규정2026년 10월 14일 | FlexyConsent

미국 주별 개인정보 보호법의 조각보: 퍼블리셔를 위한 실무 가이드

미국이 EU와 다른 이유

EU에서는 하나의 규정이 기준을 정합니다. 미국에는 일반적인 웹사이트 추적을 다루는 포괄적인 연방 개인정보 보호법이 없기 때문에, 점점 더 많은 개별 주가 자체 법을 통과시켰습니다. 캘리포니아가 가장 먼저였고, 많은 주가 비슷하지만 동일하지는 않은 법으로 뒤를 이었습니다.

전국 단위 독자를 가진 퍼블리셔에게 실무적인 질문은 “어떤 법 하나가 적용되는가?”가 아니라 “모든 법에 통하는 공통 행동은 무엇인가?”입니다.

옵트아웃과 옵트인: 핵심적인 차이

EU식 사고는 대부분 옵트인에서 출발합니다. 사용자가 동의하기 전에는 추적하지 않는다는 것입니다. 미국 주 법률은 대부분 옵트아웃에서 출발합니다. 일반적인 개인 데이터는 처리할 수 있지만, 무엇을 하는지 알리고 특정 활동을 중단할 수 있게 해야 합니다.

“민감 데이터”와 “판매”의 정의가 다르므로, 실제 트래픽이 있는 주의 정확한 조문을 항상 확인하세요.

법률들의 공통점

차이에도 불구하고 같은 구성 요소가 반복해서 나타납니다.

  1. 데이터 범주, 목적, 수령인을 설명하는 명확하고 접근하기 쉬운 개인정보 처리 안내.
  2. 푸터의 링크처럼 타겟 광고와 판매·공유를 눈에 띄게 옵트아웃할 수 있는 방법.
  3. 이를 요구하는 주에서는 Global Privacy Control 같은 옵트아웃 선호 신호 존중.
  4. 열람, 삭제, 정정 같은 소비자 요청을 처리하는 절차.
  5. 귀하를 대신해 데이터를 처리하는 벤더와의 계약.

옵트아웃 신호가 의무화되고 있다

여러 주가 기업에게 브라우저 기반의 범용 옵트아웃 신호를 유효한 옵트아웃 요청으로 취급하도록 요구합니다. 실제로는 방문자의 브라우저가 Global Privacy Control 신호를 보내면, 방문자에게 다른 클릭을 요구하지 않고 사이트가 자동으로 옵트아웃을 적용해야 한다는 뜻입니다.

기술적 결론은 간단합니다. 동의 로직은 광고 및 분석 태그를 로드하기 전에 신호를 읽어야 하고, 태그 구성에는 “옵트아웃됨”을 나타내는 상태가 있어야 합니다.

기준치와 적용 범위

많은 주 법은 처리하는 주민 데이터의 수나 데이터 판매에서 나오는 매출 비중 같은 일정 기준치를 넘을 때만 적용됩니다. 기준치는 다양하고 시간이 지나며 바뀌므로, 소규모 퍼블리셔라고 해서 자동으로 대상에서 제외된다고 가정하지 마세요. 어떤 법이 귀사에 적용되는지는 변호사에게 확인하세요.

광고 체인으로 선택 전달하기

광고 퍼블리셔에게 사용자의 선택을 수집하는 것은 일의 절반일 뿐입니다. 그 선택은 광고 파트너에게 도달해야 합니다. IAB의 Global Privacy Platform(GPP)은 이를 위해 만들어졌습니다. 미국 전국 섹션과 주별 섹션을 하나의 신호에 담아, 애드테크 벤더가 사용자의 상태를 읽을 수 있게 합니다. 스택이 여전히 오래된 단일 주 신호에 의존한다면, 더 많은 주가 등장함에 따라 통합된 방식으로의 이전을 계획하세요.

실용적인 운영 모델

  1. 의미 있는 트래픽을 받는 주의 목록을 만듭니다.
  2. 단순함을 원하면 가장 엄격한 공통 행동을 폭넓게 적용하고, 수익을 지켜야 한다면 주별로 현지화합니다.
  3. 모든 페이지에 상시 옵트아웃 진입점을 둡니다.
  4. 옵트아웃과 브라우저 신호가 해당 태그를 실제로 멈추는지 테스트합니다.
  5. 사용자가 한 선택의 기록을 보관합니다.
  6. 새로운 법이 계속 나오므로 적용되는 법 목록을 정기적으로 검토합니다.

FlexyConsent의 역할

FlexyConsent는 미국 전국 섹션과 16개 미국 주 법률을 포함하는 IAB GPP v1.1을 지원하므로, 사용자의 옵트아웃 선택을 하나의 표준 신호로 광고 파트너에게 전달할 수 있습니다. 배너는 57개 언어로 제공되어, 스페인어 사용자를 비롯한 다국어 미국 독자에게 도움이 됩니다. 이것은 선택을 수집하고 전달하기 위한 도구이며, 각 법에 따라 귀사가 해야 할 일은 직접 받는 법률 자문의 영역입니다.

핵심 요약

← 블로그 전체 읽기 →