Oregon Consumer Privacy Act 규정 준수, ConsentX와 함께

Oregon Consumer Privacy Act(OCPA)는 오리건주의 포괄적 소비자 프라이버시 법률입니다. 2024년 7월 1일부터 시행되어 오리건 소비자에게 자신의 개인정보에 대한 권리를 부여하고 적용 대상 기업에 의무를 부과합니다.

오리건 소비자는 일반적으로 개인정보처리자가 수집한 개인정보가 무엇인지 알 권리, 자신의 개인정보가 처리되고 있음을 확인받을 권리, 개인정보 사본을 받을 권리, 부정확한 개인정보의 정정을 요청할 권리, 개인정보 삭제를 요청할 권리, 자신의 데이터를 제공받은 특정 제3자에 관한 정보를 확인할 권리, 맞춤형 광고를 거부할 권리, 개인정보 판매를 거부할 권리, 법적 효과 또는 그에 준하는 중대한 효과를 발생시키는 프로파일링을 거부할 권리를 가집니다. 오리건주 법무부는 이러한 권리를 L.O.C.K.E.D. 프레임워크(List 목록, Opt-out 거부, Copy 사본, Know 확인, Edit 수정, Delete 삭제)로 정리해 안내하고 있습니다.

모든 개인정보 처리에 동의가 필요한 것은 아닙니다. 다만 개인정보처리자는 민감정보를 처리하기 전에 동의를 받아야 합니다. OCPA는 또한 소비자가 동의를 철회할 수 있는 실효성 있는 수단을 요구하며, 철회 수단은 최소한 동의를 제공한 수단만큼 사용하기 쉬워야 합니다.

민감정보에는 인종 또는 민족적 배경, 국적, 종교적 신념, 정신적·신체적 상태나 진단, 성적 지향, 트랜스젠더 또는 논바이너리 여부, 범죄 피해자 여부, 시민권 또는 이민 신분을 드러내는 정보와 함께 유전 정보나 생체 정보, 특정 정밀 위치정보, 아동의 개인정보가 포함됩니다. 13세 미만 아동의 개인정보는 명시적으로 민감정보로 취급됩니다.

예. 오리건 소비자는 맞춤형 광고를 위한 개인정보 처리를 거부할 권리를 가집니다.

예. 소비자는 자신의 개인정보 판매를 거부할 권리를 가집니다. OCPA는 또한 위임받은 대리인이 소비자를 대신해 특정 옵트아웃 권리를 행사할 수 있는 수단도 규정하고 있습니다.

예. 소비자는 법적 효과 또는 그에 준하는 중대한 효과를 발생시키는 결정을 위해 프로파일링이 이용되는 경우 이를 거부할 수 있습니다.

OCPA는 적용 대상 개인정보처리자가 소비자 또는 위임받은 대리인이 요건을 갖춘 기술이나 수단을 통해 옵트아웃 의사를 전달할 수 있는 방법을 제공하도록 요구합니다. 이 수단은 기본 설정에 의존하지 않고 적극적이고 자발적이며 명확한 선택을 요구해야 합니다. 조직은 오리건주의 요구사항을 다른 주 프라이버시 법률의 범용 옵트아웃 요구사항과 함께 검토해야 합니다.

OCPA는 쿠키를 독립된 기술로 규율하기보다 개인정보의 처리를 규율합니다. 그럼에도 쿠키, 픽셀, 광고 태그, SDK 및 기타 추적 기술은 개인정보를 수집·처리하거나 맞춤형 광고를 뒷받침할 수 있습니다. 따라서 트래커 탐지, 프라이버시 선호 설정 관리, 소비자 선택의 적용은 OCPA 준수 프로그램의 중요한 구성 요소가 될 수 있습니다.

예. 개인정보처리자는 처리하는 개인정보의 유형, 처리 목적, 적용되는 소비자 권리, 제3자와 공유하는 데이터의 유형, 관련 제3자 범주, 소비자 요청 제출 방법을 설명하는, 합리적으로 접근 가능하고 명확하며 실질적인 처리방침을 제공해야 합니다.

예. 개인정보처리자는 소비자에게 피해 위험이 높은 처리 활동에 대해 데이터 보호 영향평가를 수행하고 문서화해야 합니다. 여기에는 맞춤형 광고, 민감정보 처리, 개인정보 판매, 특정 프로파일링 활동이 포함될 수 있습니다.

개인정보처리자는 일반적으로 부당한 지체 없이, 늦어도 요청을 접수한 날부터 45일 이내에 응답해야 합니다. 합리적으로 필요한 경우 45일을 추가로 연장할 수 있으며, 이때 최초 응답 기간 내에 소비자에게 통지하고 연장 사유를 설명해야 합니다.

예. 개인정보처리자는 프라이버시 요청에 대한 조치 거부에 소비자가 이의를 제기할 수 있는 절차를 마련해야 합니다. 개인정보처리자는 일반적으로 45일 이내에 이의제기를 결정해야 하며, 이의제기가 거부된 경우 소비자가 오리건주 법무장관에게 연락할 수 있는 정보를 제공해야 합니다.

예. 소비자는 자신을 대신해 특정 옵트아웃 권리를 행사할 대리인을 지정할 수 있습니다. OCPA는 또한 인터넷 링크, 브라우저 설정, 브라우저 확장 프로그램, 기기 전역 설정 등 요건을 갖춘 기술을 통한 옵트아웃 요청도 허용합니다.

예. OCPA는 아동의 데이터에 대해 강화된 보호를 제공합니다. 13세 미만 아동의 개인정보는 민감정보로 취급되며, 이 법은 맞춤형 광고, 프로파일링, 특정 개인정보 판매에 관한 제한을 포함해 16세 미만 소비자에 대한 추가 보호 규정도 두고 있습니다.

OCPA는 오리건주 법무부를 통해 오리건주 법무장관이 집행합니다. 오리건주는 이 법과 집행 체계를 설명하는 소비자용 및 기업용 안내 자료를 공개하고 있습니다.

ConsentX는 동의 관리, 트래커 탐지, 사전 스크립트 차단, 소비자 옵트아웃 관리, 권리 요청 워크플로, 감사 증적 등 중요한 프라이버시 통제를 실무에 적용하도록 지원합니다. 다만 어떤 소프트웨어도 그 자체만으로 법적 준수를 보장할 수는 없습니다. 각 조직은 OCPA 및 기타 적용 법률에 비추어 프라이버시 프로그램 전반을 점검해야 합니다.