워크스페이스 열기

가이드 · 미국 주법

TIPA: 법률 용어 없이 보는 테네시 개인정보 보호법

Tennessee Information Protection Act는 2025년 7월 1일부터 시행되고 있으며 대기업에만 적용됩니다. 이 가이드에서는 누가 준수해야 하는지, 방문자가 어떤 권리를 얻었는지, NIST 기반 방어가 어떻게 작동하는지, AdSense나 Ad Manager를 쓰는 사이트에 달라지는 점을 알아봅니다.

미국 대상으로 내 사이트 감사하기가이드 읽기
  • ✓법 조문과 테네시 법무장관의 요약을 기반으로 합니다
  • ✓광고가 있는 사이트를 위한 실제 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
US$2,500만연간 매출: 이보다 적으면 회사는 법의 적용을 받지 않습니다
175,000연간 테네시 소비자 수: 주요 규모 기준
60일법무장관의 통지 후 시정 기간이며, 종료 날짜가 없습니다
45일소비자 요청에 응답해야 하는 기한이며, 거절 시 설명과 이의 제기 수단이 필요합니다

정의

대기업에 초점을 맞춘 주 개인정보 보호법

TIPA는 미국 테네시주의 포괄적 개인정보 보호법입니다. 2023년에 통과되어 2025년 7월 1일에 시행되었습니다. 이 법은 주민에게 자신의 데이터에 대한 권리를 주고, 그 데이터를 사용하는 기업에 의무를 부과합니다.

모델은 버지니아와 콜로라도의 법을 따릅니다. 방문자는 데이터에 대한 접근, 정정, 삭제를 요청할 수 있고, 데이터 판매, 타겟 광고, 일부 유형의 자동화된 프로파일링을 거부할 수 있습니다. 민감한 데이터는 동의가 있어야만 사용할 수 있습니다.

TIPA를 다르게 만드는 것은 두 가지입니다. 첫째는 높은 기준입니다. 연간 매출이 US$2,500만을 넘는 회사만 법의 적용을 받습니다. 둘째는 NIST 기반 방어입니다. NIST Privacy Framework에 맞춘 서면 개인정보 보호 프로그램을 유지하는 회사는 이를 소송에서 방어 수단으로 쓸 수 있습니다.

미국 방문자가 있는 브라질 사이트 소유자에게 실질적인 질문은 간단합니다. 내 사업이 기준을 넘는가? 넘는다면 사이트에는 완전한 개인정보 고지, 분명한 옵트아웃 경로, 광고 파트너가 데이터로 하는 일에 대한 주의가 필요합니다.

체크리스트

꼭 지켜야 할 것

기업이 TIPA의 기준을 넘는다면 아래 항목이 모두 작동해야 해요.

  1. 광고와 판매를 거부하는 경로

    테네시 주민은 타겟 광고, 데이터 판매, 일부 프로파일링을 거부할 수 있어요. 사이트는 이 경로를 제공하고 거부가 광고 요청을 바꾸게 해야 해요.

    예시

    Google의 주 규정 메시지는 테네시 방문자에게 Do Not Sell or Share My Personal Information 링크를 보여 줘요.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. 접근하기 쉬운 개인정보 고지

    기업에는 합리적으로 접근하기 쉬운 개인정보 고지가 필요해요. 방문자가 권리를 행사하는 방법과 거부 응답에 이의를 제기하는 방법을 설명해요.

    예시

    모든 페이지 푸터에 개인정보 링크가 있고 전체 고지로 연결돼요.

  3. Google이 요구하는 문구가 있는 정책

    AdSense는 개인정보처리방침에 Google과 다른 공급업체의 광고 쿠키에 대한 안내를 요구해요. 방문자가 맞춤 광고를 거부하는 방법도 정책에 있어야 해요.

    예시

    Google을 포함한 제3자 공급업체는 사용자가 이전에 이 사이트나 다른 사이트를 방문한 기록을 바탕으로 광고를 보여 주려고 쿠키를 사용해요. Google 광고 설정에서 맞춤 광고를 끌 수 있어요.

  4. 45일 안에 답하기

    열람, 정정, 삭제, 이전, 옵트아웃 요청은 받은 날부터 45일 안에 답해야 해요.

    예시

    각 요청의 도착일을 관리하는 개인정보 이메일이에요.

  5. 민감한 데이터에 대한 동의

    민감 정보는 방문자의 동의가 있어야만 처리할 수 있어요.

    예시

    건강 사이트가 광고를 고르려고 읽은 주제를 쓰기 전에 물어봐요. 동의하시나요? 예 또는 아니요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 테네시에 대해 인증 CMP나 GPP를 요구하지 않아요. 그래서 Google 자체 메시지나 GPP가 있는 CMP를 쓸 수 있어요.

준수해야 하는 대상

회사가 TIPA의 적용을 받게 되는 기준

이 법은 테네시에서 사업을 하거나 주민을 대상으로 제품과 서비스를 제공하는 곳에 적용됩니다. 하지만 회사가 아래 두 가지 필터를 모두 통과할 때만 해당됩니다.

매출 US$2,500만 초과

첫 번째 필터이며 필수입니다. 연간 매출이 이보다 적은 회사는 테네시 방문자가 많아도 TIPA의 적용을 받지 않습니다.

소비자 175,000명

매출 외에도, 회사는 한 역년에 테네시 소비자 최소 175,000명의 데이터를 관리하거나 처리해야 합니다.

또는 25,000명과 데이터 판매

다른 진입 경로입니다. 소비자 최소 25,000명의 데이터를 처리하고 총수익의 절반 이상이 개인정보 판매에서 나오는 경우입니다.

적용되지 않는 곳

공공 기관, 금융 기관, HIPAA 적용 대상 의료 기관, 비영리 단체, 고등 교육 기관은 면제됩니다.

용어

법의 용어를 사이트 운영자의 언어로

TIPA는 개인 데이터 대신 개인정보라는 용어를 사용합니다. 의미는 다른 주법과 같지만, 판매의 정의에는 중요한 차이가 있습니다.

개인정보

식별되었거나 식별 가능한 개인에게 연결되었거나 연결될 수 있는 모든 정보입니다. 사이트의 일상에서는 쿠키, 광고 식별자, IP 주소, 뉴스레터 이메일이 포함됩니다.

민감한 정보

인종적 또는 민족적 출신, 종교적 신념, 건강 진단, 성적 지향, 이민 신분, 유전 및 생체 데이터, 아동의 데이터, 반경 1,750피트 안의 정밀한 위치입니다.

판매

TIPA에서 판매는 개인정보를 돈을 받고 제3자와 교환하는 것입니다. 델라웨어와 몬태나 같은 주와 달리, 법은 다른 가치 있는 대가를 언급하지 않습니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 방문자의 행동을 바탕으로 선택한 광고입니다. 페이지 맥락에 따른 광고는 이 정의에 포함되지 않습니다.

개인의 권리

테네시 주민이 내 사이트에 요청할 수 있는 것

요청에는 45일 이내에 답해야 합니다. 회사가 거절하면 이유를 설명하고 이의 제기 경로를 제공해야 합니다.

확인 및 접근

회사가 자신의 데이터를 처리하는지 알고 그 데이터에 접근하는 것입니다.

수정

데이터의 유형과 사용 목적을 고려하여 잘못된 데이터의 정정을 요청하는 것입니다.

삭제

자신이 제공했거나 자신에 대해 얻은 데이터의 삭제를 요청하는 것입니다. 집계되거나 비식별화된 데이터는 제외됩니다.

이동성

기술적으로 가능한 경우, 다른 서비스로 가져갈 수 있는 형식으로 데이터 사본을 받는 것입니다.

타겟 광고 및 판매 거부

데이터를 타겟 광고에 사용하지 않고 판매하지 않도록 요청하는 것입니다. 광고가 있는 사이트에 가장 큰 영향을 주는 권리입니다.

자동화된 프로파일링 거부

신용, 주거, 고용처럼 법적 효과나 그와 비슷한 영향을 주는 결정으로 이어지는 프로파일링에 데이터가 사용되는 것을 거부하는 것입니다.

사이트의 의무

해당 회사가 갖추어야 하는 것

  1. 완전한 개인정보 처리방침고지에는 데이터를 무엇에 사용하는지, 어떤 범주를 처리하는지, 어떤 범주를 제3자에게 판매하는지, 권리를 어떻게 행사하는지, 거절된 답변에 어떻게 이의를 제기하는지가 나와야 합니다. 판매를 거부할 권리도 설명해야 합니다.
  2. 필요한 것만 수집수집은 알린 목적에 합리적으로 필요한 범위로 제한해야 합니다. 다른 목적으로 데이터를 사용하려면 동의가 필요합니다.
  3. 민감한 데이터에 대한 동의민감한 데이터는 동의가 있어야만 처리할 수 있습니다. 13세 미만 아동의 데이터는 연방법 COPPA의 규칙을 따릅니다.
  4. 데이터 보호 평가타겟 광고, 판매, 위험한 프로파일링 또는 민감한 데이터에 데이터를 사용하기 전에, 회사는 위험과 이익에 대한 평가를 기록해야 합니다. 이 규칙은 2024년 7월 1일 이후 만들어지거나 생성된 활동에 적용됩니다.
  5. 처리자와의 계약회사를 대신해 데이터를 처리하는 공급업체에는 기밀 유지, 데이터 반환 또는 삭제, 평가에 대한 지원, 하청업체에 대한 같은 규칙이 담긴 서면 계약이 필요합니다.
  6. 합리적인 보안회사는 데이터의 양과 민감도에 맞는 보안 관행을 유지해야 하며, 차별 금지법을 위반하는 방식으로 데이터를 처리해서는 안 됩니다.

집행과 NIST 방어

누가 집행하는지, 시정 기간, 방어 수단이 될 수 있는 프로그램

테네시 법무장관만 TIPA를 집행할 수 있으며, 소비자는 이 법을 근거로 회사를 고소할 수 없습니다. 소송을 제기하기 전에 법무장관은 서면 통지를 보내고 회사에 60일의 시정 기간을 주어야 합니다. 회사가 시정하고 서면으로 알리면 결함이 반복되지 않는 한 사건은 중단됩니다. 다른 주와 달리 이 기간에는 종료 날짜가 없습니다.

결함이 기한 안에 시정되지 않으면 법무장관은 법원에 사건을 제기하고 법에 정해진 민사 제재를 요청할 수 있습니다. 법무장관은 자체 조사나 소비자 불만에 따라 조치할 수 있으며, 불만은 사이트, 이메일 또는 우편으로 제출할 수 있습니다. 정확한 과태료 금액은 법 조문에 있으므로 변호사와 확인하는 것이 좋습니다.

TIPA에는 적극적 항변도 있습니다. 미국 표준 기술 연구소인 NIST의 Privacy Framework 또는 이에 상응하는 모델에 합리적으로 부합하는 서면 개인정보 보호 프로그램을 유지하고 따르는 회사는 이를 방어 수단으로 쓸 수 있습니다. 프로그램은 소비자에게 법이 정한 권리를 주어야 하며, 프레임워크의 새 버전이 나온 후 2년 안에 업데이트되어야 합니다. Global CBPR 인증도 고려될 수 있습니다.

서랍 속에 문서가 있는 것만으로는 충분하지 않습니다. 프로그램의 규모는 회사의 크기, 활동 유형, 데이터의 민감도로 측정됩니다. 광고로 수익을 내는 사람에게는 사이트가 어떤 데이터를 수집하는지, 어떤 파트너가 그 데이터를 받는지, 옵트아웃이 어떻게 작동하는지 문서화하는 것이 이 프로그램의 시작입니다.

타임라인

TIPA의 주요 날짜

이 법에는 긴 준비 기간이 있었습니다. 2026년 11월 현재 시행된 지 1년이 넘었습니다.

  1. 2023

    법 통과

    테네시가 Tennessee Information Protection Act를 통과시켜 포괄적 개인정보 보호법이 있는 주 목록에 들어갑니다.

  2. 2024년 7월 1일

    평가의 기준 시점

    이 날짜 이후 만들어지거나 생성된 처리 활동은 데이터 보호 평가 규칙의 적용을 받습니다. 이전 활동은 해당되지 않습니다.

  3. 2025년 7월 1일

    시행

    TIPA가 시행됩니다. 해당 회사는 요청에 응답하고, 옵트아웃을 제공하고, 완전한 개인정보 고지를 유지해야 합니다.

  4. 2025

    법무장관 자료

    법무장관이 법 요약, 소비자와 기업을 위한 자주 묻는 질문, 개인정보 불만 접수 채널을 게시합니다.

AdSense와 Ad Manager를 사용하는 사이트

테네시의 옵트아웃이 Google에 도달하는 방법

TIPA는 일부 브라우저가 보내는 Global Privacy Control(GPC) 같은 범용 옵트아웃 신호를 회사가 인식하도록 의무화하지 않습니다. 방문자는 사이트가 제공하는 경로를 사용해야 합니다. 그래도 GPC를 존중하는 것은 좋은 관행이며, 의무인 주들과의 문제를 피할 수 있습니다.

Google은 AdSense와 Ad Manager의 개인정보 보호 및 메시지 영역에서 미국 주법 메시지를 제공합니다. 지원되는 주에 테네시가 포함되며 Do Not Sell or Share 링크를 표시합니다. 방문자가 거부하면 Google은 RDP라고 하는 제한된 데이터 처리를 켜고 행동 이력을 사용하지 않는 광고를 게재합니다.

자체 CMP를 사용하는 곳은 IAB Tech Lab의 프로토콜인 GPP로 선택을 전달할 수 있습니다. GPP에는 테네시 전용 섹션이 있지만 Google이 허용하는 섹션 목록에는 없습니다. Google의 경우 경로는 US National 섹션이며, 이 섹션에서 판매, 공유 또는 타겟 광고에 대한 거부가 RDP를 켭니다.

옵트아웃을 요청한 사람에 대해서만, GPT의 restrictDataProcessing 매개변수나 AdSense의 data-restrict-data-processing 속성으로 태그에서 직접 RDP를 켤 수도 있습니다. 중요한 것은 방문자의 거부가 실제로 광고 요청을 바꾸는 것입니다.

실제 사례

TIPA에서 해도 되는 일과 안 되는 일

법의 기준을 넘고 프로그래매틱 광고로 사이트를 수익화하는 회사의 사례입니다.

허용

  • 옵트아웃을 요청한 사람에게 페이지 주제로 선택한 맥락 광고 표시하기
  • Google의 주법 메시지를 사용해 Do Not Sell or Share 링크 제공하기
  • TIPA가 요구하는 내용을 다루는 한, 모든 주에 개인정보 고지 하나 유지하기
  • 비교 가능하다면 다른 주법을 위해 한 위험 평가 활용하기
  • NIST 기반 개인정보 보호 프로그램이 문서화되고 최신이라면 방어 수단으로 사용하기

허용 안 됨

  • 방문자가 거부한 후에도 맞춤 광고를 위한 데이터 계속 보내기
  • 동의 없이 광고용 정밀한 위치 수집하기
  • 거절된 요청에 이의를 제기하는 방법을 개인정보 페이지에 쓰지 않기
  • 삭제나 옵트아웃을 요청하려면 방문자에게 계정 생성 요구하기
  • NIST를 인증 마크처럼 취급하기: 실제로 따르는 프로그램이 없으면 방어도 없습니다

흔한 오류

사이트들이 TIPA에서 자주 놓치는 부분

GDPR과 캘리포니아는 이미 챙기지만 테네시를 잊은 사이트에서 이런 문제가 자주 나타납니다.

캘리포니아에만 메시지가 있음

옵트아웃 메시지가 몇 년 전에 캘리포니아에만 설정되었습니다. 테네시 방문자는 링크를 한 번도 보지 못합니다.

아무 일도 하지 않는 링크

푸터에 옵트아웃 링크가 있지만 텍스트 페이지로 연결됩니다. 클릭한 후에도 광고 요청은 그대로입니다.

판매와 광고가 없는 고지

개인정보 처리방침은 쿠키를 말하지만, 데이터가 타겟 광고에 사용된다는 점과 거부하는 방법은 말하지 않습니다.

US National 섹션이 없는 GPP

CMP가 Google이 읽지 않는 주 섹션만 생성합니다. 옵트아웃은 있지만 Google 광고에는 도달하지 않습니다.

한 번도 하지 않은 평가

회사가 2024년부터 타겟 광고에 데이터를 사용하는데 기록된 데이터 보호 평가가 하나도 없습니다.

너무 작다고 생각함

그룹은 여러 사이트를 합쳐 매출이 US$2,500만을 넘지만, 각 사이트를 법 밖에 있는 것처럼 취급합니다.

ConsentMode에서

감사가 테네시에 대해 확인하는 항목

  • 미국 방문자로 사이트를 열고 푸터, 메뉴, 개인정보 보호 메시지에서 옵트아웃 링크를 찾습니다.
  • 페이지 코드로 CMP 또는 Google 메시지를 식별합니다.
  • 광고 요청에서 GPP 문자열을 읽고 US National 섹션이 있는지, 옵트아웃 후에 바뀌는지 확인합니다.
  • 감사 브라우저에서 GPC 신호를 켜고 페이지와 광고 요청의 동작이 바뀌는지 보여 줍니다.
  • 개인정보 페이지에 판매, 타겟 광고, 권리, 이의 제기, 연락 방법이 언급되어 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

브라질 사이트에 테네시 방문자가 있습니다. TIPA를 준수해야 하나요?

회사가 기준을 넘는 경우에만 해당됩니다. 연간 매출이 US$2,500만을 넘고 주 소비자 최소 175,000명의 데이터가 있거나, 소비자 25,000명이면서 총수익의 절반 이상이 데이터 판매에서 나오는 경우입니다. 대부분의 소규모 사이트는 해당되지 않습니다. 그래도 델라웨어, 메릴랜드, 네브래스카처럼 기준이 낮은 주가 내 사업에 적용될 수 있으므로 모든 미국 트래픽에 옵트아웃을 제공하는 것이 좋습니다.

TIPA는 GPC를 존중하도록 의무화하나요?

아니요. 법은 범용 옵트아웃 신호의 인식을 요구하지 않습니다. 하지만 다른 여러 주가 요구하므로 대부분의 CMP가 이미 모든 미국 트래픽에 GPC를 처리합니다.

방문자가 거부하면 수익은 어떻게 되나요?

Google은 제한된 데이터 처리를 사용하고 방문자의 이력을 사용하지 않는 광고를 게재합니다. 이 사용자의 1,000회 노출당 수익은 대체로 낮지만 광고는 계속 표시됩니다.

TIPA는 쿠키 배너를 요구하나요?

아니요. 이 법은 옵트아웃 모델로 작동합니다. 방문자가 거부할 때까지 사이트는 광고에 데이터를 사용할 수 있습니다. 예외는 사전 동의가 필요한 민감한 데이터입니다.

법을 준수하려면 NIST 프로그램이 필요한가요?

아니요. NIST 기반 프로그램은 선택적 방어 수단입니다. 조사가 있을 때 도움이 되지만, 회사는 어떤 경우든 법을 준수해야 합니다.

ConsentMode가 TIPA 준수를 해결해 주나요?

ConsentMode는 법률 사무소도 CMP도 아닙니다. 감사는 사이트가 옵트아웃, GPP, 개인정보 페이지로 실제로 무엇을 하는지 보여 주므로, 공급업체와 변호사와 함께 고칠 수 있습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

내 사이트의 옵트아웃이 광고에 도달하는지 확인하세요

감사는 미국 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기