CCPA 및 CPRA에 대해 자주 묻는 질문

학습 내용

CCPA(캘리포니아 소비자 개인정보 보호법) 및 CPRA(캘리포니아 개인정보 보호 권리법)와 관련해 자주 묻는 질문을 확인하세요.

CCPA란 무엇인가요?

CCPA는 2020년 1월 1일에 시행된 법으로, 기업이 캘리포니아 주민의 개인정보를 어떻게 처리하는지를 규정해요.

CCPA는 미국에서 개인정보 보호가 충분하지 않다고 인식된 부분에 대응하기 위해 마련되었어요. 캘리포니아 거주자의 개인정보를 처리하는 기업은 해당 기업의 개인정보 보호 관행과 거주자의 개인정보 보호 권리(다음을 할 권리를 포함)를 거주자에게 고지해야 합니다:

• 기업이 수집하는 개인 정보와 그 정보가 어떻게 사용되는지 알 권리
• 수집된 개인 정보를 삭제합니다(일부 예외 있음).
• 개인 정보 판매에서 제외
• CCPA 권리 행사에 대한 비차별

CPRA란 무엇인가요?

CPRA는 CCPA의 요구 사항을 개정 및 확대하는 법률이며, 다음을 포함해요:

• “민감한 개인 정보” 카테고리 추가
• 민감한 개인 정보의 사용 및 공개를 제한할 권리 확립
• 부정확한 개인 정보를 수정할 권리 확립
• 교차 컨텍스트(또는 타사) 광고 목적의 개인 정보 “공유”까지 “판매 금지” 수신 거부 요구 사항을 확대

CPRA는 2023년 1월 1일부터 시행돼요.

CCPA 및 CPRA를 준수해야 하는 대상은 누구인가요?

비즈니스

대부분의 CCPA 및 CPRA 요구 사항은 “사업체”에 적용되며, 이는 자체적으로 또는 벤더를 사용해 캘리포니아 소비자의 개인 정보를 수집하는 회사로 정의돼요.

CCPA는 다음 조건 중 하나라도 충족하는 비즈니스에 적용돼요.

• 캘리포니아 거주자의 개인 정보를 처리해요.
• 캘리포니아에서 “사업을 수행”하는지 여부(전자상거래 또는 인터랙티브 웹사이트나 애플리케이션을 통해 캘리포니아에 있는 개인과 교류하는 경우 포함)
• 다음 임곗값 중 하나 이상을 충족:
  • 연간 총매출이 $25 million을 초과함
  • 캘리포니아 주민, 가구 또는 기기의 개인 정보를 매년 50,000건 이상 구매, 수신 또는 판매
  • 캘리포니아 거주자의 개인 정보를 “판매”하여 연간 수익의 50% 이상을 얻는 경우(즉, 판매에는 금전적 또는 기타 가치 있는 대가를 받고 개인 정보를 제3자에게 공개, 제공, 이전 또는 전달하는 행위가 포함됩니다)

CPRA는 이 적용 범위를 다음과 같이 수정합니다.

• 다음 임곗값 중 하나 이상을 충족:
  • 지난해연간 총매출이 $25 million을 초과했어요.
  • 캘리포니아 주민 또는 가구 100,000명 이상의 개인 정보를 매년 구매, 판매 또는 공유
  • 연간 매출의 50% 이상이 캘리포니아 거주자의 개인 정보를 판매하거나 공유 하는 데서 발생합니다(공유에는 금전적 또는 기타 가치 있는 대가의 유무와 관계없이, 교차 콘텐츠 행동 광고를 위해 개인 정보를 제3자에게 공개, 제공, 이전 또는 전달하는 것이 포함됩니다).

서비스 제공업체 및 계약업체

서비스 제공업체로 인정받으려면 개인 또는 법인이 다음 조건을 충족해야 해요:

• 비즈니스를 대신하여 개인 정보를 처리
• 개인 정보 사용과 관련해 특정 제한 및 의무(다음을 포함하되 이에 국한되지 않음)를 부과하는 서면 계약의 적용을 받습니다.
  • 수집 중
  • 판매
  • 비즈니스 목적을 수행하는 데 필요한 경우를 제외하고 개인 정보 사용

서비스 제공업체와 마찬가지로, 판매 또는 공유에 대한 예외는 CPRA에 따라 계약자에게도 적용됩니다. 계약자는 서비스 제공업체에 적용되는 것과 유사한 제한 및 의무를 부과하는 서면 계약에 따라, 사업자가 개인 정보를 제공하는 개인 또는 법인을 의미합니다. 또한 계약자는 계약자가 제한 사항을 이해하고 이를 준수할 것임을 인증해야 합니다.

서비스 제공업체 또는 계약업체에 데이터를 공개하는 행위는 비즈니스 목적을 수행하는 데 필요한 경우 판매 또는 공유로 간주되지 않습니다.

개인 comply로 분류되는 항목은 무엇인가요?

CCPA는 개인 정보를 매우 광범위하게 정의하며, 특정 소비자 또는 가구를 식별하거나 설명하거나, 합리적으로 연관될 수 있는 정보를 포함해요. 실제로 이 광범위한 정의에 따라 연락처 정보, 거래 데이터, 인터넷 프로토콜(IP) 주소, 모바일 기기 식별자, 클릭스트림 데이터, 주문 세부 정보와 같은 정보가 CCPA의 개인 정보 정의 범위에 포함될 수 있으며, CCPA의 요구 사항이 적용될 수 있어요.

CPRA는 새로운 개인 정보 카테고리인 “민감한 개인 정보”를 만들고, 소비자에게 민감한 정보의 사용 및 공개를 제한할 수 있는 새로운 권리를 제공합니다.

CPRA에 따른 민감한 개인 정보에는 다음이 포함돼요:

• 사회보장번호
• 운전면허 번호
• 여권 번호
• 계정 자격 증명
• 정확한 지리적 위치
• 인종 또는 민족적 출신
• 종교적 신념
• 생체 인식 데이터
• 유전 데이터
• 건강 데이터
• 소비자의 성생활 또는 성적 지향에 관한 정보
• 해당 커뮤니케이션의 의도된 수신자가 비즈니스가 아닌 경우, 소비자의 우편물, 이메일, 문자 메시지 내용

준비하려면 무엇을 해야 하나요?

CCPA 및 CPRA는 복잡한 법률이에요. 이 문서에서는 Klaviyo 서비스 사용과 관련될 수 있는 CCPA 및 CPRA에 따른 주요 의무를 설명하지만, 비즈니스에 적용될 수 있는 모든 요구 사항을 고려하지는 않아요. 구체적인 조언은 법률 자문가에게 문의해 주세요.

CCPA 및 CPRA가 비즈니스에 적용되는 경우, 다음과 같은 권리 및 고지 사항을 고려해야 합니다.

공지

웹사이트에서 가입 양식 등 개인정보를 수집하는 모든 지점에서 항상 접근할 수 있도록 개인정보 보호정책을 게시해야 해요. 정책에는 다음을 포함하되 이에 국한되지 않아요:

• 수집, 판매 및 기타 방식으로 비즈니스 목적을 위해 공개하는 개인 정보의 범주
• 개인 정보의 출처 카테고리
• 개인 정보를 수집하거나 판매하기 위한 비즈니스 또는 상업적 목적
• 다음 소비자의 권리 설명 및 요청 제출을 위한 지정된 방법:
  • 개인 정보를 삭제할 권리
  • 카테고리 및 특정 개인 정보에 대한 액세스 권리
  • 개인 정보의 판매 또는 공유를 거부할 권리
  • 보복 금지 권리

CPRA는 소비자 권리 목록을 확대하여 다음 내용을 포함해요:

• 부정확한 정보를 정정할 권리
• 민감한 개인정보의 사용 및 공개를 제한할 권리
• 자동화된 의사결정 기술을 거부할 권리

CPRA는 또한 기업이 다음과 같은 추가 고지를 포함하도록 요구해요:

• 개인의 개인정보가 판매되거나 공유되는지 여부
• 사업체가 각 범주의 개인 정보를 보관할 예정인 기간 또는 해당 정보를 얼마나 오래 보관할지 결정하는 데 사용할 기준
• 비즈니스에서 “민감한 개인정보”를 수집하는 경우:
  • 수집된 민감 정보의 범주를 식별하는 별도의 고지
  • 이 데이터의 사용 방식 및 목적
  • 해당 정보가 판매되거나 공유되는지 여부

수신 거부 권리

소비자는 언제든지 제3자에게 자신의 개인 데이터가 판매되는 것을 거부할 권리가 있어요. 요청을 받으면 이후에 소비자가 명시적으로 승인하지 않는 한, 비즈니스는 개인 정보를 판매하는 것을 중단해야 해요. 비즈니스는 소비자에게 개인 정보 판매에 다시 동의해 달라고 요청하기 전에 최소 12개월을 기다려야 해요. 이 거부 권리를 활성화하려면 비즈니스는 무엇보다도 다음을 수행해야 해요:

• 비즈니스 홈페이지에 “내 개인 정보를 판매하지 마세요.”라는 제목의 명확하고 눈에 잘 띄는 링크를 제공하세요. 이 링크를 통해 소비자 또는 소비자의 승인을 받은 사람이 소비자의 개인 정보 판매를 거부할 수 있어야 해요.
• 소비자의 개인 정보를 판매하지 않도록 비즈니스에 지시하기 위해 소비자가 계정을 만들도록 요구하지 않습니다.

소비자는 언제든지, 사업자로부터 소비자의 개인 데이터를 구매한 제3자가 해당 개인 데이터를 판매하는 것에 대해 거부할 권리도 있어요. 제3자는 소비자가 이후에 명시적으로 승인하지 않는 한, 거부 요청을 받는 즉시 판매를 중단해야 해요.

기타 소비자 권리

기업은 개인 정보에 대한 접근 또는 삭제 요청에 응답할 때 캘리포니아 거주자의 신원을 확인할 수 있는 프로세스를 갖춰야 해요. 캘리포니아 거주자로부터 요청을 받고 신원이 확인되면, 해당되는 경우 요청을 완료할 때 다음을 포함해 권리를 보장해 주세요.

알 권리: 소비자는 사업체가 다음을 포함해 개인 정보를 수집하고 처리하는 방식에 대해 공개하도록 요청할 수 있어요:

• 해당 소비자에 대해 수집한 개인정보의 범주(이전 12개월 동안)
• 개인정보가 수집되는 출처의 범주
• 개인 정보를 수집하거나 판매하는 비즈니스 또는 상업적 목적
• 비즈니스가 개인 정보를 공개한 제3자의 범주
• 기업이 제3자에게 판매하거나 공개하는 정보 범주
• 해당 소비자에 대해 수집한 개인 정보의 특정 항목

CPRA는 이 권리를 수정하고 확대하여 다음을 요구해요:

• 제3자와 “공유”된 개인 정보 범주에 대한 정보 제공
• 12개월 룩백 제한을 없애기 위해, 해당 공개가 “불가능”하거나 “과도한 노력”을 수반하지 않는 한 비즈니스가 12개월을 초과하는 정보를 제공하도록 요구합니다(이 요구 사항은 2022년 1월 1일 이전에 비즈니스가 수집한 데이터에는 적용되지 않습니다).

삭제 권리: 사업자는(특정 예외가 적용되는 경우를 제외하고) 소비자의 정보를 삭제하고, 서비스 제공업체에 소비자 정보 삭제를 통지해야 해요. CPRA에 따라 사업자는 서비스 제공업체와 계약업체에 통지해야 하며, 또한 사업자가 소비자의 개인정보를 판매하거나 공유한(교차 컨텍스트 광고 목적) 모든 제3자에게도 통지해야 합니다. 단, 이것이 “불가능하다고 입증되거나 과도한 노력이 수반되는 경우”는 예외예요. 또한 각 서비스 제공업체는 소비자의 정보를 삭제하기 위해 자체 하위 서비스 제공업체에도 통지해야 해요.

부정확한 개인정보를 정정할 권리: 사업자가 부정확한 개인정보를 정정해 달라는 확인된 요청을 받으면, 소비자가 지시한 대로 해당 개인정보를 정정하기 위해 “상업적으로 합리적인 노력”을 해야 해요. 이 의무에 대한 추가 지침은 캘리포니아 법무장관이 제공할 것으로 예상돼요.

또한 소비자가 13세 미만인 경우, 개인 정보를 판매하기 전에 부모 또는 법적 보호자의 명시적 동의(옵트인)가 필요하다는 점에도 유의해 주세요. 소비자가 13~16세인 경우, 개인 정보를 판매하기 전에 해당 개인의 명시적 동의가 필요합니다.

소비자 요청 이행

소비자가 정보 요청을 제출할 수 있도록 지정된 방법이 최소 2개 있어야 합니다.

여기에는 최소한 다음이 포함되어야 해요:

• 무료 전화번호(온라인으로만 운영되며 개인 정보를 수집하는 소비자와 직접적인 관계가 있는 일부 비즈니스는 무료 전화번호 제공 요구 사항에서 제외됩니다)
• 비즈니스에 웹사이트가 있는 경우 웹 주소

소비자 요청은 요청을 받은 날로부터 45일 이내에 우편 또는 전자적으로(소비자가 다른 기관에 제공할 수 있는 형식) 또는 사용자 계정을 통해 처리해야 합니다. 복잡성과 요청 건수를 고려할 때 합리적으로 필요한 경우 응답 기간을 추가로 45일 연장할 수 있으며, 이 경우 요청자에게 연장 사실(그 이유 포함)을 알려야 합니다. 요청 절차는 무료여야 합니다.

사업자는 12개월 기간 동안 소비자 1인당 2건을 초과하는 요청을 처리할 의무가 없어요.

CCPA 및 CPRA와 관련해 Klaviyo 서비스에서 Klaviyo의 역할은 무엇인가요?

Klaviyo는 고객이 수집하여 당사 플랫폼에 저장하는 개인 정보를 제공한 개인과 직접적인 관계가 없어요. Klaviyo는 서비스 제공자 역할을 하며, 고객을 대신해 개인 정보를 처리하므로 고객이 비즈니스에 해당해요.

서비스 제공업체로서 고객에 대한 Klaviyo의 의무는 데이터 처리 계약에 명시되어 있어요.

고객이 규정을 준수할 수 있도록 Klaviyo에서는 무엇을 하고 있나요?

Klaviyo 고객은 CCPA 및 CPRA에 따라 캘리포니아 주민이 개인 정보에 대한 액세스, 삭제 또는 수정을 위한 소비자 권리를 행사하도록 요청할 때 이를 처리할 수 있는 기능과 도구를 사용할 수 있어요. 구체적으로는 다음과 같아요:

• 플랫폼에서는 액세스 요청에 대응해 최종 사용자에 대해 보유하고 있는 개인 정보에 대해 보고 할 수 있어요.
• 플랫폼은 삭제 요청에 따라 최종 사용자의 개인정보를 삭제 할 수 있으며, Klaviyo의 프로필에서 부정확한 개인정보를 수정할 수 있어요.
• Klaviyo는 허용 가능한 사용 정책에 따라 민감한 개인정보의 수집 및 저장을 지원하지 않으며 제한합니다.