캘리포니아, 500개 데이터 브로커에 개인정보 삭제 의무화

캘리포니아 주민 21만 5천 명은 이미 주정부의 DROP 플랫폼을 통해 삭제 요청을 제출한 상태였는데, 8월 1일부터 새로운 변화가 생겼다. 이제 그들의 데이터를 보유한 기업들은 법적으로 요청을 처리해야 한다. 이날부터 캘리포니아에 등록된 모든 데이터 브로커는 대기 중인 삭제 요청을 조회해 처리해야 하며, 이는 미국의 어떤 주도 전체 업계를 대상으로 동시에 중앙 집중식 요구를 시행한 첫 사례다.

이 플랫폼은 소비자와 대부분의 사람들이 결코 보지 못하는 세계 사이의 중개소 역할을 한다. 주민들은 drop.privacy.ca.gov를 방문해 캘리포니아 주정부 게이트웨이나 login.gov를 통해 신원을 확인하고, 이름, 이메일 주소, 전화번호, 우편번호를 제공한다. 선택적으로 휴대폰에 연결된 고유 식별자인 모바일 광고 ID와 차량 식별 번호도 포함할 수 있다. 한 번의 제출로 등록된 모든 브로커에게 동시에 삭제 요청이 전달된다. 이전에는 소비자가 각 기업에 개별적으로 연락해야 했으며, 일부 브로커는 검색 엔진에서 옵트아웃 양식을 숨겨 의도적으로 절차를 어렵게 만들기도 했다.

이 법의 적용을 받는 기업들은 일반 가정에 익숙한 이름이 아니다. 데이터 브로커는 구매 내역을 집계하고, 광고주를 위한 인구통계학적 및 심리통계학적 프로필을 구축하며, 휴대폰, 스마트 TV, 커넥티드 카에서 파생된 위치 패턴을 판매하는 업체들이다. Acxiom, LexisNexis, Spokeo, BeenVerified 같은 회사들이 이 분야에서 활동한다. 또한 대부분의 소비자가 들어본 적 없지만, 어쨌든 그들에 대한 상세한 기록을 보유하고 있을 가능성이 높은 애드테크 플랫폼과 잠재고객 세그먼트 판매업체들도 포함된다.

벌금 구조는 불이행에 실질적인 비용이 발생하도록 설계되었다. 무시된 삭제 요청 하나당 하루 200달러씩, 브로커가 조치를 취할 때까지 누적된다. 수백 건의 요청을 받는 기업의 경우 그 금액이 빠르게 불어날 수 있다. 캘리포니아 프라이버시 집행 기관은 이미 기본적인 등록 위반에 대해 Datamasters에 42,000달러, S&P Global에 62,000달러의 벌금을 부과했으며, 삭제 의무에 대한 집행을 강화할 계획이다. 다만 벌금은 등록된 브로커에게만 적용된다. 등록 없이 운영되는 기업은 DROP 시스템에 전혀 나타나지 않으며, 현재 체계 하에서는 자동 삭제 의무를 지지 않는다.

준수 일정은 소비자가 기대하는 것보다 느리다. 브로커는 최소 45일마다 한 번씩 DROP 시스템에 접속해 새로운 요청을 조회해야 하며, 그 후 각 요청을 처리하는 데 추가로 45일이 주어진다. 즉, 오늘 제출된 삭제 요청이 완료되기까지 최대 3개월이 걸릴 수 있다. 삭제 후 제3자로부터 구매해 브로커의 데이터베이스에 다시 유입된 데이터도 억제 규칙에 따라 삭제되어야 한다. HIPAA 적용 의료 기관, GLBA 규제 금융 기관, 공정신용보고법 적용 기업은 모두 면제되어, 의료 기록과 신용 파일에 영향을 미치는 데이터 생태계의 일부가 제외된다.

캘리포니아의 이 법은 미국에서 최초로 시행된 중앙 집중식 삭제 메커니즘이다. 유사한 주 차원의 법안이 10개 이상의 다른 주에서 계류 중이다. 캘리포니아 자체의 다음 이정표는 2028년이다. 그때부터 등록된 데이터 브로커는 독립적인 프라이버시 감사를 받아야 하며, 그 결과는 2029년까지 주 프라이버시 기관에 제출되어야 한다.

태그: 데이터 프라이버시, California Delete Act, CalPrivacy, 개인 데이터, 개인정보보호법, 데이터 브로커