캘리포니아 소비자 개인정보 보호법 (CCPA)
캘리포니아 소비자 개인정보 보호법 (CCPA) 정의
캘리포니아 소비자 개인정보 보호법(CCPA)은 미국 캘리포니아 거주자의 개인정보 보호 권리와 소비자 보호를 강화하기 위한 주 법령입니다. 이것은 소비자들에게 기업이 수집하는 개인 정보에 대한 더 많은 통제권을 부여합니다.
CCPA는 2018년 6월 28일에 법으로 서명되어 2020년 1월 1일에 발효되었습니다. 이는 미국에서 가장 광범위한 개인정보 보호법 중 하나로 간주되며, 유럽 연합의 일반 데이터 보호 규정(GDPR)과 유사점이 있습니다.
CCPA의 주요 개념 및 규정
소비자의 알 권리: CCPA는 소비자에게 기업이 그들에 대해 수집하는 개인 정보 및 해당 정보가 사용되는 방법에 대해 알 권리를 부여합니다. 기업은 수집하는 개인 정보의 카테고리, 정보가 수집된 출처, 정보가 사용되는 목적, 정보가 공유되는 제삼자의 카테고리를 공개해야 합니다.
소비자의 삭제 요청 권리: 소비자는 기업에 개인 정보를 삭제할 것을 요청할 권리가 있으며, 특정 예외에 따라 달라질 수 있습니다. 인증된 요청 접수 시, 기업은 소비자의 개인 정보를 기록에서 삭제하고 서비스 제공자에게도 동일하게 조치할 것을 지시해야 하며, 예외가 없는 경우에만 가능합니다.
소비자의 옵트아웃 권리: 개인 정보를 판매하는 기업은 웹사이트에 "내 개인 정보를 판매하지 마시오" 링크를 제공해야 하며, 이를 통해 소비자가 개인 정보 판매를 중단할 수 있습니다. 소비자는 언제든지 이 권리를 행사할 수 있으며, 기업은 이 권리를 행사하는 소비자를 차별할 수 없습니다.
소비자의 비차별 권리: CCPA는 CCPA에 따라 권리를 행사하는 소비자에 대한 차별을 금지합니다. 기업은 이런 소비자에게 상품이나 서비스를 거부하거나, 다른 가격을 부과하거나, 다른 수준이나 품질의 서비스를 제공할 수 없습니다.
아동의 개인정보: CCPA는 16세 미만 아동에 대한 특정 보호 조치를 포함하고 있습니다. 기업은 13세 미만 아동의 개인 정보를 판매하기 전에 부모나 보호자의 동의를 얻어야 하며, 13세에서 16세 사이의 아동은 본인이 명시적으로 동의해야 합니다.
기업의 의무: 소비자 권리 외에도, CCPA는 기업에 특정 의무를 부과합니다. 기업은 수집한 개인 정보를 무단 접근, 파괴, 사용, 수정 또는 공개로부터 보호하기 위해 합리적인 보안 조치를 구현해야 합니다. 또한, 소비자가 그들의 개인정보 보호 권리를 행사할 수 있는 최소 두 가지 방법을 제공해야 하며, 무료 전화번호와 웹사이트 주소가 포함됩니다.
CCPA 준수
기업은 CCPA의 요구사항을 이해하고 개인정보 보호정책 및 데이터 관리 관행에 필요한 변경을 구현하여 준수해야 합니다. 위반을 방지하기 위한 몇 가지 팁은 다음과 같습니다:
법의 범위 이해: 기업은 연간 총수입, 처리하는 캘리포니아 소비자 데이터의 양 및 법에 명시된 기타 기준을 충족하는지 여부에 따라 CCPA가 적용되는지 평가해야 합니다.
개인정보 보호정책 업데이트: 기업은 수집되는 개인 정보의 카테고리, 정보가 사용되는 목적 및 소비자가 사용할 수 있는 권리에 대한 요구된 공개를 포함하도록 개인정보 보호정책을 검토하고 업데이트해야 합니다.
데이터 보호 조치 구현: 기업은 수집한 개인 정보를 보호하기 위해 합리적인 보안 조치를 구현해야 합니다. 여기에는 암호화, 접근 제어, 정기적인 데이터 백업 및 데이터 보안 최선 관행에 대한 직원 교육이 포함될 수 있습니다.
소비자 권리 메커니즘 제공: 기업은 소비자의 알 권리, 삭제 요청 및 옵트아웃 요청을 처리하기 위한 프로세스를 수립해야 합니다. 이를 위해 전용 이메일 주소나 무료 전화번호를 만들어 소비자의 요청을 수신하고 처리할 수 있습니다.
직원 교육: 기업은 CCPA의 요구사항, 소비자 요청 처리, 개인 정보 보호 및 법 규정 준수를 직원에게 교육하고 훈련해야 합니다.
GDPR과의 관계
CCPA는 유럽 연합의 일반 데이터 보호 규정(GDPR)과 유사점을 공유하며, 이는 2018년 5월에 시행되었습니다. 두 규정은 개인의 개인정보 보호 권리를 강화하고 개인 정보를 수집 및 처리하는 기업에 의무를 부과하는 것을 목표로 합니다. 그러나 두 규정 간에는 주요 차이점이 있습니다:
영토적 범위: GDPR은 개인 데이터를 처리하는 사업체가 유럽 연합 내에 있는 경우에 적용되며, 사업체의 위치에 상관없이 적용됩니다. 반면에 CCPA는 캘리포니아 주민의 개인 정보를 수집하는 사업체에 적용되며, 사업체의 위치에 상관없이 적용됩니다.
동의 요구사항: GDPR은 개인의 명시적인 동의를 얻어 개인 데이터를 처리하는 것을 강조하는 반면, CCPA는 소비자에게 개인 정보 판매를 중단할 권리를 부여하는 데 중점을 둡니다.
벌금 및 집행: GDPR은 위반 시 기업의 연간 글로벌 매출의 최대 4%에 달하는 상당한 벌금을 부과할 수 있도록 하고 있습니다. CCPA는 최대 $2,500의 민사 벌금 또는 의도적인 위반의 경우 최대 $7,500의 벌금이 부과됩니다.
차이점에도 불구하고, 캘리포니아와 유럽 연합 내 개인의 개인 정보를 처리하는 기업은 두 규정을 이해하고 준수하는 것이 중요합니다.
관련 용어
- 일반 데이터 보호 규정 (GDPR): 유럽 연합에서 개인 정보 보호 및 프라이버시를 다루는 규제입니다.
- 개인 정보: 특정 개인과 관련이 있거나 식별되거나 설명될 수 있는 정보입니다.