CCPA 및 CPRA에 대해 자주 묻는 질문

학습 내용

CCPA(캘리포니아 소비자 개인정보 보호법) 및 CPRA(캘리포니아 개인정보 보호 권리법)와 관련해 자주 묻는 질문을 확인하세요.

CCPA란 무엇인가요?

CCPA는 2020년 1월 1일에 시행된 법으로, 기업이 캘리포니아 주민의 개인정보를 어떻게 처리하는지를 규정해요.

CCPA는 미국의 개인정보 보호가 충분하지 않다고 여겨진 부분에 대응하기 위해 마련된 법이에요. CCPA 적용 대상 기업은 캘리포니아 주민에게 개인정보 처리 관행과 주민의 개인정보 권리(다음을 포함)를 안내해야 해요:

• 기업이 수집하는 개인 정보와 그 정보가 어떻게 사용되는지 알 권리
• 수집된 개인 정보를 삭제합니다(일부 예외 있음).
• 개인 정보 판매에서 제외
• CCPA 권리 행사에 대한 비차별

CPRA란 무엇인가요?

CPRA는 CCPA의 요구 사항을 개정 및 확대하는 법률이며, 다음을 포함해요:

• “민감한 개인 정보” 카테고리 추가
• 민감한 개인 정보의 사용 및 공개를 제한할 권리 확립
• 부정확한 개인 정보를 수정할 권리 확립
• “판매 금지(Do Not Sell)” 수신 거부 요건을 교차 컨텍스트 행동 광고를 위한 개인정보 공유까지 확대

CPRA 개정안은 2023년 1월 1일에 시행됐어요.

CCPA 및 CPRA를 준수해야 하는 대상은 누구인가요?

비즈니스

대부분의 CCPA 요건은 “사업체(businesses)”에 적용되며, 이는 캘리포니아 소비자의 개인 정보를 직접 또는 벤더를 통해 수집하고, 해당 정보의 처리 목적과 수단을 결정하는 영리 목적의 법인을 의미해요.

CPRA에 따라 개정된 CCPA는 일반적으로 다음 조건을 모두 충족하는 사업체에 적용돼요:

• 캘리포니아 거주자의 개인 정보를 처리해요.
• 캘리포니아에서 “비즈니스를 수행”하는지(전자상거래 또는 인터랙티브 웹사이트나 애플리케이션을 통해 캘리포니아에 있는 개인과 소통하는 것을 포함)
• 다음 임곗값 중 하나 이상을 충족:
  • 직전 회계연도의 연간 총매출이 $26,625,000을 초과했어요
  • 연간 캘리포니아 주민 또는 가구 100,000명 이상의 개인정보를 구매, 판매 또는 공유하는 경우
  • 캘리포니아 거주자의 개인 정보를 판매하거나 공유하여 연간 매출의 50% 이상을 얻습니다. 판매에는 금전 또는 그 밖의 가치 있는 대가를 받고 개인 정보를 제3자에게 공개하거나, 이용 가능하게 하거나, 이전하거나, 전달하는 것이 포함됩니다. 공유에는 금전 또는 그 밖의 가치 있는 대가가 교환되는지 여부와 관계없이, 교차 맥락 행동 광고를 위해 이러한 활동을 수행하는 것이 포함됩니다.

매출 기준은 2년마다 조정돼요. 사업이 적용 대상인지 평가할 때 현재 금액 기준을 검토해 주세요.

서비스 제공업체 및 계약업체

서비스 제공업체로 인정받으려면 개인 또는 법인이 다음 조건을 충족해야 해요:

• 비즈니스를 대신하여 개인 정보를 처리
• 개인정보 사용에 대한 제한과 의무를 부과하는 서면 계약을 체결하고, 여기에는 다음과 같은 행위를 금지하는 내용이 포함되어야 해요:
  • 개인정보 판매 또는 공유
  • CCPA에서 달리 허용하는 경우를 제외하고, 계약에 명시된 사업 목적 외의 목적으로 개인 정보를 보유, 사용 또는 공개하는 행위
  • 직접적인 비즈니스 관계 외부에서 개인 정보를 보유, 사용 또는 공개하는 행위
  • CCPA 및 그 시행 규정에서 허용하는 목적을 제외하고, 사업에서 수집한 개인정보를 다른 출처의 정보와 결합하는 행위

서비스 제공업체와 마찬가지로, 판매 또는 공유에 대한 예외는 CPRA에 따라 계약자에게도 적용됩니다. 계약자는 서비스 제공업체에 적용되는 것과 유사한 제한 및 의무를 부과하는 서면 계약에 따라, 사업자가 개인 정보를 제공하는 개인 또는 법인을 의미합니다. 또한 계약자는 계약자가 제한 사항을 이해하고 이를 준수할 것임을 인증해야 합니다.

필요한 계약 조건이 충족되는 경우, 비즈니스 목적을 위해 자격을 갖춘 서비스 제공업체 또는 계약업체에 공개하는 것은 판매 또는 공유로 간주되지 않아요.

개인정보로 분류되는 것은 무엇인가요?

CCPA는 개인 정보를 매우 광범위하게 정의하며, 특정 소비자 또는 가구를 식별하거나 설명하거나, 합리적으로 연관될 수 있는 정보를 포함해요. 실제로 이 광범위한 정의에 따라 연락처 정보, 거래 데이터, 인터넷 프로토콜(IP) 주소, 모바일 기기 식별자, 클릭스트림 데이터, 주문 세부 정보와 같은 정보가 CCPA의 개인 정보 정의 범위에 포함될 수 있으며, CCPA의 요구 사항이 적용될 수 있어요.

CPRA는 “민감한 개인정보”라는 개인정보 범주를 추가했어요. 소비자는 CCPA에서 허용하는 목적을 넘어서는 경우, 그 사용 및 공개를 제한할 권리가 있어요.

개정된 CCPA에 따라 민감한 개인정보에는 다음이 포함돼요:

• 사회보장번호
• 운전면허증 또는 주 신분증 카드 번호
• 여권 번호
• 계정 로그인, 금융 계정, 직불카드 또는 신용카드 번호와 계정에 액세스할 수 있는 자격 증명을 결합한 정보
• 정확한 지리적 위치
• 인종 또는 민족적 출신
• 시민권 또는 이민 신분
• 종교적 또는 철학적 신념
• 노동조합 가입
• 소비자를 고유하게 식별하기 위해 처리되는 생체 정보
• 유전 데이터
• 중추 또는 말초 신경계의 활동을 측정해 생성된 신경 데이터
• 소비자의 건강에 관해 수집 및 분석되는 개인정보
• 소비자의 성생활 또는 성적 지향과 관련해 수집 및 분석된 개인정보
• 해당 커뮤니케이션의 의도된 수신자가 비즈니스가 아닌 경우, 소비자의 우편물, 이메일, 문자 메시지 내용

준비하려면 무엇을 해야 하나요?

CCPA 및 CPRA는 복잡한 법률이에요. 이 문서에서는 Klaviyo 서비스 사용과 관련될 수 있는 CCPA 및 CPRA에 따른 주요 의무를 설명하지만, 비즈니스에 적용될 수 있는 모든 요구 사항을 고려하지는 않아요. 구체적인 조언은 법률 자문가에게 문의해 주세요.

CCPA 및 CPRA가 비즈니스에 적용되는 경우, 다음 권리 및 공개 사항을 고려해 보세요.

공지

비즈니스에서는 가입 양식 등을 통해 개인정보를 수집하는 경우를 포함해, 개인정보를 수집하기 전 또는 수집 시점에 고지해야 하며 웹사이트에서 개인정보 보호정책에 접근할 수 있도록 해야 해요. 수집 시 고지에는 개인정보 보호정책 링크가 포함되어야 해요. 정책에는 다음을 포함해 여러 사항이 포함되어야 해요:

• 사업 목적을 위해 수집, 판매, 공유 및 기타 방식으로 공개하는 개인정보의 범주
• 개인 정보의 출처 카테고리
• 개인정보를 수집, 판매 또는 공유하기 위한 사업 또는 상업적 목적
• 다음 소비자의 권리 설명 및 요청 제출을 위한 지정된 방법:
  • 개인 정보를 삭제할 권리
  • 카테고리 및 특정 개인 정보에 대한 액세스 권리
  • 개인 정보의 판매 또는 공유를 거부할 권리
  • 보복 금지 권리

CPRA는 소비자 권리 목록을 다음 항목까지 확대합니다:

• 부정확한 정보를 정정할 권리
• 민감한 개인정보의 사용 및 공개를 제한할 권리
• 자동화된 의사결정 기술의 특정 사용과 관련된 권리. 고용, 주거 또는 금융 서비스에 관한 결정과 같이 중요한 결정을 내리는 데 이를 사용하는 사업자는 2027년 1월 1일까지 ADMT 관련 고지, 수신 거부 및 접근 요구 사항을 준수해야 해요. 이러한 요구 사항이 해당 사용에 적용되는지 확인하려면 법률 자문을 구해 보세요.

CPRA는 또한 기업이 다음과 같은 추가 고지를 포함하도록 요구해요:

• 개인의 개인정보가 판매되거나 공유되는지 여부
• 사업체가 각 범주의 개인 정보를 보관할 예정인 기간 또는 해당 정보를 얼마나 오래 보관할지 결정하는 데 사용할 기준
• 비즈니스에서 “민감한 개인정보”를 수집하는 경우:
  • 수집된 민감 정보의 범주를 식별하는 별도의 고지
  • 이 데이터의 사용 방식 및 목적
  • 해당 정보가 판매되거나 공유되는지 여부

수신 거부 권리

소비자는 언제든지 자신의 개인정보 판매 또는 공유를 거부(옵트아웃)할 권리가 있어요. 사업이 개인정보를 판매하거나 공유하는 경우, 이러한 요청을 반드시 준수해야 하며, 이후 소비자가 다시 승인하지 않는 한 판매 또는 공유를 재개해서는 안 돼요. 소비자에게 다시 옵트인하도록 요청하기 전에는 최소 12개월을 기다려야 해요. 이 권리를 지원하기 위해 기업은 무엇보다도 다음을 해야 해요:

• 소비자 또는 소비자의 승인된 대리인이 옵트아웃할 수 있도록, 명확하고 눈에 잘 띄는 “내 개인정보를 판매하거나 공유하지 마세요” 링크를 제공해 주세요. 규정에서는 “개인정보 선택” 또는 “캘리포니아 개인정보 선택”이라고 표시된 대체 링크도 허용해요. 필요한 ‘마찰 없는’ 방식으로 옵트아웃 선호 신호를 처리하는 기업은, 판매 또는 공유에 대한 옵트아웃 링크를 별도로 표시해야 하는 의무에 대한 예외를 사용할 수 있어요.
• 개인정보의 판매 또는 공유를 거부하기 위해 소비자가 계정을 만들도록 요구하지 마세요.

소비자는 사업자로부터 개인 정보를 제공받은 제3자가 해당 개인 정보를 판매하거나 공유하는 것에 대해 수신 거부를 선택할 권리도 있어요. 소비자가 이후에 판매 또는 공유를 승인하지 않는 한, 제3자는 해당 수신 거부를 준수해야 해요.

기타 소비자 권리

기업은 개인정보를 알기, 삭제하기 또는 정정하기 요청에 응답할 때 캘리포니아 거주자의 신원을 확인해야 해요. 요청이 확인되면 적용 가능한 예외를 제외하고 해당 요청에 필요한 정보를 제공하거나 필요한 조치를 취해 주세요. 판매 또는 공유를 거부하거나 민감한 개인정보의 사용을 제한해 달라는 요청에 대해서는 신원 확인을 요구하지 마세요.

알 권리: 소비자는 사업자가 소비자의 개인정보를 수집하고 처리하는 방식에 대해 다음을 포함하여 공개해 달라고 요청할 수 있어요:

• 해당 소비자에 대해 수집한 개인정보의 범주(이전 12개월 동안)
• 개인정보가 수집되는 출처의 범주
• 개인 정보를 수집, 판매 또는 공유하는 사업 또는 상업적 목적
• 사업체가 개인정보를 제공한 제3자 범주
• 기업이 제3자에게 판매하거나 공개하는 정보 범주
• 해당 소비자에 대해 수집한 개인 정보의 특정 항목

CPRA는 이 권리를 수정하고 확대하여 다음을 요구해요:

• 제3자와 “공유”된 개인 정보 범주에 대한 정보 제공
• 소비자가 요청하는 경우, 그렇게 하는 것이 불가능하거나 과도한 노력이 필요한 경우를 제외하고, 직전 12개월을 초과하는 정보를 제공해요. 이 요구 사항은 2022년 1월 1일 이후에 수집된 개인 정보에만 적용돼요.

삭제 권리: 사업자는(특정 예외가 적용되는 경우를 제외하고) 소비자의 정보를 삭제하고, 서비스 제공업체에 소비자 정보 삭제를 통지해야 해요. CPRA에 따라 사업자는 서비스 제공업체와 계약업체에 통지해야 하며, 또한 사업자가 소비자의 개인정보를 판매하거나 공유한(교차 컨텍스트 광고 목적) 모든 제3자에게도 통지해야 합니다. 단, 이것이 “불가능하다고 입증되거나 과도한 노력이 수반되는 경우”는 예외예요. 또한 각 서비스 제공업체는 소비자의 정보를 삭제하기 위해 자체 하위 서비스 제공업체에도 통지해야 해요.

부정확한 개인정보를 정정할 권리: 기업이 확인된 요청을 받으면, 소비자가 지시한 대로 부정확한 개인정보를 정정하기 위해 상업적으로 합리적인 노력을 기울여야 해요. 캘리포니아 프라이버시 보호청 규정 에는 이러한 요청을 처리하기 위한 요구사항이 명시되어 있어요.

사업이 소비자가 16세 미만임을 알고 있는 경우, CCPA는 개인정보를 판매하거나 공유하기 전에 명시적인 사전 동의를 요구해요. 13세 미만 소비자의 경우, 부모 또는 법정대리인이 이를 승인해야 해요. 13~15세 소비자의 경우, 소비자가 이를 승인해야 해요. Klaviyo의 허용 가능한 사용 정책은 이 CCPA 승인 규칙과 관계없이 13세 미만(EEA에서는 16세 미만) 아동에 대한 정보의 수집 또는 처리를 금지해요.

소비자 요청 이행

온라인으로만 운영되고, 수집하는 개인정보의 정보주체인 소비자와 직접적인 관계가 있는 사업자는 개인정보에 대한 열람, 삭제 또는 정정 요청을 위해 이메일 주소만 제공하면 돼요.

기타 기업은 다음을 포함해 이러한 요청을 위해 최소 2가지 지정된 방법을 제공해야 해요:

• 수신자 부담 전화번호
• 비즈니스에 웹사이트가 있는 경우, 웹 양식 같은 웹사이트를 통해 요청을 제출할 수 있는 방법

개인정보의 열람, 삭제 또는 정정 요청의 경우 영업일 기준 10일 이내에 접수를 확인하고, 요청을 받은 날로부터 달력일 기준 45일 이내에 응답해 주세요. 신원 확인을 하더라도 이 기한은 연장되지 않아요. 합리적으로 필요한 경우 응답 기한을 달력일 기준 추가 45일 연장할 수 있지만, 최초 45일 기간 내에 소비자에게 연장 사실과 그 사유를 통지해야 해요.

기존 사용자 계정, 우편 또는 전자적 방식으로 소비자가 다른 기관으로 이전할 수 있는 형식으로 요청된 정보를 제공해 주세요. 요청은 무료여야 하지만, CCPA는 명백히 근거가 없거나 과도한 요청에 대해서는 합리적인 수수료를 부과할 수 있도록 허용해요. 비즈니스는 이 예외가 적용된다는 것을 입증할 수 있어야 해요.

판매 또는 공유 거부 요청이나 민감한 개인정보의 사용 및 공개 제한 요청을 받은 경우, 가능한 한 빨리, 그리고 요청을 받은 후 영업일 기준 15일 이내에 준수해 주세요.

사업자는 12개월 기간 동안 소비자 1명당 2회를 초과해 알 권리 요청에 응답하기 위해 정보를 제공할 의무가 없어요. 이 제한은 개인정보 삭제 또는 정정 요청에는 적용되지 않아요.

CCPA 및 CPRA와 관련해 Klaviyo 서비스에서 Klaviyo의 역할은 무엇인가요?

Klaviyo가 데이터 처리 계약에 따라 비즈니스를 대신해 개인 정보를 처리할 때, 서비스 제공업체로서 역할을 수행해요. 비즈니스는 고객의 소비자 권리 요청에 응답하고 이를 이행할 책임이 있어요.

서비스 제공업체로서 고객에 대한 Klaviyo의 의무는 데이터 처리 계약에 명시되어 있어요.

고객이 규정을 준수할 수 있도록 Klaviyo에서는 무엇을 하고 있나요?

Klaviyo는 계정에 저장된 개인 정보에 대한 액세스, 삭제 또는 정정 요청에 대응하는 데 도움이 되는 도구를 제공해요. 이러한 도구는 다른 시스템에서 요구되는 정보와 조치와 함께, 응답의 일부로 사용해 주세요. 사용자 역할은 액세스 요청을 위해 프로필 내보내기 및 파일 다운로드를 허용해야 하며, 정정 또는 삭제를 위해서는 프로필 편집을 허용해야 해요. 구체적으로는 다음과 같아요:

• 액세스 요청을 위해 프로필의 데이터를 내보낼 수 있어요. 프로필에서 프로필 작업 > 프로필 내보내기를 선택한 다음 내보내기 시작을 클릭해 주세요. 내보내기가 준비되면 모든 다운로드 보기를 따라 다운로드를 선택해 .zip 파일을 저장하세요. 내보냅니다.
• 프로필을 삭제하고 개인정보 처리 요청을 기록할 수 있어요. 삭제는 영구적이에요. 내보내기도 필요하다면, 프로필을 삭제하기 전에 다운로드해 주세요. 프로필 작업 > 프로필 삭제를 선택하고, 데이터 개인정보 보호 요청에 규정 준수 프로필 삭제를 체크한 다음 프로필 삭제로 확인해 주세요. 이렇게 하면 요청이 기록되고 삭제가 시작되며, 삭제가 완료될 때까지는 프로필에 계속 액세스할 수 있어요.
• Klaviyo의 프로필에서 수정 가능한 연락처 정보를 수정할 수 있어요. 프로필 작업 > 연락처 정보 편집을 선택하고 수정된 정보를 입력한 다음 업데이트를 선택하세요. 변경 사항을 확인하려면 프로필을 검토하세요.
• Klaviyo의 허용 가능한 사용 정책을 준수해야 하며, 이 정책은 건강 정보 및 비공개 정부 신원 확인 번호를 포함한 특정 데이터를 수집, 저장, 처리, 전송 또는 전달하는 것을 금지해요.

추가 자료