[privacy] CCPA, 우리 회사에 적용될까?

 

NAVER_CCPA_Guideline.pdf

1.80MB

네이버 프라이버시 센터에서 제공하는 CCPA 가이드라인

본 글은 해당 가이드라인을 읽고 요약 정리한 내용이다.

 

 

미국 진출을 준비하는 회사라면 한번 쯤은 CCPA를 들어보게 된다고 한다. 미국 버전 개인정보 보호법이라고 볼 수도 있는데.. 우리가 적용 대상인가?를 판단하는 건 쉽지 않을 것 같다.

CCPA의 배경과 적용 판단 기준을 중심으로 다루고, 실제 준수 행동(Privacy Policy 작성, 소비자 권리 이행 절차 등)다음 글에서 다루려고 한다.

CCPA의 탄생과 개정

CCPA는 2020년 1월 발효되었으며, 2023년 1월 1일부터 CPRA(California Privacy Rights Act)에 의해 대부분의 조항이 개정 및 강화되어 전면 시행 중이다. 참고자료에서는 본격 시행 시점을 2020년 7월 1일로 표시하고 있는데, 이는 집행 개시 시점의 차이로 볼 수 있다. 중요한 건 지금 유효한 법이 CPRA로 전면 개정된 CCPA라는 점이다.

CPRA는 CCPA를 대체한 별개의 법이 아니라 CCPA를 개정한 것이다. 그래서 집행기관인 CPPA(California Privacy Protection Agency)도 통상 이 법을 "CCPA" 또는 "CCPA, as amended"로 부른다. 이 글에서도 특별한 구분이 필요한 경우를 제외하면 그냥 CCPA로 통칭한다.

CCPA는 흔히 '미국판 GDPR'이라고 불린다. GDPR에서 규정하는 정보주체의 권리를 대폭 반영했기 때문이다. 캘리포니아 주는 미국에서 인구가 가장 많은 주이자 세계 5위 수준의 경제 규모를 가진 지역이고, 실리콘밸리가 위치한 글로벌 IT 기업들의 거점이기도 하다. 주법임에도 제정 이래 미국 내 프라이버시 법제에 광범위한 영향을 끼쳐온 이유가 여기에 있다.

어떤 권리를 보장하는가

CCPA는 캘리포니아 주민에게 본인의 개인정보에 대한 강화된 통제권을 부여한다. 보장되는 권리의 종류를 간략히 보면 열람권(Right to Know), 수정권(Right to Correct), 삭제권(Right to Delete), 판매 또는 공유 거부권(Right to Opt-out), 민감정보 처리제한권(Right to Limit), 차별받지 않을 권리(Right to Non-discrimination)가 있다. 2020년 주민 투표로 통과된 CPRA 개정으로, 2023년 1월 1일부터 부정확한 개인정보를 수정할 권리와 민감정보의 이용 및 공개를 제한할 권리가 새롭게 추가되었다.

각 권리의 구체적인 이행 방법과 절차는 하편에서 다룬다. 여기서는 이런 권리들이 존재한다는 것, 그리고 사업자에게는 이를 실제로 처리할 의무가 발생한다는 것만 짚어두자.

이 가이드에 대해

이 글의 1차 참고자료는 네이버가 공개한 CCPA 준수 가이드다. 해당 가이드는 CCPA 집행기관인 CPPA가 2023년 3월 29일에 공식 발표한 CCPA Regulation 내용을 토대로 작성된 것으로, 미국 시장에 진출하려는 스타트업을 위한 실무 참고용이다. 다만 가이드 자체에서도 명시하고 있듯, 이 내용은 법률 자문이 아니다. 실제 법적 판단이 필요한 상황에서는 전문 법률 기관에 별도로 문의해야 한다.

적용 대상 판단: 네 가지 조건

CCPA는 ⓐ 캘리포니아에서 사업을 영위하며, ⓑ 소비자의, ⓒ 개인정보를 수집·처리하는, ⓓ 일정 규모 이상의 영리 사업자에게 적용된다. 네 조건을 순서대로 살펴본다.

ⓐ 캘리포니아에서 사업을 영위

지리적으로 캘리포니아에 있지 않아도 된다. 캘리포니아 주민의 개인정보를 수집하거나 처리하면 적용될 수 있다. CCPA는 캘리포니아에 위치하지 않은 사업자에게도 적용될 수 있으며, 캘리포니아 거주자와 온라인 거래를 하거나 쿠키 등을 통해 웹사이트 방문자의 활동을 추적하는 경우, 캘리포니아에 원격 근무자가 있는 경우 등이 "캘리포니아에서 사업을 하는 것"으로 볼 수 있다.

공동 브랜드를 공유하는 모회사나 자회사가 캘리포니아 주민의 개인정보를 처리하는 경우에도 CCPA가 적용된다. 반대로 캘리포니아 기업이라도 모든 상업 활동이 캘리포니아 밖에서만 이루어진 경우에는 적용이 제외된다. CCPA는 모든 상업적 행위가 캘리포니아 외부에서 이루어진 경우에 한해 예외를 인정하는데, 이를 충족하려면 캘리포니아 주민이 캘리포니아 밖에 있는 동안 개인정보를 수집하고, 캘리포니아 내에서는 개인정보 판매가 이루어지지 않아야 한다.

ⓑ 소비자

CCPA에서 '소비자'는 물건을 구매하는 사람만이 아니다. 캘리포니아 주민인 자연인으로서 고유식별자에 의해 식별되는 자를 말한다. 여기에는 근로자, 협력업체 임직원, 개인사업자 등 자연인에 해당하는 모든 사람이 포함된다.

'캘리포니아 주민'에 해당하려면 두 가지 요건 중 하나를 충족해야 한다. 임시적 또는 일시적 목적 이외의 목적으로 캘리포니아에 거주하는 개인이거나, 임시적·일시적 목적으로 캘리포니아 밖에 있지만 캘리포니아에 주소를 두고 있는 개인이다. 여행 중인 캘리포니아 주민의 모바일 기기 웹브라우징 내역이나 위치정보도 적용 대상에 포함된다.

ⓒ 개인정보

CCPA는 개인정보의 범위를 넓게 잡는다. 직·간접적으로 특정 소비자 또는 가계(a household)를 식별하거나 설명하거나, 관련되거나, 합리적으로 연결될 수 있는 정보 모두가 해당한다. 자연인뿐 아니라 가계에 관한 정보도 포함하고, 기기식별자, 행태정보, 추론정보, 추정식별자까지 개인정보로 본다. 필명·별명·계정이름, IP주소, 온라인 식별자(쿠키·비콘·픽셀태그·모바일광고ID 등), 브라우징 내역, 검색 기록, 광고 이용내역, 프로파일 목적의 추론정보 등이 모두 예시로 제시된다.

반면 개인정보에서 제외되는 정보도 있다. 비식별정보, 총계정보(aggregated consumer information), 공개적으로 사용 가능한 정보(publicly available information) 세 가지다. 비식별정보로 인정받으려면 재식별을 금지하는 기술적 보호조치 시행 등 여러 요건을 모두 충족해야 한다. 이 요건들이 꽤 까다롭다는 점을 기억해 둘 필요가 있다. 그냥 이름을 지웠다고 비식별정보가 되는 건 아니다.

ⓓ 일정 규모 이상의 영리 사업자

CCPA는 비영리기관이나 정부기관에는 원칙적으로 적용되지 않는다. 영리 사업자 중에서도 일정 규모 이상이어야 적용 대상이 되는데, CCPA는 다음 세 가지 기준 중 하나를 충족하는 영리 사업자에게 적용된다: 전년도 연간 총 매출이 약 2,662만 5천 달러 이상(2025년 1월 1일 기준), 캘리포니아 주민 또는 가계의 개인정보를 연간 10만 건 이상 구매·판매·공유하는 경우, 또는 캘리포니아 주민의 개인정보 판매·공유로 연간 매출의 50% 이상을 창출하는 경우다.

CPRA 개정으로 바뀐 부분이 하나 있다. 기존 CCPA에서는 50,000건 이상의 개인정보 보유가 기준이었으나, CPRA에서는 이 기준이 100,000건 이상으로 상향되어, 소규모 사업자는 적용 대상에서 제외될 수 있게 되었다. 또한 매출 기준은 캘리포니아에서 발생한 매출만이 아니라 전 세계에서 발생한 총매출을 기준으로 한다.

매출 기준 수치는 고정된 게 아니다. 법에 따라 매출 기준 및 기타 금액은 홀수년도마다 소비자물가지수(Consumer Price Index)에 따라 조정된다.

결국 스타트업 입장에서 먼저 확인해야 할 건 이 세 가지 기준이다. 매출이 크지 않더라도 개인정보를 연간 10만 건 이상 사고파는 구조라면 대상이 될 수 있고, 반대로 매출이 기준을 넘더라도 캘리포니아 주민의 개인정보를 아예 처리하지 않는다면 적용되지 않는다. 어느 쪽이든 판단은 자사 서비스와 데이터 흐름을 꼼꼼히 들여다본 뒤에 가능하다.

이어지는 하편에서는 적용 대상이라고 판단됐을 때 실제로 무엇을 준비하고 이행해야 하는지, Privacy Policy 작성부터 소비자 권리 대응까지를 정리한다.