워크스페이스 열기

가이드 · 미국 주법

NJDPA: 법률 용어 없이 보는 뉴저지 법

New Jersey Data Privacy Act는 2025년 1월 15일부터 시행되고 있으며, 2025년 7월부터 사이트가 GPC를 존중하도록 요구합니다. 이 가이드에서는 누가 준수해야 하는지, 무엇이 민감한 데이터인지, 과태료, 규정 제정 상황, AdSense나 Ad Manager를 쓰는 사이트에 달라지는 점을 알아봅니다.

미국 대상으로 내 사이트 감사하기가이드 읽기
  • ✓소비자국 자주 묻는 질문을 기반으로 합니다
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 뉴저지 소비자 수: 법의 주요 기준
25,000회사가 개인정보 판매로 돈을 번다면 소비자 이 정도면 충분
US$10,000첫 위반에 대한 최대 과태료
US$20,000반복 위반에 대한 최대 과태료

정의

비영리 단체에 대한 면제가 없는 개인정보 보호법

New Jersey Data Privacy Act, 즉 NJDPA는 뉴저지의 포괄적 개인정보 보호법입니다. 2024년 1월에 서명되어 2025년 1월 15일부터 시행되었습니다. 해당 회사와 그들을 위해 일하는 처리자는 이 날짜부터 법을 준수해야 합니다.

모델은 코네티컷을 따르지만 더 엄격한 부분이 몇 가지 있습니다. 금융 데이터와 트랜스젠더 또는 논바이너리 상태가 민감한 데이터입니다. 비영리 단체와 소기업도 기준을 넘으면 면제되지 않습니다. 그리고 사이트는 2025년 7월 15일부터 GPC 같은 범용 옵트아웃 신호를 존중해야 합니다.

법은 소비자국이 규정을 만들도록 하고 있으며, 규칙안이 공개 의견 수렴을 위해 제시된 적이 있습니다. 하지만 법을 준수할 의무는 이 규칙에 달려 있지 않습니다. 회사와 처리자는 2025년 1월 15일부터 준수해야 합니다. 규정의 세부 사항을 따르기 전에 소비자국 사이트에서 실제로 시행 중인 것이 무엇인지 확인하세요.

미국 방문자가 있는 사이트에게 뉴저지는 청중의 규모로 중요합니다. 인구가 많은 주이므로 미국 트래픽이 상당한 포털은 모르는 사이에 소비자 10만 명을 넘을 수 있습니다.

체크리스트

꼭 지켜야 할 것

사이트가 NJDPA의 기준을 넘는다면 아래 항목이 모두 작동해야 해요.

  1. GPC 존중하기

    2025년 7월 15일부터 사이트는 GPC 같은 범용 옵트아웃 신호를 받아들여야 해요. 신호를 켠 채로 오는 사람은 판매와 타겟 광고를 거부한 사람으로 처리해야 해요.

    예시

    GPC가 켜진 방문자에게는 다른 클릭을 요구하지 않고 그 방문자에게만 Google의 제한된 데이터 처리를 켜요.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. 거부 경로를 명확하게 보여 주기

    데이터를 판매하거나 타겟 광고를 하는 곳은 거부 방법을 명확하게 제공해야 해요. 개인정보 고지에는 방문자가 이 권리를 쓰는 방법이 설명되어야 해요.

    예시

    Google의 주 규정 메시지는 Do Not Sell or Share My Personal Information 링크를 보여 줘요.

  3. 완전한 개인정보 처리방침

    고지에는 사이트가 어떤 데이터를 처리하는지, 무엇을 위한 것인지, 누구와 공유하는지, 방문자가 열람, 정정, 삭제를 요청하거나 이의를 제기하는 방법이 있어요.

    예시

    데이터의 열람, 정정, 삭제를 요청하려면 privacidade@seusite.com으로 써 주세요.

  4. Google이 요구하는 문구가 있는 정책

    AdSense는 개인정보처리방침에 Google과 다른 공급업체의 광고 쿠키에 대한 안내를 요구해요. 방문자가 맞춤 광고를 거부하는 방법도 정책에 있어야 해요.

    예시

    Google을 포함한 제3자 공급업체는 사용자가 이전에 이 사이트나 다른 사이트를 방문한 기록을 바탕으로 광고를 보여 주려고 쿠키를 사용해요. Google 광고 설정에서 맞춤 광고를 끌 수 있어요.

  5. 민감한 데이터에 대한 동의

    민감 정보는 동의가 있어야만 처리할 수 있어요. 뉴저지에서는 금융 정보도 목록에 들어가요.

    예시

    신용 시뮬레이터가 먼저 물어봐요. 답변을 사용해 제안을 보여 드려도 될까요? 예 또는 아니요.

  6. 청소년의 동의

    방문자가 13세에서 16세임을 알거나 알았어야 한다면, 개인 데이터를 처리하기 전에 본인의 동의가 필요하다고 Division은 말해요.

  7. 데이터 보호 평가

    민감 정보를 처리하거나 위험이 높은 활동을 할 때는 위험과 이익에 대한 평가를 서면으로 기록하세요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 뉴저지에 대해 인증 CMP나 GPP를 요구하지 않아요. 그래서 Google 자체 메시지나 GPP가 있는 CMP를 쓸 수 있어요.

준수해야 하는 대상

내 사이트가 NJDPA에 해당하게 되는 기준

이 법은 뉴저지에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하면서, 한 역년에 아래 기준 중 하나를 넘는 곳에 적용됩니다.

소비자 10만 명

해당 연도에 뉴저지 소비자 최소 10만 명의 개인정보를 관리하거나 처리합니다.

2만 5천 명과 데이터 판매

소비자국의 표현으로, 소비자 최소 2만 5천 명의 데이터를 관리하거나 처리하고 개인정보 판매로 돈을 법니다.

비영리 단체도 포함

비영리 단체와 소기업도 제외되지 않습니다. 기준을 넘으면 법을 준수해야 합니다.

처리자도 해당

해당 회사를 대신해 데이터를 처리하는 공급업체에도 지시와 계약을 따르는 등의 의무가 있습니다.

용어

법의 용어를 사이트 운영자의 언어로

뉴저지의 정의는 코네티컷과 비슷하지만 민감한 데이터 목록이 더 넓습니다.

개인정보

특정 개인을 식별하거나 식별할 수 있는 정보입니다. 사이트에서는 쿠키, 기기 식별자, IP, 뉴스레터 이메일이 포함됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교적 신념, 건강 상태, 금융 정보, 성생활과 성적 지향, 이민 신분, 트랜스젠더 또는 논바이너리 상태, 유전 또는 생체 데이터, 정밀한 위치 정보, 아동의 데이터입니다.

판매

개인정보를 돈이나 그 밖의 가치 있는 대가를 받고 제3자와 교환하는 것입니다. 처리자에게 넘기는 것은 제외됩니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 방문자의 활동 데이터로 선택한 광고입니다. 페이지 맥락에 따른 광고는 포함되지 않습니다.

개인의 권리

뉴저지 주민이 요청할 수 있는 것

소비자는 이 법을 근거로 회사를 고소할 수 없지만 소비자국에 불만을 제기할 수 있습니다. 회사는 요청에 답하고 이의 제기 수단을 제공해야 합니다.

확인 및 접근

기업이 자신의 데이터를 처리하는지 알고 그 데이터에 접근하는 것입니다.

수정

잘못된 데이터의 정정을 요청하는 것입니다.

삭제

개인정보 삭제를 요청하는 것입니다.

이동성

다른 서비스로 가져갈 수 있는 형식으로 데이터 사본을 받는 것입니다.

타겟 광고 및 판매 거부

GPC 같은 범용 신호를 통한 경우를 포함해, 데이터를 타겟 광고에 사용하지 않고 판매하지 않도록 요청하는 것입니다.

자동화된 프로파일링 거부

법적 효과나 그와 비슷한 영향을 주는 결정으로 이어지는 프로파일링을 거부하는 것입니다.

사이트의 의무

해당 사이트가 갖추어야 하는 것

  1. 완전한 개인정보 처리방침고지에는 처리하는 데이터의 범주, 목적, 권리를 행사하고 이의를 제기하는 방법, 제3자로 가는 데이터, 그 데이터를 받는 제3자의 유형이 설명되어야 합니다.
  2. 분명한 옵트아웃과 GPC데이터를 판매하거나 타겟 광고를 하는 곳은 분명한 거부 경로를 보여 주어야 하며, 2025년 7월 15일부터는 GPC 같은 범용 옵트아웃 신호를 받아들여야 합니다.
  3. 민감한 데이터에 대한 동의금융 정보를 포함한 민감한 데이터는 방문자의 동의가 있어야만 처리할 수 있습니다.
  4. 청소년 보호13세에서 16세 소비자의 경우, 회사는 데이터를 타겟 광고, 판매, 프로파일링에 사용하기 전에 동의를 받아야 합니다. 13세 미만에게는 연방법 COPPA가 적용됩니다.
  5. 데이터 보호 평가데이터 판매, 민감한 데이터, 불공정한 대우나 피해를 일으킬 수 있는 프로파일링 같은 고위험 처리 전에 회사는 위험과 이익을 서면으로 평가해야 합니다.
  6. 처리자와의 계약회사를 대신해 데이터를 처리하는 공급업체는 처리 규칙이 담긴 계약에 따라 회사의 지시를 따릅니다.

집행과 과태료

위반 과태료와 시정 기간 종료

이 법은 뉴저지 법무장관실과 소비자국이 주의 소비자 사기 방지법의 수단으로 집행합니다.

첫 위반 US$10,000

첫 위반에 대한 과태료는 최대 US$10,000입니다.

이후 위반 US$20,000

반복 위반은 건당 최대 US$20,000가 될 수 있습니다. 법무장관실은 법원 명령과 피해자 배상도 요청할 수 있습니다.

시정 기간 종료

2026년 7월 1일까지 소비자국은 회사에 알리고 고칠 수 있는 결함을 시정할 30일을 주었습니다. 이 기간은 끝났습니다.

소비자 불만

소비자는 소비자국 사이트에 불만을 접수합니다. 이 법을 근거로 회사를 고소할 수는 없습니다.

타임라인

NJDPA의 주요 날짜

2026년 11월 현재 법은 시행 중이고, GPC는 의무이며, 시정 기간은 끝났고, 규정은 소비자국 사이트에서 계속 확인해야 합니다.

  1. 2024년 1월

    서명

    뉴저지가 포괄적 개인정보 보호법을 통과시킵니다.

  2. 2025년 1월 15일

    시행

    해당 회사와 처리자가 법을 준수하기 시작합니다.

  3. 2025

    규정안

    소비자국이 공개 의견 수렴을 위한 규칙안을 제시합니다. 법은 이와 상관없이 이미 시행되고 있습니다.

  4. 2025년 7월 15일

    GPC 의무화

    해당 사이트는 Global Privacy Control 같은 범용 옵트아웃 신호를 존중해야 합니다.

  5. 2026년 7월 1일

    시정 기간 종료

    소비자국이 조치 전에 30일의 시정 기간을 주던 기간이 끝납니다.

AdSense와 Ad Manager를 사용하는 사이트

GPC 의무와 Google까지의 옵트아웃 경로

2025년 7월 15일부터 해당 사이트는 범용 옵트아웃 신호를 존중해야 합니다. 소비자국의 자주 묻는 질문에서도 Global Privacy Control, 즉 GPC를 예로 듭니다. GPC를 켜고 방문한 사람에게는 사이트가 옵트아웃 링크를 클릭한 것처럼 대응해야 합니다.

Google은 AdSense와 Ad Manager의 개인정보 보호 및 메시지에서 미국 주법 메시지를 제공하며, 뉴저지도 지원되는 주에 포함됩니다. 이 메시지에는 Do Not Sell or Share 링크가 표시됩니다. 거부하면 RDP라고 하는 제한된 데이터 처리가 켜지고, Google은 광고를 고르는 데 이전 행동을 더 이상 사용하지 않습니다.

GPC와 관련해서 Google은 신호를 구현한 파트너가 옵트아웃 GPC를 받았을 때 RDP를 켜도록 선택할 수 있다고 말합니다. 설정은 사이트나 CMP에 있으며, GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성을 이용해 태그에서 할 수 있습니다.

GPP에는 뉴저지 전용 섹션이 있지만 Google이 허용하는 섹션 목록에는 없습니다. Google의 경우 경로는 US National 섹션이며, 여기서 판매, 공유 또는 타겟 광고에 대한 거부가 RDP를 켭니다.

실제 사례

뉴저지에서 해도 되는 일과 안 되는 일

프로그래매틱 광고로 수익을 내며 뉴저지 트래픽이 있는 사이트의 사례입니다.

허용

  • 거부했거나 GPC를 켜고 접속한 방문자에게 맥락 광고 보여 주기
  • Google의 주법 메시지를 사용해 옵트아웃 링크 제공하기
  • GPP의 US National 섹션으로 Google에 옵트아웃 전달하기
  • 설정을 단순하게 하려고 모든 미국 트래픽에 GPC 적용하기
  • 채택된 규정이 없어도 법 조문을 근거로 법 준수 계속하기

허용 안 됨

  • GPC를 무시하고 그 방문자에게 계속 맞춤 광고 요청하기
  • 신용 시뮬레이터의 데이터처럼 방문자의 금융 정보를 동의 없이 처리하기
  • 13~16세 청소년의 데이터를 동의 없이 타겟 광고에 사용하기
  • NGO나 협회는 비영리라는 이유만으로 대상에서 빠진다고 생각하기
  • 통지 후 30일의 시정 기간을 믿기: 이 기간은 2026년 7월에 끝났습니다

흔한 오류

사이트들이 NJDPA에서 자주 놓치는 부분

이런 문제는 미국 개인정보 보호를 캘리포니아만 보고 설정한 사이트에서 나타납니다.

금융 데이터 잊기

금융 사이트는 양식과 계산기에서 소득이나 부채를 수집해 파트너에게 넘깁니다. 뉴저지에서는 이것이 민감한 데이터이며 동의가 필요합니다.

캘리포니아에서만 적용되는 GPC

CMP가 GPC를 캘리포니아에만 적용해서 뉴저지 방문자의 신호는 무시됩니다.

규정을 기다리기

회사가 최종 규칙을 기다리며 조정을 미뤘습니다. 법은 규정이 있든 없든 2025년 1월부터 시행되고 있습니다.

광고를 바꾸지 못하는 옵트아웃

방문자는 거부했지만 광고 요청에는 여전히 RDP가 없고 GPP 문자열에도 옵트아웃이 없습니다.

GPP에서 주 섹션만 보냄

CMP가 Google이 읽지 않는 뉴저지 섹션만 보냅니다. US National이 없으면 옵트아웃이 Google에 도달하지 않습니다.

제3자가 없는 방침

개인정보 페이지가 광고 네트워크와 측정 파트너 같은 어떤 유형의 제3자가 데이터를 받는지 알려 주지 않습니다.

ConsentMode에서

감사가 뉴저지에 대해 확인하는 항목

  • 미국 방문자로 사이트를 열고 푸터, 메뉴, 개인정보 보호 메시지에서 옵트아웃 링크를 찾습니다.
  • 감사 브라우저에서 GPC 신호를 켜고, 신호가 있을 때와 없을 때의 페이지와 광고 요청을 비교합니다.
  • GPP 문자열을 읽어 US National 섹션이 있는지, 옵트아웃이 기록되는지 확인합니다.
  • 페이지 코드로 CMP 또는 Google의 주법 메시지를 식별합니다.
  • 개인정보 페이지에 데이터 범주, 목적, 제3자, 권리, 이의 제기가 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

뉴저지 규정은 이미 시행 중인가요?

공개 의견 수렴을 위한 규칙안이 제시되었지만, 세부 내용을 따르기 전에 최종 규칙이 시행 중인지 소비자국 사이트에서 확인하세요. 법 자체는 규정이 있든 없든 2025년 1월 15일부터 시행되고 있습니다.

GPC를 존중해야 하나요?

네, 법이 사이트에 적용된다면 그렇습니다. 2025년 7월 15일부터 GPC 같은 범용 옵트아웃 신호를 존중해야 합니다.

저희 협회는 비영리입니다. 대상에서 빠지나요?

아니요. 뉴저지에서는 비영리 단체와 소기업도 기준을 넘으면 법을 준수해야 합니다.

소량의 데이터를 판매하면 2만 5천 명 기준에 해당하나요?

해당될 수 있습니다. 소비자국에 따르면 두 번째 기준은 소비자 최소 2만 5천 명의 데이터를 처리하고 개인정보 판매로 돈을 버는 곳에 적용됩니다. 소비자국은 최소 수익 금액을 언급하지 않으므로, 내 경우는 변호사와 확인하는 것이 좋습니다.

통지를 받은 후에도 아직 시정 기간이 있나요?

30일의 기간은 2026년 7월 1일까지 적용되었습니다. 그 이후 소비자국은 이 기간을 주지 않고 조치할 수 있습니다.

ConsentMode를 쓰면 제 사이트가 법을 준수하게 되나요?

ConsentMode는 CMP도 법률 사무소도 아닙니다. 감사는 사이트가 옵트아웃, GPC, GPP, 개인정보 페이지로 실제로 무엇을 하는지 보여 주므로, 공급업체와 변호사와 함께 고칠 수 있습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트가 뉴저지에서 GPC를 존중하는지 확인하세요

감사는 GPC가 있을 때와 없을 때 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기