가이드 · 미국

미국의 개인정보 보호: 광고 사이트가 알아야 할 것

미국에는 하나의 연방 개인정보 보호법이 없습니다. 각 주가 자체 법을 만들고 있으며, 거의 모두 옵트아웃 방식입니다. 광고는 나갈 수 있지만, 방문자에게는 거부할 권리가 있습니다. 이 가이드는 이 방식, 캘리포니아, GPC와 GPP 신호, 그리고 Google이 미국 주들을 처리하는 방식을 설명합니다.

지금 내 사이트 감사하기 가이드 읽기

✓캘리포니아, 콜로라도, 코네티컷, 버지니아의 공식 자료 기준
✓각 주 가이드 링크가 포함된 개요
✓사이트를 변경하지 않는 읽기

45일버지니아의 요청 응답 기한이며, 한 번 연장 가능

100,000캘리포니아 법의 기준 중 하나인 소비자 또는 가구 수

US$7,9882025년 캘리포니아에서 고의적 위반 1건당 최대 과태료

2023캘리포니아 이후 처음 시행된 주 법률의 시행 연도

개요

하나의 법이 아니라 조각보

미국에는 GDPR이나 LGPD 같은 일반 연방 개인정보 보호법이 없습니다. 연방 차원에서는 분야별, 대상별 법이 있습니다. 광고 사이트에 가장 중요한 것은 기만적이고 불공정한 관행을 금지하는 연방거래위원회법(FTC Act)과, 13세 미만 어린이의 데이터를 보호하는 COPPA입니다.

실제로는 개인정보처리방침이 사실을 말해야 한다는 뜻입니다. 사이트가 데이터를 공유하지 않는다고 하면서 광고 네트워크에 넘기면, FTC는 이를 기만적 관행으로 볼 수 있습니다. 그리고 콘텐츠가 어린이를 대상으로 한다면 맞춤 광고는 제외됩니다.

연방 차원이 남긴 빈자리는 주들이 채웠습니다. 캘리포니아가 CCPA로 길을 열었고, 2023년부터 점점 더 많은 주가 포괄적인 소비자 개인정보 보호법을 통과시켰습니다. 법마다 적용 기준, 기한, 세부 내용이 다르지만 거의 모두 같은 구조를 따릅니다.

체크리스트

꼭 지켜야 할 것

주마다 세부 내용은 다르지만, 대부분의 법과 Google 규칙에 공통으로 나오는 의무예요.

거부 경로를 쉽게 제공하기
타겟 광고를 하거나 데이터를 판매하는 곳은 방문자가 거부하는 방법을 명확하게 보여 줘야 해요. 캘리포니아에서는 링크를 홈페이지 헤더나 푸터에 두어요.
예시
모든 페이지 푸터: Do Not Sell or Share My Personal Information
GPC를 거부로 처리하기
캘리포니아, 2024년 7월 1일부터의 콜로라도, 2025년 1월 1일부터의 코네티컷은 Global Privacy Control을 거부 요청으로 받아들이도록 해요. 방문자가 아무것도 클릭하지 않아도 돼요.

거부를 Google에 전달하기

Google은 GPP string이나 태그 자체로 거부가 들어오면 제한된 데이터 처리인 RDP를 켜요. RDP가 켜지면 그 방문에는 비맞춤 광고만 나가요.

// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

완전한 개인정보처리방침 유지하기
버지니아, 유타, 콜로라도는 정책에 어떤 데이터를 처리하는지, 무엇을 위한 것인지, 어떤 유형의 제3자와 하는지, 방문자가 권리를 행사하는 방법을 밝히도록 해요.
예시
광고 파트너의 쿠키를 사용해 탐색 기록에 맞는 광고를 보여 줘요. 거부하려면 푸터의 Do Not Sell or Share My Personal Information 링크를 사용하세요.
민감 정보를 쓰기 전에 허락 받기
버지니아, 콜로라도, 코네티컷은 건강, 종교, 성적 지향 같은 데이터에 동의를 요구해요. 유타는 먼저 명확한 고지와 거부할 기회가 필요해요.
요청에 기한 안에 답하기
열람, 정정, 삭제 요청은 캘리포니아, 버지니아, 콜로라도, 코네티컷, 유타에서 45일 안에 답해야 하고, 45일을 더 연장할 수 있어요. 캘리포니아에서는 거부를 영업일 기준 15일 안에 처리해야 해요.
미성년자 챙기기
캘리포니아에서 16세 미만임을 아는 사람의 데이터를 판매하거나 공유하려면 사전 허가가 필요해요. 13세 미만은 부모의 허가가 필요해요.
광고 파트너 검토하기
AdSense와 Ad Manager의 개인 정보 보호 및 메시지에 있는 광고 파트너 검토 설정은 법이 있는 주에서 어떤 구매자가 광고를 게재할 수 있는지 정해요.
예시
개인 정보 보호 및 메시지 > 미국 주 규정 > 설정 아이콘 > 광고 파트너 검토

실제 사례

옳은 예와 틀린 예

틀린 예사이트에 거부 링크가 없거나, 링크가 개인정보처리방침만 열어요.
옳은 예Do Not Sell or Share My Personal Information 링크가 푸터에 있고, 사람이 실제로 거부할 수 있는 화면이 열려요.
틀린 예사이트가 GPC를 무시하고 광고 파트너에게 계속 데이터를 보내요.
옳은 예브라우저가 GPC를 보내면 사이트는 클릭을 요구하지 않고 그 방문을 이미 거부로 처리해요.
틀린 예사이트가 아무것도 묻지 않고 건강 데이터를 광고에 써요.
옳은 예건강 사이트가 방문자의 건강 상태 데이터를 쓰기 전에 허락을 구해요.
틀린 예정책이 일반적인 내용이고, 광고를 언급하지 않으며, 찾기 어려워요.
옳은 예정책에 데이터, 파트너, 권리, 거부 방법이 설명되어 있고 모든 페이지에 링크가 있어요.

공식 도구

인증 CMP와 공식 링크

Google은 미국 주에 대해 인증 CMP를 요구하지 않아요. GPP나 CMP 사용은 필수가 아니지만 방문자의 거부가 광고에 전달되어야 한다고 해요. 아래는 공식 경로예요.

주별 모델

옵트아웃: 광고는 나갈 수 있지만, 거부할 수 있습니다

유럽에서는 먼저 허락을 구하는 것이 기본입니다. 미국의 주에서는 허용하는 것이 기본이고, 방문자에게 쉽게 거부할 방법을 제공합니다.

타겟 광고

방문자는 다른 사이트와 앱에서의 행동을 바탕으로 한 광고에 자신의 데이터가 사용되는 것을 거부할 수 있습니다.

판매 또는 공유

방문자는 데이터 판매를 거부할 수 있습니다. 캘리포니아에서는 여기에 교차 맥락 행동 광고를 위한 공유도 포함됩니다.

민감한 데이터

건강, 인종, 종교, 성적 지향, 정확한 위치 정보는 추가로 보호됩니다. 여러 주에서 동의를 요구하며, 캘리포니아에서는 방문자가 사용을 제한할 수 있습니다.

브라우저의 자동 신호

캘리포니아, 콜로라도, 코네티컷 등은 Global Privacy Control 같은 브라우저가 보내는 옵트아웃 신호를 존중하도록 요구합니다.

캘리포니아

CCPA와 CPRA: 기준이 되는 법

캘리포니아 소비자 개인정보 보호법(CCPA)은 2020년 11월에 승인된 발의안 24, 즉 CPRA로 확대되었습니다. 캘리포니아에서 사업을 하는 영리 기업 중 다음 기준 중 하나 이상에 해당하는 곳에 적용됩니다.

매출

전년도 연간 총수익이 US$ 26,625,000 이상이며, 이 금액은 2025년 1월 1일부터 물가 상승을 반영해 조정되었습니다.

사람 수

캘리포니아 거주자 또는 가구 100,000명(가구) 이상의 데이터를 구매, 판매 또는 공유하는 경우입니다. 미국 트래픽이 많은 사이트는 여기에 도달할 수 있습니다.

데이터에서 나오는 수익

연간 수익의 50% 이상을 캘리포니아 거주자의 개인 데이터 판매 또는 공유에서 얻는 경우입니다.

옵트아웃 링크

판매하거나 공유하는 경우 명확한 링크가 필요하며, 보통 푸터에 Do Not Sell or Share My Personal Information, Your Privacy Choices 또는 Your California Privacy Choices라는 문구로 둡니다.

다른 주

포괄적인 법이 있는 주

캘리포니아 다음으로 시행된 법은 2023년 1월 1일의 버지니아, 2023년 7월 1일의 콜로라도와 코네티컷입니다. 그다음 유타가 더 간소한 법으로 이어졌습니다.

목록은 텍사스, 오리건, 몬태나, 아이오와, 델라웨어, 네브래스카, 뉴햄프셔, 뉴저지, 테네시, 미네소타, 메릴랜드로 이어졌습니다. 인디애나, 켄터키, 로드아일랜드의 법은 2026년 1월 1일부터 시행되었습니다.

기준은 주마다 다릅니다. 예를 들어 버지니아에서는 연간 100,000명 이상의 소비자 데이터를 처리하거나, 25,000명의 소비자 데이터를 처리하면서 수익의 절반 이상이 데이터 판매에서 나오는 경우에 법이 적용됩니다. 콜로라도에서는 소비자 100,000명 기준이거나, 25,000명 이상의 데이터 판매에서 수익이 나오는 경우입니다.

각 주마다 세부 내용이 다르기 때문에 ConsentMode에는 주요 주별 가이드가 따로 있습니다. 이 페이지는 전체 개요를 보여 줍니다. 실용적인 원칙은 가장 엄격한 모델에 맞춰 사이트를 한 번 설정하고, 법이 시행 중인 모든 주에 옵트아웃을 적용하는 것입니다.

권리

거의 모든 법에서 반복되는 권리

이름은 다르지만 권리의 구성은 주마다 아주 비슷합니다.

알고 접근하기

기업이 어떤 데이터를 갖고 있는지, 무엇에 쓰는지 묻습니다.

수정

잘못된 데이터의 정정을 요청하는 것입니다.

삭제

법에 정해진 일부 예외를 제외하고 데이터 삭제를 요청합니다.

이동성

다른 서비스로 옮길 수 있는 형식으로 데이터 사본을 받습니다.

거부(옵트아웃)

타겟 광고, 데이터 판매, 일부 유형의 프로파일링에 대해 거부합니다.

이의 제기

여러 주에서 기업의 거절 답변에 이의를 제기하고 재검토를 요청할 수 있습니다. 응답 기한은 짧습니다. 버지니아에서는 요청 처리에 45일이며, 한 번 연장할 수 있습니다.

신호

GPC와 GPP: 사이트가 이해해야 하는 두 가지 신호

Global Privacy Control(GPC)은 브라우저가 직접 보내는 신호로, Firefox, Brave, DuckDuckGo 같은 브라우저나 확장 프로그램에서 쓸 수 있습니다. 내 데이터를 판매하거나 공유하지 말라는 버튼처럼 작동합니다. 캘리포니아는 기업이 이 신호를 유효한 옵트아웃 요청으로 존중하도록 요구합니다.

콜로라도에서는 2024년 7월 1일부터 범용 옵트아웃 메커니즘 수용이 의무가 되었고, GPC가 주에서 가장 먼저 인정한 신호였습니다. 코네티컷에서는 2025년 1월 1일부터 의무입니다. 즉, GPC를 켠 방문자는 옵트아웃 링크를 클릭한 것처럼 처리해야 합니다.

Global Privacy Platform(GPP)은 다른 것입니다. IAB Tech Lab이 만든 형식으로, CMP가 방문자의 선택을 모든 광고 파트너에게 전달하는 데 쓰이며 미국 각 주를 위한 섹션이 있습니다. IAB가 2024년 1월에 중단한 예전 US Privacy 문자열을 대체합니다.

요약: GPC는 브라우저에서 오는 요청입니다. GPP는 방문자가 무엇을 선택했는지 CMP가 Google과 다른 네트워크에 알리는 방식입니다.

타임라인

미국 지도가 만들어진 과정

각 주의 공식 자료로 확인한 날짜입니다.

2020년 11월
캘리포니아 발의안 24
유권자들이 CCPA를 확대하고 주 개인정보 보호 기관(CPPA)을 만드는 CPRA를 승인합니다.
2023년 1월 1일
CPRA와 버지니아
캘리포니아의 새로운 보호 규정과 버지니아 법이 시행됩니다. Google이 제한된 데이터 처리를 주 법률로 확대합니다.
2023년 7월 1일
콜로라도와 코네티컷
두 법이 타겟 광고 옵트아웃 권리와 함께 시행됩니다.
2024년 1월
US Privacy 문자열 종료
IAB가 GPP를 위해 US Privacy 문자열을 중단합니다.
2024년 7월 1일
콜로라도의 범용 옵트아웃
기업이 GPC 같은 신호를 받아들여야 합니다.
2025년 1월 1일
코네티컷, 그리고 캘리포니아의 새 금액
코네티컷이 옵트아웃 신호 존중을 요구하기 시작합니다. 캘리포니아가 물가 상승을 반영해 기준과 과태료를 조정합니다.
2026년 1월 1일
인디애나, 켄터키, 로드아일랜드
세 개의 새로운 주 법률이 시행됩니다. 캘리포니아에서는 자동화된 결정, 위험 평가, 감사에 관한 규정이 시행됩니다.

AdSense 및 Ad Manager

Google이 미국 주를 처리하는 방식

Google은 CCPA를 위해 만든 제한된 데이터 처리(RDP)를 2019년부터 제공했고, 2023년 1월에 주 법률로 확대했습니다. RDP가 켜지면 Google은 식별자 사용을 제한하고, 그 방문에는 맞춤 설정이 아닌 광고만 게재합니다.

RDP는 세 가지 방법으로 켤 수 있습니다. GPP 신호를 보내는 CMP를 통해, 사이트 태그의 광고 요청마다 설정해서, 또는 개인 정보 보호 및 메시지 설정에서 해당 주의 모든 트래픽에 대해 켜는 방법입니다. 요청별 설정은 푸터의 옵트아웃 링크와 잘 맞습니다.

AdSense와 Ad Manager에는 미국 주 규정 아래에 광고 파트너 검토 제어 기능도 있어서, 이 주의 사용자에게 광고를 게재할 수 있는 구매자를 선택할 수 있습니다. Google은 US Privacy 문자열에서 GPP로 옮길 것을 권장하지만, 호환성을 위해 예전 문자열도 여전히 읽습니다.

유럽과 달리 Google은 미국에 대해 인증된 CMP를 요구하지 않습니다. 하지만 게시자는 여전히 주 법률이 요구하는 옵트아웃을 제공하고 개인정보처리방침을 올바르게 유지할 책임이 있습니다.

해야 할 일

미국 트래픽이 있는 사이트 설정 방법

주별 트래픽 측정하기Analytics에서 캘리포니아와 법이 있는 다른 주에서 온 방문자가 얼마나 되는지 확인하세요. 사이트가 어떤 기준에 도달할 수 있는지 알 수 있습니다.
개인정보 처리방침 업데이트광고가 어떤 데이터를 쓰는지, 어떤 파트너가 받는지, 방문자에게 어떤 권리가 있고 어떻게 행사하는지를 해당하는 주 법률을 인용하며 설명하세요.
푸터에 옵트아웃 링크 두기Do Not Sell or Share My Personal Information이나 Your Privacy Choices 같은 인정되는 문구를 사용하고, 실제로 작동하는 페이지나 메시지로 연결하세요.
GPC 존중하기CMP나 사이트가 GPC 신호를 방문자에게 추가로 요청하지 않고 자동 옵트아웃으로 처리하도록 설정하세요.
선택을 Google에 전달하기CMP를 통한 GPP, 요청별 RDP, 또는 개인 정보 보호 및 메시지의 미국 주 메시지를 사용하세요.
파트너 검토하기AdSense나 Ad Manager의 미국 주 규정에서 어떤 파트너가 이 주들에서 광고를 게재할 수 있는지 확인하세요.

실제 사례

미국 방문자에게 해도 되는 것과 안 되는 것

주 법률의 옵트아웃 모델에 기반한 예시입니다.

허용

기본적으로 맞춤 광고를 표시하되 명확한 옵트아웃 제공하기
모든 페이지의 푸터에 Your Privacy Choices 링크 사용하기
옵트아웃한 사람이나 법이 있는 주에 대해서만 Google RDP 켜기
배너를 띄우지 않고 GPC를 옵트아웃으로 처리하기
법이 있는 모든 주에 같은 옵트아웃 페이지 사용하기
GPP 문자열로 선택을 파트너에게 전달하기

허용 안 됨

실제로 아무 동작도 없는 페이지로 연결되는 옵트아웃 링크
옵트아웃하려면 방문자에게 가입이나 로그인을 요구하기
캘리포니아 방문자의 GPC 신호 무시하기
옵트아웃 이후에도 리마케팅을 위한 데이터를 계속 보내기
미국 방문자에게 유럽의 TCF 메시지 보여 주기
13세 미만 어린이를 위한 콘텐츠에 맞춤 광고 타겟팅하기

ConsentMode에서

미국 방문자에 대해 감사에서 확인하는 항목

캘리포니아 방문자로 사이트에 접속해서 옵트아웃 링크가 나타나는지, 어디로 연결되는지 캡처 화면으로 보여 줍니다.
GPC 신호를 켠 상태로 다시 방문해서 사이트와 태그의 동작이 바뀌는지 확인합니다.
페이지 코드에서 GPP 또는 예전 US Privacy 문자열을 읽고 CMP를 식별합니다.
옵트아웃 이후 광고 요청에 제한된 처리 신호가 담겨 있는지 확인합니다.
개인정보처리방침을 읽고 권리, 파트너, 주 법률이 빠져 있는지 알려 줍니다.

감사 실행하기 확인하는 항목 모두 보기

불완전한 미국 옵트아웃개인 정보 보호 · 캘리포니아 방문자

중대

✓푸터의 Your Privacy Choices 링크정상

✕GPC가 옵트아웃으로 존중됨없음

!아직 US Privacy 문자열 사용 중검토 필요

✕옵트아웃 이후 요청에 RDP 적용됨없음

✓방침에 소비자의 권리가 언급됨정상

해결 방법: CMP에서 GPC와 GPP 지원을 켜고, 옵트아웃한 사람에 대해 제한된 데이터 처리를 켜세요.

미국 법률에 대한 자주 묻는 질문

제 사이트는 브라질 사이트입니다. 미국 법이 저에게 적용되나요?

적용될 수 있습니다. 사이트가 해당 주 거주자를 상대로 사업을 하고, 캘리포니아 방문자 수 같은 법의 기준에 도달하는 경우입니다. 법마다 기준이 다릅니다. 확실하지 않다면 옵트아웃을 제공하고 GPC를 존중하는 것이 간단하고 안전한 설정입니다.

미국에도 쿠키 배너가 필요한가요?

원칙적으로 유럽 방식의 배너는 필요하지 않습니다. 미국 모델은 옵트아웃 링크와 개인정보처리방침의 투명성을 요구합니다. 민감한 데이터에 대해서는 일부 주에서 동의를 요구합니다.

RDP를 켜면 수익은 어떻게 되나요?

RDP를 켠 방문에는 맞춤 설정이 아닌 광고만 나오며, 보통 단가가 더 낮습니다. 그래서 전 세계 모든 트래픽이 아니라 옵트아웃한 사람에 대해서만 RDP를 켜는 것이 좋습니다.

GPC와 GPP는 무엇이 다른가요?

GPC는 방문자의 브라우저가 내 데이터를 판매하지 말라고 보내는 신호입니다. GPP는 CMP가 방문자의 선택을 광고 네트워크에 전달할 때 쓰는 형식입니다.

캘리포니아의 과태료는 얼마인가요?

2025년 1월 1일부터 위반 1건당 최대 US$ 2,663이며, 고의적이거나 16세 미만 미성년자와 관련된 위반은 1건당 최대 US$ 7,988입니다. 다른 주 법률은 고유한 금액이 있으며, 예를 들어 버지니아는 위반 1건당 최대 US$ 7,500입니다.

각 주의 자세한 내용은 어디서 찾을 수 있나요?

ConsentMode에는 주요 주별 가이드가 따로 있습니다. 이 페이지는 공통점과 Google에서 달라지는 점을 요약합니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

미국 방문자처럼 내 사이트의 옵트아웃을 테스트해 보세요

감사는 옵트아웃 링크, GPC, GPP, Google로 전송되는 신호를 확인하고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기

미국의 개인정보 보호: 광고 사이트가 알아야 할 것

하나의 법이 아니라 조각보

꼭 지켜야 할 것

거부 경로를 쉽게 제공하기

GPC를 거부로 처리하기

거부를 Google에 전달하기

완전한 개인정보처리방침 유지하기

민감 정보를 쓰기 전에 허락 받기

요청에 기한 안에 답하기

미성년자 챙기기

광고 파트너 검토하기