현재 20개 주가 포괄적인 데이터 프라이버시 법을 시행 중이며, 2026년 1월 1일부터는 인디애나, 켄터키, 로드아일랜드가 이 목록에 추가되었습니다. 소상공인을 운영하면서 "데이터 프라이버시 컴플라이언스"에 대한 생각이 아직도 "그건 캘리포니아 얘기고, 우리는 매출 2,500만 달러가 안 되니 해당 없다"는 수준이라면, 다시 한번 살펴볼 필요가 있습니다. 소규모 고용주에게 정말 중요한 규정은 더 이상 고객에 관한 것이 아니라, 직원 본인의 사회보장번호, 은행 계좌 정보, 진료 기록, 그리고 HR 시스템 어딘가의 폴더(또는 SaaS 대시보드)에 저장된 생체 인식 출퇴근 스캔 데이터에 관한 것입니다.
헷갈리는 부분은 이런 법들이 주마다 "직원 데이터"를 서로 다르게 취급한다는 점입니다. 캘리포니아는 인사 기록을 일반 소비자 프라이버시 법에 포함시킵니다. 콜로라도와 버지니아는 대체로 고용 기록을 포괄적인 프라이버시 법령에서 제외하지만, 콜로라도는 최근 생체 인식 데이터에 대해 좁지만 강력한 예외 조항을 추가해 많은 소상공인들을 허를 찔렀습니다. 부기 담당자든, 운영 책임자든, 급여 업무를 직접 다루는 대표든, 실제로 무엇이 바뀌었는지, 누구에게 적용되는지, 그리고 직원의 항의(또는 원고 측 변호사)가 여러분의 문제가 되기 전에 무엇을 해야 하는지 아래에서 확인하세요.
"직원 데이터"가 사각지대였던 이유
주들이 포괄적인 프라이버시 법을 제정하기 시작했을 때 — 2021년 버지니아와 콜로라도를 시작으로 이후 대부분의 주가 뒤따랐습니다 — 거의 모든 법이 비슷한 구조를 차용했습니다. "소비자"를 정의하고, 소비자에게 권리(열람, 삭제, 정정, 판매 거부)를 부여하며, 개인 데이터를 관리하는 기업이 그 권리를 보장하도록 요구하는 방식입니다.
하지만 캘리포니아를 제외한 거의 모든 법은 고용 관계에서 행동하는 사람을 "소비자" 정의에서 명시적으로 제외합니다. 콜로라도 법이 그렇게 명시하고 있고, 버지니아 법도 마찬가지입니다. 그 논리는 고용 관계가 이미 노동법과 고용법으로 규제되고 있으니 입법자들이 프레임워크를 중복시키고 싶지 않았다는 것입니다. 실질적인 결과는 이렇습니다: 리치먼드나 덴버의 직원은 일반적으로 자기 주의 소비자 프라이버시법을 근거로 고용주에게 인사 파일 삭제, 인사평가 정정, 또는 내부 분석 도구가 자신에 대해 추론한 내용을 설명하라고 요구할 수 없습니다.
캘리포니아는 반대 방향으로 갔습니다. 캘리포니아 소비자 프라이버시법(CCPA)의 직원 데이터 예외 조항이 2023년 1월 1일 만료되면서, 캘리포니아 프라이버시 권리법(CPRA)은 열람, 삭제, 정정, 거부 등 소비자 권리 전체 목록을 직원, 구직자, 독립계약자에게까지 확대했습니다. CCPA 적용 대상인 캘리포니아 고용주라면, 이제 직원은 고객이 자신의 구매 이력에 대해 갖는 것과 본질적으로 동일한 권리를 자신의 인사 파일에 대해 갖습니다.
이러한 차이가 중요한 이유는 "나도 해당되는가?"라는 질문에 전국적으로 통일된 답이 없다는 뜻이기 때문입니다. 이는 주별로, 그리고 점점 더 데이터 유형별로 따져봐야 하는 문제입니다.
캘리포니아: 인사 데이터가 완전히 적용 대상인 유일한 주
캘리포니아 거주자인 직원이나 계약자가 한 명이라도 있다면, 여기서부터 시작하세요.
적용 대상. CCPA/CPRA는 캘리포니아에서 영업 활동을 하는 영리 기업 중 다음 세 가지 기준 중 하나라도 충족하는 경우에 적용됩니다: (1) 연간 총매출 2,500만 달러 초과, (2) 연간 10만 명 이상의 캘리포니아 소비자 또는 가구의 개인정보를 구매, 판매, 또는 공유, (3) 개인정보 판매 또는 공유로 연간 매출의 50% 이상을 창출. 많은 소상공인이 매출 2,500만 달러 기준선만 보고 자신은 예외라고 생각하지만, 두 번째와 세 번째 기준은 매출과 전혀 무관하며, 제3자와 데이터를 "공유"하는 광고 기술 픽셀이나 분석 도구를 사용하는 기업은 직원, 구직자, 사이트 방문자를 모두 합산할 경우 생각보다 빨리 10만 명 기준을 넘을 수 있습니다.
인사 데이터에 특히 새롭게 요구되는 사항. 적용 대상 고용주는 직원과 구직자에게 어떤 범주의 개인정보를 수집하고 그 이유가 무엇인지 설명하는 프라이버시 고지를 제공해야 하고, 개인정보에 대한 열람·정정·삭제 요청을 이행해야 하며(법적 보관 의무에 따른 예외 있음 — 보관 의무가 있는 세금이나 급여 기록은 삭제할 수 없습니다), 사회보장번호, 정밀 위치 정보, 건강 정보와 같은 민감한 개인정보의 특정 사용 전에는 동의를 받아야 합니다.
주목해야 할 2026년 변화: 자동화 도구에 대한 위험 평가. 2026년 1월 1일부터 캘리포니아는 구직자, 직원, 계약자에 대해 "중대한 결정"을 내리기 위해 자동화된 의사결정 기술(ADMT)을 사용하기 전에 문서화된 프라이버시 위험 평가를 실시하도록 요구합니다 — 이력서 심사 소프트웨어, 화상 면접 채점, 알고리즘 기반 스케줄링 및 성과 관리 도구 등이 여기 해당합니다. ADMT 완전 준수(직원에게 자동화된 결정을 거부하거나 이의를 제기할 방법을 제공하는 등)는 2027년 1월 1일까지 단계적으로 시행되지만, 2026년 이전 처리 건에 대한 평가 의무는 2027년 말까지 이행해야 합니다. 여러분의 회사가 "AI 기반" 이력서 순위 매김 기능이 있는 지원자 추적 시스템을 사용하거나, 성과 점수를 자동으로 생성하는 인력 관리 도구를 사용한다면, 이 부분은 서류가 아니라 도구 안에 묻혀 있어 놓치기 쉬운 조항입니다.
콜로라도: 고용 기록은 예외지만 생체 인식 데이터는 아닙니다
콜로라도 프라이버시법은 버지니아와 마찬가지로 구직자나 직원 자격으로 취급되는 사람에 관한 정보를 일반적으로 제외합니다. 이 예외 조항은 여전히 일반 원칙입니다. 바뀐 것은 좁지만 중대한 영향을 미치는 개정안, 즉 2025년 7월 1일부터 시행된 생체 인식 식별자 및 데이터 프라이버시법(HB24-1130)입니다.
이 법은 일반적인 규모 기준을 없앴습니다 — 콜로라도 거주자의 데이터를 몇 명분 처리하는지는 중요하지 않습니다. 직원을 포함해 콜로라도 거주자로부터 생체 인식 식별자(지문 스캔, 안면 인식 로그인, 손 모양 출퇴근 기록기 등)를 수집한다면 적용 대상입니다. 수집하기 전에 고지를 제공하고, 직원 안내서에 묻힌 문구가 아니라 명확하고 구체적이며 충분한 정보에 기반한 적극적 동의를 받아야 합니다. 고용주는 보안 시설이나 보안 하드웨어 접근과 같은 좁은 범위의 보안 목적에 한해서만 생체 인식 동의를 고용 조건으로 내걸 수 있으며, 직원의 위치를 추적하거나 애플리케이션 사용 시간을 모니터링하기 위해 동의를 요구할 수는 없습니다. 또한 생체 인식 데이터의 보관 기간, 보안 사고 대응 절차, 삭제 관행을 다루는 서면의 공개 정책도 갖춰야 합니다.
실제로 이 법에 걸리는 대상: 배지 태그 대신 지문이나 안면 인식 출퇴근 기록기를 사용하는 소규모 제조업체, 창고, 식당, 클리닉 — 대리 출퇴근(버디 펀칭)을 막는 인기 있는 방법입니다 — 그리고 생체 인식 건물 출입이나 POS 로그인을 사용하는 모든 업체입니다. 여러분이 여기 해당한다면, 대부분의 프라이버시 법으로부터 여러분을 보호해주던 "매출 2,500만 달러 미만이라 해당 없다"는 논리는 여기서는 전혀 통하지 않습니다.
버지니아: 아직 의무는 아니지만 흐름을 주시하세요
버지니아 소비자 데이터 보호법은 고용 기록에 대한 일반적인 제외 조항을 그대로 유지하고 있으며, 2026년 현재 콜로라도의 생체 인식 예외 조항에 상응하는 버지니아 법은 없습니다. 그럼에도 주목해야 하는 이유는 패턴 때문입니다: 콜로라도는 특정 데이터 유형(생체 인식)이 눈에 띄는 위험으로 떠오르자 고용 예외 조항의 일부를 떼어냈습니다. 일리노이는 10년 넘게 사적 소송권을 포함한 전담 생체 인식 프라이버시법을 시행해왔고, 이는 미국에서 가장 큰 규모의 고용 관련 프라이버시 합의금 사례들을 만들어냈습니다. 버지니아든 다른 주든 생체 인식, AI 채용 도구, 또는 다른 무언가에 대해 자체적인 직원 데이터 예외 조항을 만드는 것은 "할지 말지"가 아니라 "언제"의 문제입니다. 지금부터 어떤 직원 데이터를 왜 수집하는지 문서화하는 습관을 들이면, 여러분의 주가 뒤따를 때 허둥대지 않아도 됩니다.
소규모 고용주를 위한 실용 체크리스트
기본을 제대로 갖추는 데 컴플라이언스 부서까지는 필요 없습니다:
- 실제로 수집하는 데이터 목록을 작성하세요. 급여를 위한 사회보장번호와 은행 정보, 휴가 신청을 위한 건강 정보, 출퇴근 기록기나 출입 시스템의 생체 인식 데이터, 그리고 HR이나 ATS 플랫폼이 자동으로 추론하는 모든 것("몰입도 점수"나 자동 후보자 순위 매김 등).
- 출퇴근 기록기를 확인하세요. 지문이나 얼굴을 스캔한다면, 매출 규모와 상관없이 서면 생체 인식 정책과 문서화된 동의가 필요할 가능성이 큽니다.
- 벤더 계약서를 읽어보세요. 급여 처리 업체, 신원조회 서비스, 지원자 추적 시스템은 여러분이 넘겨주는 데이터를 보호하겠다고 계약상 약속해야 합니다 — "SOC 2 준수"는 시작점일 뿐, 서면 데이터 처리 계약을 대체하지는 못합니다.
- 캘리포니아 직원이 있다면 지금 요청 처리 프로세스를 구축하세요. 법정 기한 내에 열람, 정정, 삭제 요청에 응답할 담당자가 있어야 하고, 삭제 요청에도 불구하고 법적으로 보관해야 하는 기록(예: 세금 기록)이 무엇인지 아는 담당자가 있어야 합니다.
- "주 법이 고용 기록을 예외로 한다"는 사실을 영구적인 방패로 여기지 마세요. 오늘날 대부분의 주에서는 사실이지만, 콜로라도는 좁은 예외 조항이 얼마나 빨리 생겨날 수 있는지 방금 보여줬습니다.
부기가 컴플라이언스 이야기에서 차지하는 위치
이 모든 것은 사실 회계 소프트웨어에 관한 이야기가 아닙니다 — 어떤 민감한 데이터가 어디에 있는지 파악하고, 규제 기관이나 직원이 물어볼 때 그 근거를 보여줄 수 있는가에 관한 이야기입니다. 이는 법적인 문제이기도 하지만 그만큼 기록 관리의 문제이기도 합니다. 재무 기록이 여러 도구에 흩어진 불투명한 독점 형식으로 존재한다면, 누가 무엇에 접근할 수 있는지 감사하거나, 정책에 명시된 기간보다 데이터를 더 오래 보관하고 있지 않다는 것을 증명하기가 정말 어렵습니다.
Beancount.io는 정반대의 접근 방식을 취합니다: 모든 항목이 투명하고 감사 가능하며 여러분이 완전히 통제하는 플레인 텍스트 기반의 버전 관리 회계로, 여러분의 재무 이력을 인질로 잡는 블랙박스 벤더가 없습니다. 생체 인식 동의 정책을 대신 작성해주지는 않지만, "누가 이 데이터를 볼 수 있고 얼마나 오래 볼 수 있는가"라는 질문에 사업 전반에 걸쳐 명확히 답하고 싶다면, 완전히 소유한 재무 기록부터 시작하는 것이 그 습관을 기르기 좋은 출발점입니다. 무료로 시작하기에서 플레인 텍스트 회계가 실제로 어떤 모습인지 확인해보세요.