워크스페이스 열기

가이드 · 미국 주법

TDPSA: 광고가 있는 사이트를 위한 텍사스 법 설명

텍사스 법은 방문자 수로 누가 준수해야 하는지 정하지 않습니다. 연방 기준으로 회사가 소기업인지를 봅니다. 이 가이드에서는 그 규칙, 방문자가 거부할 수 있는 것, 텍사스 법무장관이 어떻게 집행해 왔는지 알아봅니다.

  • ✓법과 텍사스 법무장관 페이지를 기반으로 합니다
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
2민감한 데이터나 생체 데이터를 판매하는 경우 필수 문구가 있는 고지
30일법무장관의 통지 후 소송 전까지 결함을 시정할 수 있는 기간
US$7,500위반 1건당 최대 민사 과태료
45일소비자 요청에 응답해야 하는 기한이며 45일 더 연장 가능

정의

넓은 적용 범위와 적극적인 집행을 가진 주법

Texas Data Privacy and Security Act, 즉 TDPSA는 텍사스 상업 및 통상법 제541장에 있습니다. 2023년에 통과되어 2024년 7월 1일부터 시행되었습니다.

구조는 버지니아와 비슷합니다. 소비자 권리, 타겟 광고와 판매 옵트아웃, 민감한 데이터 동의, 데이터 보호 평가가 있습니다. 큰 차이는 누가 준수해야 하느냐에 있습니다.

TDPSA는 최소 방문자 수를 요구하지 않고, 텍사스에서 사업을 하거나 텍사스 주민이 소비하는 제품이나 서비스가 있고, 개인정보를 처리하며, 연방 중소기업청(SBA) 기준으로 소기업이 아닌 곳에 적용됩니다.

광고가 있는 사이트에서는 트래픽보다 회사 규모가 더 중요하다는 뜻입니다. 그리고 텍사스 법무장관은 이 법을 실제로 사용한다는 것을 보여 주었습니다. 2025년 1월 이 법을 근거로 보험사 Allstate와 데이터 회사 Arity를 고소했습니다.

체크리스트

꼭 지켜야 할 것

기업이 SBA 기준상 소기업이 아니고 텍사스 방문자가 있다면 이것이 기본 목록이에요.

  1. 완전한 개인정보 고지 게시하기

    고지는 명확하고 찾기 쉬워야 해요. 처리하는 데이터, 목적, 제공하는 데이터, 제3자 범주, 요청 경로, 이의 신청 방법을 나열해요.

    예시

    모든 페이지 푸터에 개인정보처리방침 링크가 있고 전체 고지로 연결돼요.

  2. 타겟 광고가 있다고 알리고 거부 방법 안내하기

    데이터를 판매하거나 타겟 광고를 하는 곳은 이를 명확하고 눈에 띄게 알려야 해요. 함께 방문자가 거부하는 방법도 설명해야 해요.

    예시

    고지의 문구: 타겟 광고에 회원님의 데이터를 사용해요. 거부하려면 Do Not Sell or Share My Personal Information 링크를 사용하세요.

  3. 민감 정보를 판매하면 정해진 문구 쓰기

    법은 민감 정보나 생체 정보를 판매하는 곳에 정해진 영어 문구로 된 고지를 게시하라고 해요.

    예시

    NOTICE: We may sell your sensitive personal data. 생체 정보의 경우: NOTICE: We may sell your biometric personal data.

  4. 민감 정보는 동의 받기

    민감 정보는 동의가 있어야만 처리할 수 있어요. 소기업도 이런 데이터를 판매하기 전에 동의가 필요해요.

    예시

    방문자의 정확한 위치를 쓰기 전에 허용과 허용 안 함 옵션이 있는 질문을 보여 주세요.

  5. 브라우저가 보낸 거부 받아들이기

    2025년 1월 1일부터 방문자는 브라우저나 기기의 전역 설정으로 거부할 수 있어요. 요청을 확인할 수 있으면 처리하세요.

    예시

    GPC가 켜진 방문자는 거부를 클릭한 것과 똑같이 처리하세요.

  6. 새 계정을 요구하지 않고 요청 받기

    요청을 위한 안전한 경로를 두 개 이상 제공하고 새 계정을 요구하지 마세요. 45일 안에 답하고 45일 더 연장할 수 있으며, 이의 신청 경로를 두세요.

    예시

    검찰총장에 따르면 소비자와 직접 관계가 있는 온라인 전용 사업은 privacidade@seusite.com 같은 이메일 하나만 제공해도 돼요.

  7. 데이터 보호 평가 하기

    타겟 광고, 데이터 판매, 민감 정보에는 위험과 이익에 대한 서면 평가가 필요해요. 검찰총장이 이 문서를 요청할 수 있어요.

  8. 거부를 Google까지 전달하기

    Google은 미국 주에 대해 CMP를 요구하지 않아요. 개인 정보 보호 및 메시지의 미국 주 규정 메시지를 쓰거나, 거부한 사람에게 태그에서 제한된 데이터 처리인 RDP를 켜세요. GPP를 쓰면 Google은 텍사스에 대해 US National 섹션을 읽어요.

    예시

    AdSense나 Ad Manager: 개인 정보 보호 및 메시지, 미국 주 규정 카드, 만들기. 이어서 사이트를 선택하고 게시하세요.

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 미국 주 법에 대해 인증 CMP나 GPP를 요구하지 않아요. Google 자체 메시지를 쓰거나 태그에서 RDP를 켜면 돼요.

적용 대상

소기업 규칙

TDPSA에는 자체적인 방문자 수나 매출 기준이 없습니다. 핵심 질문은 회사가 SBA 기준으로 소기업인지입니다.

텍사스와 관련된 사업

텍사스에서 사업을 하거나 주민이 소비하는 제품과 서비스가 있는 경우입니다. 텍사스 방문자가 있는 사이트가 해당될 수 있습니다.

데이터 처리 또는 판매

개인정보를 처리하거나 판매하는 경우입니다. 쿠키와 광고 식별자는 개인정보입니다.

소기업이 아님

SBA는 업종별로 매출이나 직원 수를 바탕으로 소기업을 정의합니다. 그 규모를 넘으면 법의 적용을 받습니다.

모두에게 적용되는 예외

소기업도 소비자의 민감한 데이터를 판매하기 전에 소비자의 동의가 필요합니다.

용어

광고를 파는 사람에게 중요한 용어

텍사스는 금전이 오가지 않는 교환도 포함해 판매를 넓게 정의합니다.

개인정보

식별되었거나 식별 가능한 개인에게 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교, 정신 또는 신체 건강, 성생활, 이민 신분, 유전 및 생체 데이터, 알려진 아동의 데이터, 정밀한 위치입니다.

판매

금전이나 다른 가치를 받고 제3자에게 개인정보를 공유, 공개 또는 전송하는 것입니다. 서비스를 받는 대가로 한 데이터 제휴도 해당될 수 있습니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고는 포함되지 않습니다.

사이트의 의무

필수 문구가 있는 개인정보 고지

회사는 분명하고 접근 가능한 개인정보 고지가 필요합니다. 처리하는 데이터의 범주, 목적, 권리를 행사하고 이의를 제기하는 방법, 제3자에게 전달하는 데이터의 범주, 그 제3자의 범주가 나와야 합니다.

텍사스주는 두 가지 경우에 정확한 문구를 요구합니다. 민감한 데이터를 판매하는 경우 고지에 NOTICE: We may sell your sensitive personal data. 문장을 포함해야 합니다. 생체 데이터를 판매하는 경우 NOTICE: We may sell your biometric personal data.를 포함해야 합니다. 법에 따라 이 고지는 영어로 표시됩니다.

데이터를 판매하거나 타겟 광고를 하는 곳도 이를 분명하고 눈에 띄게 표시하고, 거부하는 방법을 함께 알려야 합니다. 거부하기 위해 새 계정을 만들도록 요구해서는 안 됩니다.

민감한 데이터는 동의가 있어야만 처리할 수 있습니다. 알려진 13세 미만 아동에게는 부모의 동의가 있는 연방법 COPPA가 적용됩니다.

권리, 옵트아웃, 평가

방문자의 권리, 브라우저를 통한 거부, 평가

텍사스 방문자는 회사가 자신의 데이터를 처리하는지 알고, 접근하고, 사본을 가져가고, 정정하고, 삭제하고, 타겟 광고, 판매, 일부 프로파일링을 거부할 수 있으며, 보복을 받지 않습니다. 회사는 45일 이내에 답하며 45일 더 연장할 수 있고, 요청이 거절된 사람에게 이의 제기 수단을 제공해야 합니다.

2025년 1월 1일부터 법은 방문자가 권한 있는 대리인으로 작동하는 브라우저나 기기의 전역 설정 같은 기술로 타겟 광고와 데이터 판매를 거부할 수 있게 합니다. 회사는 신원과 권한을 확인할 수 있을 때 이에 응해야 합니다. 법은 Global Privacy Control을 이름으로 언급하지 않지만, GPC는 이런 유형의 설정 중 가장 잘 알려진 예입니다.

실제로 가장 안전한 방법은 CMP가 GPC를 감지하고, 방문자를 거부로 표시하고, 첫 요청 전에 이 거부를 모든 광고 파트너에게 전달하는 것입니다.

회사는 타겟 광고, 데이터 판매, 민감한 데이터, 일부 프로파일링에 대한 데이터 보호 평가도 해야 합니다. 평가는 이익과 위험을 비교하며, 법무장관이 조사 과정에서 요구할 수 있습니다.

타임라인

텍사스 법의 주요 날짜

텍사스 법무장관 페이지와 공식 발표에서 확인된 날짜입니다.

  1. 2023

    법 통과

    텍사스가 상업 및 통상법 제541장에 들어가는 TDPSA를 통과시킵니다.

  2. 2024년 7월 1일

    시행

    권리, 필수 고지, 옵트아웃, 평가가 시행됩니다.

  3. 2025년 1월 1일

    브라우저를 통한 거부

    브라우저나 기기의 전역 설정을 통한 거부가 시행됩니다.

  4. 2025년 1월

    Allstate 소송

    법무장관이 고지와 동의 없이 위치 데이터를 사용한 혐의로 Allstate와 Arity를 고소합니다.

집행과 과태료

독점적 권한과 30일 기한을 가진 법무장관

텍사스 법무장관이 TDPSA를 집행할 독점적 권한을 갖습니다. 문서를 요구하고, 법원 명령을 신청하고, 과태료와 비용을 청구할 수 있습니다. 시민은 회사를 고소할 수 없지만 법무장관 사이트에 불만을 접수할 수 있습니다.

소송을 제기하기 전에 법무장관은 서면으로 알려야 합니다. 회사는 30일 안에 문제를 시정하고, 내부 정책 변경을 포함해 시정을 보여 주는 문서가 있는 서면 진술서를 보내야 합니다. 이 기한에는 종료 날짜가 없습니다.

기한 안에 시정하지 않거나 보낸 진술서를 지키지 않으면 위반 1건당 최대 US$7,500의 민사 과태료를 받을 수 있습니다.

2025년 1월 법무장관은 Allstate와 Arity가 민감한 데이터에 필요한 고지와 동의 없이 앱을 통해 운전자의 정밀한 위치를 수집하고 판매했다고 고발했습니다.

AdSense 및 Ad Manager

Google이 텍사스 방문자를 다루는 방식

IAB Tech Lab은 GPP 문자열에 텍사스 섹션이 있지만, Google은 AdSense가 허용하는 섹션 목록에 이를 포함하지 않습니다. 텍사스의 경우 Google은 US National 섹션을 읽습니다.

US National이 판매, 공유 또는 타겟 광고의 거부를 나타내면, Google은 제한된 데이터 처리인 RDP를 켜고 비맞춤 광고만 표시합니다.

AdSense와 Ad Manager의 미국 주 대상 개인정보 보호 메시지는 텍사스를 포함하며 선택을 US National 섹션에 기록합니다. 다른 CMP를 사용한다면 텍사스 방문자에게 US National을 보내는지, GPC가 켜져 있을 때 거부를 표시하는지 확인하세요.

또 다른 방법은 거부한 사람에 대해 광고 태그에서 직접, 예를 들어 GPT의 restrictDataProcessing으로 RDP를 켜는 것입니다. 거부는 헤더 입찰, 동영상, 픽셀에도 전달되어야 합니다.

실제 사례

텍사스에서 해도 되는 일과 안 되는 일

법을 준수하는 광고 사이트의 사례입니다.

허용

  • 눈에 띄는 거부 링크를 두고, 사전에 허락을 구하지 않고 성인에게 맞춤 광고 표시하기
  • GPC와 다른 전역 설정을 타겟 광고 거부로 처리하기
  • 거부를 GPP의 US National 섹션에 기록하기
  • 거부한 사람에게 맥락 광고 표시하기
  • 통지를 받은 후 30일 안에 결함을 고치고 서면 진술서 보내기

허용 안 됨

  • 소기업이어도 동의 없이 민감한 데이터 판매하기
  • 방침에 필수 고지 문구 없이 민감한 데이터 판매하기
  • 타겟 광고를 거부하려고 계정 생성 요구하기
  • 방문자가 배너를 클릭하지 않았다는 이유로 전역 거부 설정 무시하기
  • 고지와 동의 없이 앱으로 정밀한 위치 수집하기

흔한 오류

사이트들이 텍사스에서 자주 실수하는 부분

방문자 수 기준이 없다는 점이 많은 사람을 혼란스럽게 합니다.

방문자 수 찾기

회사가 텍사스에 없는 방문자 10만 명 기준을 찾고, SBA 기준으로 소기업인지는 확인하지 않습니다.

US National이 없는 주 섹션

CMP가 AdSense가 받지 않는 텍사스 섹션만 보내서 광고가 계속 맞춤으로 나갑니다.

무시되는 전역 설정

사이트가 GPC를 캘리포니아에서만 존중하고, 2025년부터 텍사스 법이 브라우저 전역 설정을 통한 거부를 규정한다는 점을 잊습니다.

요구되는 고지가 없는 방침

회사가 민감한 데이터를 판매하지만 방침에 필수 문구가 없습니다.

ConsentMode에서

감사가 TDPSA에 대해 확인하는 항목

  • 텍사스 방문자로 GPC를 껐을 때와 켰을 때 사이트를 열어 광고 요청을 비교합니다.
  • GPP 문자열을 읽어 US National 섹션이 있고 거부를 나타내는지 보여 줍니다.
  • 눈에 띄는 위치에서 거부 링크를 찾고, 회원 가입 없이 선택 화면으로 연결되는지 확인합니다.
  • CMP를 식별하고 광고 태그와 헤더 입찰 태그가 CMP의 응답을 기다리는지 확인합니다.
  • 개인정보 처리방침을 읽고 권리, 제3자, 타겟 광고, 민감한 데이터를 판매할 때의 필수 문구가 빠져 있는지 알려 줍니다.

텍사스 법에 관한 자주 묻는 질문

제 사이트는 작습니다. TDPSA가 저에게 적용되나요?

회사가 SBA 기준으로 소기업이라면 법의 대부분은 적용되지 않습니다. 예외는 민감한 데이터의 판매로, 모든 회사가 동의를 받아야 합니다. SBA 기준은 업종마다 다르므로 회계사나 변호사와 확인하는 것이 좋습니다.

텍사스에 동의 배너가 필요한가요?

성인 대상 맞춤 광고에는 필요하지 않습니다. 법은 옵트아웃을 요구합니다. 동의는 민감한 데이터에 필요합니다.

텍사스는 GPC를 존중하도록 의무화하나요?

2025년 1월 1일부터 법은 신원과 권한을 확인할 수 있을 때 브라우저나 기기의 전역 설정으로 보낸 거부를 처리하도록 요구합니다. 법은 GPC를 이름으로 언급하지 않지만 가장 잘 알려진 예이며, 존중하는 것이 가장 안전한 방법입니다.

텍사스에는 어떤 GPP 섹션을 보내야 하나요?

Google에는 US National입니다. 텍사스 섹션은 IAB 표준에 있지만 AdSense는 허용되는 섹션으로 나열하지 않습니다.

ConsentMode가 제가 소기업인지 알려 주나요?

아니요. 그것은 법률 및 회계 분석입니다. ConsentMode는 외부에서 사이트를 감사하고 링크, 신호, 방침이 갖춰져 있는지 보여 줍니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

텍사스의 거부가 광고에 도달하는지 확인하세요

감사는 GPC가 있을 때와 없을 때 텍사스 방문자로 사이트를 열어서, 아무것도 변경하지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기