텍사스와 관련된 사업
텍사스에서 사업을 하거나 주민이 소비하는 제품과 서비스가 있는 경우입니다. 텍사스 방문자가 있는 사이트가 해당될 수 있습니다.
가이드 · 미국 주법
텍사스 법은 방문자 수로 누가 준수해야 하는지 정하지 않습니다. 연방 기준으로 회사가 소기업인지를 봅니다. 이 가이드에서는 그 규칙, 방문자가 거부할 수 있는 것, 텍사스 법무장관이 어떻게 집행해 왔는지 알아봅니다.
정의
Texas Data Privacy and Security Act, 즉 TDPSA는 텍사스 상업 및 통상법 제541장에 있습니다. 2023년에 통과되어 2024년 7월 1일부터 시행되었습니다.
구조는 버지니아와 비슷합니다. 소비자 권리, 타겟 광고와 판매 옵트아웃, 민감한 데이터 동의, 데이터 보호 평가가 있습니다. 큰 차이는 누가 준수해야 하느냐에 있습니다.
TDPSA는 최소 방문자 수를 요구하지 않고, 텍사스에서 사업을 하거나 텍사스 주민이 소비하는 제품이나 서비스가 있고, 개인정보를 처리하며, 연방 중소기업청(SBA) 기준으로 소기업이 아닌 곳에 적용됩니다.
광고가 있는 사이트에서는 트래픽보다 회사 규모가 더 중요하다는 뜻입니다. 그리고 텍사스 법무장관은 이 법을 실제로 사용한다는 것을 보여 주었습니다. 2025년 1월 이 법을 근거로 보험사 Allstate와 데이터 회사 Arity를 고소했습니다.
체크리스트
기업이 SBA 기준상 소기업이 아니고 텍사스 방문자가 있다면 이것이 기본 목록이에요.
고지는 명확하고 찾기 쉬워야 해요. 처리하는 데이터, 목적, 제공하는 데이터, 제3자 범주, 요청 경로, 이의 신청 방법을 나열해요.
모든 페이지 푸터에 개인정보처리방침 링크가 있고 전체 고지로 연결돼요.
데이터를 판매하거나 타겟 광고를 하는 곳은 이를 명확하고 눈에 띄게 알려야 해요. 함께 방문자가 거부하는 방법도 설명해야 해요.
고지의 문구: 타겟 광고에 회원님의 데이터를 사용해요. 거부하려면 Do Not Sell or Share My Personal Information 링크를 사용하세요.
법은 민감 정보나 생체 정보를 판매하는 곳에 정해진 영어 문구로 된 고지를 게시하라고 해요.
NOTICE: We may sell your sensitive personal data. 생체 정보의 경우: NOTICE: We may sell your biometric personal data.
민감 정보는 동의가 있어야만 처리할 수 있어요. 소기업도 이런 데이터를 판매하기 전에 동의가 필요해요.
방문자의 정확한 위치를 쓰기 전에 허용과 허용 안 함 옵션이 있는 질문을 보여 주세요.
2025년 1월 1일부터 방문자는 브라우저나 기기의 전역 설정으로 거부할 수 있어요. 요청을 확인할 수 있으면 처리하세요.
GPC가 켜진 방문자는 거부를 클릭한 것과 똑같이 처리하세요.
요청을 위한 안전한 경로를 두 개 이상 제공하고 새 계정을 요구하지 마세요. 45일 안에 답하고 45일 더 연장할 수 있으며, 이의 신청 경로를 두세요.
검찰총장에 따르면 소비자와 직접 관계가 있는 온라인 전용 사업은 privacidade@seusite.com 같은 이메일 하나만 제공해도 돼요.
타겟 광고, 데이터 판매, 민감 정보에는 위험과 이익에 대한 서면 평가가 필요해요. 검찰총장이 이 문서를 요청할 수 있어요.
Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. GPP를 쓰면 Google은 텍사스에 대해 US National 섹션을 읽어요.
AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true,
});실제 사례
공식 도구
Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요.
적용 대상
TDPSA에는 자체적인 방문자 수나 매출 기준이 없습니다. 핵심 질문은 회사가 SBA 기준으로 소기업인지입니다.
텍사스에서 사업을 하거나 주민이 소비하는 제품과 서비스가 있는 경우입니다. 텍사스 방문자가 있는 사이트가 해당될 수 있습니다.
개인정보를 처리하거나 판매하는 경우입니다. 쿠키와 광고 식별자는 개인정보입니다.
SBA는 업종별로 매출이나 직원 수를 바탕으로 소기업을 정의합니다. 그 규모를 넘으면 법의 적용을 받습니다.
소기업도 소비자의 민감한 데이터를 판매하기 전에 소비자의 동의가 필요합니다.
용어
텍사스는 금전이 오가지 않는 교환도 포함해 판매를 넓게 정의합니다.
식별되었거나 식별 가능한 개인에게 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.
인종적 또는 민족적 출신, 종교, 정신 또는 신체 건강, 성생활, 이민 신분, 유전 및 생체 데이터, 알려진 아동의 데이터, 정밀한 위치입니다.
금전이나 다른 가치를 받고 제3자에게 개인정보를 공유, 공개 또는 전송하는 것입니다. 서비스를 받는 대가로 한 데이터 제휴도 해당될 수 있습니다.
시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고는 포함되지 않습니다.
사이트의 의무
회사는 분명하고 접근 가능한 개인정보 고지가 필요합니다. 처리하는 데이터의 범주, 목적, 권리를 행사하고 이의를 제기하는 방법, 제3자에게 전달하는 데이터의 범주, 그 제3자의 범주가 나와야 합니다.
텍사스주는 두 가지 경우에 정확한 문구를 요구합니다. 민감한 데이터를 판매하는 경우 고지에 NOTICE: We may sell your sensitive personal data. 문장을 포함해야 합니다. 생체 데이터를 판매하는 경우 NOTICE: We may sell your biometric personal data.를 포함해야 합니다. 법에 따라 이 고지는 영어로 표시됩니다.
데이터를 판매하거나 타겟 광고를 하는 곳도 이를 분명하고 눈에 띄게 표시하고, 거부하는 방법을 함께 알려야 합니다. 거부하기 위해 새 계정을 만들도록 요구해서는 안 됩니다.
민감한 데이터는 동의가 있어야만 처리할 수 있습니다. 알려진 13세 미만 아동에게는 부모의 동의가 있는 연방법 COPPA가 적용됩니다.
권리, 옵트아웃, 평가
텍사스 방문자는 회사가 자신의 데이터를 처리하는지 알고, 접근하고, 사본을 가져가고, 정정하고, 삭제하고, 타겟 광고, 판매, 일부 프로파일링을 거부할 수 있으며, 보복을 받지 않습니다. 회사는 45일 이내에 답하며 45일 더 연장할 수 있고, 요청이 거절된 사람에게 이의 제기 수단을 제공해야 합니다.
2025년 1월 1일부터 법은 방문자가 권한 있는 대리인으로 작동하는 브라우저나 기기의 전역 설정 같은 기술로 타겟 광고와 데이터 판매를 거부할 수 있게 합니다. 회사는 신원과 권한을 확인할 수 있을 때 이에 응해야 합니다. 법은 Global Privacy Control을 이름으로 언급하지 않지만, GPC는 이런 유형의 설정 중 가장 잘 알려진 예입니다.
실제로 가장 안전한 방법은 CMP가 GPC를 감지하고, 방문자를 거부로 표시하고, 첫 요청 전에 이 거부를 모든 광고 파트너에게 전달하는 것입니다.
회사는 타겟 광고, 데이터 판매, 민감한 데이터, 일부 프로파일링에 대한 데이터 보호 평가도 해야 합니다. 평가는 이익과 위험을 비교하며, 법무장관이 조사 과정에서 요구할 수 있습니다.
타임라인
텍사스 법무장관 페이지와 공식 발표에서 확인된 날짜입니다.
텍사스가 상업 및 통상법 제541장에 들어가는 TDPSA를 통과시킵니다.
권리, 필수 고지, 옵트아웃, 평가가 시행됩니다.
브라우저나 기기의 전역 설정을 통한 거부가 시행됩니다.
법무장관이 고지와 동의 없이 위치 데이터를 사용한 혐의로 Allstate와 Arity를 고소합니다.
집행과 과태료
텍사스 법무장관이 TDPSA를 집행할 독점적 권한을 갖습니다. 문서를 요구하고, 법원 명령을 신청하고, 과태료와 비용을 청구할 수 있습니다. 시민은 회사를 고소할 수 없지만 법무장관 사이트에 불만을 접수할 수 있습니다.
소송을 제기하기 전에 법무장관은 서면으로 알려야 합니다. 회사는 30일 안에 문제를 시정하고, 내부 정책 변경을 포함해 시정을 보여 주는 문서가 있는 서면 진술서를 보내야 합니다. 이 기한에는 종료 날짜가 없습니다.
기한 안에 시정하지 않거나 보낸 진술서를 지키지 않으면 위반 1건당 최대 US$7,500의 민사 과태료를 받을 수 있습니다.
2025년 1월 법무장관은 Allstate와 Arity가 민감한 데이터에 필요한 고지와 동의 없이 앱을 통해 운전자의 정밀한 위치를 수집하고 판매했다고 고발했습니다.
AdSense 및 Ad Manager
IAB Tech Lab은 GPP 문자열에 텍사스 섹션이 있지만, Google은 AdSense가 허용하는 섹션 목록에 이를 포함하지 않습니다. 텍사스의 경우 Google은 US National 섹션을 읽습니다.
US National이 판매, 공유 또는 타겟 광고의 거부를 나타내면, Google은 제한된 데이터 처리인 RDP를 켜고 비맞춤 광고만 표시합니다.
AdSense와 Ad Manager의 미국 주 대상 개인정보 보호 메시지는 텍사스를 포함하며 선택을 US National 섹션에 기록합니다. 다른 CMP를 사용한다면 텍사스 방문자에게 US National을 보내는지, GPC가 켜져 있을 때 거부를 표시하는지 확인하세요.
또 다른 방법은 거부한 사람에 대해 광고 태그에서 직접, 예를 들어 GPT의 restrictDataProcessing으로 RDP를 켜는 것입니다. 거부는 헤더 입찰, 동영상, 픽셀에도 전달되어야 합니다.
실제 사례
법을 준수하는 광고 사이트의 사례입니다.
흔한 오류
방문자 수 기준이 없다는 점이 많은 사람을 혼란스럽게 합니다.
회사가 텍사스에 없는 방문자 10만 명 기준을 찾고, SBA 기준으로 소기업인지는 확인하지 않습니다.
CMP가 AdSense가 받지 않는 텍사스 섹션만 보내서 광고가 계속 맞춤으로 나갑니다.
사이트가 GPC를 캘리포니아에서만 존중하고, 2025년부터 텍사스 법이 브라우저 전역 설정을 통한 거부를 규정한다는 점을 잊습니다.
회사가 민감한 데이터를 판매하지만 방침에 필수 문구가 없습니다.
ConsentMode에서
회사가 SBA 기준으로 소기업이라면 법의 대부분은 적용되지 않습니다. 예외는 민감한 데이터의 판매로, 모든 회사가 동의를 받아야 합니다. SBA 기준은 업종마다 다르므로 회계사나 변호사와 확인하는 것이 좋습니다.
성인 대상 맞춤 광고에는 필요하지 않습니다. 법은 옵트아웃을 요구합니다. 동의는 민감한 데이터에 필요합니다.
2025년 1월 1일부터 법은 신원과 권한을 확인할 수 있을 때 브라우저나 기기의 전역 설정으로 보낸 거부를 처리하도록 요구합니다. 법은 GPC를 이름으로 언급하지 않지만 가장 잘 알려진 예이며, 존중하는 것이 가장 안전한 방법입니다.
Google에는 US National입니다. 텍사스 섹션은 IAB 표준에 있지만 AdSense는 허용되는 섹션으로 나열하지 않습니다.
아니요. 그것은 법률 및 회계 분석입니다. ConsentMode는 외부에서 사이트를 감사하고 링크, 신호, 방침이 갖춰져 있는지 보여 줍니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 GPC가 있을 때와 없을 때 텍사스 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.