사이버 보안에서 'AB 375'는 무엇을 의미할까?
사이버 보안 및 개인정보 보호 분야에서 자주 언급되는 AB 375는 캘리포니아 소비자 개인정보 보호법(CCPA, California Consumer Privacy Act)에 부여된 법안 번호입니다. 이 법은 미국 역사상 최초로 소비자의 개인정보 수집·이용·판매 방식을 규제한 주 단위 종합 개인정보 보호법으로, 2018년 통과된 후 2020년부터 시행되었습니다.
CCPA는 소비자에게 자신의 개인정보에 대한 접근권, 삭제권, 판매 거부권 등 새로운 권리를 부여했으며, 이후 2020년 11월 통과된 캘리포니아 개인정보 권리법(CPRA, California Privacy Rights Act)이 2023년 1월 1일부로 이를 대체하고 확장했습니다.
CCPA(AB 375) 적용 대상 기업 요건
CCPA는 모든 기업에 적용되는 것이 아니라 다음 중 하나에 해당하는 영리 기업에 적용됩니다.
- 연간 매출이 2,500만 달러 이상인 기업
- 연간 5만 명 이상의 소비자, 가구 또는 기기의 개인정보를 구매·수신·판매하는 기업
- 소비자 개인정보가 연간 매출의 50% 이상을 차지하는 기업
참고로 CPRA로 전환되면서 이 기준이 10만 명(또는 가구·기기)으로 상향 조정되어, 중소기업의 규제 부담을 일부 덜어주었습니다.
민감한 개인정보(Sensitive Personal Information)란?
CPRA는 기존 CCPA에 없던 '민감한 개인정보'라는 개념을 도입했습니다. 여기에는 다음과 같은 정보가 포함됩니다.
- 주민번호에 해당하는 사회보장번호(SSN)
- 운전면허증, 주 정부 신분증, 여권 번호
- 금융 계좌 정보 및 로그인 자격 증명
- 정확한 위치 정보
- 인종·민족 출신, 종교적 신념, 노동조합 가입 여부
- 우편물 수신 내용, 성생활 및 성적 지향 관련 정보
- 건강 정보
소비자는 기업에게 자신의 민감한 개인정보를 특정 목적으로 사용하거나 공개하지 말 것을 요구할 권리가 있습니다.
'개인정보'의 정의
CCPA에서 '개인정보'란 특정 개인과 직접적 또는 간접적으로 연결될 수 있는 정보를 의미합니다. 예를 들면 실명, 별칭, 우편 주소, 이메일 주소, 온라인 식별자, IP 주소, 계정 이름 등이 포함됩니다.
CCPA와 CPRA의 주요 차이점
1. 열람 청구 기간 확대
CCPA 하에서 소비자는 최근 12개월 이내에 수집된 개인정보에 대해 열람을 요청할 수 있었지만, CPRA는 특정 상황에서 그 이전의 정보까지 요청할 수 있도록 기간을 확장했습니다.
2. 행동 타겟팅 광고 규제 신설
CPRA는 개인정보를 활용해 캘리포니아 거주자를 마케팅 대상으로 삼는 광고주에게 새로운 행동 타겟팅 광고 규칙을 적용합니다. 제3자에 대한 개인정보 공개가 '교차 맥락 행동 광고(cross-context behavioral advertising)' 목적이라면 이는 '공유(sharing)'로 정의되며, 소비자는 이를 거부(opt-out)할 권리가 있습니다.
3. 계약자(Contractor) 개념 도입
CPRA는 서면 계약에 따라 특정 사업 목적으로 개인정보를 제공받는 '계약자'라는 새로운 분류를 만들었습니다. 이는 기존 CCPA의 '제3자' 정의와 유사하지만 더 엄격한 의무가 부과됩니다.
4. 시행 기관 설립
CPRA는 캘리포니아 개인정보 보호청(California Privacy Protection Agency)이라는 전담 집행 기관을 신설했습니다.
CCPA·CPRA 준수 방법
기업이 캘리포니아 개인정보 보호법을 준수하기 위해 해야 할 핵심 사항은 다음과 같습니다.
- 수집 시점 고지: 개인정보를 수집하는 시점 또는 그 이전에 소비자에게 알려야 합니다.
- 데이터 매핑: 데이터 수집 지점을 파악하고 데이터 맵에 문서화하여, 접근 요청에 신속하고 완전하게 대응할 수 있어야 합니다.
- '내 개인정보 판매 금지(Do Not Sell My Personal Information)' 페이지 운영: 웹사이트에 눈에 잘 띄는 링크를 게시하고, 소비자가 옵트아웃을 요청하면 반드시 이행해야 합니다.
- 개인정보 보유 정책 점검: 데이터 보존 기간 정책을 재검토하고 필요시 업데이트해야 합니다.
- 계약서 갱신: 서비스 제공업체 및 계약자와의 계약 조건을 새로운 법률 요건에 맞게 수정해야 합니다.
- 청구 응답 기한 준수: 소비자의 열람·수정·삭제 요청에 정해진 기간 내에 답변해야 합니다.
소비자가 누릴 수 있는 권리
캘리포니아 거주자는 다음과 같은 권리를 행사할 수 있습니다.
- 알 권리(Right to Know): 어떤 정보가 수집·처리·판매되었는지, 그 출처가 어디인지 알 권리
- 삭제권(Right to Delete): 기업이 보유한 자신의 개인정보 삭제를 요구할 권리
- 판매·공유 거부권(Right to Opt-Out): 개인정보 판매 또는 제3자 공유를 거부할 권리
- 차별 금지권(Right to Nondiscrimination): 권리 행사에 따른 차별 대우를 받지 않을 권리
- 민감정보 이용 제한권: 민감한 개인정보의 사용·공개를 제한하라고 요구할 권리
법령 인용 방법
CCPA를 학술 논문이나 문서에서 인용할 때는 캘리포니아 민법(California Civil Code) 제1798조를 기준으로 합니다. CCPA는 캘리포니아 민법 제3편 제4부에 편입되어 있으며, 인용 시 'Cal. Civ. Code § 1798.100'과 같은 형식을 사용합니다.
마무리: 기업이 준비해야 할 것
캘리포니아 개인정보 보호법은 미국 전역은 물론 캘리포니아 거주자의 데이터를 다루는 전 세계 기업에 영향을 미치는 획기적인 규제입니다. 자사가 해당 요건에 해당하는지 먼저 확인하고, 개인정보 처리 프로세스 전반을 점검하는 것이 중요합니다. 규제 환경은 계속 진화하고 있으므로, 정기적인 컴플라이언스 점검과 직원 교육을 통해 리스크를 사전에 관리하는 것이 바람직합니다.