캘리포니아에서 소규모 사업체를 운영하면서 소비자 프라이버시법은 대기업들이나 신경 쓸 문제라고 생각했다면, 2026년은 그 가정이 더 이상 통하지 않는 해입니다. W-4에 적힌 사회보장번호, 지문 인식 출퇴근 기록기, FMLA 휴가를 위한 의사 소견서, 심지어 지원자가 이메일로 보낸 이력서까지 — 매일 사업체가 수집하는 직원 및 구직 지원자 데이터가 이제 캘리포니아 프라이버시법의 정면 적용 대상이 되었고, 2026년 1월 1일부터 시행되는 새로운 주 규정은 그 데이터를 다루는 기준을 다시 한번 높입니다.
직원 데이터가 "소비자" 프라이버시법의 적용을 받게 된 경위
캘리포니아 소비자 개인정보보호법(CCPA)이 처음 통과되었을 때, 고용주들에게는 여유가 있었습니다. 입법자들이 고용 전용 규정을 별도로 마련하는 동안 직원, 구직 지원자, 계약자에 관한 데이터는 대체로 적용 예외였기 때문입니다. 그러나 이 예외는 처음부터 한시적인 것이었고, 캘리포니아 개인정보보호권법(CPRA) 개정안이 전면 시행된 2023년 1월 1일자로 만료되었습니다. 그 이후로 인사 파일, 급여 기록, 복리후생 가입 데이터, 지원자 추적 시스템은 고객의 구매 이력과 동일하게 취급됩니다. 즉, 법률상 열람, 삭제, 정정, 공개 규정이 적용되는 개인정보로 다뤄집니다.
이 만료일 하나가 일상적인 업무 서류의 상당 부분을 재편했습니다. 모든 I-9 양식, 모든 직접 입금 신청서, 모든 인사 평가, 모든 생체 인식 출퇴근 기록 — 이 모든 것이 이제 직원이 법적으로 열람하고, 정정하고, 많은 경우 삭제를 요청할 권리를 가진 개인정보입니다.
실제로 누가 이 법을 준수해야 하는가
모든 소규모 사업체가 이 법의 적용을 받는 것은 아니며, 기준선이 헤드라인이 시사하는 것보다 훨씬 중요합니다. CPRA는 캘리포니아에서 사업을 영위하고 캘리포니아 거주자(직원 포함)의 개인정보를 수집하는 영리 기업 중 다음 중 하나라도 충족하는 경우에 적용됩니다.
- 연간 총매출이 (해당 역년 1월 1일 기준) $25 million을 초과하는 경우, 또는
- 연간 10만 명 이상의 캘리포니아 소비자, 가구, 또는 기기의 개인정보를 구매, 판매, 또는 공유하는 경우, 또는
- 연간 매출의 50% 이상을 소비자 개인정보 판매 또는 공유에서 얻는 경우
실제로 규모가 작은 고용주 다수는 세 가지 기준 모두에 해당하지 않아 적용 대상이 아닙니다. 하지만 두 번째 기준 — 10만 명의 소비자, 가구, 또는 기기 — 은 사업주들이 예상하는 것보다 훨씬 많은 사업체를 포함합니다. "기기"에는 고객이나 직원뿐만 아니라 쿠키로 추적되는 웹사이트 방문자까지 포함될 수 있기 때문입니다. 인기 블로그를 운영하거나 방문자가 많은 전자상거래 사이트를 갖춘 10인 규모의 컨설팅 회사는 백 번째 직원을 채용하기 훨씬 전에 이 기준을 넘을 수 있습니다. 자신이 어느 쪽에 속하는지 확실하지 않다면, 법이 적용되지 않는다고 섣불리 단정하기 전에 변호사와 확인해 볼 가치가 있습니다 — 아래에서 다룰 처벌 위험은 추측에 기대기에는 너무 현실적입니다.
직원들이 실제로 갖게 된 권리
적용 대상 고용주의 경우, 현직 및 전직 직원, 구직 지원자, 독립 계약자는 캘리포니아가 소비자에게 부여하는 것과 동일한 핵심 권리를 갖습니다.
- 알 권리 — 자신에 관해 수집되는 개인정보의 범주와 그 이유
- 열람 권리 — 자신에 관해 보유 중인 구체적인 데이터의 사본
- 정정 권리 — 부정확한 정보를 바로잡을 권리
- 삭제 권리 — 예외 사항을 조건으로 자신의 개인정보 삭제를 요청할 권리(세무 기록, 법적 준수, 진행 중인 법적 청구를 위해 필요한 정보는 계속 보관 가능)
- 민감한 개인정보 이용 제한 권리 — 사회보장번호, 금융 계좌 정보, 정밀 위치 정보, 인종 또는 민족적 출신, 건강 정보, 신원 확인 목적으로 수집된 생체 정보 등이 포함되는 범주
이 마지막 범주에서 많은 소규모 고용주가 허를 찔립니다. 생체 인식 출퇴근 기록기는 대리 출퇴근을 줄여주기 때문에 소매업, 레스토랑, 창고업, 건설업에서 흔히 사용됩니다. CPRA에 따르면 출퇴근 기록에 사용되는 지문이나 손 스캔은 "민감한 개인정보"에 해당하며, 이는 일반 근무 기록표보다 더 엄격한 고지 및 이용 제한 의무가 따른다는 것을 의미합니다.
실무적으로 준수한다는 것은 무엇을 왜 수집하는지 설명하는 서면 프라이버시 고지, 직원이 요청을 제출할 수 있는 절차, 그리고 — 여기서 많은 사람이 걸려 넘어지는데 — 요청을 제출할 수 있는 최소 두 가지 지정 방법을 마련하는 것을 의미합니다. 이 중 하나는 일반적으로 수신자 부담 전화번호여야 하고, 두 번째 옵션으로 웹 양식이나 이메일 주소 같은 것이 추가로 필요합니다. "인사팀에 이메일 보내세요"라고 적힌 포스트잇 한 장으로는 이 규정을 충족하지 못합니다.
2026년 1월 1일부터 시행되는 새로운 규정
기본적인 CPRA 요건에 더해, 캘리포니아 개인정보보호국(California Privacy Protection Agency)은 2025년에 새로운 규정을 확정했으며 이는 2026년 1월 1일부터 단계적으로 시행됩니다. 이 규정들은 특히 고용주가 인력 관리를 위해 기술을 사용하는 방식을 직접적으로 다룹니다.
- 고위험 처리 이전의 위험 평가. 적용 대상 사업체가 "중대한 위험"을 초래하는 활동 — 개인정보 판매 또는 공유, 민감한 개인정보 처리, 중요한 결정을 위한 자동화된 의사결정 기술 사용, 신원 확인을 위한 생체 정보 사용 — 을 시작(또는 계속)하려면 문서화된 위험 평가를 완료해야 합니다. 해당 활동이 2026년 1월 1일 이전부터 이미 진행 중이었다면 평가 마감일은 2027년 12월 31일로 늦춰지며, 이는 기존 프로그램에 어느 정도 여유를 줍니다.
- 자동화된 의사결정 기술(ADMT) 규정은 2027년 1월 1일을 준수 기한으로 단계적으로 시행됩니다. 이는 인사 부서가 특히 주시해야 할 규정입니다. 고용, 보상, 징계에 관한 "중대한 결정"에 사용되는 AI 기반 이력서 심사, 알고리즘 기반 스케줄링 도구, 자동 성과 평가 시스템은 소비자 고지, 옵트아웃 권리, 열람 권리를 요구하게 됩니다.
- 연례 독립 사이버보안 감사는 매출 규모에 따라 단계적으로 시행되며, 2028년 가장 규모가 큰 사업체부터 시작해 2030년까지 더 작은 적용 대상 사업체로 확대됩니다.
이 중 어느 것도 포춘 500대 기업 수준의 준법감시 부서를 요구하지 않습니다. 하지만 AI 이력서 순위 기능이 포함된 기성 지원자 추적 도구나 급여 업체의 생체 인식 출퇴근 기능을 사용하는 소규모 사업체라면, 해당 업체가 데이터를 실제로 어떻게 다루는지 반드시 확인해야 합니다. 벤더가 아니라 고용주인 여러분이 직원과 규제 당국에 대해 책임을 지는 당사자이기 때문입니다.
현실적인 시나리오: 지문 출퇴근 기록기를 사용하는 레스토랑 그룹
로스앤젤레스 카운티에 3개 매장을 둔 40명 규모의 레스토랑 그룹을 상상해 보세요. 이 그룹은 대리 출퇴근을 막기 위해 생체 인식 출퇴근 기록기를 사용하고, 시급 지원자가 많아 AI 기반 이력서 심사 기능을 갖춘 지원자 추적 플랫폼을 이용하며, 직접 입금과 원천징수 데이터를 저장하는 급여 업체를 이용합니다. 이것만 놓고 보면 특이할 것이 없습니다 — 여러 매장을 운영하는 요식업체의 표준적인 운영 방식이니까요. 하지만 CPRA의 관점에서 보면 다릅니다. 지문 스캔은 특정 고지와 이용 제한 공개가 필요한 민감한 개인정보이고, AI 이력서 심사는 2026~2027년 규정이 정확히 겨냥하는 종류의 자동화된 의사결정 기술이며, 급여 시스템에 있는 모든 W-4와 직접 입금 신청서는 이제 직원이 열람, 정정, 삭제를 요청할 수 있는 개인정보입니다.
이 그룹이 CPRA의 매출 또는 데이터량 기준을 넘긴다면, 이 세 시스템 중 어느 것도 프라이버시 고지, 직원 요청 처리를 위한 문서화된 절차, 그리고 — ADMT 규정이 시행되면 — 알고리즘이 이력서를 평가하고 있다는 사실을 지원자에게 알리고 옵트아웃할 수 있게 하는 방법 없이는 지금 그대로 운영될 수 없습니다. 이는 기술을 걷어내라는 요구가 아닙니다. 그 기술이 무엇을 하는지 문서화하고, 법이 이제 직원들에게 보장하는 가시성과 통제권을 제공하라는 요구입니다.
구직 지원자도 채용된 직원과 동일한 보호를 받는다
"직원 프라이버시"는 입사 첫날부터 시작되는 것이라고 생각하기 쉽지만, 이 목적을 위한 CPRA의 "직원" 정의는 그보다 훨씬 이전 시점까지 거슬러 올라갑니다. 구직 지원자도 적용 대상에 포함되며, 이는 신원 조회, 이력서 파싱 소프트웨어, 채용 전 평가를 시행하는 모든 사업체에 중요한 의미를 갖습니다. 불합격한 지원자도 채용 과정에서 어떤 개인정보가 수집되었는지 알 권리를 동일하게 가지며 — 진행 중인 법적 보류 같은 예외를 제외하면 — 그 정보의 삭제를 요청할 권리도 동일하게 갖습니다. 지원자 추적 시스템이 불합격한 이력서를 "혹시 몰라서" 무기한 보관하고 있다면, 그런 보관 관행이야말로 프라이버시 위험 평가가 드러내도록 설계된 바로 그런 문제입니다.
자동화된 의사결정 규정이 가장 강하게 작용하는 지점
ADMT 요건은 특별히 주목할 가치가 있습니다. 소규모 사업체가 채용과 스케줄링 시간을 절약하기 위해 도입한 바로 그 도구들을 정확히 겨냥하고 있기 때문입니다. 알고리즘 기반 이력서 순위 매기기, 자동 면접 채점, 생산성 점수에 따라 근무 시간을 배정하는 근무 스케줄링 소프트웨어, 사람이 먼저 검토하지 않고 직원을 검토 대상으로 표시하는 성과 모니터링 도구가 여기에 해당합니다. 이 도구들 자체가 금지되는 것은 아닙니다. 하지만 2027년 1월 1일부터는 이를 채용, 승진, 징계, 해고와 같은 "중대한 결정"에 사용하려면 대상자에게 ADMT가 사용되었다는 사실을 명확히 고지하고, 대부분의 경우 옵트아웃 권리를 부여하며, 결정에 어떤 요소가 반영되었는지 요청할 수 있는 방법을 제공해야 합니다. 인사 관리 도구 중 "AI 기반"이라고 홍보하는 제품이 있다면, 2027년 마감일이 오기 훨씬 전부터 그 도구를 위험 평가 목록에 올려야 한다는 강력한 신호입니다.
처벌은 실제로 존재하며, 소규모 사업체에도 예외가 아니다
이곳의 법 집행은 가상의 이야기가 아닙니다. 위반 시 고의성이 없는 위반은 건당 최대 $2,500, 고의적인 위반은 건당 최대 $7,500의 민사 처벌을 받을 수 있으며, 처벌은 일반적으로 영향을 받은 개인별로 산정됩니다. 즉, 데이터 요청을 잘못 처리하거나 암호화되지 않은 유출로 수백 명의 직원 기록이 노출되면 그 규모의 사업체에도 금세 큰 금액으로 불어날 수 있습니다. 캘리포니아 법무부(Attorney General)와 캘리포니아 개인정보보호국 모두 집행 권한을 가지고 있으며, 일부 주법과 달리 캘리포니아는 모든 유형의 위반에 대해 사전 시정 기간을 의무화하지 않습니다.
실무적으로 시작하기 위한 체크리스트
적용 대상 고용주이거나 기준선에 근접했다고 생각된다면, 다음부터 시작하세요.
- 실제로 수집하는 항목을 목록화하세요. 급여, 복리후생, 생체 인식 출퇴근 기록, 신원 조회, 인사 평가, 지원자 추적 데이터 — 고지문을 작성하기 전에 이 모든 것을 하나의 목록으로 정리하세요.
- 민감한 개인정보를 별도로 표시하세요. 사회보장번호, 건강 정보, 생체 정보, 금융 계좌번호는 추가적인 처리 요건이 적용됩니다.
- 직원 프라이버시 고지문을 작성(또는 갱신)하세요. 현재의 데이터 범주, 목적, 보관 기간을 반영해야 합니다.
- 요청 제출 경로를 최소 두 가지 이상 마련하세요. 의무 대상이라면 수신자 부담 전화번호도 포함해야 합니다.
- 인사 기술 및 급여 업체에 직접 문의하세요. 해당 도구가 채용이나 성과 결정에 자동화된 의사결정을 사용하는지 확인하고, 이를 서면으로 받아두세요.
- 사업체에 해당하는 위험 평가 마감일을 캘린더에 기록하세요. 신규 고위험 처리는 2026년 1월 1일, 규정 시행 이전부터 진행된 처리는 2027년 12월 31일입니다.
재무 기록도 프라이버시 프로그램만큼 깔끔하게 관리하세요
직원 데이터 처리를 제대로 해내는 과정에서 흔히 부기 업무와 동일한 허점이 드러납니다. 언제 무슨 일이 있었는지 명확하고 감사 가능한 기록을 아무도 제시하지 못하는 것입니다. 프라이버시 요청에 쉽게 답할 수 있게 해주는 것과 동일한 원칙 — 무엇을 가지고 있는지, 그것이 어디에 있는지, 누가 접근했는지를 정확히 아는 것 — 은 세금 신고 시즌도 수월하게 만들어 줍니다. Beancount.io는 완전히 투명하고 버전 관리가 가능한 일반 텍스트 회계(plain-text accounting)를 제공하므로, 모든 급여 지출과 복리후생 비용이 블랙박스가 아닌 명확하고 감사 가능한 흔적을 남깁니다. 무료로 시작하기를 통해 개발자와 재무에 밝은 사업주들이 왜 일반 텍스트 회계로 전환하고 있는지 확인해 보세요.