워크스페이스 열기

가이드 · 미국 주법

OCPA: 광고가 있는 사이트를 위한 오리건 법 설명

오리건은 비영리 단체에도 적용되고, 방문자에게 어떤 회사가 자신의 데이터를 받았는지 정확히 알 권리를 주며, 2026년부터 브라우저의 자동 거부 신호를 존중하도록 요구합니다. 광고가 있는 사이트에 달라지는 점을 알아보세요.

  • ✓법과 오리건 법무부 발표를 기반으로 합니다
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 오리건 소비자 수: 법이 적용되는 주요 기준
162026년부터 이 나이 미만에게는 데이터 판매와 타겟 광고가 금지됩니다
214법 시행 첫해에 주 개인정보 보호 부서가 받은 불만 수
US$7,500위반 1건당 최대 민사 과태료

정의

데이터를 누가 받는지 투명한 법

Oregon Consumer Privacy Act, 즉 OCPA는 2023년에 통과되었고 대부분의 기업에 2024년 7월 1일부터 시행되었습니다. 비영리 단체에는 2025년 7월 1일부터 적용되어, 다른 여러 주와 구별됩니다.

구조는 버지니아와 콜로라도를 모델로 합니다. 소비자 권리, 타겟 광고와 판매 옵트아웃, 민감한 데이터 동의, 데이터 보호 평가가 있습니다.

오리건만의 특징은 자신의 데이터를 받은 구체적인 회사 목록을 요청할 권리입니다. 광고가 있는 사이트에는 방문자의 데이터를 받는 파트너가 정확히 누구인지 알아야 한다는 뜻입니다.

2026년 1월 1일부터 세 가지 변화가 더 중요합니다. 사이트는 범용 거부 신호를 존중해야 하고, 소송 전 30일의 시정 기간이 끝났으며, 16세 미만은 판매와 타겟 광고로부터 완전한 보호를 받습니다.

체크리스트

꼭 지켜야 할 것

사이트가 OCPA의 기준을 넘는다면, 가장 급한 것부터 순서대로 정리한 기본 목록이에요.

  1. 명확하고 눈에 띄는 거부 링크 두기

    사이트에는 방문자가 타겟 광고, 판매, 프로파일링을 거부할 수 있는 명확하고 눈에 띄는 링크가 있어야 해요. 법무부는 쿠키 배너만으로는 충분하지 않을 수 있다고 알려요.

    예시

    푸터 링크: Do Not Sell or Share My Personal Information, 거부 화면으로 연결.

  2. 범용 거부 신호 존중하기

    2026년 1월 1일부터 사이트는 Global Privacy Control 같은 브라우저의 선호 신호를 존중해야 해요.

    예시

    GPC가 켜진 방문자에게는 다른 요구 없이 판매와 타겟 광고를 멈추세요.

  3. 16세 미만 보호하기

    2026년부터 법은 16세 미만의 데이터 판매와 이 데이터를 타겟 광고나 프로파일링에 쓰는 것을 금지해요.

    예시

    사이트의 청소년 영역에서는 비맞춤 광고만 보여 주세요.

  4. 민감 정보는 동의 받기

    건강, 정확한 위치, 13세 미만 아동의 데이터는 동의가 있어야만 쓸 수 있어요. 2026년부터는 누구에 대해서든 정확한 위치의 판매가 금지돼요.

  5. 완전한 개인정보 고지 게시하기

    고지에는 처리하는 데이터, 목적, 제3자에게 넘기는지, 권리 행사 방법이 있어요. 데이터를 넘기는 곳은 데이터와 제3자의 범주를 나열해요.

    예시

    제3자 범주: 광고 회사, 데이터 분석 회사, 데이터 브로커.

  6. 45일 안에 요청에 답하기

    45일 안에 답하고, 이유를 알리면 45일을 더 연장할 수 있어요. 방문자는 자신의 데이터를 받은 구체적인 제3자 목록도 요청할 수 있어요.

    예시

    데이터를 받는 광고 파트너의 목록을 각 회사 이름과 함께 준비해 두세요.

  7. 데이터 보호 평가 하기

    타겟 광고, 판매, 프로파일링, 민감 정보에 데이터를 쓰기 전에 기업은 위험을 서면으로 평가해요.

  8. 거부를 Google까지 전달하기

    Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. GPP를 쓰면 Google은 오리건에 대해 US National 섹션을 읽어요.

    예시

    AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요.

적용 대상

방문자 수, 영리든 비영리든

OCPA는 오리건에서 사업을 하거나 주민에게 제품과 서비스를 제공하면서 1년 동안 아래 기준 중 하나에 도달하는 곳에 적용됩니다.

소비자 10만 명

결제를 완료하기 위해서만 사용한 데이터를 제외하고, 오리건 소비자 최소 10만 명의 데이터를 관리하거나 처리합니다.

2만 5천 명과 수익의 4분의 1

소비자 최소 2만 5천 명의 데이터를 처리하고 연간 총수익의 25% 이상을 개인정보 판매에서 얻습니다.

비영리 단체

2025년 7월 1일부터 기준을 넘는 비영리 조직도 법을 준수해야 합니다.

자동차 제조업체

2025년 9월부터 모든 차량 제조업체는 오리건 소비자 수와 상관없이 법의 적용을 받습니다.

용어

광고를 파는 사람에게 중요한 용어

오리건에는 민감한 데이터 목록이 넓고, 판매를 금전이 오가지 않는 교환까지 포함해 정의합니다.

개인정보

개인이나 그와 연결된 기기에 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 출신 국가, 종교, 건강, 성적 지향, 트랜스젠더 또는 논바이너리 정체성, 범죄 피해자 여부, 이민 신분, 아동·유전·생체 데이터, 반경 1,750피트 안의 위치입니다.

판매

개인정보를 돈이나 다른 가치를 받고 제3자와 교환하는 것입니다. 계약한 처리자에게, 또는 소비자의 요청에 따른 전달은 제외됩니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고와 도달 범위 측정은 포함되지 않습니다.

권리

오리건 방문자가 요청할 수 있는 것

방문자는 회사가 자신의 데이터를 처리하는지 확인하고, 접근하고, 정정하고, 삭제하고, 다른 서비스로 가져갈 수 있는 형식의 사본을 받을 수 있습니다. 또한 타겟 광고, 데이터 판매, 중요한 결정에 사용되는 프로파일링을 거부할 수 있습니다.

오리건만의 권리는 회사가 자신의 데이터를 넘긴 대상의 범주만이 아니라 구체적인 회사의 목록을 요청하는 것입니다. 광고가 있는 사이트에서는 이 목록에 Google, 헤더 입찰 네트워크, 동영상 플랫폼, 소셜 미디어 픽셀이 포함될 수 있습니다.

회사는 요청자의 신원을 확인하고 45일 기한 안에 답해야 합니다. 삭제 요청도 예외가 없는 한 45일 이내에 처리해야 합니다.

첫해 보고서에서 법무부는 주민들이 거부당했다고 가장 많이 보고한 것이 삭제 권리라고 밝혔습니다.

사이트의 의무

개인정보 고지, 범용 거부, 미성년자

개인정보 고지는 어떤 데이터가 처리되는지, 무슨 목적인지, 누구에게 전달되는지, 권리를 어떻게 행사하는지 설명해야 합니다. 사이트가 데이터를 판매하거나 타겟 광고를 한다면, 이를 분명하게 알리고 거부하는 방법을 보여 주어야 합니다.

2026년 1월 1일부터 사이트는 Global Privacy Control처럼 신호를 보내는 브라우저 설정이나 확장 프로그램 같은 범용 거부 메커니즘도 존중해야 합니다. 신호를 켠 사람은 추가 클릭 없이 거부한 사람으로 취급해야 합니다.

민감한 데이터는 동의가 있어야만 처리할 수 있습니다. 13세 미만 아동에게는 연방법 COPPA가 적용됩니다. 2026년 1월 1일부터 이 법은 16세 미만 소비자의 데이터를 판매하는 것과 그 데이터를 타겟 광고나 프로파일링에 사용하는 것을 금지합니다. 같은 날 모든 소비자의 정밀한 위치 판매 금지도 시행되었습니다.

타겟 광고, 데이터 판매, 민감한 데이터, 위험한 프로파일링에는 문서화된 데이터 보호 평가가 필요하며, 법무장관이 조사 중에 요청할 수 있습니다.

타임라인

오리건 법의 주요 날짜

오리건 법무부 발표에서 확인된 날짜입니다.

  1. 2023

    법 통과

    오리건이 비영리 단체에 대한 별도 규칙이 있는 OCPA를 통과시킵니다.

  2. 2024년 7월 1일

    시행

    권리, 옵트아웃, 제3자 목록, 30일의 시정 기간이 시행됩니다.

  3. 2025년 7월 1일

    비영리 단체

    기준을 넘는 비영리 단체가 법을 준수하게 됩니다.

  4. 2025년 8월 29일

    첫해 보고서

    법무부가 불만 214건과, 위반 통지 후 개시되고 종결된 38건을 발표합니다.

  5. 2026년 1월 1일

    범용 거부와 시정 기간 종료

    범용 신호 존중, 16세 미만 데이터와 정밀한 위치의 판매 금지가 적용되고, 의무 30일 시정 기간이 끝납니다.

집행과 과태료

법무장관, 개인정보 보호 부서, 위반 과태료

오리건 법무장관이 법을 집행할 독점적 권한을 가지며, 법무부에 전담 개인정보 보호 부서가 있습니다. 조사하고, 문서를 요구하고, 법원 명령을 신청하고, 위반 1건당 최대 US$7,500의 민사 과태료를 청구할 수 있습니다. 시민은 OCPA를 근거로 회사를 고소할 수 없습니다.

2026년 1월 1일까지 회사는 통지를 받고 소송 전에 30일 안에 시정할 수 있었습니다. 이 기간은 끝났으며, 주는 사전 통지 없이 조치할 수 있습니다.

첫해에 불만 대부분은 신원 조회 보고서를 판매하는 사이트 같은 데이터 중개업자와 관련되어 있었습니다. 그래도 교훈은 모든 사이트에 해당합니다. 어떤 제3자가 데이터를 받는지 알리고, 접근 및 삭제 요청에 마케팅 프로필을 포함하고, 권리 양식이 접근 가능하고 작동하도록 유지하는 것입니다.

주에 따르면 통지를 받은 대부분의 회사가 연락 직후 개인정보 고지나 요청 수단을 고쳤습니다.

AdSense 및 Ad Manager

Google이 오리건 방문자를 다루는 방식

IAB Tech Lab은 GPP 문자열에 오리건 섹션이 있지만, Google은 AdSense가 허용하는 섹션 목록에 이를 포함하지 않습니다. 오리건의 경우 Google은 US National 섹션을 읽습니다.

US National이 판매, 공유 또는 타겟 광고의 거부를 나타내면, Google은 제한된 데이터 처리인 RDP를 켜고 비맞춤 광고만 표시합니다. US National에는 미성년자의 동의 필드도 있으며 Google이 이를 RDP를 켜는 데 사용합니다.

AdSense와 Ad Manager의 미국 주 대상 개인정보 보호 메시지는 오리건을 포함하며 선택을 US National 섹션에 기록합니다. 다른 CMP를 사용한다면 오리건 방문자에게 US National을 보내는지, 범용 신호가 켜져 있을 때 거부를 표시하는지 확인하세요.

제3자 목록 요청에 응답하려면 사이트에서 데이터를 받는 광고 파트너, 헤더 입찰, 동영상, 픽셀의 최신 목록을 유지하세요.

실제 사례

오리건에서 해도 되는 일과 안 되는 일

법을 준수하는 광고 사이트의 사례입니다.

허용

  • 눈에 띄는 거부 링크를 두고, 사전에 허락을 구하지 않고 성인에게 맞춤 광고 표시하기
  • 2026년 1월부터 GPC를 자동 거부로 처리하기
  • 방문자의 데이터를 받은 광고 파트너 목록 제공하기
  • 미성년자와 거부한 사람에게 맥락 광고 표시하기
  • 거부를 GPP의 US National 섹션에 기록하기

허용 안 됨

  • 16세 미만의 데이터를 타겟 광고나 프로파일링에 사용하기
  • 어떤 방문자의 정밀한 위치든 판매하기
  • 제3자 목록 요청에 일반적인 범주로만 답하기
  • 더 이상 의무가 아닌 시정 통지를 기다리기
  • 전송되지 않거나 답을 받지 못하는 권리 양식 두기

흔한 오류

사이트들이 오리건에서 자주 실수하는 부분

첫해의 교훈과 2026년의 변화는 같은 지점을 가리킵니다.

누가 데이터를 받는지 모름

사이트에 파트너 목록이 없어서 방문자가 요청한 제3자 목록을 만들 수 없습니다.

오리건에서 무시되는 GPC

CMP는 캘리포니아와 콜로라도에서는 GPC를 존중하지만 2026년에 오리건용으로 업데이트되지 않았습니다.

불완전한 삭제

삭제 요청이 가입 정보는 지우지만 마케팅 프로필과 오디언스 목록은 유지합니다.

US National이 없는 주 섹션

CMP가 AdSense가 받지 않는 오리건 섹션만 보내서 Google이 계속 맞춤 설정을 합니다.

ConsentMode에서

감사가 OCPA에 대해 확인하는 항목

  • 오리건 방문자로 GPC를 껐을 때와 켰을 때 사이트를 열어 광고 요청을 비교합니다.
  • GPP 문자열을 읽어 US National 섹션이 있고 거부를 나타내는지 보여 줍니다.
  • 로드되는 광고, 헤더 입찰, 동영상, 픽셀 도메인을 나열하여 제3자 목록을 만드는 데 도움을 줍니다.
  • CMP를 식별하고 태그가 CMP의 응답을 기다리는지 확인합니다.
  • 개인정보 처리방침을 읽고 제3자, 권리, 거부 방법이 빠져 있는지 알려 줍니다.

오리건 법에 관한 자주 묻는 질문

저희 비영리 협회도 OCPA를 준수해야 하나요?

2025년 7월 1일부터 그렇습니다. 연간 오리건 소비자 10만 명 같은 기준 중 하나를 넘는 경우입니다.

오리건에 동의 배너가 필요한가요?

성인 대상 맞춤 광고에는 필요하지 않습니다. 법은 옵트아웃을 요구합니다. 동의는 민감한 데이터에 필요하며, 16세 미만에게는 판매와 타겟 광고가 금지됩니다.

오리건에서 GPC는 의무인가요?

네, 2026년 1월 1일부터 그렇습니다. 법무부는 2026년 데이터 프라이버시의 날에 이 도구를 강조했습니다.

제3자 목록을 요청받으면 무엇을 답해야 하나요?

광고 네트워크와 동영상 플랫폼처럼 그 사람의 데이터를 받은 구체적인 회사의 이름이며, 일반적인 범주만으로는 안 됩니다.

ConsentMode가 이 목록을 만들어 주나요?

ConsentMode는 방문 중에 사이트에서 로드되는 제3자 도메인을 보여 주므로 목록 작성에 도움이 됩니다. 방문자에 대한 답변은 여전히 회사의 책임입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트가 2026년에 대비되어 있는지 확인하세요

감사는 GPC가 있을 때와 없을 때 오리건 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기