규정2026년 11월 4일 | FlexyConsent

메릴랜드 온라인 데이터 프라이버시법: 광고 기반 퍼블리셔가 알아야 할 것

주별 프라이버시 법의 조각보 속에서 메릴랜드가 돋보이는 이유

2021년 이후 통과된 미국 대부분의 주 프라이버시 법은 익숙한 틀을 따릅니다. 일련의 소비자 권리, 타기팅 광고와 판매에 대한 옵트아웃, 민감 데이터에 대한 옵트인 동의, 그리고 주 법무장관에 의한 집행입니다. 2024년 5월에 서명된 메릴랜드 온라인 데이터 프라이버시법(MODPA)은 이 틀을 차용하되 몇 가지 핵심 부분을 강화했습니다. 광고 기반 퍼블리셔에게 그 차이는 이론에 그치지 않습니다. 무엇을 수집할 수 있는지, 무엇을 절대 판매해서는 안 되는지, 어린 방문자를 어떻게 대우해야 하는지에 영향을 미칩니다.

이 법은 2025년 10월 1일에 시행되었고, 2026년 4월 1일부터 개인 데이터 처리 활동에 적용됩니다. 메릴랜드 방문자가 있다면 이 법은 이제 로드맵상의 미래 항목이 아니라 일상적인 운영 환경의 일부입니다.

이 법이 적용되는 대상

MODPA는 메릴랜드에서 사업을 운영하거나 메릴랜드 주민을 대상으로 제품과 서비스를 제공하며, 직전 역년에 다음 중 하나에 해당하는 기업을 대상으로 합니다.

이 기준은 다른 많은 주보다 낮습니다. 메릴랜드의 인구는 약 600만 명이므로, 전국적 도달 범위를 가진 중형 콘텐츠 사이트는 특히 쿠키 ID와 기기 식별자가 개인 데이터로 간주되는 경우 평범한 트래픽만으로도 35,000명 기준을 넘을 수 있습니다.

퍼블리셔에게 가장 중요한 조항

요청된 서비스에 연결된 데이터 최소화

많은 주 법은 기업이 개인정보 처리방침에 공개한 것이라면 무엇이든 수집하도록 허용합니다. MODPA는 대신 개인 데이터의 수집을 소비자가 요청한 제품 또는 서비스를 제공하거나 유지하는 데 합리적으로 필요하고 비례적인 범위로 제한합니다. 민감 데이터의 경우 기준은 더 높습니다. 수집과 처리가 해당 목적에 엄격히 필요해야 합니다. 실제로 이는 퍼블리셔가 처리방침에 어떻게 쓰여 있는지가 아니라 독자가 실제로 찾아온 목적에 비추어 각 태그와 데이터 항목을 정당화하도록 만듭니다.

민감 데이터 판매 금지

다른 곳에서는 민감 데이터를 판매하려면 보통 옵트인 동의가 필요합니다. 메릴랜드는 한 걸음 더 나아가 민감 데이터의 판매를 전면 금지합니다. 민감 데이터에는 건강 정보, 정밀 위치정보, 인종 또는 민족적 출신, 종교적 신념, 성적 지향, 생체 및 유전 데이터, 아동으로 알려진 소비자의 데이터 같은 범주가 포함됩니다. 건강, 웰니스, 지역 뉴스 퍼블리셔는 콘텐츠에서 어떤 오디언스 세그먼트가 추론될 수 있는지 파악하고, 그중 어느 것도 판매에 해당하는 방식으로 파트너에게 흘러가지 않도록 해야 합니다.

미성년자에 대한 더 엄격한 규칙

MODPA는 기업이 소비자가 18세 미만임을 알았거나 알았어야 했을 때 개인 데이터를 판매하거나 타기팅 광고를 위해 처리하는 것을 금지합니다. “알았어야 했다”는 기준은 다른 많은 주의 실제 인지 기준보다 넓습니다. 게임, 숙제 도움, 음악, 스포츠 등 십대 대상 콘텐츠가 있는 사이트는 연령 신호와 해당 섹션에 어떤 광고 경험을 제공할지에 대해 방어 가능한 접근 방식이 필요합니다.

옵트아웃과 범용 신호

소비자는 타기팅 광고, 개인 데이터 판매, 특정 프로파일링을 옵트아웃할 수 있습니다. 기업은 또한 Global Privacy Control 브라우저 신호와 같은 범용 옵트아웃 메커니즘을 존중해야 합니다. 사이트가 아직 GPC를 읽어 관련 처리에 대한 옵트아웃으로 변환하지 않는다면, 메릴랜드는 그 간극을 메워야 할 또 하나의 이유입니다.

집행

MODPA는 메릴랜드 법무장관실의 소비자 보호과가 집행합니다. 이 법 자체에는 사적 소권이 없습니다. 초기 기간에 해당 과는 조치를 취하기 전에 기업에 위반을 시정할 기회를 줄 수 있지만, 이는 재량적이고 일시적이므로 의존할 전략이 아닙니다.

실용적인 실행 계획

  1. 기준을 확인합니다. 분석 도구에서 메릴랜드 도달 범위를 추정하고, 로그인한 사용자뿐 아니라 기기 수준 식별자도 포함하십시오.
  2. 최소화 점검을 실시합니다. 모든 태그, SDK, 데이터 필드를 나열하고 각각이 독자가 요청한 어떤 서비스를 뒷받침하는지 기록하십시오. 정당화할 수 없는 것은 제거하십시오.
  3. 민감 범주를 감사합니다. 민감한 추론을 낳을 수 있는 콘텐츠 분야를 파악하고, 해당 세그먼트가 판매되거나 판매를 위해 공유되지 않는지 확인하십시오.
  4. 연령 신호를 검토합니다. 십대 비중이 큰 섹션을 어떻게 처리할지, 그곳에서 타기팅 광고를 꺼야 하는지 결정하십시오.
  5. GPC와 옵트아웃 링크를 연결합니다. GPC 신호나 옵트아웃 링크 클릭이, 예를 들어 IAB GPP 문자열을 통해 광고 파트너에게 보내는 신호에 반영되는지 확인하십시오.
  6. 개인정보 처리방침을 업데이트합니다. 데이터 범주, 목적, 제3자, 권리 행사 방법을 독자가 따라갈 수 있는 언어로 설명하십시오.

FlexyConsent가 돕는 방법

FlexyConsent는 US National 섹션과 16개 미국 주 법을 갖춘 IAB Global Privacy Platform(GPP) v1.1을 지원하므로, 옵트아웃 선택을 광고 파트너가 기대하는 표준 형식으로 전달할 수 있습니다. 57개 언어로 제공되는 동일한 배너가 미국, EU 및 기타 방문자에게 서로 다른 경험을 보여줄 수 있으며, 무료 요금제를 포함한 모든 요금제에 전체 기능이 포함됩니다.

핵심 요약

← 블로그 전체 읽기 →