California Consumer Privacy Act(CCPA)란?
다른 이름: CCPA, California Consumer Privacy Act, CCPA/CPRA, 캘리포니아 프라이버시 법
CCPA는 2018년에 처음 제정되었고, 2020년 캘리포니아 주민투표에서 승인된 California Privacy Rights Act(CPRA)로 크게 개정되었습니다. CPRA 개정 내용은 2023년 1월 1일에 발효되었습니다. CPRA는 별개의 프라이버시 법률을 새로 만든 것이 아니라 CCPA를 개정한 것입니다.
CCPA는 소비자에게 알 권리, 삭제 요구권, 정정 요구권, 개인정보의 판매 또는 공유를 거부할 권리, 민감 개인정보의 일정한 이용을 제한할 권리, 그리고 프라이버시 권리를 행사할 때 동등한 대우를 받을 권리를 부여합니다.
웹사이트에서 CCPA 준수는 일반적으로 Do Not Sell or Share My Personal Information, Global Privacy Control(GPC), 개인정보 처리방침, 쿠키 및 추적 관련 고지, 그리고 소비자가 자신의 권리를 행사할 수 있는 수단과 관련됩니다.
CCPA란 무슨 뜻인가요?
CCPA는 California Consumer Privacy Act의 약자입니다.
이 법은 적용 대상 기업이 소비자의 개인정보를 수집·이용·공개·판매·공유하는 방식을 규율합니다.
CCPA는 일정한 판매와 공유를 거부할 수 있는 수단을 포함해, 기업이 자신의 정보를 어떻게 이용하는지에 대한 실질적인 통제권을 소비자에게 부여한다는 점에서 특히 주목할 만합니다.
전통적인 동의 기반 프라이버시 체계와 달리, CCPA는 일반적으로 소비자의 권리와 옵트아웃 수단에 큰 비중을 둡니다.
이러한 차이는 CCPA를 GDPR과 같은 규정과 비교할 때 중요합니다.
CPRA란 무엇인가요?
CPRA는 California Privacy Rights Act의 약자입니다.
CPRA는 2020년 Proposition 24를 통해 캘리포니아 주민투표에서 승인되었습니다. CPRA는 CCPA를 완전히 별개의 법률로 대체하는 대신 기존 CCPA를 개정하여 소비자의 권리와 기업의 의무를 추가로 도입했습니다.
CPRA 개정 내용은 2023년 1월 1일에 발효되었습니다.
CCPA는 누구를 보호하나요?
CCPA는 캘리포니아 주민에게 프라이버시 권리를 부여합니다.
California Privacy Protection Agency는 캘리포니아 주민이란 캘리포니아에 거주하는 개인을 말하며, 여기에는 일정한 임직원, 입사 지원자, 학생, 독립 계약자, 사업상 연락처가 포함된다고 설명합니다.
따라서 이 법은 기업이나 그 밖의 사업체가 아니라 사람의 프라이버시 권리에 초점을 맞추고 있습니다.
어떤 기업이 CCPA를 준수해야 하나요?
CCPA는 캘리포니아에서 사업을 영위하면서 소비자의 개인정보를 수집하고, 그 정보 처리의 목적과 수단을 결정하며, 적용되는 법정 기준을 충족하는 일정한 영리 기업에 적용됩니다.
구체적인 적용 기준과 예외는 일반적인 "캘리포니아에서 사업을 영위하는지"라는 기준에 의존하지 말고 현행 CCPA와 관련 규정에 비추어 평가해야 합니다.
따라서 CCPA는 캘리포니아 밖에 소재한 기업에도 적용될 수 있습니다.
이 법이 적용되기 위해 기업이 반드시 캘리포니아에 물리적인 사무소를 두어야 하는 것은 아닙니다.
CCPA에서 개인정보란 무엇인가요?
CCPA는 개인정보를 폭넓게 정의합니다.
일반적으로 특정 소비자나 가구를 식별하거나, 그와 관련되거나, 그를 설명하거나, 합리적으로 연관지을 수 있거나, 합리적으로 연결될 수 있는 정보가 여기에 포함됩니다.
예로는 다음과 같은 정보가 있습니다.
- 이름
- 이메일 주소
- 전화번호
- 우편 주소
- IP 주소
- 탐색 기록
- 검색 기록
- 구매 내역
- 위치 정보
- 온라인 식별자
- 기기 정보
- 선호에 관한 추론 정보
- 계정 정보
- 광고 식별자
CCPA는 또한 추가적인 보호를 받는 민감 개인정보를 구분합니다. 예로는 정밀한 위치 정보, 일정한 금융 정보, 계정 인증 정보, 건강 정보, 유전 정보, 일정한 생체 정보가 있습니다.
CCPA에서 민감 개인정보란 무엇인가요?
민감 개인정보(SPI)는 CCPA에 따라 추가적인 보호를 받는 개인정보의 한 유형입니다.
상황에 따라 민감 개인정보에는 다음이 포함될 수 있습니다.
- 사회보장번호
- 운전면허 정보
- 금융 계좌 인증 정보
- 정밀한 위치 정보
- 통신 내용
- 유전 정보
- 일정한 생체 정보
- 건강 정보
- 성생활이나 성적 지향에 관한 정보
- 인종이나 민족적 출신
- 종교적 또는 철학적 신념
- 노동조합 가입
소비자는 법이 정한 상황에서 민감 개인정보의 이용과 공개를 제한할 권리를 갖습니다.
CCPA의 주요 소비자 권리는 무엇인가요?
CCPA는 캘리포니아 주민에게 몇 가지 중요한 프라이버시 권리를 부여합니다.
알 권리
소비자는 다음에 관한 정보를 요구할 수 있습니다.
- 수집된 개인정보의 유형
- 정보를 수집한 출처
- 정보를 수집·판매·공유하는 목적
- 정보를 제공받는 제3자의 유형
- 일정한 구체적 개인정보 항목
삭제 요구권
소비자는 법정 예외를 전제로, 자신에 관해 수집된 개인정보의 삭제를 요구할 수 있습니다.
기업은 해당하는 서비스 제공자나 계약자에게도 정보를 삭제하도록 지시해야 할 수 있습니다.
정정 요구권
소비자는 기업이 보유한 부정확한 개인정보의 정정을 요구할 수 있습니다.
판매 또는 공유를 거부할 권리
소비자는 CCPA가 정한 상황에서 자신의 개인정보의 판매 또는 공유를 거부할 수 있습니다.
공유를 거부할 권리는 맥락 간 행태 광고와 특히 밀접하게 관련됩니다.
제한 요구권
소비자는 자신의 민감 개인정보에 대한 일정한 이용과 공개를 제한할 수 있습니다.
동등한 대우를 받을 권리
기업은 소비자가 CCPA상의 권리를 행사했다는 이유로 그 소비자를 차별해서는 안 되는 것이 원칙입니다.
자동화된 의사결정 기술에 관한 권리
캘리포니아의 개정된 체계에는 자동화된 의사결정 기술(ADMT)의 일정한 이용에 관한 권리와 의무도 포함되어 있습니다.
중요한 의사결정에 ADMT를 이용하는 적용 대상 기업에는 고지, 거부, 열람과 관련한 추가 의무가 부과될 수 있습니다. 관련 ADMT 요건은 저마다 별도의 시행 일정을 두고 있습니다.
CCPA 옵트아웃이란 무엇인가요?
CCPA의 대표적인 특징 중 하나는 해당하는 경우 개인정보의 판매 또는 공유를 거부할 수 있는 소비자의 권리입니다.
개인정보를 판매하거나 공유하는 기업은 소비자가 이 권리를 행사할 수 있는 적절한 수단을 제공해야 할 수 있습니다.
웹사이트에서는 일반적으로 다음과 같은 형태로 나타납니다.
“Do Not Sell or Share My Personal Information”
또는 이에 상응하는 프라이버시 선택 수단.
옵트아웃 수단은 찾기 쉽고 이용하기 쉬워야 합니다.
Do Not Sell or Share My Personal Information이란 무엇인가요?
Do Not Sell or Share My Personal Information은 소비자가 개인정보의 일정한 판매나 공유를 거부할 권리를 행사할 수 있도록 하는 CCPA의 프라이버시 선택 수단입니다.
이 개념은 특히 다음과 관련이 있습니다.
- 광고 기술
- 리타기팅
- 맥락 간 행태 광고
- 데이터 공유
- 서드파티 마케팅 플랫폼
- 데이터 수익화
웹사이트는 소비자의 프라이버시 선택을 해당 정보를 처리하거나 공유하는 기술 시스템과 연결해야 합니다.
그 결과로 정해진 설정을 실제로 적용하지 않은 채 링크만 표시하면, 웹사이트가 내세운 프라이버시 통제와 실제 동작 사이에 간극이 생길 수 있습니다.
Global Privacy Control(GPC)이란 무엇인가요?
Global Privacy Control(GPC)은 소비자의 프라이버시 의사를 웹사이트에 전달하는 브라우저 또는 사용자 에이전트 신호입니다.
CCPA 체계에서 적용 대상 기업은 법이 요구하는 상황에서 요건을 충족하는 옵트아웃 의사 신호를 존중해야 합니다.
California Privacy Protection Agency는 옵트아웃 의사 신호를 소비자가 자신의 옵트아웃 권리를 행사할 수 있는 수단으로 명시적으로 제시하고 있습니다.
웹사이트 입장에서 이는 프라이버시 준수가 방문자가 "Do Not Sell or Share" 링크를 직접 클릭하는 것에만 의존할 수는 없다는 뜻입니다.
적법한 구현이라면 해당하는 프라이버시 신호를 감지하고 그에 적절히 대응할 수 있어야 합니다.
CCPA와 쿠키
CCPA는 "쿠키"를 독립된 범주로 두고 단순히 규율하지 않습니다.
핵심은 쿠키, 픽셀, SDK 또는 유사 기술이 어떤 정보를 수집하는지, 또는 기업이나 제3자가 어떤 정보를 처리할 수 있게 하는지입니다.
관련될 수 있는 웹사이트 기술에는 다음이 있습니다.
- 광고 쿠키
- 리타기팅 픽셀
- 분석 기술
- 소셜미디어 픽셀
- 기기 식별자
- 광고 ID
- 교차 사이트 추적 기술
- 서드파티 스크립트
따라서 기업은 특정 쿠키 범주가 자동으로 적법하거나 위법하다고 가정하지 말고, 자사의 추적 기술을 CCPA상의 의무에 비추어 평가해야 합니다.
CCPA는 쿠키 동의를 요구하나요?
GDPR과 같은 방식으로 요구하지는 않습니다.
CCPA는 일반적으로 투명성과 소비자의 권리, 특히 개인정보의 판매 또는 공유를 거부할 권리를 중심에 두고 있습니다.
이는 동의를 여러 적법 근거 중 하나로 보는 GDPR의 접근 방식과 다릅니다.
다만 기업은 해당 기술이 무엇을 하는지, 그리고 그와 관련된 처리가 CCPA 요건의 적용을 받는지에 따라 쿠키와 추적 기술에 대한 프라이버시 선택지, 고지, 기술적 통제를 여전히 갖추어야 할 수 있습니다.
이러한 차이 때문에 CCPA 프라이버시 설정 센터는 적용되는 법 체계를 고려하지 않은 채 GDPR 동의 배너를 그대로 복제해서는 안 됩니다.
CCPA 옵트인과 옵트아웃
그 차이는 다음과 같이 이해하면 도움이 됩니다.
| GDPR | CCPA |
|---|---|
| 동의가 적용 근거인 경우 사전 동의를 요구하는 경우가 많습니다 | 일반적으로 소비자의 옵트아웃 권리를 강조합니다 |
| 일정한 처리에 앞서 동의가 필요할 수 있습니다 | 옵트아웃은 판매·공유에서 특히 중요합니다 |
| 동의가 필요한 경우 사전 차단이 요구될 수 있습니다 | 기술적 집행은 옵트아웃 의사를 존중해야 합니다 |
| 동의는 구체적인 유효성 요건을 충족해야 합니다 | 기업은 CCPA상의 권리를 행사할 수 있는 수단을 제공해야 합니다 |
| 동의 철회가 중요합니다 | 옵트아웃 의사는 존중되어야 합니다 |
두 체계는 서로 겹칠 수 있지만, 동일한 것으로 취급해서는 안 됩니다.
전 세계를 대상으로 사업을 운영하는 기업이라면 이용자의 관할권에 맞춰 조정할 수 있는 동의 모델이 필요할 수 있습니다.
CCPA와 GDPR 비교
CCPA와 GDPR은 모두 주요한 프라이버시 법률이지만, 서로 다른 규제 방식을 사용합니다.
GDPR
GDPR은 적법한 처리, 정보주체의 권리, 책임성, 보안을 비롯한 프라이버시 원칙에 초점을 맞춘 유럽의 포괄적인 개인정보 보호 규정입니다.
동의는 여러 적법 근거 중 하나입니다.
CCPA
CCPA는 알 권리, 삭제 요구권, 정정 요구권, 판매 또는 공유를 거부할 권리, 민감 개인정보의 일정한 이용을 제한할 권리를 포함해 소비자에 대한 투명성과 권리에 큰 비중을 둡니다.
따라서 두 체계는 서로 겹치지만 서로를 대체할 수는 없습니다.
두 요건을 모두 충족하려는 웹사이트에는 다음이 필요할 수 있습니다.
- 동의 통제 수단
- 옵트아웃 통제 수단
- GPC 처리
- 사전 차단
- 개인정보 처리방침
- 동의 또는 설정 기록
- 정보주체·소비자 요구 처리 흐름
CCPA와 CPRA 비교
CPRA가 CCPA를 개정했기 때문에 CCPA와 CPRA는 함께 쓰이는 경우가 많습니다.
CPRA는 추가적인 프라이버시 보호 장치를 도입하고 California Privacy Protection Agency를 설립했습니다.
중요한 변화로는 민감 개인정보, 정정, 개인정보 최소화, 소비자의 프라이버시 선택 등 여러 영역에 관한 권리 강화가 있습니다.
현행 규정 준수 목적에서 기업은 일반적으로 CPRA로 개정된 CCPA를 적용 규정과 함께 검토해야 합니다.
CCPA 준수란 무엇인가요?
CCPA 준수란 적용되는 CCPA 요건을 충족하는 데 필요한 법적·조직적·기술적 조치를 시행하는 것을 말합니다.
준수 프로그램에는 다음이 포함될 수 있습니다.
- 개인정보 처리방침
- 개인정보 목록
- 데이터 매핑
- 소비자 요구 처리 절차
- 옵트아웃 수단
- GPC 처리
- 민감 개인정보 통제
- 공급업체 및 서비스 제공자 관리
- 데이터 보관 기간 통제
- 보안 안전조치
- 프라이버시 설정 관리
- 기록 관리
- 해당하는 경우 위험 평가
- 해당하는 경우 사이버보안 감사
- 해당하는 경우 ADMT 준수
2026년 1월 1일 발효되는 CCPA 규정은 위험 평가, 사이버보안 감사, 자동화된 의사결정 기술에 관한 요건을 비롯해 실무적인 준수 범위를 확대했습니다.
CCPA 개인정보 처리방침이란 무엇인가요?
CCPA 개인정보 처리방침은 적용되는 캘리포니아 프라이버시 법이 요구하는 정보를 소비자에게 제공하는 고지입니다.
기업과 처리 활동에 따라 다음과 같은 내용을 설명할 수 있습니다.
- 수집된 개인정보의 유형
- 개인정보의 출처
- 사업상 또는 상업적 목적
- 제3자의 유형
- 판매 또는 공유 관행
- 소비자의 프라이버시 권리
- 소비자가 권리를 행사하는 방법
- 소비자가 요구를 제출하는 방법
- 옵트아웃 수단에 관한 정보
California Privacy Protection Agency는 적용 대상 기업이 개인정보 처리방침을 포함해 자사의 프라이버시 관행에 관한 고지를 소비자에게 제공해야 한다고 밝히고 있습니다.
소비자는 CCPA상의 권리를 어떻게 행사하나요?
CCPA의 적용을 받는 기업은 소비자가 자신의 권리를 행사할 수 있는 적절한 방법을 제공해야 합니다.
권리와 기업에 따라 다음과 같은 수단이 있을 수 있습니다.
- 온라인 양식
- 프라이버시 요구 접수 포털
- 이메일
- 수신자 부담 전화번호
- 프라이버시 설정 센터
적용되는 요건은 요구의 종류와 기업의 상황에 따라 달라집니다.
예를 들어 CPPA는 기업이 알 권리, 삭제, 정정에 관한 일정한 요구에 대해 구체적인 예외를 전제로 일반적으로 최소 두 가지 방법을 제공해야 한다고 설명합니다.
CCPA DSAR이란 무엇인가요?
정보주체 접근 요청(DSAR)은 개인이 일정한 데이터 권리를 행사하기 위해 제출하는 요구를 가리키는 프라이버시 업계의 일반적인 용어입니다.
CCPA에서 기업은 GDPR 용어를 쓰기보다 이를 소비자 요구라고 부르는 경우가 더 많습니다.
상황에 따라 소비자는 다음을 요구할 수 있습니다.
- 자신에 관해 보유 중인 정보를 알려 달라는 요구
- 정보 삭제
- 부정확한 정보의 정정
- 판매 또는 공유 거부
- 일정한 민감 개인정보 이용의 제한
프라이버시 관리 시스템은 조직이 이러한 요구를 접수하고, 확인하고, 배정하고, 문서화하는 데 도움이 될 수 있습니다.
CCPA와 개인정보 최소화
현행 CCPA 체계에는 목적 제한과 개인정보 최소화에 관한 요건도 포함되어 있습니다.
California Privacy Protection Agency는 기업이 개인정보의 수집·이용·보관을 적용되는 법정 기준을 충족하고 합리적으로 필요하며 비례적인 목적으로 한정해야 한다고 설명합니다.
즉, CCPA 준수는 프라이버시 링크를 제공하는 것만으로 끝나지 않습니다.
기업은 고지한 목적에 합리적으로 필요한 수준을 넘어 개인정보를 수집하고 보관하고 있지는 않은지도 살펴보아야 합니다.
CCPA 집행
California Privacy Protection Agency(CalPrivacy)는 그 밖의 법정 책무와 함께 CCPA의 이행과 집행을 담당합니다.
이 기관은 위반 가능성을 조사하고, 감사를 실시하며, 행정적 집행 조치를 취할 수 있습니다.
이 때문에 CCPA의 적용 범위에 있는 조직에게는 입증 가능한 프라이버시 준수가 점점 더 중요해지고 있습니다.
CCPA 제재
CCPA 위반은 위반 내용과 적용되는 법 조항에 따라 상당한 금전적 결과로 이어질 수 있습니다.
기업은 단순히 예상 제재금을 계산하는 방식으로 규정 준수에 접근해서는 안 됩니다.
더 나은 접근은 다음을 입증할 수 있는 반복 가능한 통제 체계를 갖추는 것입니다.
- 어떤 개인정보가 수집되는지
- 왜 수집되는지
- 어디로 가는지
- 어떤 프라이버시 선택지가 제공되었는지
- 소비자가 어떤 선택을 했는지
- 옵트아웃 신호가 수신되었는지
- 그 설정이 기술적으로 집행되었는지
- 소비자 요구가 어떻게 처리되었는지
CCPA 준수 체크리스트
실무적인 CCPA 웹사이트 준수 체크리스트는 다음과 같습니다.
- 해당 기업이 CCPA의 적용을 받는지 판단합니다.
- 소비자로부터 수집하는 개인정보를 파악합니다.
- 민감 개인정보를 파악합니다.
- 서드파티 스크립트, 쿠키, 추적 기술을 매핑합니다.
- 개인정보가 판매되거나 공유되는지 점검합니다.
- 적절한 개인정보 처리방침을 제공합니다.
- 요구되는 옵트아웃 수단을 제공합니다.
- 해당하는 Global Privacy Control 신호를 지원합니다.
- 소비자의 프라이버시 요구를 위한 수단을 제공합니다.
- 삭제 및 정정 요구를 처리하는 절차를 유지합니다.
- 민감 개인정보 통제를 점검합니다.
- 서비스 제공자와 계약자를 점검합니다.
- 적용되는 개인정보 최소화 및 보관 기간 통제를 시행합니다.
- 해당하는 경우 위험 평가 요건을 검토합니다.
- 해당하는 경우 사이버보안 감사 요건을 검토합니다.
- 해당하는 경우 ADMT 요건을 검토합니다.
- 프라이버시 설정이 기술적으로 집행되는지 정기적으로 테스트합니다.
ConsentX가 지원하는 CCPA 준수
ConsentX는 기업이 웹사이트와 디지털 자산 전반에서 프라이버시 설정을 실무에 적용하도록 돕습니다.
CCPA/CPRA 활용 사례에서 관련 기능에는 다음이 포함될 수 있습니다.
Global Privacy Control 처리
옵트아웃 설정 관리
동의 및 설정 기록
사전 스크립트 차단
쿠키 및 트래커 스캔
프라이버시 설정 센터
감사 증적
DSAR 및 민원 처리 흐름
지역 기반 프라이버시 규칙
목표는 소비자의 프라이버시 결정을 웹사이트의 기술적 동작과 연결하는 것입니다.
예를 들어 방문자가 개인정보의 판매 또는 공유를 거부한다면, 조직에는 그 설정을 관련 처리 기술과 광고 기술까지 전달할 수 있는 구현이 필요합니다.
ConsentX는 CCPA/CPRA 프라이버시 설정, GPC 처리, 동의 기록을 위한 도구를 제공합니다.
CCPA와 Global Privacy Control, 그리고 ConsentX
GPC는 자동화된 프라이버시 설정 관리에서 특히 중요합니다.
모든 소비자가 모든 웹사이트에서 옵트아웃 링크를 직접 찾도록 요구하는 대신, 브라우저나 사용자 에이전트가 요건을 충족하는 프라이버시 의사를 전달할 수 있습니다.
그러면 프라이버시 플랫폼은 다음을 수행할 수 있습니다.
감지
GPC 신호를 감지합니다.
연결
이를 해당하는 프라이버시 설정과 연결합니다.
적용
관련 옵트아웃 상태를 적용합니다.
제한
해당하는 처리를 막거나 제한합니다.
증적
적절한 경우 그 설정에 대한 증적을 보관합니다.
이를 통해 프라이버시 선택은 단순한 안내성 고지가 아니라 실제로 집행되는 기술적 통제가 됩니다.
CCPA: 핵심 요약
California Consumer Privacy Act(CCPA)는 CPRA로 개정된 캘리포니아주의 포괄적인 소비자 프라이버시 법률입니다.
핵심 내용은 다음과 같습니다.
- CCPA는 캘리포니아 주민의 프라이버시 권리를 보호합니다.
- CPRA는 별개의 법률을 만든 것이 아니라 CCPA를 개정했습니다.
- 이 체계는 개인정보에 대한 알 권리, 삭제 요구권, 정정 요구권을 부여합니다.
- 소비자는 해당하는 판매와 공유를 거부할 수 있습니다.
- 소비자는 민감 개인정보의 일정한 이용을 제한할 수 있습니다.
- 기업은 해당하는 프라이버시 권리를 행사할 수 있는 수단을 제공해야 합니다.
- Global Privacy Control은 중요한 옵트아웃 의사 전달 수단입니다.
- CCPA는 GDPR과 동일하지 않습니다.
- CCPA 준수에는 법적 절차와 기술적 집행이 모두 필요합니다.
- 2026년 규제 체계는 위험 평가, 사이버보안 감사, ADMT에 관한 추가적인 준수 고려 사항을 도입합니다.
- 프라이버시 배너만으로는 완전한 CCPA 준수 전략이 되지 않습니다.
CCPA 프라이버시 설정을 실제로 집행되게 만드세요
관련 용어
해당하는 CCPA 옵트아웃 요구를 포함해 소비자의 프라이버시 의사를 전달하는 브라우저 또는 사용자 에이전트 신호입니다.
소비자가 개인정보의 해당하는 판매나 공유를 거부할 수 있도록 하는 CCPA의 프라이버시 선택 수단입니다.
유럽연합의 포괄적인 개인정보 보호 규정입니다.
CCPA를 개정하고 확대한 California Privacy Rights Act입니다.
CCPA에 따라 추가적인 보호를 받는 정보 유형입니다.
해당하는 데이터 권리를 행사하기 위한 요구를 가리키는 프라이버시 업계의 일반적인 용어입니다.
웹사이트와 디지털 자산 전반에서 동의와 프라이버시 설정을 관리하는 데 사용하는 기술입니다.
해당하는 필수가 아닌 처리가 이루어지기 전에 필요한 동의를 받는 것과 일반적으로 관련되는 기술적·법적 개념입니다.
이용자가 자신의 프라이버시 선택을 확인하고 변경할 수 있는 인터페이스입니다.