고객 이메일을 수집하거나, 로열티 프로그램을 운영하거나, 웹사이트에 추적 픽셀 하나라도 심어두고 있다면, 코네티컷이나 아칸소, 유타의 개인정보보호법을 들어본 적이 없더라도 2026년 7월 1일에 여러분의 법적 의무가 조용히 바뀌었습니다. 애초에 빅테크를 겨냥해 만들어진 소수의 주 개인정보보호법들이 불과 2년 만에 20개 이상의 주에 걸친 복잡한 규제 조각보로 확대되었고, 이제는 데이터 브로커 대기업뿐 아니라 평범한 소상공인에게까지 점점 더 손을 뻗치고 있습니다.
2026년 중반의 이번 물결은 이전 라운드들과 한 가지 중요한 점에서 다릅니다. "적용 대상"으로 간주되는 기준선이 계속 낮아지고 있고, "민감 정보"로 분류되는 범주는 계속 넓어지고 있습니다. 2024년에는 안전하게 규제망을 벗어나 있던 사업체가 오늘은 정확히 법의 적용 범위 안에 들어와 있을 수 있습니다. 실제로 무엇이 바뀌었는지, 누구에게 적용되는지, 그리고 어떻게 대응해야 하는지 살펴보겠습니다.
2026년 7월 1일에 무엇이 바뀌었나
코네티컷, 아칸소, 유타 세 개 주에서 2026년 7월 1일자로 개인정보보호법의 주요 조항이 발효되었으며, 이는 연초부터 단계적으로 시행되어 온 캘리포니아의 확대된 데이터 브로커 규정 위에 겹쳐졌습니다. 이들을 종합하면, 각 주가 포괄적인 개인정보보호법을 제정하기 시작한 이래 가장 파급력이 큰 연중 업데이트라 할 수 있습니다. 이 법들은 서로 동일하지 않으며, 기준선이나 정의도 제각각입니다. 바로 이 점 때문에 더 많은 주가 규제를 추가할수록 컴플라이언스가 오히려 더 쉬워지는 것이 아니라 더 어려워지고 있습니다.
코네티컷: 적용 기준선이 크게 낮아졌다
코네티컷의 데이터 개인정보보호법(CTDPA)은 SB 1295를 통해 개정되었고, 가장 핵심적인 변화는 적용 기준선입니다. 이전에는 연간 코네티컷 거주자 최소 10만 명의 개인정보를 처리하는 사업체만 이 법의 적용을 받았습니다. 7월 1일부터 그 기준은 35,000명으로 낮아졌습니다 — 거의 3분의 2 가까이 줄어든 수치로, 지역 단위 및 다주(多州) 소상공인 상당수가 처음으로 규제 대상에 포함되게 되었습니다.
두 번째로 더 강력한 발동 조건도 있습니다. 사업체가 어떤 형태로든 "민감 정보"를 처리하거나 개인정보를 판매하는 행위를 한다면, 처리량과 무관하게 규제 대상이 됩니다. 즉, 직원 5명짜리 회사가 단 몇백 명의 코네티컷 고객에 대해서만 민감 정보를 처리하더라도 이 법의 적용을 받을 수 있습니다.
코네티컷은 또한 민감 정보의 정의를 정부 발급 신분증, 금융 계좌번호, 사회보장번호, 그리고 주목할 만하게도 신경 데이터(뇌-컴퓨터 인터페이스 기기가 생성하는 정보)까지 포함하도록 확대했습니다. 이제 민감 정보는 수집 전에 옵트인 동의가 필요하며, 소비자의 명시적 승인 없이는 판매할 수 없습니다.
이번 개정에서 가장 새로운 부분은 새로운 AI 투명성 요건입니다. 사업체는 대규모 언어 모델(LLM) 학습을 목적으로 개인정보를 수집·이용·판매하는지 여부를 개인정보 처리방침에 공개해야 합니다. 고객 데이터를 벤더에 라이선스했거나, 여러분의 입력값을 학습에 사용하는 챗봇 플랫폼을 이용했거나, 약관 깊숙이 "모델 개선" 문구가 숨어 있는 계약서에 서명한 적이 있다면, 이제는 이를 공개적으로 명시해야 합니다. 이는 이런 종류로는 최초의 주 단위 의무 규정이며, 다른 주들도 뒤따를 것으로 예상됩니다.
아칸소: 미성년자 대상 타겟 광고 전면 금지
아칸소의 아동·청소년 온라인 개인정보 보호법(ACTOPPA) 역시 7월 1일에 발효되었으며, 기존 어떤 유사 법률보다도 강경한 입장을 취하고 있습니다. 12세 이하 아동의 경우, 개인정보 수집 전에 검증 가능한 부모 동의가 필요합니다. 13세부터 16세까지의 청소년은 본인 또는 부모가 동의를 제공할 수 있습니다.
사업체들이 가장 허를 찔리는 부분은 광고 규정입니다. 이 법 아래에서 미성년자를 대상으로 한 타겟 광고는 전면 금지되며, 동의를 받아도 예외가 없고, 옵트인 경로도 없으며, 부모의 동의로도 우회할 수 없습니다. 리타겟팅, 유사 잠재고객(lookalike audience), 관심사 기반 광고 캠페인 등 어떤 형태로든 광고를 운영하고 있고 그 대상에 17세 미만 사용자가 포함되어 있다면, 단순히 이용약관에 체크박스 하나 넣는 수준이 아니라 광고 스택 전반에 연령에 맞는 안전장치를 구축해야 합니다.
미성년자로부터의 데이터 수집 역시 서비스 제공에 "합리적으로 필요한" 범위로 제한되는데, 이는 최근 물결의 주 개인정보보호법 전반에서 나타나는 데이터 최소화 원칙과 궤를 같이합니다. 한 가지 다행스러운 점은, ACTOPPA는 오직 아칸소주 법무장관만 집행할 수 있으며, 개인의 소송 제기권(private right of action)은 없다는 것입니다. 이는 소송 위험을 완전히 없애지는 못하지만 낮춰줍니다.
유타: 정정 요구권과 소셜 미디어 데이터 이동성
유타주의 HB 418은 주(州)의 디지털 선택법(Digital Choice Act)에 두 가지 새로운 소비자 권리를 추가했습니다. 첫째는 부정확한 개인정보를 정정할 권리입니다 — 이제 소비자는 자신에 대한 잘못된 정보를 단순히 삭제하거나 판매를 거부하는 것을 넘어, 사업체에 직접 수정을 요청할 수 있습니다. 둘째는 플랫폼에 더 특화된 것으로, 소셜 미디어 서비스에 대한 새로운 데이터 이동성 및 상호운용성 요건이며, 이는 사용자가 경쟁 플랫폼 간에 자신의 데이터를 옮길 수 있도록 하기 위한 것입니다.
대부분의 소상공인에게 중요한 것은 정정 요구권입니다. CRM, 이메일 목록, 회원 데이터베이스 등 고객 기록을 관리하고 있다면, 정정 요청을 접수·검증하는 워크플로우가 필요합니다. 이는 앞선 개인정보보호법들에 따라 삭제 요청 처리를 위해 이미 구축해둔 프로세스와 유사한 형태가 될 것입니다.
캘리포니아: 데이터 브로커는 이제 이름을 밝혀야 한다
SB 361을 통해 강화되고 2026년 내내 단계적으로 시행 중인 캘리포니아의 데이터 브로커 규정은, 등록된 데이터 브로커가 수집하는 데이터 범주뿐 아니라 그 데이터를 외국 행위자, 정부 기관, 법 집행기관, 또는 생성형 AI 개발사와 공유하거나 판매했는지 여부까지 공개하도록 요구합니다. "외국 행위자"에는 특히 중국, 러시아, 이란, 북한 등 적대국과 연계된 주체가 명시적으로 포함됩니다.
이는 주로 캘리포니아의 법적 정의상 데이터 브로커에 해당하는 사업체, 즉 직접적인 관계가 없는 제3자에게 소비자 데이터를 판매하는 회사에 영향을 미칩니다. 하지만 여러분의 사업체가 벤더로서 데이터 브로커와 거래하고 있거나, 수익 모델의 일부로 가공된 고객 데이터를 재판매하고 있다면, 다음 연례 CPPA 등록 마감일 전에 이 규정이 자신에게 해당되는지 확인해볼 가치가 있습니다.
이 법들이 실제로 여러분에게 적용될까?
이것이 대부분의 소상공인을 혼란스럽게 하는 질문인데, 정직한 답은 "여러분의 사업체가 어디에 있는지가 아니라 고객이 어디에 사는지에 달려 있다"는 것입니다. 주 개인정보보호법들은 대체로 회사의 본사 소재지나 전통적 의미의 회사 규모가 아니라, 데이터를 처리하는 사람들의 거주지를 기준으로 적용됩니다.
어딘가에서 규제 대상에 해당할 수 있다는 몇 가지 실질적인 신호는 다음과 같습니다.
- 코네티컷에 고객, 이메일 구독자, 또는 웹사이트 방문자가 있고, 새롭게 확대된 민감 정보 범주(금융 정보, 정부 발급 신분증, 건강 데이터)에 해당하는 정보를 처리하는 경우.
- 마케팅이 아칸소의 17세 미만 사용자에게 도달하는 경우 — 직접 구축하지 않은 제3자 광고 플랫폼을 통한 경우도 포함됩니다.
- 유타 거주자의 고객 기록을 관리하고 있으면서 정정 요청 프로세스를 아직 구축하지 않은 경우.
- 데이터 브로커, 광고 네트워크, 또는 명단 대여 벤더를 이용하면서 그들이 정보를 어떻게 다루는지 물어본 적이 없는 경우.
이 중 어느 것도 해당하지 않는다면 현재로서는 진짜로 규제 대상 밖일 수 있습니다 — 하지만 기준선이 얼마나 빠르게 낮아지고 있는지를 감안하면 "현재로서는"이라는 표현에 많은 의미가 담겨 있습니다.
실무 컴플라이언스 체크리스트
기본을 제대로 갖추는 데 컴플라이언스 부서까지는 필요 없습니다. 여기서부터 시작하세요.
- 수집하는 데이터를 목록화하세요. 매핑하지 않은 데이터 범주 규칙은 준수할 수 없습니다. 웹사이트 양식, POS 시스템, 이메일 가입, 광고 픽셀 등 고객 데이터가 사업체에 유입되는 모든 경로를 나열하세요.
- 벤더 계약서에서 AI 학습 관련 문구를 확인하세요. CRM, 챗봇, 또는 분석 도구를 사용하고 있다면, 데이터를 "개선"하거나 모델을 "학습"시키는 데 사용한다는 조항이 있는지 확인하세요. 코네티컷은 이제 이를 공개적으로 고지하도록 요구합니다.
- 개인정보 처리방침을 업데이트하세요. 해당하는 경우 LLM 학습 관련 공개 문구를 추가하고, 처리방침이 실제 운영 방식을 정확히 반영하는지 확인하세요. 규제 당국은 점점 더 정책 문구를 실제 관행과 비교하고 있습니다.
- 가벼운 요청 처리 프로세스를 구축하세요. 고객이 데이터 정정, 삭제, 또는 판매 거부를 요청할 수 있는 이메일 주소 또는 양식 하나만 있어도 여러 주의 의무 대부분을 충족할 수 있습니다.
- 해당된다면 미성년자 대상 광고 타겟팅을 분리하세요. 이용자층에 젊은 사용자가 많다면, 주별로 예외를 두려고 애쓰기보다 해당 세그먼트에 대해 관심사 기반 및 리타겟팅 광고를 아예 비활성화하세요.
재무 기록도 개인정보 정책만큼 깔끔하게 관리하세요
개인정보 컴플라이언스와 재무 기록 관리는 근본적으로 같은 원칙을 공유합니다. 무엇을 수집하고 있는지, 그것이 어디에 저장되어 있는지, 누가 볼 수 있는지를 정확히 아는 것입니다. Beancount.io는 버전 관리가 가능하고 감사 가능하며 벤더 종속이 없는 플레인 텍스트 회계로, 여러분의 장부에도 동일한 투명성을 제공합니다 — 블랙박스도 없고, 무엇이 언제 바뀌었는지 추측할 필요도 없습니다. 무료로 시작하기를 통해 컴플라이언스 프로그램만큼 잘 정리된 재무 데이터를 유지하세요.