 이메일, 마지막 업데이트 날짜가 있어요. 사이트가 서비스를 제공하는 모든 언어로 있어야 해요.

    예시

    고지 맨 위: 마지막 업데이트 2026년 11월 3일.

  6. 계정을 요구하지 않고 철회를 쉽게

    권리를 행사하려고 방문자에게 새 계정을 만들라고 요구하면 안 돼요. 동의 철회는 동의만큼 쉬워야 해요.

  7. 데이터 보호 평가 하기

    타겟 광고, 판매, 위험한 프로파일링, 민감 정보에는 기록된 평가가 필요하고, 검찰총장이 이를 요청할 수 있어요.

  8. 거부를 Google까지 전달하기

    Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. GPP를 쓰면 Google은 몬태나에 대해 US National 섹션을 읽어요.

    예시

    AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요.

준수해야 하는 대상

2025년 개정 이후의 기준

이 법은 몬태나에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서 아래 기준 중 하나를 넘는 곳에 적용됩니다.

소비자 25,000명

몬태나 소비자 최소 25,000명의 데이터를 관리하거나 처리합니다. 결제를 완료하기 위해서만 사용한 데이터는 포함되지 않습니다. 개정 전에는 기준이 50,000명이었습니다.

15,000명과 데이터 판매

소비자 최소 15,000명의 데이터를 관리하거나 처리하고, 총수익의 25% 넘게 개인정보 판매에서 얻습니다. 이전에는 소비자 25,000명이었습니다.

기준 없는 미성년자 규칙

미성년자 보호 규칙은 최소 규모 요건 없이 몬태나에서 사업을 하거나 주민을 대상으로 하는 모든 회사에 적용됩니다.

더 좁아진 면제

개정은 비영리 단체 면제를 보험 사기 방지 단체로 제한하고, 금융 기관에 대한 광범위한 면제를 은행, 신용 조합, 보험사에 대한 특정 면제로 바꾸었습니다.

용어

법의 용어를 사이트 운영자의 언어로

정의는 몬태나 법전 30-14-2802조에 있습니다.

소비자와 미성년자

소비자는 상업 또는 고용 맥락 밖의 몬태나 주민입니다. 성인은 18세 이상인 사람입니다. 미성년자는 18세 미만의 소비자입니다.

민감한 데이터

인종적 또는 민족적 출신, 종교, 신체 또는 정신 건강, 성생활, 성적 지향, 이민 신분, 개인을 식별하는 유전 또는 생체 데이터, 알려진 아동의 데이터, 정밀한 위치 정보입니다.

판매

개인정보를 돈이나 그 밖의 가치 있는 대가를 받고 제3자와 교환하는 것입니다. 처리자, 같은 그룹 내 회사, 합병에서의 전달은 제외됩니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 이루어진 방문자의 활동에서 얻거나 추론한 데이터로 선택한 광고입니다. 검색이나 방문의 맥락에 따른 광고는 포함되지 않습니다.

개인의 권리

몬태나 주민이 요청할 수 있는 것

답변은 45일 이내에 나가야 하며, 필요하고 처음 기한 안에 알린 경우 45일 연장할 수 있습니다. 거절하는 경우 회사는 이의 제기 수단을 제공하고 60일 이내에 서면으로 답해야 합니다.

확인 및 접근

회사가 자신의 데이터를 처리하는지 알고 그 데이터에 접근하는 것입니다. 회사가 영업 비밀을 공개할 필요는 없습니다.

수정

잘못된 데이터의 정정을 요청하는 것입니다.

삭제

자신에 관한 개인정보의 삭제를 요청하는 것입니다.

이동성

처리가 자동화된 경우, 제공한 데이터를 이동 가능한 형식으로 받는 것입니다.

타겟 광고 및 판매 거부

데이터를 타겟 광고에 사용하지 않고 판매하지 않도록 요청하는 것입니다. GPC 같은 범용 신호로 할 수 있습니다.

자동화된 프로파일링 거부

법적 효과나 그와 비슷한 영향을 주는 결정으로 이어지는 프로파일링을 거부하는 것입니다.

사이트의 의무

해당 사이트가 갖추어야 하는 것

  1. 완전한 개인정보 처리방침고지에는 처리하는 데이터의 범주, 목적, 판매되거나 공유되는 데이터의 범주, 제3자의 범주, 사용 가능한 이메일 또는 다른 연락처, 권리와 이의 제기에 대한 설명, 마지막 업데이트 날짜가 있어야 합니다.
  2. privacy라는 단어가 있는 링크개정 후에는 고지가 홈페이지에서 privacy라는 단어가 있는 눈에 띄는 링크로 연결되어야 하고, 사이트가 서비스를 제공하는 모든 언어로 제공되어야 합니다.
  3. 고지 밖의 옵트아웃데이터를 판매하거나 타겟 광고를 하는 곳은 your opt-out rights나 your privacy rights라는 링크처럼 개인정보 고지 밖에 분명한 거부 경로를 제공해야 합니다.
  4. 민감한 데이터와 청소년 동의민감한 데이터는 동의가 있어야만 가능합니다. 회사가 방문자가 13세에서 15세 사이임을 알거나 의도적으로 무시한다면, 타겟 광고와 판매에도 동의가 필요합니다.
  5. 18세 미만에 대한 주의알려진 미성년자가 사용하는 온라인 서비스는 높은 피해 위험을 피하기 위해 합리적인 주의를 기울여야 하며, 그 위험에 대한 별도의 평가가 필요합니다.
  6. 데이터 보호 평가타겟 광고, 판매, 위험한 프로파일링, 민감한 데이터에는 기록된 평가가 필요하며, 법무장관이 조사 중에 요청할 수 있습니다.

집행과 과태료

2025년 10월부터 시정 기간 없음

몬태나 법무장관만 이 법을 집행합니다. 소비자는 이 법을 근거로 회사를 고소할 수 없지만 법무부의 채널로 불만을 제기할 수 있습니다.

시정 기간 종료

원래 법은 소송 전에 시정할 수 있는 60일을 주었습니다. 2025년 개정은 2026년에야 끝날 이 보장을 없앴습니다.

위반 1건당 최대 US$7,500

개정은 위반 1건당 최대 US$7,500의 민사 과태료를 정했습니다. 법무장관은 법원 명령과 비용 환급도 요청할 수 있습니다.

평가를 포함한 조사

조사에서 법무장관은 문서와 회사의 데이터 보호 평가를 요청할 수 있습니다.

불만 접수 채널

법은 법무장관이 기업의 의무에 관한 정보와 불만을 위한 온라인 채널을 게시하도록 요구합니다.

타임라인

MTCDPA의 주요 날짜

2년 조금 넘는 기간에 몬태나는 자체 법을 통과시키고, 시행하고, 개혁했습니다.

  1. 2023

    법 통과

    몬태나가 Consumer Data Privacy Act를 통과시킵니다.

  2. 2024년 10월 1일

    시행

    법이 시행되며, 소비자 50,000명 기준(데이터 판매가 있으면 25,000명)과 60일의 시정 기간이 적용됩니다.

  3. 2025년 1월 1일

    범용 신호 의무화

    해당 사이트는 GPC 같은 선호 신호로 전송된 판매 및 타겟 광고 옵트아웃을 받아들여야 합니다.

  4. 2025년 5월

    개정안 서명

    주지사가 법을 개혁하는 SB 297에 서명합니다.

  5. 2025년 10월 1일

    개정 시행

    25,000명과 15,000명이라는 소비자 기준, 미성년자 규칙, US$7,500의 과태료, 시정 기간 종료가 적용됩니다.

AdSense와 Ad Manager를 사용하는 사이트

GPC 의무와 Google까지의 옵트아웃 경로

2025년 1월 1일부터 해당 사이트는 방문자의 동의하에 선호 신호로 전송된 판매 및 타겟 광고 옵트아웃을 받아들여야 합니다. 가장 잘 알려진 예는 Global Privacy Control, 즉 GPC입니다. 신호가 방문자의 이전 설정과 충돌하면 신호가 우선합니다.

Google은 AdSense와 Ad Manager의 개인정보 보호 및 메시지에서 미국 주법 메시지를 제공하며, 몬태나도 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시되고, 거부하면 이전 행동을 바탕으로 한 광고를 막는 제한된 데이터 처리, 즉 RDP가 켜집니다.

GPC와 관련해서 Google은 신호를 구현한 파트너가 옵트아웃 GPC를 받았을 때 RDP를 켜도록 선택할 수 있다고 말합니다. 설정은 사이트나 CMP에 있습니다. 직접적인 방법은 태그입니다. GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성입니다.

IAB Tech Lab의 GPP에는 몬태나 전용 섹션이 있지만 Google이 허용하는 섹션 목록에는 없습니다. Google의 경우 경로는 US National 섹션이며, 여기서 판매, 공유 또는 타겟 광고에 대한 거부가 RDP를 켭니다.

실제 사례

몬태나에서 해도 되는 일과 안 되는 일

프로그래매틱 광고로 수익을 내며 몬태나 트래픽이 있는 사이트의 사례입니다.

허용

  • 거부했거나 GPC를 켜고 접속한 방문자에게 맥락 광고 보여 주기
  • 방침과 별도로 옵트아웃을 위한 your privacy rights라는 푸터 링크 사용하기
  • GPP의 US National 섹션으로 Google에 옵트아웃 전달하기
  • 업데이트 날짜가 눈에 띄는 미국용 개인정보 고지 하나 유지하기
  • GPC가 이전 선택과 충돌할 때 방문자에게 확인을 요청하되 신호는 계속 적용하기

허용 안 됨

  • GPC를 무시하고 그 방문자에게 계속 맞춤 광고 요청하기
  • 개인정보 처리방침 본문 안에 옵트아웃 숨기기
  • 13~15세 청소년의 데이터를 동의 없이 타겟 광고에 사용하기
  • 사이트가 다른 언어로도 제공되는데 방침을 영어로만 게시하기
  • 시정 전에 60일 통지를 기다리기: 이 보장은 2025년 10월에 끝났습니다

흔한 오류

사이트들이 몬태나 법에서 자주 놓치는 부분

2025년 개정은 이전 버전의 법에 맞춰 설정한 많은 사이트를 놀라게 했습니다.

예전 기준 사용

몬태나 소비자가 50,000명 미만이라 대상이 아니라고 생각했습니다. 새 기준 25,000명에서는 대상일 수 있습니다.

무시되는 GPC

CMP가 GPC를 캘리포니아에서만 읽습니다. 몬태나는 2025년 1월부터 같은 것을 요구합니다.

날짜 없는 방침

개인정보 페이지에 업데이트 날짜가 없는데, 개정으로 이 항목이 의무가 되었습니다.

privacy라는 단어가 없는 링크

방침이 홈페이지에서 privacy라는 단어 없이 이용약관이나 법적 고지 같은 일반적인 링크 뒤에 숨겨져 있습니다.

Google이 읽지 않는 주 섹션

CMP가 GPP에서 몬태나 섹션만 보내고 US National 섹션은 빼 버립니다. 옵트아웃이 Google에 도달하지 않습니다.

광고를 바꾸지 못하는 옵트아웃

방문자는 거부했지만 광고 요청에는 여전히 RDP가 없고 GPP 문자열에도 옵트아웃이 없습니다.

ConsentMode에서

감사가 몬태나에 대해 확인하는 항목

  • 미국 방문자로 사이트를 열고 홈페이지에서 옵트아웃 링크와 privacy라는 단어가 있는 링크를 찾습니다.
  • 감사 브라우저에서 GPC 신호를 켜고, 신호가 있을 때와 없을 때의 페이지와 광고 요청을 비교합니다.
  • GPP 문자열을 읽어 US National 섹션이 있는지, 옵트아웃이 기록되는지 확인합니다.
  • 페이지 코드로 CMP 또는 Google의 주법 메시지를 식별합니다.
  • 개인정보 페이지에 데이터 범주, 제3자, 권리, 이의 제기, 연락처, 마지막 업데이트 날짜가 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

2025년에 몬태나에서 무엇이 바뀌었나요?

2025년 10월 1일부터 시행된 SB 297 개정은 기준을 소비자 25,000명(총수익의 25% 넘게 데이터 판매에서 나오면 15,000명)으로 낮추고, 시정 기간을 없애고, 위반 1건당 최대 US$7,500의 과태료를 정하고, 개인정보 고지에 더 많은 항목을 요구하고, 18세 미만에 대한 규칙을 만들었습니다.

몬태나에서 GPC를 존중해야 하나요?

네, 법이 사이트에 적용된다면 그렇습니다. 2025년 1월 1일부터 선호 신호로 전송된 판매 및 타겟 광고 옵트아웃을 받아들여야 합니다.

통지를 받은 후에도 60일의 시정 기간이 있나요?

아니요. 개정은 법무장관이 시정 기간을 제공할 의무를 없앴습니다. 법무장관은 바로 조치할 수 있습니다.

제 사이트는 어린이용이 아닙니다. 미성년자 규칙이 저에게 영향을 주나요?

방문자가 미성년자임을 알거나 의도적으로 무시한다면 영향을 줄 수 있습니다. 13~15세 청소년에게는 타겟 광고와 판매에 동의가 필요합니다. 미성년자 규칙은 규모 기준 없이 적용됩니다.

Google이 GPP의 몬태나 섹션을 읽나요?

Google이 허용하는 섹션 목록에 몬태나는 없습니다. 옵트아웃을 Google에 전달하려면 US National 섹션, Google의 주법 메시지 또는 태그의 RDP를 사용하세요.

ConsentMode를 쓰면 제 사이트가 법을 준수하게 되나요?

ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPC, GPP, 개인정보 페이지로 실제로 무엇을 하는지 보여 주므로, 공급업체와 변호사와 함께 고칠 수 있습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트가 몬태나의 새 법에 준비되어 있는지 확인하세요

감사는 GPC가 있을 때와 없을 때 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기