워크스페이스 열기

가이드 · 미국 주법

VCDPA: 광고가 있는 사람을 위한 버지니아 법 설명

버지니아는 미국에서 두 번째로 포괄적인 개인정보 보호법을 통과시킨 주이며, 다른 많은 주의 모델이 되었습니다. 이 법이 언제 내 사이트에 적용되는지, 법이 타겟 광고를 무엇으로 보는지, 방문자가 무엇을 거부할 수 있는지 알아보세요.

  • ✓버지니아 법전 공식 본문 기준
  • ✓AdSense와 Ad Manager 사이트를 위해 만든 사례
  • ✓사이트를 변경하지 않는 읽기 전용 감사
100,000연간 버지니아 소비자 수: 법이 적용되는 주요 기준
30일법무장관의 통지 이후, 소송 전에 문제를 시정할 수 있는 기간
US$7,500위반 1건당 최대 민사 과태료
45일소비자 요청에 응답해야 하는 기간이며, 같은 기간만큼 한 번 연장 가능

정의

미국 절반의 모델이 된 법

Virginia Consumer Data Protection Act, 즉 VCDPA는 버지니아 법전 59.1-575조부터 59.1-584조까지에 있습니다. 2021년에 통과되었고, 캘리포니아에서 CPRA 변경 사항이 시행된 날과 같은 2023년 1월 1일부터 시행되었습니다.

캘리포니아 법과 달리 VCDPA는 유럽 GDPR과 비슷한 더 간결한 구조로 만들어졌습니다. 컨트롤러, 프로세서, 데이터 보호 평가, 민감 정보에 대한 동의입니다. 콜로라도, 코네티컷, 유타, 텍사스, 오리건 같은 주들이 이 설계의 상당 부분을 가져갔습니다.

광고 사이트에 실제로 미치는 영향은 이렇습니다. 법이 내게 적용된다면 버지니아 방문자는 타겟 광고를 거부할 수 있고, 개인정보처리방침은 그 방법을 설명해야 합니다.

이 법은 광고에 대해 옵트아웃 방식으로 작동합니다. 즉, 성인에게 맞춤 광고를 보여 주기 전에 허락을 구할 필요가 없습니다. 사전 허락은 민감 정보에만 요구됩니다.

체크리스트

꼭 지켜야 할 것

버지니아 법의 기준 중 하나를 넘는 곳에 적용돼요.

  1. 거부 방법을 분명하게 보여 주기

    사이트가 타겟 광고를 하거나 데이터를 판매한다면, 거부 방법과 함께 이를 명확하고 눈에 띄게 알려야 해요. 법은 링크 문구를 정하지 않아요.

    예시

    푸터: Your Privacy Choices, 타겟 광고 거부 화면으로 연결

  2. 완전한 개인정보 고지 게시하기

    고지에는 데이터 범주, 목적, 권리 행사와 이의 신청 방법, 제3자에게 제공하는 데이터, 제3자 유형이 있어요.

    예시

    데이터 범주: 쿠키 식별자와 탐색 데이터. 목적: 광고 표시와 측정. 제3자: 광고 네트워크.

  3. 새 계정을 요구하지 않기

    권리를 행사하는 경로는 안전하고 믿을 수 있어야 하며, 방문자에게 계정을 만들라고 요구하면 안 돼요.

  4. 민감 정보는 동의 받기

    민감 정보는 동의가 있어야만 처리할 수 있어요. 알려진 아동은 COPPA 형식의 부모 동의가 적용되고, 법은 정확한 위치의 판매를 금지해요.

  5. 답하고 이의 신청 받기

    답변은 45일 안에 나가고 한 번 45일 더 연장할 수 있으며, 연 2회까지 무료예요. 이의 신청은 60일 안에 답하고, 검찰총장에게 신고하는 경로를 알려 줘요.

  6. 데이터 보호 평가 하기

    타겟 광고, 데이터 판매, 위험한 프로파일링, 민감 정보에는 2023년 1월 1일 이후에 만든 활동에 대해 문서화된 평가가 필요해요.

  7. 권리를 행사한 사람을 불리하게 대하지 않기

    사이트는 법의 권리를 행사한 사람에게 서비스를 거부하거나 다른 가격을 청구할 수 없어요.

  8. 거부를 Google에 전달하기

    GPP string의 버지니아 섹션이나 US National에서 판매나 타겟 광고 거부가 들어오면 RDP가 켜져요. Google의 미국 주 메시지도 버지니아를 포함해요.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

Google은 버지니아에 대해 인증 CMP를 요구하지 않아요. Google의 미국 주 메시지, GPP를 생성하는 CMP, 태그의 RDP 중 하나를 쓰세요. 아래는 공식 링크예요.

적용 대상

매출이 아니라 방문자 수

VCDPA는 버지니아에서 사업을 하거나 주민에게 제품과 서비스를 제공하면서 1년 동안 아래 기준 중 하나에 해당하는 사람에게 적용됩니다. 매출 기준은 없습니다. 트래픽이 많은 소규모 기업도 해당될 수 있습니다.

소비자 10만 명

한 역년에 버지니아 소비자 최소 100,000명의 개인 데이터를 관리하거나 처리합니다. 광고 쿠키가 있는 사이트의 방문자도 포함됩니다.

25,000명과 수익의 절반 초과

소비자 최소 25,000명의 데이터를 처리하면서 총수익의 50% 넘게를 개인 데이터 판매에서 얻습니다.

대상에서 제외되는 곳

공공 기관, 비영리 단체, 대학, 연방법 GLBA의 적용을 받는 금융 기관, HIPAA의 적용을 받는 의료 기관입니다.

개인 소비자만 해당

이 법은 개인적 또는 가정적 맥락에서 행동하는 주민을 보호합니다. 직원과 비즈니스 연락처의 데이터는 제외됩니다.

용어

광고를 파는 사람에게 중요한 용어

VCDPA는 각 개념을 캘리포니아보다 좁게 정의하며, 이는 결과를 크게 바꿉니다.

개인정보

식별되었거나 식별 가능한 사람과 연결되었거나 합리적으로 연결될 수 있는 모든 정보입니다. 익명화된 데이터와 공개 데이터는 제외됩니다.

민감한 데이터

인종 또는 민족적 출신, 종교, 건강 진단, 성적 지향, 이민 상태, 유전 및 생체 데이터, 알려진 어린이의 데이터, 반경 1,750피트(약 530미터) 이내의 정확한 위치 정보입니다.

판매

제3자와 돈을 받고 개인 데이터를 교환하는 것입니다. 버지니아는 다른 종류의 가치까지 포함하는 주들과 달리 금전 지급만 인정합니다.

타겟 광고

다른 회사의 사이트와 앱에서 시간에 따른 사람의 활동 데이터를 바탕으로 선택된 광고입니다. 맥락 광고나 해당 사이트만을 기준으로 한 광고는 포함되지 않습니다.

권리

버지니아 방문자가 요청할 수 있는 것

기업은 45일 이내에 응답해야 하며, 한 번 45일을 더 연장할 수 있습니다. 연 2건까지의 요청은 무료이고, 요청이 거부된 사람은 이의를 제기할 수 있습니다.

열람과 이동

기업이 자신의 데이터를 처리하는지 확인하고, 그 데이터를 보고, 다른 서비스로 옮길 수 있는 형식으로 사본을 받습니다.

정정 및 삭제

잘못된 데이터를 정정하고, 자신이 제공했거나 자신에 대해 얻은 데이터의 삭제를 요청합니다.

옵트아웃

타겟 광고, 데이터 판매, 법적 효과나 그에 준하는 중요한 효과를 가진 결정에 쓰이는 프로파일링을 거부합니다.

이의 제기

거절에 이의를 제기합니다. 기업은 이의 제기에 60일 이내에 응답해야 하며, 다시 거절하는 경우 법무장관에게 민원을 제기하는 방법을 알려야 합니다.

사이트의 의무

개인정보 고지, 옵트아웃, 민감 정보

기업에는 명확하고 접근하기 쉬운 개인정보 고지가 있어야 합니다. 여기에는 처리하는 데이터의 범주, 목적, 권리 행사 및 이의 제기 방법, 제3자에게 전달하는 데이터의 범주, 그 제3자의 범주가 나열되어야 합니다.

사이트가 타겟 광고를 하거나 데이터를 판매한다면, 이 사실이 거부하는 방법과 함께 명확하고 눈에 띄게 적혀 있어야 합니다. 법은 링크의 정확한 문구를 정하지 않지만, 경로는 안전하고 신뢰할 수 있어야 하며 새 계정을 만들도록 요구해서는 안 됩니다.

민감 정보는 동의가 있어야만 처리할 수 있습니다. 알려진 어린이, 즉 13세 미만은 연방법 COPPA 방식의 부모 동의가 적용됩니다. 이 법은 또한 정확한 위치 정보의 판매를 금지하며, 부모의 동의 없이 알려진 어린이의 데이터를 타겟 광고나 판매에 쓰는 것도 금지합니다.

VCDPA는 사이트가 Global Privacy Control 같은 브라우저의 자동 신호를 존중하도록 요구하지 않습니다. 그래도 다른 주에서 요구하고 전국적인 하나의 규칙이 유지하기 더 쉽기 때문에, 많은 사이트가 GPC를 존중합니다.

타임라인

버지니아 법의 주요 날짜

VCDPA는 시행된 후로 거의 바뀌지 않았습니다. 변경은 주로 어린이와 청소년에 관한 것이었습니다.

  1. 2021

    법 통과

    버지니아는 포괄적인 소비자 개인정보 보호법을 가진 두 번째 주가 됩니다.

  2. 2023년 1월 1일

    시행

    권리, 타겟 광고 옵트아웃, 데이터 보호 평가가 시행됩니다.

  3. 2024

    어린이 관련 규정

    개정으로 타겟 광고와 정확한 위치 정보에 대한 제한처럼, 알려진 어린이의 데이터에 대한 보호가 확대됩니다.

  4. 2025

    소셜 미디어와 16세 미만

    개정으로 16세 미만 사용자가 있는 소셜 미디어 플랫폼에 일일 사용 제한 같은 규정이 생깁니다. 블로그나 포털을 대상으로 하지 않습니다.

평가, 집행, 과태료

서면 평가, 사전 통지, 최대 US$ 7,500의 과태료

적용 대상 기업은 타겟 광고, 데이터 판매, 위험 프로파일링, 민감 정보, 그 밖의 고위험 처리에 대한 데이터 보호 평가를 작성해 보관해야 합니다. 평가는 소비자에 대한 이익과 위험을 비교하며, 2023년 1월 1일 이후 만들어진 활동에 적용됩니다. 법무장관은 조사 중에 이를 요청할 수 있고, 평가는 공개로부터 보호됩니다.

버지니아 법무장관만이 이 법을 집행합니다. 개인은 VCDPA를 근거로 기업을 고소할 수 없습니다.

소송을 제기하기 전에 법무장관은 서면으로 통지해야 합니다. 기업은 30일 안에 문제를 고치고, 고쳤으며 같은 일을 반복하지 않겠다는 진술서를 보낼 수 있습니다. 다른 주와 달리 이 시정 기간에는 종료일이 없습니다.

기업이 고치지 않거나 다시 어기면 민사 과태료는 위반 1건당 최대 US$ 7,500이며, 비용과 변호사 비용도 추가됩니다. 영향을 받은 방문자를 각각 따로 셀 수 있기 때문에, 단순한 실수라도 금액이 커질 수 있습니다.

AdSense 및 Ad Manager

Google이 버지니아 방문자를 처리하는 방식

AdSense와 Ad Manager는 IAB Tech Lab의 개인정보 신호 형식인 GPP 문자열을 읽습니다. 버지니아에 대해 Google은 주 전용 섹션과 US National 섹션을 지원합니다. 방문자가 판매나 타겟 광고를 거부하면 Google은 제한된 데이터 처리인 RDP를 켜고 맞춤 설정이 아닌 광고만 표시합니다.

버지니아 섹션에서 Google은 알려진 어린이의 민감 정보에 대한 동의 필드도 읽고, 필요할 때 어린이 처리를 적용합니다.

AdSense와 Ad Manager의 미국 주별 개인 정보 보호 메시지에는 버지니아가 포함됩니다. 거부 링크를 표시하고 선택을 GPP에 기록합니다. 또 다른 방법은 사이트 자체 링크로 거부한 사람에 대해 광고 태그에서 직접 RDP를 켜는 것입니다.

헤더 비딩, 동영상, 픽셀, 다른 회사의 위젯도 데이터를 받는다는 점을 기억하세요. 거부는 Google뿐 아니라 이 모두에게 전달되어야 합니다.

실제 사례

버지니아에서 해도 되는 것과 안 되는 것

버지니아 방문자가 있는 광고 사이트의 일상적인 예시입니다.

허용

  • 사전 허락 없이 성인에게 맞춤 광고를 보여 주되 옵트아웃을 제공하기
  • 간단한 선택 화면으로 이어지는 푸터의 거부 링크 사용하기
  • 거부를 GPP 문자열의 버지니아 섹션 또는 US National 섹션에 기록하기
  • 사이트에 계정이 있는 사람의 열람 요청에는 로그인 요구하기
  • 복잡한 요청에 90일 이내에 응답하되, 처음 45일 안에 방문자에게 알리기

허용 안 됨

  • 타겟 광고를 거부하려면 방문자가 계정을 만들게 하기
  • 동의 없이 건강 정보나 정확한 위치 정보 처리하기
  • 안내를 하더라도 방문자의 정확한 위치 정보를 판매하기
  • 사이트가 타겟 광고를 한다는 사실을 방침에 숨기기
  • 같은 방문자의 연간 첫 두 번의 요청에 요금 부과하기

흔한 오류

광고 사이트가 자주 걸려 넘어지는 부분

이 법은 캘리포니아 법보다 단순하지만 같은 문제가 나타납니다.

캘리포니아만 중요하다고 생각하기

사이트가 캘리포니아에만 옵트아웃 메시지를 보여 주고 버지니아와 비슷한 법이 있는 다른 주는 잊어버립니다.

광고라는 단어가 없는 방침

방침에 쿠키는 나오지만 데이터가 타겟 광고에 쓰인다는 점과 거부하는 방법은 나오지 않습니다.

Google에 도달하지 않는 거부

방문자가 거부를 클릭해도 GPP 문자열이 만들어지지 않고, 광고 요청은 RDP 없이 그대로 나갑니다.

한 번도 하지 않은 평가

기업이 기준을 넘고 타겟 광고를 하는데도 서면 데이터 보호 평가가 하나도 없습니다.

ConsentMode에서

VCDPA에 대해 감사에서 확인하는 항목

  • 버지니아 방문자로 사이트에 접속해서 타겟 광고 거부 링크나 버튼을 찾습니다.
  • 페이지 코드로 CMP를 식별하고, 캘리포니아 밖에서도 메시지를 보여 주는지 확인합니다.
  • 광고 요청에서 GPP 문자열을 읽고, 클릭 후에 버지니아 섹션이나 US National 섹션에 거부가 표시되는지 보여 줍니다.
  • GPC를 켜고 사이트가 신호를 바꾸는지 기록합니다. 버지니아에서는 의무가 아니지만 다른 주에서는 요구됩니다.
  • 개인정보처리방침을 읽고 목적, 제3자 범주, 권리, 이의 제기 경로가 빠져 있는지 알려 줍니다.

VCDPA에 대한 자주 묻는 질문

버지니아를 위해 동의 배너가 필요한가요?

성인 대상 맞춤 광고에는 필요하지 않습니다. 이 법은 사전 허락이 아니라 옵트아웃을 요구합니다. 동의는 건강 정보와 정확한 위치 정보 같은 민감 정보에만 필요합니다.

버지니아에서 AdSense가 데이터 판매에 해당하나요?

버지니아는 금전과의 교환만 판매로 봅니다. 판매가 아니더라도, 다른 사이트에서의 탐색을 바탕으로 한 맞춤 광고는 타겟 광고이며 방문자가 거부할 수 있습니다.

버지니아에서 GPC를 존중해야 하나요?

VCDPA 본문은 요구하지 않습니다. 하지만 캘리포니아, 콜로라도, 코네티컷, 오리건이 요구하기 때문에, 전국적으로 GPC를 존중하는 것이 보통 더 간단합니다.

법무장관이 통지하면 어떻게 되나요?

30일 안에 문제를 고치고 서면 진술서를 보내야 합니다. 고치면 소송은 없습니다. 고치지 않거나 같은 문제를 반복하면 과태료가 위반 1건당 최대 US$ 7,500이 될 수 있습니다.

ConsentMode가 데이터 보호 평가를 해 주나요?

아니요. ConsentMode는 밖에서 사이트를 감사해서 어떤 파트너가 데이터를 받고 어떤 신호가 전송되는지 보여 주며, 이는 평가를 작성하는 데 도움이 됩니다. 문서는 기업의 책임입니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

버지니아의 거부가 광고에 전달되는지 확인하세요

감사는 버지니아 방문자로 사이트에 접속해, 아무것도 바꾸지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기