워크스페이스 열기

가이드 · 캐나다 연방법

PIPEDA: 광고 사이트를 위한 캐나다 개인정보 보호법

PIPEDA는 캐나다에서 민간 기업이 개인 정보를 어떻게 사용하는지 규율하는 연방법입니다. 행동 기반 광고에 대해 개인정보 보호 위원은 옵트아웃 모델을 인정하지만 분명한 조건이 있어야 합니다. 이 가이드는 법이 적용되는 때, 의미 있는 동의란 무엇인지, 사이트를 어떻게 설정하는지 설명합니다.

지금 내 사이트 감사하기가이드 읽기
  • ✓캐나다 개인정보 보호 위원의 공식 안내 기준
  • ✓온라인 광고를 위한 실용적인 예시
  • ✓사이트를 변경하지 않는 읽기
10법의 기초가 되는 공정한 정보 원칙의 수
3자체 법이 유사하다고 인정되는 주: 앨버타, 브리티시컬럼비아, 퀘벡
2유출 기록을 의무적으로 보관해야 하는 연수
2026법을 개정하는 C-36 법안이 하원에 올라온 연도

정의

민간 부문의 데이터를 다루는 연방법

PIPEDA(Personal Information Protection and Electronic Documents Act, 개인정보 보호 및 전자 문서법)는 캐나다 민간 부문의 연방 개인정보 보호법입니다. 상업 활동 중에 개인 정보를 수집, 사용 또는 공개하는 조직에 적용됩니다.

법에서 개인 정보란 식별 가능한 사람에 대한 모든 정보입니다. 사이트에서는 양식의 데이터뿐 아니라 탐색을 추적하고 광고를 고르는 데 쓰는 식별자도 포함됩니다.

이 법은 캐나다 개인정보 보호 위원(Office of the Privacy Commissioner, OPC)이 집행합니다. 게시자들이 참고하는 동의와 행동 광고에 관한 안내도 이 기관이 발표합니다.

체크리스트

꼭 지켜야 할 것

PIPEDA와 개인정보 보호 위원의 지침이 캐나다 방문자가 있는 광고 사이트에 요구하는 것이에요.

  1. 담당자 지정하기

    기업은 법의 원칙을 지킬 책임자를 지정해야 해요. 문의와 요청을 위한 연락처를 게시하세요.

    예시

    개인정보 책임자: 김민준. 연락처: privacy@yoursite.com

  2. 광고를 눈에 띄게 설명하기

    OPC는 무엇을 수집하고, 누구와 공유하고, 무엇을 위한 것이고, 어떤 위험이 있는지 사람이 분명하게 이해해야 한다고 해요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 정책에 요구해요.

    예시

    관심사에 맞는 광고를 보여 주려고 자사와 Google 같은 파트너의 쿠키를 사용해요. 언제든 거부할 수 있어요.

  3. 쉽고, 즉시 적용되고, 오래 가는 옵트아웃

    광고 옵트아웃은 쉬워야 하고, 가급적 수집 전에 가능해야 하며, 바로 그리고 다음 방문에도 적용되어야 인정돼요. 데이터는 가능한 한 빨리 파기하거나 비식별화해야 해요.

    예시

    푸터 고정 링크: 광고 선택

  4. 민감 정보에는 명시적인 예

    건강, 금융, 인종, 정치적 견해, 유전 및 생체 정보, 성생활, 종교는 명시적 동의가 필요해요. 사람이 예상하지 못할 용도에는 명확한 예도 받으세요.

  5. 거부할 수 없는 추적 금지

    사람이 기술을 거부할 수 없다면 광고에 쓰면 안 된다고 OPC는 말해요. 예로 좀비 쿠키, 슈퍼쿠키, 기기 핑거프린팅을 들어요.

  6. 아동 보호하기

    의미 있는 동의를 할 수 없는 사람은 부모나 보호자에게 요청하세요. OPC는 이것이 원칙적으로 13세 미만에 해당한다고 봐요. 모범 사례로 아동과 아동 대상 사이트는 추적하지 마세요.

  7. 열람과 동의 철회

    사람은 사이트가 어떤 데이터를 갖고 있는지 알고, 보고, 이의를 제기할 수 있어요. 동의를 철회할 수도 있고, 그러면 수집과 사용이 멈춰야 해요.

  8. 유출 알리고 기록하기

    심각한 피해의 실질적 위험이 있는 유출은 OPC와 영향을 받는 사람들에게 알려야 해요. 모든 유출은 2년간 기록해야 해요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 캐나다에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. 그래서 아래 링크는 Google이 모든 게시자에게 요구하는 것과 규제 기관이 기대하는 것을 보여 줘요.

적용 대상

PIPEDA가 내 사이트에 적용되는 때

캐나다에는 연방법과 주법이 있습니다. 어느 것이 적용되는지 알아야 사이트를 잘못 설정하는 일을 피할 수 있습니다.

캐나다에서의 상업 활동

전국에서 상업 활동 중에 개인 정보를 수집, 사용 또는 공개하는 민간 기업은 PIPEDA를 따릅니다.

자체 법이 있는 주

앨버타, 브리티시컬럼비아, 퀘벡에는 유사하다고 인정되는 민간 부문 법이 있습니다. 이 주들 안에서는 보통 PIPEDA 대신 그 법이 적용됩니다.

국경을 넘는 데이터

데이터가 한 주에서 다른 주로 가거나 국외로 나갈 때는 이 세 주에서도 PIPEDA가 계속 적용됩니다.

연방 정부의 규제를 받는 기업

은행, 항공사, 통신사, 방송사는 직원 데이터를 포함해 항상 PIPEDA를 따릅니다.

원칙

사이트를 위해 요약한 법의 10가지 원칙

PIPEDA 부속서 1에는 10가지 공정한 정보 원칙이 있습니다. 묶어 보면 여섯 가지 실용적인 개념으로 정리됩니다.

책임

기업은 자신이 관리하는 데이터에 책임이 있으며, 법 준수를 담당할 사람을 지정해야 합니다.

목적과 동의

수집 전이나 수집할 때 데이터를 무엇에 쓸지 알리고, 적절한 동의를 받으세요.

수집, 사용, 보관 제한

필요한 것만 수집하고, 안내한 목적에만 사용하며, 필요한 기간보다 오래 보관하지 마세요.

정확성과 보안

데이터를 정확하게 유지하고 무단 접근으로부터 보호하세요.

투명성

명확한 개인정보처리방침처럼, 내 관행을 찾기 쉽고 이해하기 쉽게 만드세요.

접근과 이의 제기

사람은 자신의 데이터를 보고, 정정을 요청하고, 기업이 법을 지키는 방식에 대해 불만을 제기할 수 있습니다.

동의

의미 있는 동의: 명시적 또는 묵시적

PIPEDA는 의미 있는 동의를 요구합니다. 사람이 무엇에 동의하는지 이해해야 한다는 뜻입니다. 어떤 데이터인지, 무엇을 위해서인지, 누구와 공유되는지, 어떤 위험이 있는지입니다.

법은 두 종류의 동의를 인정합니다. 명시적 동의는 상자를 체크하는 것 같은 적극적인 예입니다. 묵시적 동의, 즉 옵트아웃은 정보의 민감도가 낮고 사용이 합리적으로 예상되는 경우에 인정되며, 쉽게 거부할 방법이 있어야 합니다.

데이터가 민감할수록 동의는 더 강해야 합니다. OPC는 건강 및 금융 데이터, 민족 및 인종적 출신, 정치적 견해, 유전 및 생체 데이터, 성생활, 성적 지향, 종교적 신념에 대해 명시적 동의를 기대합니다.

행동 광고는 인터넷이나 사이트를 이용하기 위한 조건이 될 수도 없습니다. 즉, 추적을 거부한 방문자도 계속 콘텐츠에 접근할 수 있어야 합니다.

행동 광고

광고 옵트아웃에 대한 OPC의 조건

2015년 12월에 업데이트된 온라인 행동 광고와 개인정보 보호에 관한 안내는 다음 조건이 모두 충족될 때만 옵트아웃을 인정합니다.

눈에 보이는 목적

광고를 위한 추적은 개인정보처리방침 속에 숨기지 않고 분명하게 설명해야 합니다. 배너와 단계별 안내가 도움이 됩니다.

알맞은 때의 고지

수집 전이나 수집할 때, 관련된 파트너가 누구인지를 포함해 사람에게 알려야 합니다.

쉬운 옵트아웃

거부는 간단해야 하며, 가능하면 수집이 시작되기 전에 할 수 있어야 합니다.

즉시 적용되고 지속되는 효과

옵트아웃은 바로 적용되며 이후 방문에서도 계속 유지됩니다.

민감하지 않은 데이터만

가능한 한 수집을 민감하지 않은 정보로 제한합니다.

신속한 폐기

데이터는 가능한 한 빨리 삭제하거나 비식별화합니다.

사이트의 의무

캐나다를 위해 광고 사이트가 갖춰야 할 것

  1. 담당자 지정하기개인정보 보호를 담당할 사람을 정하고, 문의와 요청을 위한 연락처를 게시하세요.
  2. 광고를 쉬운 말로 설명하기개인정보처리방침과 눈에 띄는 안내문에서 사이트가 관심 기반 광고를 위해 쿠키와 파트너를 쓴다는 점과 그 파트너가 누구인지 알려 주세요.
  3. 제대로 작동하는 옵트아웃 제공하기개인정보 선택이나 광고 환경설정 같은 고정 링크로 추적을 바로 끄고 선택을 기억하게 하세요.
  4. 어린이를 추적하지 않기OPC는 어린이와 어린이를 대상으로 한 사이트에서는 의미 있는 동의를 받기 어렵기 때문에 추적을 피하라고 권장합니다.
  5. 열람 요청에 응하기사람은 자신의 데이터를 보고 정정해 달라고 요청할 수 있습니다. 이를 위한 명확한 경로를 두세요.
  6. 유출 기록하고 알리기심각한 피해의 실질적인 위험이 있는 유출은 OPC와 영향을 받은 사람들에게 알려야 합니다. 모든 유출은 2년간 기록해야 합니다.

감독

위원이 일하는 방식

OPC는 민원을 접수하고, 조사하고, 결론을 공개하고, 권고를 합니다. PIPEDA에서 기업이 법을 지키도록 강제하려면 연방 법원을 거쳐야 하며, 연방 법원은 명령을 내리고 배상을 인정할 수 있습니다.

일부 행위는 범죄입니다. 유출 통지와 기록 규칙을 고의로 어기면 과태료를 받을 수 있습니다. 그리고 과태료가 없더라도 OPC의 공개 조사는 사이트의 평판에 큰 영향을 주는 경우가 많습니다.

2026년 6월 15일, 정부는 소비자 개인정보 및 데이터 보호법을 만들고 PIPEDA를 개정하는 C-36 법안을 하원에 제출했습니다. 2026년 11월 초 현재 이 법안은 2차 심의 중이며 통과되지 않았습니다. 그동안 PIPEDA는 그대로 유효합니다.

타임라인

캐나다 방문자가 있는 사이트에 중요한 날짜

광고 안내부터 개정안까지입니다.

  1. 2015년 12월

    행동 광고 안내

    OPC가 관심 기반 광고에서 옵트아웃을 인정하는 조건을 업데이트합니다.

  2. 2018년 10월

    유출 가이드

    OPC가 데이터 유출 통지와 기록에 관한 안내를 공개합니다.

  3. 2022년 9월 22일

    퀘벡의 Law 25 시작

    퀘벡주가 자체 법의 3단계 시행을 시작합니다. 퀘벡 방문자에게는 규정이 더 엄격합니다.

  4. 2026년 6월 15일

    C-36 법안

    연방 개인정보 보호 개정안이 하원에 제출됩니다.

AdSense 및 Ad Manager

Google 광고에서 달라지는 점

Google의 EU 사용자 동의 정책은 EEA, 영국, 스위스에 적용됩니다. 캐나다는 이 목록에 없으므로, Google은 캐나다 트래픽에 인증된 CMP나 TCF 메시지를 요구하지 않습니다.

그래도 Google 게시자 정책은 전 세계에 적용됩니다. 사이트의 개인정보처리방침에는 제3자가 광고를 게재하기 위해 쿠키를 저장하고 읽거나 웹 비콘과 IP 주소를 사용할 수 있다고 밝혀야 합니다. 그리고 어린이를 대상으로 한 콘텐츠에는 관심 기반 광고를 게재할 수 없습니다.

PIPEDA를 지키기 위해 게시자는 보통 세 가지를 조합합니다. 맞춤 광고에 대한 눈에 띄는 안내, 항상 있는 옵트아웃 링크, 그리고 거부한 사람에게는 맞춤 광고 요청을 중단하는 CMP나 설정입니다. 퀘벡 방문자에게는 Law 25 때문에 더 엄격한 설정이 필요합니다.

실제 사례

캐나다 방문자에게 해도 되는 것과 안 되는 것

동의와 광고에 관한 OPC 안내에 기반한 예시입니다.

허용

  • 안내가 분명하고 데이터가 민감하지 않은 경우, 옵트아웃이 가능한 맞춤 광고
  • 첫 방문 때부터 광고를 설명하는 단계별 안내
  • 푸터의 고정된 개인정보 선택 링크
  • 거부한 사람에게 맞춤 설정이 아닌 광고 표시
  • 퀘벡 방문자에게만 더 엄격한 설정 적용
  • 광고 파트너를 나열한 개인정보처리방침

허용 안 됨

  • 개인정보처리방침 중간에서만 추적 설명하기
  • 다음 방문 때 사라지거나 아무것도 끄지 않는 옵트아웃
  • 명시적 동의 없이 건강이나 금융 데이터를 광고에 사용하기
  • 어린이를 위한 페이지에서 방문자 추적하기
  • 추적을 거부한 사람의 콘텐츠 접근 막기
  • 유럽식 설정이 캐나다의 모든 것을 해결한다고 생각하기

ConsentMode에서

캐나다 방문자에 대해 감사에서 확인하는 항목

  • 캐나다 방문자로 사이트에 접속해서 맞춤 광고에 대한 눈에 띄는 안내가 있는지 캡처 화면으로 보여 줍니다.
  • 옵트아웃 링크를 찾아 클릭하고, 광고 태그의 동작이 바뀌는지 확인합니다.
  • CMP를 식별하고 퀘벡, 캐나다의 나머지 지역, 유럽에서 메시지가 달라지는지 보여 줍니다.
  • 개인정보처리방침을 읽고 파트너, 쿠키, 담당자 연락처, 데이터 열람 방법이 빠져 있는지 알려 줍니다.
  • 맞춤 광고가 있는 어린이 대상으로 보이는 콘텐츠를 표시합니다.
감사 실행하기확인하는 항목 모두 보기

PIPEDA에 대한 자주 묻는 질문

캐나다에 쿠키 배너가 필요한가요?

PIPEDA는 유럽식 배너를 요구하지 않습니다. 의미 있는 동의를 요구합니다. 관심 기반 광고에 대해 OPC는 안내가 분명하고 옵트아웃이 쉽고, 즉시 적용되고, 지속된다면 옵트아웃을 인정합니다. 단계별 안내가 보통 이를 지키는 가장 간단한 방법입니다.

PIPEDA와 Law 25는 무엇이 다른가요?

PIPEDA는 연방법이며 전국에 적용됩니다. Law 25는 퀘벡주 법으로 더 엄격하며, 높은 행정 과태료와 추적 기술에 대한 자체 규정이 있습니다. 퀘벡 방문자에게는 Law 25를 따르세요.

OPC가 제 사이트에 과태료를 부과할 수 있나요?

PIPEDA에서 OPC는 조사하고 권고하며, 사건은 연방 법원으로 갈 수 있습니다. 유출 규칙을 고의로 어기는 것처럼 일부 행위는 범죄이며 과태료를 받을 수 있습니다. 아직 심의 중인 C-36 법안은 이 모델을 바꾸자고 제안합니다.

Google은 캐나다에 인증된 CMP를 요구하나요?

아니요. TCF가 있는 인증된 CMP 요구는 EEA, 영국, 스위스에 적용됩니다. 캐나다에는 Google의 일반 정책과 캐나다 법이 적용됩니다.

제 사이트는 브라질 사이트입니다. PIPEDA가 저에게 적용되나요?

캐나다를 대상으로 한 콘텐츠와 광고처럼 사이트가 캐나다 방문자와 실질적인 관계가 있다면 적용될 수 있습니다. 이는 법률적 판단입니다. 실제로는 캐나다 방문자에게 분명한 안내와 옵트아웃을 제공하는 것이 간단한 설정입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

캐나다 방문자가 내 사이트에서 보는 것을 확인해 보세요

감사는 안내, 옵트아웃, CMP, 개인정보처리방침을 테스트하고 수정 계획을 제공합니다.

감사 시작하기