워크스페이스 열기

가이드 · 퀘벡 법

퀘벡 Law 25: 광고가 있는 사이트를 위한 더 엄격한 개인정보 보호

Law 25는 퀘벡의 데이터 보호를 현대화했고, 광고 쿠키처럼 사람을 식별하거나, 위치를 파악하거나, 프로파일링하는 기술에 대한 자체 규칙을 도입했습니다. 이 가이드는 단계별로 무엇이 바뀌었는지, 법이 사이트에 요구하는 것, 잘못했을 때의 비용을 보여 줍니다.

지금 내 사이트 감사하기가이드 읽기
  • ✓퀘벡 법과 Commission d'accès à l'information 문서 기준
  • ✓쿠키와 광고에 대한 실제 사례
  • ✓사이트를 변경하지 않는 읽기
32022년부터 2024년까지의 시행 단계
1,000만캐나다 달러, 기업에 대한 행정 제재의 상한
2%전 세계 매출의 비율로, 이 금액이 1,000만보다 클 때 적용
2023대부분의 의무가 시행된 연도

정의

퀘벡의 개인정보 보호를 개혁한 법

Law 25는 퀘벡의 개인정보 보호 규칙을 현대화한 법의 통칭입니다. 2021년 9월에 채택되어 여러 법을 개정했으며, 그중에는 기업에 적용되는 민간 부문 개인정보 보호법이 있습니다.

퀘벡은 민간 부문에 대한 자체 법이 있는 캐나다 주 중 하나입니다. 그래서 퀘벡의 방문자와 고객에게는 연방 PIPEDA가 아니라 Law 25가 주된 규칙인 경우가 많습니다.

집행은 Commission d'accès à l'information(CAI)이 맡습니다. Law 25로 CAI는 금전적 행정 제재를 부과하는 권한을 포함해 더 많은 권한을 갖게 되었습니다.

이 법은 PIPEDA보다 유럽 GDPR에 가깝습니다. 분명한 동의, 투명성, 위험 평가, 기업 내 개인정보 보호 책임자를 요구합니다.

체크리스트

꼭 지켜야 할 것

퀘벡 민간 부문 법이 이 지역 방문자가 있는 광고 사이트에 요구하는 것이에요.

  1. 추적을 알리고 사용자가 켜게 하기

    식별, 위치 파악, 프로파일링 기술로 데이터를 수집하기 전에, 그 기술을 쓴다는 점과 기능을 켜는 방법을 알리세요. Google 태그를 쓰면 Consent Mode를 퀘벡에서만 거부 상태로 시작할 수 있어요.

    예시

    관심사 프로필을 만드는 쿠키를 광고에 사용해요. 켜셔야만 작동해요.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. 품질 있는 동의

    동의는 명시적이고, 자유롭고, 충분한 설명을 거치고, 구체적인 목적에 대해 이루어져야 해요. 쉽고 명확한 말로, 다른 정보와 분리해서 요청하세요.

    예시

    맞춤 광고: 켜기 또는 켜지 않기. 시청자 측정: 켜기 또는 켜지 않기.

  3. 민감 정보에는 명시적인 예

    건강이나 금융처럼 민감한 정보는 동의를 명시적으로 해야 해요.

  4. 사이트의 기밀 유지 정책

    기술적 수단으로 데이터를 수집하는 곳은 쉽고 명확한 말로 쓴 기밀 유지 정책을 게시해야 해요. Google은 Google 같은 제3자가 광고를 보여 주려고 쿠키를 쓴다는 내용도 요구해요.

  5. 책임자의 직함과 연락처 게시

    개인 정보 보호를 맡은 책임자의 직함과 연락처를 예를 들어 사이트에 게시해야 해요.

    예시

    개인 정보 보호 책임자: 대표이사. 연락처: privacidade@seusite.com

  6. 14세 미만

    14세 미만의 정보는 친권자의 동의 없이 수집할 수 없어요. 수집이 분명히 아동에게 이로운 경우는 예외예요.

  7. 30일 안에 답하기

    열람이나 정정 요청에는 30일 안에 서면으로 답해야 해요. 이 기한 안에 답이 없으면 요청이 거부된 것으로 봐요.

  8. 심각한 위험이 있는 사고

    기밀 유지 사고가 심각한 피해 위험을 낳는다면 기업은 CAI에 신속하게 알려야 해요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 퀘벡에 대해 인증 CMP를 요구하지 않고 전용 메시지도 없어요. 그래서 설정은 게시자의 몫이고 아래는 참고용 공식 링크예요.

적용 대상

Law 25가 내 사이트에 미치는 경우

이 법은 퀘벡에 있는 사람들의 개인정보를 수집, 보관, 사용 또는 전달하는 기업을 대상으로 합니다.

퀘벡의 기업

퀘벡에서 운영하는 모든 기업은 규모와 상관없이 법을 따릅니다.

퀘벡에 방문자가 있는 외국 기업

다른 주나 다른 나라에서 퀘벡 주민과 거래하는 사이트에도 적용될 수 있습니다. 이 판단은 법률적인 사항입니다.

개인정보

광고에 사용되는 식별자처럼 직접적 또는 간접적으로 개인을 식별할 수 있는 개인에 관한 모든 정보입니다.

추적 기술

사람을 식별하거나, 위치를 파악하거나, 프로파일링하는 도구에는 별도의 규칙이 있으며, 광고 쿠키와 태그에 직접 적용됩니다.

타임라인

Law 25의 세 단계

시행은 2022년 9월 22일부터 3년에 걸쳐 단계적으로 이루어졌습니다.

  1. 2021년 9월

    법 채택

    퀘벡 국회가 개인정보 보호를 현대화하는 법을 승인합니다.

  2. 2022년 9월 22일

    1단계

    개인정보 보호 책임자와 기밀성 사고에 관한 규칙이 시행됩니다.

  3. 2023년 9월 22일

    2단계, 가장 큰 단계

    동의, 기밀성 정책, 추적 기술, 영향 평가, 그리고 행정 제재를 포함한 CAI의 새로운 권한 등 대부분의 의무가 시행됩니다.

  4. 2024년 9월 22일

    3단계

    개인이 자신의 데이터를 구조화되고 일반적으로 사용되는 기술 형식으로 받을 수 있는 이동성 권리가 적용됩니다.

쿠키와 추적

식별하거나, 위치를 파악하거나, 프로파일링하는 기술

민간 부문 법 제8.1조는 사람을 식별하거나, 위치를 파악하거나, 프로파일링할 수 있는 기술로 정보를 수집하기 전에, 기업이 그 기술을 사용한다는 사실과 이러한 기능을 활성화할 수단이 무엇인지 알려야 한다고 말합니다.

법에서 프로파일링은 경제적 상황, 건강, 선호, 관심사 같은 사람의 특성을 평가하려고 개인정보를 사용하는 것입니다. 맞춤 광고 쿠키가 바로 하는 일입니다.

법은 이러한 기능을 활성화할 수단을 말합니다. 가장 흔한 해석은 이 기능들이 꺼진 상태로 시작해서 사용자가 활성화하기로 선택했을 때만 작동한다는 것입니다. 그래서 퀘벡 방문자에게는 유럽과 비슷한 모델이 가장 안전합니다. 예라고 한 후에만 맞춤 광고를 합니다.

제9.1조도 있는데, 개인정보 보호 설정이 있는 기술 제품과 서비스에 기본적으로 가장 높은 수준의 기밀성을 요구합니다. 이 조항 자체가 쿠키 설정은 대상에서 제외하며, 쿠키 설정은 계속 투명성 및 동의 규칙의 적용을 받습니다.

동의

Law 25의 동의는 어떠해야 하는가

이 법은 목적마다, 쉬운 말로 요청하는 양질의 동의를 요구합니다.

명시적

사람의 의사가 분명해야 합니다. 침묵이나 아무것도 하지 않는 것으로는 충분하지 않습니다.

자유롭고 충분히 알고 한 동의

사람이 압박 없이 선택하고 무엇을 수락하는지 이해합니다.

특정 목적에 대한 동의

다른 정보와 분리해서 각 목적별로, 쉽고 분명한 언어로 요청합니다.

민감한 데이터는 명시적 동의

건강이나 금융 데이터 같은 민감한 정보에는 명시적 동의가 필요합니다.

사이트의 의무

기업이 갖추어야 하는 것

Law 25는 배너 외에도 조직과 문서를 요구합니다.

개인정보 보호 책임자

기본적으로 회사에서 가장 높은 권한을 가진 사람입니다. 이 역할은 서면으로 위임할 수 있으며, 직책과 연락처를 사이트에 게시해야 합니다.

기밀성 정책

기술적 수단으로 데이터를 수집하는 곳은 쉽고 분명한 말로 쓴 기밀성 정책을 사이트에 게시해야 합니다.

영향 평가

개인정보가 관련된 시스템 프로젝트와 퀘벡 밖으로의 데이터 전송에는 사생활 관련 요소에 대한 평가가 필요합니다.

기밀성 사고

심각한 피해 위험이 있는 사고는 CAI와 영향을 받은 사람들에게 알려야 하며, 모든 사고를 기록해야 합니다.

거버넌스 규칙

회사는 데이터 보관과 파기, 역할과 책임, 불만 처리에 관한 내부 규칙을 채택합니다.

보관과 파기

목적이 끝나면 법에 따라 데이터를 파기하거나 익명화합니다.

권리

개인이 요청할 수 있는 것

Law 25는 기업이 데이터를 처리하는 사람들의 권리를 확대했습니다.

접근과 정정

보관된 데이터를 보고 잘못된 것을 정정해 달라고 요청하는 것입니다.

동의 철회

동의에 의존하는 사용에 대해 언제든 마음을 바꾸는 것입니다.

색인 해제

일정한 조건에서 정보의 전파를 중단하거나 그 사람 이름이 있는 링크가 더 이상 그 정보로 연결되지 않도록 요청하는 것입니다.

이동성

2024년 9월 22일부터, 구조화되고 일반적으로 사용되는 형식으로 데이터를 받는 것입니다.

집행과 제재

CAI는 높은 과태료를 부과할 수 있습니다

2단계부터 CAI는 금전적 행정 제재를 부과할 수 있습니다. 기업의 경우 최대 금액은 1,000만 캐나다 달러 또는 직전 회계연도 전 세계 매출의 2% 중 큰 금액입니다. 개인의 경우 상한은 5만 달러입니다.

2023년 5월 CAI는 제재를 부과할 시점과 금액, 형사 절차를 선호하는 경우를 결정할 때 쓰는 기준을 담은 일반 틀을 발표했습니다. 더 심각한 사건은 이 경로로 진행될 수 있으며 별도의 과태료가 있습니다.

이 법은 또한 개인이 법원에서 구제를 구할 힘을 더 줍니다. 광고가 있는 사이트의 실제 위험은 세 방향에서 옵니다. 방문자의 불만, CAI의 조사, 평판에 미치는 영향입니다.

AdSense 및 Ad Manager

Google 광고에서 달라지는 점

Google은 캐나다에 인증 CMP나 TCF 메시지를 요구하지 않습니다. EU 사용자 동의 정책은 EEA, 영국, 스위스에만 적용됩니다. 즉, 퀘벡 설정은 게시자의 책임입니다.

실제로 많은 게시자가 CMP를 사용해 맞춤 광고 전에 퀘벡 방문자에게 분명한 선택이 있는 메시지를 보여 줍니다. 거부한 사람에게는 사이트가 Google 태그에서 비맞춤 광고를 요청해 수익의 일부를 유지할 수 있습니다.

Google 게시자 정책은 계속 적용됩니다. 개인정보 처리방침은 제3자가 광고를 게재하려고 쿠키를 저장하고 읽는다는 점을 설명해야 하며, 어린이 대상 콘텐츠에는 관심 기반 광고를 게재할 수 없습니다.

실제 사례

퀘벡 방문자에게 해도 되는 일과 안 되는 일

광고가 있는 사이트에서 나타나는 설정의 사례입니다.

허용

  • 퀘벡 방문자에게만 동의 메시지 표시하기
  • 사용자가 활성화할 때까지 프로파일링 기능을 꺼 두기
  • 동의하지 않은 사람에게 비맞춤 광고 게재하기
  • 개인정보 보호 책임자의 직책과 연락처 게시하기
  • 분명하고 쉬운 프랑스어로 된 기밀성 정책 두기
  • 언제든 선택을 바꿀 수 있는 고정 링크

허용 안 됨

  • 어떤 선택 전에도 프로파일링 쿠키 활성화하기
  • 활성화할지 말지 선택지 없이 사이트가 쿠키를 쓴다고만 알리는 안내
  • 모든 목적을 하나의 예로 묶기
  • 숨겨져 있거나 다른 언어로만 된 기밀성 정책
  • 명시적 동의 없이 건강 데이터를 광고에 사용하기
  • 법을 평가하지 않고 퀘벡을 캐나다의 다른 지역과 같은 설정으로 처리하기

ConsentMode에서

감사가 퀘벡 방문자에 대해 확인하는 항목

  • 퀘벡 방문자로 사이트를 열어 동의 메시지가 있는지, 어떤 옵션을 제공하는지 스크린샷으로 보여 줍니다.
  • 맞춤 광고 쿠키와 태그가 선택 전에 로드되는지 확인합니다.
  • CMP를 식별하고 퀘벡의 메시지를 캐나다 나머지 지역 및 유럽의 메시지와 비교합니다.
  • 기밀성 정책을 읽고 책임자, 추적 기술, 파트너가 빠져 있는지 알려 줍니다.
  • 법률 분석을 대체하지 않으면서 우선순위 순서의 수정 계획을 제공합니다.
감사 실행하기확인하는 항목 모두 보기

Law 25에 관한 자주 묻는 질문

퀘벡에 쿠키 배너가 필요한가요?

법은 사람에게 알리고 식별, 위치 파악, 프로파일링 기능을 활성화할 수단을 제공하도록 요구합니다. 실제로 이를 충족하는 가장 간단한 방법은 프로파일링 기능이 기본적으로 꺼진 동의 메시지입니다.

분석 쿠키도 해당되나요?

쿠키가 하는 일에 따라 다릅니다. 사람을 식별하거나 프로파일링한다면 제8.1조에 해당합니다. 집계되고 프로파일링이 없는 측정은 위험이 낮습니다. 각 도구를 법무팀과 함께 평가하는 것이 좋습니다.

최대 과태료는 얼마인가요?

CAI의 기업에 대한 행정 제재는 1,000만 캐나다 달러 또는 직전 연도 전 세계 매출의 2% 중 큰 금액까지 가능합니다. 형사 절차에는 별도의 과태료가 있습니다.

GDPR에 쓰는 설정을 그대로 써도 되나요?

Law 25의 상당 부분을 충족하는 경우가 많습니다. 추적 전에 예를 요구한다는 점이 같기 때문입니다. 하지만 유럽의 TCF 메시지는 퀘벡에서 필요하지 않고, 기밀성 정책에는 법과 현지 책임자가 언급되어야 합니다.

ConsentMode가 영향 평가를 대신하나요?

아니요. 감사는 퀘벡 방문자에게 사이트가 무엇을 하는지 스크린샷과 수정 계획으로 보여 줍니다. 영향 평가와 법률 분석은 계속 팀의 몫입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

퀘벡 방문자가 보는 대로 내 사이트를 확인하세요

감사는 메시지, 쿠키, CMP, 기밀성 정책을 확인하고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기