주(州)별 데이터 프라이버시 법: 프라이버시 보호를 위한 다양한 접근 방식

개인의 데이터 프라이버시 보호가 중요한 과제로 자리 잡으면서, 모든 수준의 정부가 조직이 이름, 주소, 의료 데이터, 재무 기록, 신용 정보 등 개인 정보를 어떻게 수집하고, 저장하며, 처리하는지 통제하기 위해 다양한 프라이버시 권리 법률을 제정해 왔습니다.

미국의 데이터 프라이버시 법에 대해 더 자세히 알아보고, 개인 데이터에 적용되는 기존 법률과 관련해 어떤 변화와 기타 발전이 예상되는지 살펴보세요.

미국에서 데이터 프라이버시는 어떻게 시행되나요?

현대적인 개인정보 이슈를 다루고 데이터 프라이버시 권리를 보호해야 한다는 필요는 전 세계적인 흐름입니다. 하나의 결정적인 계기는 2018년 5월에 EU가 일반 데이터 보호 규정(GDPR)을 시행하면서였습니다. 이 방대한 법은 EU 회원국뿐 아니라 유럽 거주자의 데이터를 수집하거나 처리하는 모든 조직에 적용됩니다.

간단히 말해, 미국에는 EU의 GDPR와 동등한 제도가 없습니다. 실제로 2021년 기준으로 미국은 유일한 경제협력개발기구(OECD) 회원국이자, 연방 차원의 데이터 보호 기관이 없는 몇 안 되는 민주주의 국가 중 하나입니다. 다만 Kirsten Gillibrand 상원의원과 여러 인사들은 그러한 기관의 설립을 제안해 왔습니다. 연방 차원의 포괄적인 데이터 보호 법이 없기 때문에, 미국은 주와 연방 수준에서 제정된 법들의 혼합을 통해 데이터 프라이버시를 계속 규제하고 있습니다.

기업은 “개인정보”로 간주될 수 있는 데이터를 수집하거나 처리하기 전에 관련 법률을 모두 숙지해야 합니다. 적용 가능한 데이터 프라이버시 법을 준수하지 않으면 소송과 벌금으로 이어질 수 있습니다.

미국의 연방 개인정보 보호법과 그 집행

데이터 프라이버시 법으로 간주되는 연방법에는 다음이 포함됩니다:

• Gramm-Leach-Bliley Act (GLBA): 1999년의 금융현대화법(Financial Modernization Act of 1999)으로도 알려진 GLBA는 금융 회사가 고객의 민감한 정보를 어떻게 보호하고 공유하는지 설명하도록 요구합니다.
• Health Insurance Portability and Accountability Act (HIPAA): 이 연방법은 보호되는 건강정보(Protected Health Information, PHI)의 공개 및 사용을 규제합니다.
• Children’s Online Privacy Protection Act (COPPA): 이 법은 13세 미만 아동에 관한 개인정보의 수집을 제한합니다.
• Family Educational Rights and Privacy Act (FERPA): 이 연방법은 학생 기록의 프라이버시를 보호하며, 미국 교육부(US Department of Education)로부터 자금을 지원받는 모든 학교에 적용됩니다.
• Fair Credit Reporting Act (FCRA): 소비자 정보의 수집 및 사용을 규율합니다

연방 수준에서 미국 연방거래위원회(Federal Trade Commission, FTC)는 “기만적인 거래 관행”을 방지하기 위해 상업적 기업 전반에 대해 광범위한 관할권을 갖고 있으며, 여기에는 데이터 프라이버시 문제가 포함될 수 있습니다. FTC는 개인정보 보호법을 집행하고 규정을 제정하며, 소비자를 보호하기 위한 조치를 취할 권한이 있습니다. 특히 FTC는 다음과 같은 기업에 대해 조치를 취할 수 있습니다:

• 합리적인 데이터 보안 침해(유출) 대응 조치를 수립·이행·유지하지 못하는 경우
• 소비자의 동의 없이 소비자 정보를 수집, 처리 또는 공유하여 소비자의 데이터 프라이버시 권리를 침해하는 행위
• 웹사이트와 앱에서 소비자에게 부정확하거나 혼란스러운 개인정보 및 보안 정책을 게시하고 확립하는 행위
• 개인정보를 개인정보 처리(privacy) 정책에 공개되어 있지 않은 방식으로 수집, 처리, 이전 또는 공유하는 행위

미국의 주(州) 단위 데이터 프라이버시 법

미국의 많은 주에도 자체 데이터 프라이버시 및 보안 법률이 있습니다. 주 법무장관(Attorney General) 사무소가 이러한 법률의 감독을 담당합니다.

주(州) 단위 규정은 종종 중복되거나 상호 양립할 수 없는 조항을 포함합니다. 예를 들어, 미국 50개 주 모두가 데이터 침해 통지 법률을 채택했지만, 개인정보의 정의와 심지어 데이터 침해로 무엇을 볼지에 대해서도 차이가 있습니다. 마찬가지로 최소 35개 주(푸에르토리코 포함)에서 일종의 데이터 폐기 규정을 제정했으며, 이들 법률의 많은 부분이 특히 디지털 데이터를 다룹니다.

이미 시행(제정)된 주별 주요 데이터 프라이버시 법은 다음과 같습니다.

캘리포니아 소비자 개인정보 보호법

시행일 날짜: 2020년 1월 1일

규정: 이 캘리포니아 데이터 개인정보 보호법은 수십 년 동안 실리콘밸리의 디지털 및 기술 기업들이 조용히 수집하고 판매해 온 방대한 사적 데이터의 양에 대한 대중의 우려가 커지면서, 투표 발의(표결을 통한 제안) 형태로 시작되었습니다. 캘리포니아 법은 유럽연합(EU)의 GDPR에 포함된 데이터 보호 및 데이터 개인정보 보호 요구사항의 핵심 원칙을 반영합니다.

이 CCPA는 캘리포니아 거주자의 개인정보의 수집, 판매, 공개를 규율합니다. 이 법은 기업의 활동, 기업을 위해 서비스를 제공하는 서비스 제공자, 그리고 제3자(개인 또는 조직일 수 있음)에게 적용됩니다. 법에서 핵심 용어 중 하나는 기업이 캘리포니아 소비자의 문의에 신속히 응답해야 한다는 점입니다. 즉, 기업이 소비자에 대해 어떤 개인정보를 수집하고 있는지, 그리고 그 정보가 판매되거나 공개되는지에 대해 즉각적으로 답변해야 합니다. 이 법은 자신의 권리를 행사하는 소비자에 대해 어떤 차별도 허용하지 않습니다. 소비자가 데이터 판매 같은 특정 활동에 이의를 제기하더라도 동일한 수준의 서비스 품질을 제공받아야 합니다. 서비스 제공자는 소비자 데이터를 자신이 제공받는 기업의 지시에 따라서만 사용할 수 있으며, 요청이 있을 경우 소비자의 개인정보를 기록에서 삭제해야 합니다.

적용 범위: CCPA는 수익 기준 등 특정 요건을 충족하는 모든 영리 목적의 캘리포니아 내 사업에 적용됩니다. 또한 캘리포니아에서 운영되는 비(非)캘리포니아 기업까지 포괄하므로, 역외적 효력(예외적 역외 적용)이 있습니다.

기타 핵심 사실:

• 일부 민감한 데이터는 CCPA 요구 사항에서 면제됩니다. 여기에는 이미 Health Insurance Portability & Accountability Act (HIPAA)의 적용을 받는 보호 건강 정보(PHI), 이미 California Confidentiality of Medical Information Act의 적용을 받는 의료 정보, 그리고 Gramm-Leach-Bliley Act (GLBA)의 적용을 받는 일부 정보가 포함됩니다.
• 현재 법은 기업이 CCPA가 제공하는 권리를 직원에게까지 확대하도록 요구합니다. 다만, 해당 법을 개정하여 직원들을 “소비자(consumer)”의 정의에서 제외하는 내용의 계류 중인 법안이 있습니다.
• 기업이 특정 개인에 대해 수집·저장된 정보에 관한 문의를 접수하면, 응답하기 전에 요청을 하는 사람이 자신이 주장하는 바로 그 사람인지 실제 신원을 확인해야 합니다.

위반에 대한 처벌: 법은 기업에 위반 사항을 “시정(cure)”할 수 있도록 30일의 기간을 제공합니다. 위반을 시정하지 않으면, 고의적 위반 1건당 최대 미화 7,500달러, 비고의적(과실) 위반 1건당 2,500달러의 민사상 벌금이 부과될 수 있습니다.

캘리포니아 프라이버시 권리법(CPRA)

공식 명칭: Proposition 24

시행일: 2023년 1월 1일이지만, 2023년 7월 1일까지는 시행되지 않습니다

조항: 이 캘리포니아 법은 소비자에게 다음과 같은 새로운 권리를 부여합니다:

• 부정확한 정보를 정정합니다.
• 목적 제한과 데이터 최소화에 따라 개인 정보를 수집합니다.
• 민감한 개인정보를 사용할 계획인 사업체로부터 통지를 받고, 사용을 중단해 달라고 요청할 수 있습니다. 여기에는 생체정보, 유전 데이터, 그리고 개인의 건강, 성적 지향, 성생활에 관한 모든 정보가 포함됩니다.

범위: 이 법은 다음과 같이 소비자에게 확대된 권리를 제공하기 때문에 CCPA보다 범위가 더 넓습니다:

• 사업체가 비밀번호와 사용자 이름을 노출하는 경우 소송을 제기할 권리: CPRA 는 CCPA의 “개인 정보” 정의를 확대하여 사용자 이름과 비밀번호를 포함합니다.
• 제3자와 정보를 공유하는 것에 대해 거부할 권리: CCPA 하에서는 “판매”가 공유를 명시적으로 포함하지 않았기 때문에 이 부분은 논쟁이 있었습니다. CPRA에서는 소비자가 제3자에 대한 개인 정보의 판매 및 공유를 거부할 수 있습니다.
• 추가 정보를 열람할 권리: 소비자는 이전 12개월 기간에 수집된 정보뿐 아니라 사업자가 수집한 모든 개인 정보에 대해 접근을 요청할 수 있습니다.

기타 핵심 사실: 또한 이 법은 집행을 담당할 새로운 개인정보 보호 기관인 캘리포니아 개인정보 보호국(California Privacy Protection Agency, CPPA)을 신설합니다.

위반 시 제재: 벌금은 사업자인지 개인인지에 따라 $2,500부터 $7,500까지 다양할 수 있습니다. 또한 미성년자(16세 미만)의 데이터 위반에 대해서는 자동으로 $7,500의 벌금이 부과됩니다.

콜로라도 개인정보 보호법(Colorado Privacy Act, CPA)

공식 명칭: SB 21-190

시행일: 2023년 7월 1일

조항: CPA는 콜로라도에서 운영하거나, 콜로라도 주민을 대상으로 하는 제품 또는 서비스를 제공하는 “처리자(controller)”에게 적용되며, 이는 다음과 같습니다:

• 1년 동안 100,000명 이상의 소비자의 개인 데이터를 통제하거나 처리
• 25,000명 이상의 소비자의 개인 데이터를 판매, 처리 또는 통제함으로써 수익을 얻거나 서비스 또는 상품 가격에 대한 할인을 받는 경우

2024년 7월 1일부터 위의 요건을 충족하는 처리자(controller)는 맞춤형 판매 및 광고에 대한 옵트아웃을 존중해야 합니다. CPA는 또한 콜로라도 주민에게 개인 데이터에 대한 접근, 정정 및 삭제할 권리를 data portability에 관한 권리 외에 추가로 부여합니다. data portability에 대한 권리. 처리자는 요청에 응답하기 위해 45일의 기간을 갖습니다.

적용 범위: 2018년 캘리포니아 소비자 개인정보 보호법과 달리, CPA는 적용 여부를 판단하는 데 있어 금전적 기준(금액 기준)이 없습니다. 이는 모든 기업이 이 법을 고려해야 한다는 뜻입니다. 다만 아래의 기관에는 적용되지 않습니다:

• GLBA 적용 대상 금융기관
• 의료 관련 데이터의 다양한 유형
• FERPA의 적용을 받는 데이터

캘리포니아 법과 달리, CPA는 비영리 단체를 제외하지 않습니다.

기타 핵심 사실: CPA는 데이터 처리자(processors)와 데이터 처리 계약(DPA)을 체결할 것을 데이터 관리자(controllers)에게 요구합니다. 또한 데이터 보호 영향평가를 수행하고 그 기록을 남겨야 합니다.

위반 시의 처벌: 소 제기권(민사상 직접 청구권)이 없으므로, 콜로라도 주 법무장관과 지방검사(district attorneys)가 CPA를 집행합니다. 이들은 금전적 손해배상 또는 금지명령(가처분/명령 등)을 청구할 수 있습니다. 다만 조치를 취하기 전에 법무장관과 지방검사는 위반 통지서를 발급하고, 기업 또는 개인에게 문제가 된 위반을 시정(cure)할 수 있는 기간으로 60일을 허용해야 합니다. 2025년 1월 이후에는 이 “시정(구제) 권리”가 법무장관실에 대한 지침 요청권으로 대체됩니다.

버지니아 소비자 데이터 보호법(Virginia Consumer Data Protection Act, CDPA)

공식 명칭: SB-1392

시행일: 2023년 1월 1일

규정: CDPA는 소비자에게 여섯 가지 권리를 제공합니다:

• 정정할 권리
• 열람할 권리
• 데이터를 이전받을 권리
• 삭제할 권리
• 거부할 권리
• 이의제기할 권리

범위: 본 법은 버지니아에서 사업을 수행하거나 버지니아 거주자를 대상으로 하는 서비스 또는 제품을 만드는 다음의 기관에 적용됩니다.

• 1년 동안 100,000명 초과 소비자의 개인정보를 통제 또는 처리하는 경우
• 25,000명 초과 소비자의 개인정보를 통제 또는 처리하고, 총매출의 최소 절반을 개인정보 판매로부터 얻는 경우

콜로라도의 CPA와 마찬가지로 버지니아의 CPDA에도 매출 기준이 없습니다. 즉, 모든 규모의 기업이 이 법에 주의를 기울여야 합니다.

“소비자”의 정의에는 고용 또는 상업적 맥락에서 행동하는 사람이 포함되지 않습니다. 이는 직원 데이터를 포함하는 CPRA와 다릅니다. 따라서 기업은 CPDA가 자신에게 적용되는지 판단할 때 직원 데이터를 고려할 필요가 없습니다.

기타 주요 사실: EU의 GDPR과 캘리포니아의 CCPA처럼, CDPA에도 데이터 처리 목적과 관련하여 “적절하고, 관련성이 있으며, 합리적으로 필요한 범위 내에서”만 데이터를 수집하도록 제한하는 조항이 있습니다.

위반 시 제재: 콜로라도의 CPA와 마찬가지로 버지니아의 CDPA에는 개인의 소 제기권(사적 권리 행사)이 없습니다. 집행은 법무장관(Attorney General)의 책임입니다. 법무장관이 조치가 취해질 것이라고 컨트롤러에 통지한 후, 컨트롤러는 위반을 시정(cure)할 수 있도록 30일의 기간이 주어집니다. 이 기간 내에 시정하지 못하면, 법무장관은 위반 1건당 최대 7,500달러까지 벌금을 부과할 수 있습니다.

네바다 인터넷 개인정보보호 법안 (SB260)

공식 명칭: BDR-52-253

시행일: 2021년 10월 1일

규정: 이 법은 네바다 주민에게 개인 정보의 판매에 대해 거부할 수 있는 더 폭넓은 권리를 제공합니다. 또한 “데이터 브로커”에 대한 새로운 요구사항을 만듭니다. 여기서 데이터 브로커는 영업의 주요 수단이 운영자 또는 다른 데이터 브로커로부터 소비자에 관한 정보를 판매하는 데에 있는 법인을 의미합니다. 데이터 브로커는 소비자가 지정된 주소를 통해 데이터 브로커에게 자신의 정보 판매 중단을 요청할 수 있도록 해야 합니다. 데이터 브로커는 접수일로부터 60일 이내에 응답해야 합니다.

범위: 이 법은 거부(옵트아웃) 권리의 적용 범위를 확대하지만, “대상 정보(covered information)”의 범위는 유사한 법에서 정의하는 “개인 정보(personal information)”보다 더 좁습니다.

“대상 정보(covered information)”는 다음으로 제한됩니다:

• 이름(성명)
• 자택/실물 주소
• 이메일 주소
• 전화번호
• 사회보장번호
• 해당 사람이 대면 또는 온라인으로 연락될 수 있도록 하는 식별자

기타 주요 사실: 해당 법안은 NRS 603A.300-360과 같은 네바다주의 온라인 개인정보 보호 고지 관련 법령을 개정합니다.

위반 시의 처벌: 네바다주의 법무장관이 이 법의 집행을 담당합니다. 법원은 임시 또는 영구 금지명령을 내리거나, 위반 1건당 최대 $5,000의 민사상 과태료를 부과할 수 있습니다.

매사추세츠 데이터 프라이버시 법

공식 명칭: 매사추세츠주 거주자의 개인정보 보호를 위한 기준(201 CMR 17.00)

시행일: 2010년 3월 1일

규정: 이 법은 매사추세츠 주 거주자를 신원 도용 및 사기로부터 보호하기 위한 요구 사항을 규정합니다.

적용 범위: 매사추세츠 주 거주자에 관한 개인 데이터를 라이선스하거나 저장하거나 유지하는 모든 조직은 포괄적인 정보보안 프로그램을 이행해야 합니다.

기타 주요 사실:

• : 이 법은 기업이 데이터 보안 프로그램을 운영하고 정기적인 직원 교육을 실시하기 위한 전담 담당자를 두도록 요구합니다.
• 해당 법은 또한 기업이 개인 정보에 접근할 수 있는 제3자 서비스 제공자가 해당 정보를 보호할 수 있는지 확인하기 위해 “합리적인 조치”를 취하도록 요구합니다.
• 이 법은 소비자와 직원의 개인 정보에 대한 보안과 기밀성을 보호하며, 여기에는 이름, 성, 사회보장번호, 운전면허증 번호, 주(州)에서 발급한 신분증 카드 번호, 금융 계좌 번호, 신용 또는 직불 카드 번호, 그리고 해당 사람의 금융 정보에 접근할 수 있게 하는 모든 액세스 코드가 포함됩니다. 다만, 공개적으로 이용 가능한 출처에서 얻은 정보는 제외됩니다.
• 매사추세츠도 CCPA와 유사한 데이터 프라이버시 규정을 마련하고 있습니다. 통과될 경우, SD.341 「소비자 데이터 프라이버시에 관한 법률(An Act Relative to Consumer Data Privacy)」은 2023년 1월 1일부터 시행될 예정입니다.

위반 시 제재: 소비자 및 기업 규제 담당청(Office of Consumer Affairs and Business Regulation)이 집행을 담당합니다. 법을 고의로 위반한 경우, 건당 최대 미화 5,000달러의 민사상 벌금이 부과될 수 있으며, 여기에 “해당 위반에 대한 조사 및 소송에 드는 합리적인 비용(합리적인 변호사 수임료를 포함)”이 추가됩니다.

미네소타 데이터 프라이버시 법

공식 명칭: Minnesota Government Data Practices Act (MGDPA) (Minn. Stat. § 13)

시행일: 1979

조항: 이 미네소타 주 법률은 개인의 정부 데이터에 대한 접근 권리를 보호하고, 개인정보의 수집, 저장, 사용 및 공개(전파)를 통제합니다. 또한 교육 데이터와 법 집행 데이터 등 서로 다른 유형의 정보를 구분하기 위한 분류 체계를 수립합니다. 더불어 개인에 관한 데이터는 공공 또는 비공공으로 태그하는 반면, 개인과 관련되지 않은 데이터는 비공공 또는 보호되는 비공공으로 태그합니다

적용 범위: 이 법은 미네소타 주의 모든 정부 기관에 적용됩니다.

그 밖의 주요 사실:

• 법은 모든 주 정부 기관이 “responsible authority(책임 당국)”를 임명하도록 요구하며, 이 책임 당국은 데이터 요청이 “적절하고 신속한 방식으로 접수되고 이행되도록” 하는 절차를 수립해야 합니다. 정부 기관이 개인의 사적 또는 기밀 데이터를 수집하려는 경우, 해당 기관은 그 개인에게 “Tennessen”이라고 불리는 개인정보 보호 고지서를 제공해야 합니다.
• 데이터 처리 방식과 관련해 정부 기관과 개인 사이에 분쟁이 발생한 경우, 해당 개인은 행정 책임자(Commissioner of Administration)에게 자문 의견을 요청할 수 있습니다.

위반에 대한 벌칙: 벌칙에는 고의 위반에 대한 민사 소송, 또는 정부 기관이 자문 의견을 따르지 않는 경우 변호사 비용(변호사 수임료)이 포함될 수 있습니다. 고의 위반의 경우, 법원은 공무원에게 형사 처벌을 부과하거나, 무급으로 정직시키거나, 해임할 수도 있습니다.

미국 주(州) 데이터 프라이버시 법안(제안)

위의 모든 데이터 프라이버시 법은 제정되었지만, 현재 논의 중인 법도 있습니다. 그 예는 다음과 같습니다.

오하이오 개인정보보호법 (OPPA)

공식 명칭: 하원 법안 376

설명: 이 법안은 캘리포니아, 버지니아, 콜로라도에서 제정된 입법과 유사합니다. 제정될 경우, 오하이오 주민에게 특정한 디지털 권리를 부여하고, 오하이오 소비자의 개인정보를 수집하는 모든 사업체에 의무를 부과하게 됩니다.

노스캐롤라이나 소비자 개인정보보호법 (CPA)

공식 명칭: 상원 법안 569

설명: 이 법이 시행되면, 노스캐롤라이나 소비자에게 다음과 같은 권리가 부여됩니다:

• 알 권리 및 접근권
• 정정할 권리
• 삭제할 권리
• 거부할 권리
• 개인의 소송 제기 권리

이는 노스캐롤라이나 거주자를 대상으로 서비스를 제공하거나 제품을 판매하는 모든 기업에 적용되며, 다음에 해당하는 기업입니다.

• 매년 100,000명 이상의 소비자의 개인 데이터를 처리 또는 통제
• 최소 25,000명의 소비자의 개인 데이터를 처리 또는 통제하며, 이 개인 데이터의 판매로부터 총매출의 절반을 초과하는 금액을 얻는 경우.

로드아일랜드 데이터 투명성 및 개인정보 보호법

공식 명칭: HB 5959

설명: 이 법안은 정보 공유 관행을 설명하고, 소비자 데이터가 수집되는 방식에 대한 투명성을 요구하며, 특정 기업이 개인정보 보호정책 공지를 제공하도록 합니다. 통과될 경우, 이 법은 온라인 서비스 제공자와 상업 웹사이트가 제3자에게 수집, 공유 또는 판매하는 개인 정보를 소비자가 파악하는 데 도움이 될 것입니다.

펜실베이니아 소비자 데이터 프라이버시 법

공식 명칭: House Bill 1126

설명: 이 법은 아래의 모든 기준을 충족하는 영리 기업에 적용될 것입니다:

• 펜실베이니아에서 사업을 수행하세요
• 소비자의 개인정보를 수집, 공유 또는 판매
• 단독 또는 타인과 함께 소비자의 개인정보를 처리하는 목적과 수단을 결정
• 다음 요건 중 하나를 충족해야 합니다:
  • 소비자의 개인정보 판매로 연간 수입의 절반을 얻음
  • 매년 소비자 50,000명, 기기 또는 가구의 개인 정보를(단독 또는 다른 사람과 함께) 구매, 공유 또는 판매합니다
  • 연간 총매출이 최소 1,000만 달러 이상이어야 합니다

뉴저지 — 개인정보 보호 법안 3건

공식 명칭: A5448, A3283, 및 A3255

설명:

A5448 및 A3255는 유사한 목표를 가지고 있습니다. 즉, 기업이 개인을 식별할 수 있는 정보(개인정보)의 수집 및 공개에 대해 소비자에게 통지하도록 요구하고, 소비자가 이에 대해 거부(옵트아웃)할 수 있도록 허용하는 것입니다.

A3283(뉴저지 공개 및 책임성 투명성 법, NJ DaTA)는 개인을 식별할 수 있는 정보의 공개 및 처리에 대한 요구 사항을 정하게 됩니다. 또한 이 법안은 소비자업무국(Division of Consumer Affairs) 내에 데이터 보호 및 책임 있는 사용을 담당하는 사무소(Office of Data Protection and Responsible Use)를 설치할 것입니다.

매사추세츠 정보 프라이버시 법(MIPA)

공식 명칭: S.46

설명: 본 법안은 워싱턴주(미국)에서 시행 중인 People’s Privacy Act의 수정 버전입니다. 이 법안은 위치 및 생체 데이터(biometric data)를 포함한 개인 정보의 무단 수집, 이용, 그리고 그 정보를 통한 수익 창출(모네타이제이션)로부터 소비자를 보호할 것입니다. 또한 개인 정보를 근거로 한 차별을 금지하고, 직장에서 정당한 이유 없이 이루어지는 전자적 모니터링으로부터 근로자를 보호합니다.

하와이 소비자 개인정보 보호법

공식 명칭: SB 418

설명: 이번에 제안된 법안은 소비자에게 개인 정보에 대한 열람, 삭제, 그리고 개인 정보 판매에 대한 거부(옵트아웃) 권리를 부여합니다. CCPA와 마찬가지로 “개인 정보”에 대해 광범위한 정의를 두고 있습니다. 이 법안은 CCPA와 동일한 주요한 보호와 권리를 제공하지만, “사업자”가 무엇인지에 대해 정의하지 않으므로 규모에 따른 사업자 제외를 하지 않습니다.

뉴욕 소비자 개인정보 보호법 (NYPA)

공식 명칭: 상원 법안 S567

설명: 이 제안된 뉴욕 데이터 프라이버시 법안은 CCPA와 매우 유사합니다. 이 법안은 개인이 사업체가 자신에 대해 어떤 데이터를 수집했는지, 그리고 그 데이터를 누구와 공유했는지 알 수 있도록 권한을 부여하고, 사업체에 데이터의 정정 또는 삭제를 요청하며, 자신의 데이터가 제3자와 공유되거나 판매되는 것을 거부(옵트아웃)할 수 있게 할 것입니다. NYPA는 개인 정보의 보호 범위를 확대함으로써 뉴욕의 기존 데이터 침해 통지법을 보완하게 됩니다.

이 제안 법안은 다음과 같은 높은 수준의 데이터 프라이버시 보호 기준을 설정합니다.

• 이 법안은 개인 데이터를 수집, 판매 또는 라이선스하는 모든 법적 주체에 신인의무를 부과하고, 그 의무를 광범위하게 정의합니다. 사업체는 소비자의 개인 데이터를 그들에게 영향을 미칠 수 있는 어떤 위험에 대해서도 보호해야 합니다. 또한, 이 법안은 데이터에 관한 신인의무 책임이 “소유자나 주주에게 부담하는 어떠한 의무”보다 우선한다고 명시합니다.
• 이 법안은 다른 주(州) 법률보다 더 강력한데, 기업이 고객의 프라이버시를 자신의 이익보다 우선하도록 요구하기 때문입니다. 이 프라이버시 입법에는, 조직은 “소비자의 최선의 이익のために 행동해야 한다”라고 말하는 매우 논쟁적인 문구가 있습니다. 다만, 기업이 뉴욕 시민과 다른 고객들의 이익에 대해 실제로 무엇을 이해해야 하는지에 대해서는 설명하지 않습니다.
• 이 법안은 사인(私人)에게 소를 제기할 권리(개인 소송권)를 제공합니다. 즉, 집행을 주(州) 법무장관에게만 맡기는 대신, 소비자가 프라이버시 침해에 대해 기업을 직접 상대로 소송을 제기할 수 있게 합니다.

결론

미국은 EU와 달리 포괄적인 연방 데이터 개인정보 보호법을 아직 통과시키지 못했기 때문에, 각 주에서는 자체적인 데이터 개인정보 보호 및 사이버보안 규정을 제정하고 있습니다. 앞으로 몇 달과 몇 년 동안 더 많은 주 법이 시행되면서 상황은 계속해서 더욱 복잡해질 것입니다. 막대한 과태료, 소송 및 준수 실패로 인한 기타 결과를 피하려면, 조직은 미국의 데이터 개인정보 보호 법률을 신중하게 검토하고 적용 가능한 모든 요구사항을 충족하는지 확인해야 합니다.

FAQ

데이터 개인정보 보호를 확보하기 위한 요구사항을 부과하는 미국의 법은 무엇인가요?

데이터 개인정보 보호를 규율하는 포괄적인 연방 입법이 부재한 상황에서, 미국은 특정 유형의 개인정보 데이터를 공유하는 것을 통제하는 업종별 및 주별 법률에 의해 운영됩니다. 이러한 법률에는 다음이 포함됩니다:

• 1974년 개인정보보호법(Privacy Act of 1974) — 연방 기관이 보관하는 개인정보를 보호합니다
• 건강보험 양도성 및 책임에 관한 법률(Health Insurance Portability and Accountability Act, HIPAA)과 의료정보기술을 통한 경제 및 임상건강을 위한 법률(Health Information Technology for Economic and Clinical Health Act, HITECH) — 개인 건강정보(PHI)를 보호합니다
• 그램-리치-블라일리 법(Gramm–Leach–Bliley Act, GLBA) — 금융 정보를 보호합니다
• 아동 온라인 개인정보 보호법(Children’s Online Privacy Protection Act, COPPA) — 아동의 프라이버시를 보호합니다
• 가족교육권 및 사생활보호법(Family Educational Rights and Privacy Act, FERPA) — 학생의 개인 정보를 보호합니다
• California Consumer Privacy Act (CCPA) — 캘리포니아 거주자의 개인정보 보호 권리를 보호합니다
• The New York SHIELD Act — 뉴욕주 거주자의 개인 정보 및 비공개 정보를 보호합니다

미국의 개인정보 보호법은 어떤 유형의 데이터에 적용되나요?

미국의 법률에서 민감하다고 간주하는 정보에는 다음이 포함됩니다:

• Personally identifiable information (PII) — 이름, 주소, 주민등록번호(Social Security number)처럼 개인을 식별하거나 연락 또는 위치를 파악하거나, 한 사람을 다른 사람과 구별하는 데 사용될 수 있는 정보
• 개인 건강 정보(PHI) — 의료 서비스 제공자가 수집하며 특정 개인과 연결될 수 있는 건강 상태, 진료(의료) 이력, 보험 정보 및 기타 민감한 개인 데이터
• 개인 식별이 가능한 재무 정보(PIFI) — 신용카드 번호, 은행 계좌 정보 또는 개인의 재정에 관한 기타 데이터
• 학생 기록 — 개인의 성적, 성적증명서(트랜스크립트), 수업 일정, 청구(수납) 내역 및 기타 교육 관련 기록

1974년 프라이버시법(Privacy Act of 1974)이 보호하는 것은 무엇인가요?

1974년 프라이버시법(Privacy Act of 1974)은 연방 정부가 개인에 관한 기록을 연방 기관이 처리하는 방식을 규정하고, 연방 기관이 여러 가지 엄격한 기록 보관 요건을 준수하도록 요구합니다. 이 법은 개인이 자신에 관한 기록에 접근하고, 해당 기록이 공개되었는지 여부를 확인하며, 기록이 법적으로 면제되지 않는 한 그 기록에 대한 정정 또는 수정(개정)을 요청할 수 있도록 합니다.

미국의 몇 개 주에 데이터 프라이버시 법이 있나요?

최소 16개 주에 데이터 프라이버시 법이 있으며, 그중 3개 주에는 포괄적인 소비자 데이터 프라이버시 법이 있습니다. 캘리포니아는 널리 알려진 California Consumer Privacy Act (CCPA)를 제정했는데, 이로 인해 콜로라도와 버지니아에서도 유사한 입법이 추진되었습니다.

미국의 연방 및 주(州) 프라이버시 법은 외국 기업에도 적용되나요?

여러 요인에 따라 달라집니다. 예를 들어 개인에게 미치는 영향, 미국의 상거래에 미치는 영향, 그리고 해당 기업이 미국 내에 자회사를 두고 있는지 여부 등이 있습니다. 외국 기업은 미국 거주자의 개인 정보를 수집, 처리 또는 공유하는 경우 미국 법의 적용을 받을 수 있습니다. 예를 들어, 외국 기업이 캘리포니아에서 사업을 하고 소비자가 캘리포니아에 있는 동안 캘리포니아 주민의 개인 정보를 수집한다면, 그 기업은 CCPA의 적용 대상이 됩니다.

미국의 프라이버시 법은 EU의 GDPR과 어떻게 다르나요?

GDPR은 EU 거주자의 데이터를 수집하거나 처리하는 전 세계 모든 기업과 모든 회원국에 적용되는 포괄적인 개인정보 보호 의무입니다. 미국에는 이에 해당하는 포괄적 법률이 없으며, 대신 데이터 프라이버시는 분야별로 적용되는 여러 연방법과 각 주의 다양한 법률의 혼합(패치워크) 체계에 의해 규율됩니다.

GDPR이 보호하는 특정한 권리 중 하나로 언급할 만한 것이 있습니다. 바로 right to be forgotten 로, 개인의 개인정보가 조직의 기록에서 삭제되도록 요청할 권리입니다. 이 권리는 종종 미국 헌법 수정조항 제1조에 명시된 표현의 자유의 권리와 양립하기 어렵다고 여겨지는데, 이는 정보를 검색 결과에서 강제로 제외(델리스팅)시키는 행위가 표현의 자유를 좁히고 검열의 위험을 초래할 수 있다고 보기 때문입니다. 그럼에도 불구하고 미국에는 잊힐 권리에 해당하는 형태를 제공하는 여러 법률이 존재합니다. 예를 들어, COPPA는 부모가 자녀의 정보를 검토하고 삭제할 수 있도록 권한을 부여하며, CCPA는 특정 제한과 함께 캘리포니아 거주자가 자신의 기록 삭제를 요청할 수 있도록 허용합니다.