미국 주별 개인정보보호법 총정리: CCPA 말고도 이젠 10개 이상?

 

캘리포니아의 CCPA만 알고 있으면 안 되는 시대입니다. 2025년 기준으로 미국 내 10개 이상의 주에서 개인정보보호법을 시행 중이며, 각 주의 주요 특징과 사이트 운영자가 준비해야 할 대응 전략을 정리합니다.

---

미국에도 개인정보보호법이 많아지고 있다

개인정보보호법 하면 보통 유럽의 GDPR을 떠올리지만, 사실 미국에서도 개인정보보호에 대한 규제가 점점 늘어나고 있습니다. 특히 캘리포니아주의 CCPA는 이미 널리 알려져 있지만, 이제는 그 외에도 여러 주(state)에서 자체 개인정보보호법을 시행하고 있어요. 2025년 기준, 캘리포니아를 포함해 10개 이상의 주가 독자적인 개인정보보호법을 마련했고, 더 많은 주들이 비슷한 법안을 준비 중입니다. 미국은 연방 차원에서 통합 개인정보보호법이 없기 때문에, 각 주마다 내용이 조금씩 다르고 적용 범위나 요구사항도 다릅니다. 따라서 미국 시장을 겨냥하거나 미국 사용자 트래픽이 있는 사이트라면 주별 법률까지 고려해야 하는 시대가 된 거죠.

 

 

캘리포니아 CCPA 이후, 어떤 주들이 개인정보보호법을 만들었을까?

 

우선 가장 먼저 등장한 것은 캘리포니아주의 CCPA입니다. 이후 2023~2024년을 거치면서 여러 주가 비슷한 개인정보보호법을 제정했습니다. 대표적으로는 다음과 같습니다.

 

· 버지니아주 (VCDPA) : 2023년 시행, GDPR에 가까운 구조

· 콜로라도주 (CPA) : 2023년 시행, 동의 및 옵트아웃 강화

· 코네티컷주 (CTDPA) : 2023년 시행, 소비자 권리 강화

· 유타주 (UCPA) : 2023년 시행, 비교적 완화된 규제

· 아이오와주 (ICPA) : 2025년 시행 예정

· 인디애나주, 몬태나주, 테네시주, 오리건주 등도 각각 법 제정 완료

 

이 주들의 법은 CCPA를 참고했지만, 모든 요구사항이 똑같지는 않습니다. 어떤 주는 ‘민감정보’에 대해 더 엄격하게 동의를 요구하고, 어떤 주는 옵트아웃만으로 충분한 경우도 있습니다. 핵심은: "캘리포니아 기준만 알고 있으면 충분하지 않다"는 겁니다.

 

 

미국 주별 개인정보보호법의 공통점과 차이점

 

여러 주의 법률을 비교해 보면, 공통되는 기본 구조가 있는 반면, 세부적인 차이도 꽤 크다는 걸 알 수 있습니다. 공통점은 다음과 같습니다.

소비자는 자신의 개인정보를 열람하고 삭제할 수 있는 권리를 가짐

데이터 판매 또는 공유를 거부(opt-out)할 권리 보장

민감정보에 대해 별도의 고지 또는 동의 필요

기업은 개인정보 수집 목적, 사용 방법 등을 투명하게 공개해야 함

 

하지만 주별로 차이가 있는 부분도 많습니다.

항목	버지니아 (VCDPA)	콜로라도 (CPA)	유타 (UCPA)
동의 필요 여부	민감정보에 한정	민감정보 동의 필수	대부분 옵트아웃으로 대체 가능
민감정보 정의	포괄적	매우 세부적	상대적으로 단순
프로파일리 통제	있음	있음	제한적
집행기관	법무장관	법무장관	법무장관

 

예를 들어, 버지니아주와 콜로라도주는 민감정보에 대해 사전 동의를 요구하지만, 유타주는 민감정보도 기본적으로 옵트아웃 기반으로 처리할 수 있게 했습니다. 또한 콜로라도주는 ‘프로파일링에 기반한 자동화된 결정’을 통제하는 규정까지 두었는데, 유타주는 이런 부분을 별도로 규제하지 않습니다.

 

 

사이트 운영자가 준비해야 할 대응 전략

 

미국 시장을 겨냥하거나, 미국 트래픽이 일정 이상이라면 이제는 주별 규정까지 고려하는 전략이 필요합니다. 다행히도 완전히 새로운 구조를 만드는 게 아니라, 기본 틀은 비슷하니까 다음과 같은 방식으로 대응할 수 있습니다.

 

1. 개인정보처리방침 업데이트

미국 소비자에게 적용될 별도 섹션을 추가 데이터 수집 목적, 판매/공유 유무, 소비자 권리 등을 명확히 고지

 

2. 옵트아웃 기능 제공

데이터 판매, 민감정보 수집에 대해 사용자가 쉽게 거부할 수 있는 인터페이스 마련 주별 요구사항에 맞게 문구 조정

 

3. 쿠키 배너 강화

미국 방문자에게도 선택형 쿠키 배너를 제공 특히 민감정보를 수집하는 경우, 별도의 고지나 동의 과정 삽입

 

4. 소비자 요청 대응 시스템 구축

데이터 열람, 삭제 요청을 빠르게 처리할 수 있는 내부 프로세스 마련 주마다 답변 기한이 조금씩 다르지만, 보통 45일 이내 응답이 기본

---

♣ 이것만 기억하자

앞으로 미국 시장도 점점 까다로워질 것입니다. 예전에는 캘리포니아주의 CCPA만 신경 쓰면 충분했지만, 이제는 여러 주가 비슷하면서도 미묘하게 다른 개인정보보호법을 시행하고 있습니다. 특히 2025년 이후로는 텍사스, 플로리다, 워싱턴 등 인구 많은 주요 주까지 규제를 강화할 예정이기 때문에, 사이트 운영자나 마케터 입장에서는 한 발 앞서서 대응 전략을 세워야 리스크를 줄일 수 있습니다. 단순히 정책 페이지 하나 복붙하는 수준으로는 더 이상 충분하지 않습니다. 데이터 수집과 활용에 대한 투명성과 책임성을 강조하는 흐름이 미국 내에서도 점점 강화되고 있기 때문입니다. 여기에 더해, 소비자들도 자신의 개인정보가 어떻게 사용되는지에 대해 점점 더 높은 수준의 설명과 통제를 요구하고 있으며, 일부 주에서는 이를 법적 권리로 명시하기 시작했습니다. 특히 민감정보 처리나 자동화된 의사결정과 관련된 고지 의무가 강화되는 추세이므로, 기술 기반 서비스일수록 더욱 정교한 대응 체계가 필요해지고 있습니다. 결국 핵심은, "주요 요구사항은 공통화하고, 각 주별 특수사항만 추가로 반영하는 것"입니다. 이를 통해 유지보수 부담은 최소화하면서도 규제 위반 리스크는 효과적으로 줄일 수 있습니다.