규정2026년 10월 27일 | FlexyConsent

미네소타 소비자 데이터 프라이버시법: 광고 기반 퍼블리셔가 알아야 할 것

또 하나의 주, 몇 가지 새로운 변형

미네소타 소비자 데이터 프라이버시법(MCDPA)은 2025년 7월 31일에 시행되었습니다. 언뜻 보면 미국 대부분의 주 프라이버시법이 공유하는 모델을 따릅니다. 데이터에 접근하고, 정정하고, 삭제할 권리, 그리고 타깃 광고, 개인정보 판매, 특정 프로파일링에 대해 옵트아웃할 권리입니다. 그러나 미네소타는 인접한 주보다 더 나아간 몇 가지 요건을 추가했으며, 그중 일부는 퍼블리셔가 데이터 관행을 문서화하고 설명하는 방식에까지 영향을 미칩니다.

이 글에서는 광고 기반 퍼블리셔가 알아야 할 내용을 다룹니다. 개요이며 법률 자문이 아닙니다.

적용 대상

MCDPA는 미네소타에서 사업을 하거나 미네소타 주민을 대상으로 하는 제품 또는 서비스를 제공하는 조직 중, 한 해 동안 다음 중 하나에 해당하는 조직에 적용됩니다.

미국 중소기업청(SBA)이 정의하는 소기업은 일반적으로 면제되지만, 소비자의 동의 없이 민감 정보를 판매할 수 없습니다. 퍼블리셔에게 “소비자”는 쿠키나 기기 ID로 식별되는 웹사이트 및 앱 방문자를 포함할 수 있으므로, 미네소타 트래픽이 많지 않은 사이트도 기준에 도달할 수 있습니다.

퍼블리셔가 지원해야 하는 권리

미네소타 주민에게는 익숙한 일련의 권리가 부여됩니다.

광고 기반 퍼블리셔에게 매일 광고 스택에 영향을 주는 것은 타깃 광고와 판매에 대한 옵트아웃입니다.

미네소타만의 특징

프로파일링에 이의를 제기할 권리

소비자가 법적 또는 이에 준하는 중대한 영향을 미치는 결정으로 이어진 방식으로 프로파일링된 경우, 그 결과에 이의를 제기하고, 이유를 안내받고, 결정이 부정확한 데이터에 근거했다면 데이터를 정정하고 결정을 재평가받을 수 있습니다. 대부분의 퍼블리셔는 방문자에 대해 그런 종류의 결정을 내리지 않지만, 사용 중인 도구 중에 그런 것이 없는지 확인해 둘 가치가 있습니다.

특정 제3자 목록

소비자는 관리자가 자신의 개인정보를 공개한 특정 제3자의 목록을 요청할 수 있으며, 관리자가 소비자별로 그 정보를 보관하지 않는 경우에는 일반적으로 개인정보를 공개한 특정 제3자의 목록을 요청할 수 있습니다. 많은 애드테크 파트너와 일하는 퍼블리셔에게는 정확한 벤더 대장이 실질적으로 필수가 됩니다.

데이터 인벤토리

관리자는 처리하는 개인정보의 인벤토리를 유지해야 합니다. 제3자 목록 요건과 결합하면, 퍼블리셔는 어떤 태그가 무엇을 수집하고 어디로 가는지에 대한 문서화된 지식을 갖추는 쪽으로 나아가게 됩니다.

범용 옵트아웃 메커니즘

관리자는 브라우저 개인정보 신호 같은 인정된 범용 옵트아웃 메커니즘을 통해 전달된 소비자의 옵트아웃을 존중해야 합니다. 사이트는 이러한 신호를 미네소타 사용자의 타깃 광고 및 판매 옵트아웃으로 취급해야 합니다.

데이터 보호 평가

타깃 광고, 개인정보 판매, 중대한 위험이 있는 프로파일링, 민감 정보 처리를 위한 처리에는 문서화된 데이터 프라이버시 및 보호 평가가 필요합니다.

집행

이 법은 미네소타 법무장관이 집행하며, 사적 소송권은 없습니다. 위반에 대한 30일의 시정 기간은 2026년 1월 31일까지만 적용되었으므로, 그 이후로는 법무장관이 조치를 취하기 전에 문제를 바로잡을 기회를 제공할 필요가 없습니다. 민사 제재금은 위반 1건당 최대 7,500달러에 이를 수 있습니다.

퍼블리셔가 확인해야 할 사항

  1. 기준. 식별된 기기를 포함하여 매년 몇 명의 미네소타 소비자에 대한 데이터를 처리하는지 추정합니다.
  2. 옵트아웃 링크와 흐름. 미국 방문자가 타깃 광고와 판매를 옵트아웃할 수 있고, 그 선택이 광고 파트너에게 전달되도록 합니다.
  3. 신호. Global Privacy Control 같은 브라우저 옵트아웃 신호를 존중하고, 그 결과로 나온 선택을 IAB Global Privacy Platform(GPP) 또는 파트너가 읽는 신호를 통해 전달합니다.
  4. 벤더 대장. 개인정보를 받는 모든 제3자의 최신 목록을 보관하여 제3자 목록 요청에 답할 수 있도록 합니다.
  5. 데이터 인벤토리. 각 태그와 SDK가 무엇을, 왜 수집하는지 문서화합니다.
  6. 평가. 타깃 광고를 다루는 데이터 보호 평가를 작성하고 보관합니다.
  7. 개인정보 처리방침. 미네소타의 권리와 행사 방법을 설명하도록 업데이트합니다.

미네소타를 다중 주 설정에 맞추기

대부분의 퍼블리셔는 주마다 별도의 경험을 구축하는 대신, 가장 엄격한 공통 요건을 포괄하는 하나의 미국 옵트아웃 흐름을 운영하고 필요한 곳에 주별 세부 사항을 추가합니다. 미네소타가 추가한 것(제3자 목록, 데이터 인벤토리, 프로파일링 권리)은 배너 변경이라기보다 대부분 문서화와 요청 처리 의무이므로, 그 작업은 벤더 대장과 개인정보 요청을 맡고 있는 사람에게 돌아갑니다.

핵심 요약

← 블로그 전체 읽기 →