소비자 10만 명
한 역년에 버지니아 소비자 최소 100,000명의 개인 데이터를 관리하거나 처리합니다. 광고 쿠키가 있는 사이트의 방문자도 포함됩니다.
가이드 · 미국 주법
버지니아는 미국에서 두 번째로 포괄적인 개인정보 보호법을 통과시킨 주이며, 다른 많은 주의 모델이 되었습니다. 이 법이 언제 내 사이트에 적용되는지, 법이 타겟 광고를 무엇으로 보는지, 방문자가 무엇을 거부할 수 있는지 알아보세요.
정의
Virginia Consumer Data Protection Act, 즉 VCDPA는 버지니아 법전 59.1-575조부터 59.1-584조까지에 있습니다. 2021년에 통과되었고, 캘리포니아에서 CPRA 변경 사항이 시행된 날과 같은 2023년 1월 1일부터 시행되었습니다.
캘리포니아 법과 달리 VCDPA는 유럽 GDPR과 비슷한 더 간결한 구조로 만들어졌습니다. 컨트롤러, 프로세서, 데이터 보호 평가, 민감 정보에 대한 동의입니다. 콜로라도, 코네티컷, 유타, 텍사스, 오리건 같은 주들이 이 설계의 상당 부분을 가져갔습니다.
광고 사이트에 실제로 미치는 영향은 이렇습니다. 법이 내게 적용된다면 버지니아 방문자는 타겟 광고를 거부할 수 있고, 개인정보처리방침은 그 방법을 설명해야 합니다.
이 법은 광고에 대해 옵트아웃 방식으로 작동합니다. 즉, 성인에게 맞춤 광고를 보여 주기 전에 허락을 구할 필요가 없습니다. 사전 허락은 민감 정보에만 요구됩니다.
체크리스트
버지니아 법의 기준 중 하나를 넘는 곳에 적용돼요.
사이트가 타겟 광고를 하거나 데이터를 판매한다면, 거부 방법과 함께 이를 명확하고 눈에 띄게 알려야 해요. 법은 링크 문구를 정하지 않아요.
푸터: Your Privacy Choices, 타겟 광고 거부 화면으로 연결
고지에는 데이터 범주, 목적, 권리 행사와 이의 신청 방법, 제3자에게 제공하는 데이터, 제3자 유형이 있어요.
데이터 범주: 쿠키 식별자와 탐색 데이터. 목적: 광고 표시와 측정. 제3자: 광고 네트워크.
권리를 행사하는 경로는 안전하고 믿을 수 있어야 하며, 방문자에게 계정을 만들라고 요구하면 안 돼요.
민감 정보는 동의가 있어야만 처리할 수 있어요. 알려진 아동은 COPPA 형식의 부모 동의가 적용되고, 법은 정확한 위치의 판매를 금지해요.
답변은 45일 안에 나가고 한 번 45일 더 연장할 수 있으며, 연 2회까지 무료예요. 이의 신청은 60일 안에 답하고, 검찰총장에게 신고하는 경로를 알려 줘요.
타겟 광고, 데이터 판매, 위험한 프로파일링, 민감 정보에는 2023년 1월 1일 이후에 만든 활동에 대해 문서화된 평가가 필요해요.
사이트는 법의 권리를 행사한 사람에게 서비스를 거부하거나 다른 가격을 청구할 수 없어요.
GPP string의 버지니아 섹션이나 US National에서 판매나 타겟 광고 거부가 들어오면 RDP가 켜져요. Google의 미국 주 메시지도 버지니아를 포함해요.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});실제 사례
공식 도구
Google은 버지니아에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지, GPP를 생성하는 CMP, 태그의 RDP 중 하나를 쓰세요. 아래는 공식 링크예요.
적용 대상
VCDPA는 버지니아에서 사업을 하거나 주민에게 제품과 서비스를 제공하면서 1년 동안 아래 기준 중 하나에 해당하는 사람에게 적용됩니다. 매출 기준은 없습니다. 트래픽이 많은 소규모 기업도 해당될 수 있습니다.
한 역년에 버지니아 소비자 최소 100,000명의 개인 데이터를 관리하거나 처리합니다. 광고 쿠키가 있는 사이트의 방문자도 포함됩니다.
소비자 최소 25,000명의 데이터를 처리하면서 총수익의 50% 넘게를 개인 데이터 판매에서 얻습니다.
공공 기관, 비영리 단체, 대학, 연방법 GLBA의 적용을 받는 금융 기관, HIPAA의 적용을 받는 의료 기관입니다.
이 법은 개인적 또는 가정적 맥락에서 행동하는 주민을 보호합니다. 직원과 비즈니스 연락처의 데이터는 제외됩니다.
용어
VCDPA는 각 개념을 캘리포니아보다 좁게 정의하며, 이는 결과를 크게 바꿉니다.
식별되었거나 식별 가능한 사람과 연결되었거나 합리적으로 연결될 수 있는 모든 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.
인종 또는 민족적 출신, 종교, 건강 진단, 성적 지향, 이민 상태, 유전 및 생체 데이터, 알려진 어린이의 데이터, 반경 1,750피트(약 530미터) 이내의 정확한 위치 정보입니다.
제3자와 돈을 받고 개인 데이터를 교환하는 것입니다. 버지니아는 다른 종류의 가치까지 포함하는 주들과 달리 금전 지급만 인정합니다.
다른 회사의 사이트와 앱에서 시간에 따른 사람의 활동 데이터를 바탕으로 선택된 광고입니다. 맥락 광고나 해당 사이트만을 기준으로 한 광고는 포함되지 않습니다.
권리
기업은 45일 이내에 응답해야 하며, 한 번 45일을 더 연장할 수 있습니다. 연 2건까지의 요청은 무료이고, 요청이 거부된 사람은 이의를 제기할 수 있습니다.
기업이 자신의 데이터를 처리하는지 확인하고, 그 데이터를 보고, 다른 서비스로 옮길 수 있는 형식으로 사본을 받습니다.
잘못된 데이터를 정정하고, 자신이 제공했거나 자신에 대해 얻은 데이터의 삭제를 요청합니다.
타겟 광고, 데이터 판매, 법적 효과나 그에 준하는 중요한 효과를 가진 결정에 쓰이는 프로파일링을 거부합니다.
거절에 이의를 제기합니다. 기업은 이의 제기에 60일 이내에 응답해야 하며, 다시 거절하는 경우 법무장관에게 민원을 제기하는 방법을 알려야 합니다.
사이트의 의무
기업에는 명확하고 접근하기 쉬운 개인정보 고지가 있어야 합니다. 여기에는 처리하는 데이터의 범주, 목적, 권리 행사 및 이의 제기 방법, 제3자에게 전달하는 데이터의 범주, 그 제3자의 범주가 나열되어야 합니다.
사이트가 타겟 광고를 하거나 데이터를 판매한다면, 이 사실이 거부하는 방법과 함께 명확하고 눈에 띄게 적혀 있어야 합니다. 법은 링크의 정확한 문구를 정하지 않지만, 경로는 안전하고 신뢰할 수 있어야 하며 새 계정을 만들도록 요구해서는 안 됩니다.
민감 정보는 동의가 있어야만 처리할 수 있습니다. 알려진 어린이, 즉 13세 미만은 연방법 COPPA 방식의 부모 동의가 적용됩니다. 이 법은 또한 정확한 위치 정보의 판매를 금지하며, 부모의 동의 없이 알려진 어린이의 데이터를 타겟 광고나 판매에 쓰는 것도 금지합니다.
VCDPA는 사이트가 Global Privacy Control 같은 브라우저의 자동 신호를 존중하도록 요구하지 않습니다. 그래도 다른 주에서 요구하고 전국적인 하나의 규칙이 유지하기 더 쉽기 때문에, 많은 사이트가 GPC를 존중합니다.
타임라인
VCDPA는 시행된 후로 거의 바뀌지 않았습니다. 변경은 주로 어린이와 청소년에 관한 것이었습니다.
버지니아는 포괄적인 소비자 개인정보 보호법을 가진 두 번째 주가 됩니다.
권리, 타겟 광고 옵트아웃, 데이터 보호 평가가 시행됩니다.
개정으로 타겟 광고와 정확한 위치 정보에 대한 제한처럼, 알려진 어린이의 데이터에 대한 보호가 확대됩니다.
개정으로 16세 미만 사용자가 있는 소셜 미디어 플랫폼에 일일 사용 제한 같은 규정이 생깁니다. 블로그나 포털을 대상으로 하지 않습니다.
평가, 집행, 과태료
적용 대상 기업은 타겟 광고, 데이터 판매, 위험 프로파일링, 민감 정보, 그 밖의 고위험 처리에 대한 데이터 보호 평가를 작성해 보관해야 합니다. 평가는 소비자에 대한 이익과 위험을 비교하며, 2023년 1월 1일 이후 만들어진 활동에 적용됩니다. 법무장관은 조사 중에 이를 요청할 수 있고, 평가는 공개로부터 보호됩니다.
버지니아 법무장관만이 이 법을 집행합니다. 개인은 VCDPA를 근거로 기업을 고소할 수 없습니다.
소송을 제기하기 전에 법무장관은 서면으로 통지해야 합니다. 기업은 30일 안에 문제를 고치고, 고쳤으며 같은 일을 반복하지 않겠다는 진술서를 보낼 수 있습니다. 다른 주와 달리 이 시정 기간에는 종료일이 없습니다.
기업이 고치지 않거나 다시 어기면 민사 과태료는 위반 1건당 최대 US$ 7,500이며, 비용과 변호사 비용도 추가됩니다. 영향을 받은 방문자를 각각 따로 셀 수 있기 때문에, 단순한 실수라도 금액이 커질 수 있습니다.
AdSense 및 Ad Manager
AdSense와 Ad Manager는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 읽습니다. 버지니아에 대해 Google은 주 전용 섹션과 US National 섹션을 지원합니다. 방문자가 판매나 타겟 광고를 거부하면 Google은 제한된 데이터 처리인 RDP를 켜고 맞춤 설정이 아닌 광고만 표시합니다.
버지니아 섹션에서 Google은 알려진 어린이의 민감 정보에 대한 동의 필드도 읽고, 필요할 때 어린이 처리를 적용합니다.
AdSense와 Ad Manager의 미국 주별 개인 정보 보호 메시지에는 버지니아가 포함됩니다. 거부 링크를 표시하고 선택을 GPP에 기록합니다. 또 다른 방법은 사이트 자체 링크로 거부한 사람에 대해 광고 태그에서 직접 RDP를 켜는 것입니다.
헤더 비딩, 동영상, 픽셀, 다른 회사의 위젯도 데이터를 받는다는 점을 기억하세요. 거부는 Google뿐 아니라 이 모두에게 전달되어야 합니다.
실제 사례
버지니아 방문자가 있는 광고 사이트의 일상적인 예시입니다.
흔한 오류
이 법은 캘리포니아 법보다 단순하지만 같은 문제가 나타납니다.
사이트가 캘리포니아에만 옵트아웃 메시지를 보여 주고 버지니아와 비슷한 법이 있는 다른 주는 잊어버립니다.
방침에 쿠키는 나오지만 데이터가 타겟 광고에 쓰인다는 점과 거부하는 방법은 나오지 않습니다.
방문자가 거부를 클릭해도 GPP 문자열이 만들어지지 않고, 광고 요청은 RDP 없이 그대로 나갑니다.
기업이 기준을 넘고 타겟 광고를 하는데도 서면 데이터 보호 평가가 하나도 없습니다.
ConsentMode에서
성인 대상 맞춤 광고에는 필요하지 않습니다. 이 법은 사전 허락이 아니라 옵트아웃을 요구합니다. 동의는 건강 정보와 정확한 위치 정보 같은 민감 정보에만 필요합니다.
버지니아는 금전과의 교환만 판매로 봅니다. 판매가 아니더라도, 다른 사이트에서의 탐색을 바탕으로 한 맞춤 광고는 타겟 광고이며 방문자가 거부할 수 있습니다.
VCDPA 본문은 요구하지 않습니다. 하지만 캘리포니아, 콜로라도, 코네티컷, 오리건이 요구하기 때문에, 전국적으로 GPC를 존중하는 것이 보통 더 간단합니다.
30일 안에 문제를 고치고 서면 진술서를 보내야 합니다. 고치면 소송은 없습니다. 고치지 않거나 같은 문제를 반복하면 과태료가 위반 1건당 최대 US$ 7,500이 될 수 있습니다.
아니요. ConsentMode는 밖에서 사이트를 감사해서 어떤 파트너가 데이터를 받고 어떤 신호가 전송되는지 보여 주며, 이는 평가를 작성하는 데 도움이 됩니다. 문서는 기업의 책임입니다.
자료실
이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:
감사는 버지니아 방문자로 사이트에 접속해, 아무것도 바꾸지 않고 무엇을 고쳐야 하는지 보여 줍니다.