워크스페이스 열기

가이드 · 미국 주법

UCPA: 광고가 있는 사이트를 위한 유타 법 설명

유타는 미국에서 가장 가벼운 주 개인정보 보호법 중 하나를 갖고 있으며 규모가 큰 회사에만 적용됩니다. 그래도 적용되는 곳은 타겟 광고를 설명하고 간단한 거부 방법을 제공해야 합니다. 법이 언제 내 사이트에 적용되는지, Google이 신호로 무엇을 하는지 알아보세요.

유타 대상으로 내 사이트 감사하기가이드 읽기
  • ✓유타 법전의 공식 조문을 기반으로 합니다
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
US$2,500만법이 적용되려면 필요한 최소 연간 매출로, 소비자 수 기준과 함께 충족해야 합니다
100,000연간 유타 소비자 수로, 매출 기준을 넘는 기업에 적용되는 규모 기준
30일법무장관의 서면 통지 후 결함을 시정할 수 있는 기간
US$7,500위반 1건당 최대 과태료이며, 소비자의 실제 손해는 별도입니다

정의

작은 기업에 부담이 되지 않도록 설계된 간소한 법

Utah Consumer Privacy Act, 즉 UCPA는 유타 법전 Title 13, 61장에 있습니다. 2022년에 통과되어 2023년 12월 31일부터 시행되었습니다.

UCPA는 버지니아 법의 구조를 따르지만 더 가볍습니다. 데이터 보호 평가를 요구하지 않고, 사이트가 브라우저의 자동 신호를 존중하도록 의무화하지 않으며, 민감한 데이터를 사전 동의 대신 고지와 거부 선택으로 처리할 수 있게 합니다.

또한 이 그룹의 법 중 최소 매출을 요구하는 유일한 법입니다. 회사는 연간 매출이 최소 US$2,500만이고 유타 소비자 수도 상당할 때만 적용됩니다.

적용되는 곳에서도 핵심 규칙은 같습니다. 사이트는 타겟 광고를 한다고 알려야 하고 방문자가 거부할 수 있는 분명한 경로를 제공해야 합니다.

체크리스트

꼭 지켜야 할 것

연간 매출이 2,500만 달러 이상이면서 데이터 양 기준 중 하나도 넘는 곳에만 적용돼요.

  1. 거부 방법을 분명하게 보여 주기

    데이터를 판매하거나 타겟 광고를 하는 곳은 방문자가 거부하는 방법을 명확하고 눈에 띄게 보여 줘야 해요. 법은 링크 문구를 정하지 않아요.

    예시

    푸터: Do Not Sell or Share My Personal Information

  2. 명확한 개인정보 고지 게시하기

    고지에는 데이터 범주, 목적, 권리 행사 방법, 제3자에게 제공하는 데이터, 제3자의 유형이 있어요.

    예시

    광고를 보여 주려고 탐색 데이터를 사용해요. 이 데이터를 광고 네트워크와 공유해요. 거부하려면 푸터의 링크를 사용하세요.

  3. 민감 정보를 쓰기 전에 알리기

    민감 정보를 처리하기 전에 사이트는 명확한 고지와 거부할 기회를 줘요. 알려진 아동에게는 COPPA 법이 적용돼요.

  4. 45일 안에 답하기

    요청에는 45일 안에 답해요. 45일이 더 필요하면 사이트는 방문자에게 알리고 얼마나 더 걸릴지 말해요.

  5. 정정 요청에 응하기

    2026년 7월 1일부터 방문자는 잘못된 데이터의 정정도 요청할 수 있어요.

  6. Google에는 US National 섹션 사용하기

    Google은 GPP string의 유타 섹션을 받아들이지 않아요. 유타에서는 CMP가 US National을 보내거나, 사이트가 태그에서 바로 RDP를 켜야 해요.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  7. 통지를 받으면 빨리 고치기

    검찰총장이 서면으로 알리고 30일 안에 고치라고 해요. 위반이 계속되면 위반 1건당 최대 7,500달러의 과태료가 붙어요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 유타에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지는 유타를 포함하고 선택을 US National 섹션에 기록해요. 아래는 공식 링크예요.

적용 대상

매출과 규모, 둘 다 동시에

이 법은 유타에서 사업을 하거나 주민에게 제품과 서비스를 제공하면서, 매출 조건과 규모 조건 중 하나를 충족하는 곳에 적용됩니다.

매출 US$2,500만

연간 매출 US$2,500만 이상입니다. 이 조건이 없으면 트래픽이 아무리 많아도 법은 적용되지 않습니다.

소비자 10만 명

매출 외에도, 한 역년에 유타 소비자 10만 명 이상의 데이터를 관리하거나 처리합니다.

또는 25,000명과 데이터 판매

또는 소비자 2만 5천 명의 데이터를 처리하고 총수익의 50% 넘게 개인정보 판매에서 얻습니다.

대상에서 제외되는 곳

공공 기관, 비영리 단체, 고등 교육 기관, 연방 금융법 및 의료법의 적용을 받는 데이터입니다.

용어

광고를 파는 사람에게 중요한 용어

유타는 버지니아와 비슷한 좁은 정의를 사용합니다.

개인정보

식별되었거나 식별 가능한 개인에게 연결되었거나 합리적으로 연결될 수 있는 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종적 또는 민족적 출신, 종교, 성적 지향, 이민 신분, 의료 및 건강 이력, 유전·생체 데이터, 정밀한 위치 정보입니다.

판매

개인정보를 돈을 받고 제3자와 교환하는 것입니다. 버지니아와 마찬가지로 금전 지급만 해당합니다.

타겟 광고

시간이 지나면서 다른 회사의 사이트와 앱에서 한 사람의 활동 데이터를 바탕으로 선택한 광고입니다. 맥락 광고는 포함되지 않습니다.

권리

유타 방문자가 요청할 수 있는 것

회사는 45일 안에 답해야 하며 연장할 수 있습니다. 권리 목록은 다른 주보다 짧습니다.

접근

회사가 자신의 데이터를 처리하는지 확인하고 그 데이터에 접근하는 것입니다.

삭제와 이동성

본인이 직접 제공한 데이터를 삭제하고, 다른 서비스로 가져갈 수 있는 형식의 사본을 받는 것입니다.

2026년 7월 1일부터 정정

2025년에 통과된 개정으로 원래 법에는 없던 잘못된 데이터의 정정을 요청할 권리가 추가되었습니다.

옵트아웃

타겟 광고와 개인정보 판매에 데이터를 사용하는 것을 거부하는 것입니다.

사이트의 의무

개인정보 고지, 거부, 민감한 데이터

회사는 접근하기 쉽고 분명한 개인정보 고지가 필요합니다. 처리하는 데이터의 범주, 목적, 권리를 행사하는 방법, 제3자에게 전달하는 데이터의 범주, 그 제3자의 범주가 나열되어야 합니다.

사이트가 데이터를 판매하거나 타겟 광고를 한다면, 방문자가 거부할 수 있는 방법을 분명하고 눈에 띄게 보여 주어야 합니다. 법은 링크 문구를 정하지 않지만 푸터처럼 찾기 쉬워야 합니다.

민감한 데이터는 분명한 고지와 거부할 기회를 준 후에만 처리할 수 있습니다. 알려진 아동의 데이터에는 부모의 동의가 있는 연방법 COPPA가 적용됩니다.

유타는 사이트가 Global Privacy Control이나 다른 브라우저 자동 신호를 존중하도록 요구하지 않으며, 데이터 보호 평가도 요구하지 않습니다. 그렇다고 회사가 자발적으로 GPC를 존중하는 것을 막지는 않으며, 그렇게 하면 여러 주에서의 운영이 단순해집니다.

타임라인

유타 법의 주요 날짜

UCPA는 시행된 이후 거의 바뀌지 않았습니다.

  1. 2022

    법 통과

    유타가 포괄적인 소비자 개인정보 보호법 SB 227을 통과시킵니다.

  2. 2023년 12월 31일

    시행

    권리, 개인정보 고지, 타겟 광고와 판매 옵트아웃이 시행됩니다.

  3. 2025

    개정 통과

    유타 의회가 정정 권리의 추가를 승인합니다.

  4. 2026년 7월 1일

    정정권 시행 중

    방문자가 잘못된 데이터의 정정을 요청할 수 있게 됩니다.

집행과 과태료

주 법무장관, 소비자 보호 부서, 30일의 시정 기간

유타주 법무장관만이 이 법을 집행할 권한을 가집니다. 주 소비자 보호 부서가 민원을 접수하고 조사한 뒤, 사건을 법무장관에게 넘길 수 있습니다. 개인은 UCPA를 근거로 기업을 고소할 수 없습니다.

소송을 제기하기 전에 법무장관은 최소 30일 전에 서면으로 통지해야 하며, 문제점을 하나하나 짚어야 합니다. 기업이 이 기간 안에 문제를 고치고, 고쳤으며 같은 일을 반복하지 않겠다는 서면 진술서를 보내면 소송은 진행되지 않습니다. 이 시정 기간에는 종료일이 없습니다.

문제가 계속되거나 반복되면 법무장관은 소비자의 실제 손해액과 위반 1건당 최대 US$ 7,500의 과태료를 청구할 수 있습니다.

실제로 30일의 기간은 두 번째 기회를 주지만, 통지서를 읽고 빠르게 고치는 경우에만 해당됩니다. 처음부터 고지문과 거부 기능을 제대로 갖춰 두면 이런 문제를 피할 수 있습니다.

AdSense 및 Ad Manager

Google이 유타주 방문자를 처리하는 방식

IAB Tech Lab은 GPP 문자열에 유타주 전용 섹션을 만들었지만, Google은 이를 지원하지 않습니다. AdSense 고객센터 페이지에서도 유타주 섹션을 지원되지 않는 문자열로 안내합니다.

유타주의 경우 Google은 US National 섹션을 읽습니다. 이 섹션에 판매, 공유 또는 타겟 광고 거부가 표시되어 있으면, Google은 제한된 데이터 처리인 RDP를 켜고 맞춤 설정이 아닌 광고만 표시합니다.

AdSense와 Ad Manager의 미국 주별 개인 정보 보호 메시지에는 유타주가 포함되어 있으며, 방문자의 선택을 US National 섹션에 저장합니다. 다른 CMP를 사용한다면, 주 섹션뿐 아니라 유타주 방문자에게도 US National 섹션을 보내는지 확인하세요.

또 다른 방법은 거부한 방문자에 대해 광고 태그에서 직접 RDP를 켜는 것입니다. 예를 들어 GPT에서 restrictDataProcessing을 사용할 수 있습니다. 헤더 비딩, 동영상, 픽셀 파트너에게도 거부 사실을 꼭 전달하세요.

실제 사례

유타주에서 해도 되는 것과 안 되는 것

법의 기준치를 넘는 광고 사이트의 예시입니다.

허용

  • 사전 허락 없이 맞춤 광고를 표시하되, 눈에 잘 보이는 거부 링크를 제공하기
  • 유타주 방문자의 거부 선택을 GPP의 US National 섹션에 기록하기
  • 의무가 아니더라도 자발적으로 GPC를 존중하기
  • 명확한 고지와 거부 옵션을 제공한 뒤 민감한 데이터를 처리하기
  • 거부한 사람에게 맥락 광고 표시하기

허용 안 됨

  • 유타주 섹션만 보내 놓고 Google이 읽어 줄 것이라고 생각하기
  • 거부 방법을 개인정보처리방침 중간에 숨겨 두기
  • 고지도 거부 기회도 없이 건강 정보나 정확한 위치 정보를 처리하기
  • 법무장관의 통지를 무시해서 30일의 기간을 놓치기
  • 2026년 7월 이후에 잘못된 데이터의 정정을 거부하기

흔한 오류

사이트들이 유타주에서 자주 실수하는 부분

법 자체는 단순하지만, 기술적인 부분에서 자주 문제가 생깁니다.

잘못된 GPP 섹션

CMP가 Google이 지원하지 않는 유타주 섹션만 보내서, 광고 요청이 RDP 없이 그대로 나갑니다.

광고 내용이 없는 방침

방침에 쿠키는 나오지만, 타겟 광고가 있다는 점과 거부하는 방법은 나오지 않습니다.

유타주는 중요하지 않다고 생각함

기업의 매출이 US$ 2,500만을 넘고 유타주 방문자가 10만 명을 넘는데도 거부 기능을 전혀 제공하지 않습니다.

오래된 권리 안내

방침에 2026년 7월 1일부터 적용되는 정정권이 언급되어 있지 않습니다.

ConsentMode에서

UCPA와 관련해 감사에서 확인하는 항목

  • 유타주 방문자로 사이트에 접속해서, 타겟 광고 거부 링크가 눈에 띄는 곳에 있는지 찾아봅니다.
  • 광고 요청에 담긴 GPP 문자열을 읽고, Google이 유타주에 대해 읽는 섹션인 US National 섹션이 들어 있는지 보여 줍니다.
  • CMP를 식별하고, 광고 요청과 헤더 비딩 요청이 나가기 전에 거부 선택이 문자열을 바꾸는지 확인합니다.
  • 사이트가 GPC를 존중하는지 기록합니다. 유타주에서는 요구되지 않지만 다른 주에서는 요구됩니다.
  • 개인정보처리방침을 읽고, 목적, 제3자, 권리, 거부 방법이 빠져 있는지 알려 줍니다.
감사 실행하기확인하는 항목 모두 보기

유타주 법에 대한 자주 묻는 질문

제 사이트 매출이 US$ 2,500만 미만입니다. UCPA가 적용되나요?

아니요. 이 법은 연 매출이 최소 US$ 2,500만이면서 소비자 수 기준 중 하나도 넘는 기업에만 적용됩니다. 그래도 광고 파트너가 거부 신호를 요구할 수 있습니다.

유타주에서 GPC를 존중해야 하나요?

UCPA에서는 의무가 아닙니다. 하지만 캘리포니아, 콜로라도, 코네티컷, 오리건 같은 주에서는 요구하기 때문에, 많은 사이트가 의무가 아니어도 GPC를 존중합니다.

민감한 데이터에는 동의가 필요한가요?

유타주는 처리 전에 명확한 고지와 거부 기회를 요구하며, 사전 동의는 요구하지 않습니다. 어린이의 경우 연방법인 COPPA가 적용됩니다.

유타주에는 어떤 GPP 섹션을 보내야 하나요?

Google 기준으로는 US National입니다. AdSense는 유타주 섹션을 지원하지 않는다고 안내합니다.

ConsentMode가 제 CMP를 설정해 주나요?

아니요. ConsentMode는 CMP가 아니며 사이트를 수정하지 않습니다. 어떤 섹션이 전송되고 있는지, 무엇을 조정해야 하는지 보여 줍니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

Google이 내 거부 선택을 읽고 있는지 확인해 보세요

감사는 유타주 방문자로 사이트에 접속해서, 아무것도 바꾸지 않고 광고로 전송되는 문자열을 보여 줍니다.

감사 시작하기