귀하의 비즈니스가 이메일 목록을 임대해 본 적이 있거나, 집계된 고객 분석 데이터를 마케팅 파트너에게 판매한 적이 있거나, 구매 데이터를 소매 체인과 공유하는 로열티 프로그램을 운영한 적이 있다면, 귀하는 이미 버몬트주 법률상 '데이터 브로커'일 수 있습니다. 그리고 올여름부터 그 꼬리표는 훨씬 더 비싸졌습니다.
2026년 6월 16일, 필 스콧 주지사는 H.211(현 Act 138)에 서명했습니다. 이는 2018년 최초 통과 당시 전국 최초였던 버몬트주 데이터 브로커 등록법에 대한 전면 개정입니다. 이 개정안은 2027년 1월 1일부터 발효되지만, 새로운 정의가 얼마나 광범위해졌는지 이해하고 나면 규정 준수를 위한 시간이 생각보다 짧아 보입니다. 스스로를 '데이터 브로커'라고 생각해 본 적이 없는 많은 소규모 기업이 이제 그렇지 않다는 사실을 알게 될 것입니다.
버몬트주 데이터 브로커법의 실제 의미
버몬트주는 캘리포니아, 텍사스, 오리건 및 기타 여러 주가 자체 버전을 도입하기 훨씬 전에 소비자 데이터를 거래하는 기업이 정부에 등록하도록 요구한 최초의 주였습니다. 핵심 아이디어는 항상 간단했습니다. 직접적인 관계가 없는 사람들에 대한 개인정보를 의도적으로 수집한 후 판매하거나 라이선스하는 경우, 주정부는 귀하가 누구인지, 무엇을 판매하는지, 얼마나 많은 데이터가 거래되는지 알고 싶어 합니다.
2018년 이후로는 버몬트 주무장관에게 연간 등록, 100달러의 수수료, 그리고 몇 가지 기본 공개 요건이 필요했습니다. 거의 8년 동안 이 등록은 '데이터 브로커'라는 꼬리표에 명백히 부합할 만큼 규모가 큰 소수의 기업(예: 신원 조사 회사, 마케팅 데이터 수집업체, 인물 검색 사이트)에게는 대부분 규정 준수의 사소한 고려 사항에 불과했습니다.
H.211은 훨씬 더 광범위한 기업들에게 이러한 계산을 바꿔 놓습니다.
실제로 변경된 사항
'직접 관계'의 정의가 좁아졌습니다. 그리고 이것이 사람들을 놀라게 하는 부분입니다. 이전 법에 따르면, 일반적으로 소비자로부터 직접 정보를 수집하는 것만으로도 '직접 관계'를 설정하고 데이터 브로커 정의에서 제외되기에 충분했습니다. 개정된 법은 소비자가 귀하의 비즈니스와 의도적으로 상호작용할 것을 요구합니다. 이 차이는 특히 거래의 배후에서 운영되는 비즈니스(결제 처리업체, 로열티 프로그램 공급업체, 화이트 라벨 플랫폼 제공업체)를 대상으로 하며, 이는 입법 논평에서 구체적으로 언급된 예시입니다. 소비자의 관계가 실제로는 그들이 사용한다고 생각하는 소매점, 레스토랑 또는 앱에 있고, 귀하의 비즈니스가 조용히 배후에서 그들의 데이터를 캡처하는 인프라라면, 기술적으로 귀하가 직접 데이터를 수집했다는 이유만으로 더 이상 직접 관계 예외를 적용받지 못할 수 있습니다.
'브로커된 개인정보'도 훨씬 광범위해졌습니다. 이전 법은 해당되는 데이터의 특정 범주를 나열했습니다. 새 법은 그 목록을 일반 기준으로 대체합니다. 즉, 식별되었거나 식별 가능한 개인 또는 가구 기기에 연결되거나 합리적으로 연결될 수 있는 모든 정보(파생 데이터 및 고유 식별자 포함)입니다. 이는 포괄적인 주(州) 개인정보 보호법에서 사용되는 광범위한 정의와 의도적으로 일치시키는 것이며, 원래 열거된 목록에 명확히 포함되지 않았던 기기 ID, 행동 프로필 및 추론된 속성과 같은 것들을 포함합니다.
데이터를 판매하거나 라이선스하기 전에 새로운 실사 의무가 발생합니다. 데이터 브로커는 이제 누가 브로커된 개인정보를 받는지 식별하고, 그들이 그 정보로 무엇을 하려는지 이해하며, 다른 용도로 사용하지 않겠다는 인증을 받아야 합니다. 브로커가 데이터가 오용되거나 불법적으로 사용될 합리적인 근거가 있다고 믿는 경우, 거래를 거절해야 합니다. 이는 일회성 등록 서류 제출이 아닌, 모든 데이터 공유 파트너에 대한 문서화된 접수 및 실사 프로세스를 의미하는 실제 운영상의 의무입니다.
한 가지 유용한 예외: 계열사 예외. 기업 계열사와의 데이터 공유는 이제 '판매' 정의에서 명시적으로 제외되어, 버몬트주를 회사 내 데이터 공유를 취급하는 텍사스주 방식과 일치시킵니다. 귀하의 데이터 이동이 공동 소유권 하에 있는 법인으로 제한된다면, 이 개정안은 특정 활동에 대해 귀하를 규제 범위 밖에 두게 될 가능성이 높습니다. 다만, 이에 의존하기 전에 귀하의 기업 구조가 실제로 자격을 갖추는지 확인하는 것이 좋습니다.
금전적 측면이 심각해졌습니다
H.211이 규정 준수의 성가심에서 벗어나 실제 예산 항목이 되는 부분은 수수료 및 벌금 구조입니다.
| 요구 사항 | 이전 | 새 규정 |
|---|---|---|
| 연간 등록 수수료 | $100 | $900 |
| 보증 보험 | 명시되지 않음 | $20,000 |
| 등록 불이행 | — | 하루 $200 |
| 불완전한 등록(30일 후) | — | 하루 $1,000 |
| 실질적으로 부정확한 정보 | — | 일시불 $25,000 + 정정 기한 후 하루 $1,000 |
900달러의 연간 수수료와 20,000달러의 보증 보험은 소규모 기업이 눈치 채지 못하고 넘어갈 수 있는 금액이 아닙니다. 그리고 일일 벌금 구조는 등록 오류를 시정하지 않고 방치할 경우 조용히 남아 있지 않는다는 것을 의미합니다. 미납 세금에 이자가 붙는 것처럼, 해결되지 않는 한 계속 누적됩니다.
또한 버몬트 주무장관은 중앙 집중식 소비자 삭제 요청 플랫폼의 타당성을 연구해야 하며, 2028년 12월까지 보고서를 제출해야 합니다. 이는 이것이 마지막이 아닌, 아마도 여러 차례의 규제 강화 중 첫 번째 단계임을 시사합니다.
실제로 걱정해야 할 대상
대규모 인물 검색 및 마케팅 데이터 회사는 이미 자신이 데이터 브로커라는 것을 알고 있습니다. 더 주의를 기울여야 하는 기업은 자신에게 해당 꼬리표가 적용된다고 생각해 본 적이 없는 기업들입니다.
- 전자상거래 및 구독 기업: 고객 구매 내역이나 참여 데이터를 광고 네트워크, 인플루언서 플랫폼 또는 공동 마케팅 파트너와 금전 또는 상호 데이터 교환의 대가로 공유하는 경우.
- SaaS 플랫폼 및 앱 개발자: 집계되거나 '익명화된' 사용 데이터를 수익화하는 경우 – 새로운 기준은 '개인 또는 가구 기기에 합리적으로 연결될 수 있는' 모든 것을 포함하며, 이는 대부분의 엔지니어링 팀이 데이터를 '익명화'라고 부를 때 가정하는 것보다 훨씬 낮은 기준입니다.
- 로열티 프로그램 운영자 및 결제 중개업체: 소비자와 그들이 거래한다고 생각하는 소매업체 사이에 위치하는 경우 – 좁아진 '직접 관계' 정의가 정확히 목표로 하는 시나리오입니다.
- 제휴 마케터 및 리드 생성 기업: 전체 비즈니스 모델이 소비자 정보를 캡처하여 다른 회사에 판매하거나 접근 권한을 라이선스하는 경우.
- 추천 및 보상 프로그램: 교차 프로모션 거래의 일환으로 회원 데이터를 소매 또는 접객업 파트너와 공유하는 경우.
이러한 기업 중 어느 곳도 일상적인 대화에서 스스로를 '데이터 브로커'라고 설명하지 않을 것입니다. 개정된 버몬트주 법률에 따라 이들 중 몇몇은 법적으로 그렇게 될 수 있습니다. 그리고 이 분류에 대한 무지가 하루 200달러의 벌금을 없애주지는 않습니다.
2027년 1월 1일 이전에 해야 할 일
- 고객 데이터가 귀하의 비즈니스를 떠나는 모든 지점을 파악하십시오. 명백한 데이터 판매뿐만 아니라 벤더 통합, 공동 마케팅 계약, 광고 네트워크 픽셀 및 현금 교환이 수반되지 않지만 소비자 정보에 대한 상호 접근을 포함하는 '데이터 공유' 파트너십도 포함합니다.
- 각 데이터 흐름을 새로운 '직접 관계' 기준에 따라 테스트하십시오. 솔직하게 질문하십시오. 소비자가 귀하의 비즈니스와 의도적으로 상호작용했습니까, 아니면 귀하는 다른 사람의 매장 뒤에 있는 인프라입니까?
- 계열사 예외가 실제로 귀하의 구조를涵盖하는지 확인하십시오. 이는 정당한 기업 계열사 관계 내에서 공유되는 데이터에만 적용되며, 정기적으로 협력하는 독립적인 파트너에게는 적용되지 않습니다.
- 데이터 수신자에 대한 실사 프로세스를 구축하십시오. 여기에는 2027년 1월 마감일 전에 이를 모범 사례가 아닌 법적 요구 사항으로 만들기 위해, 데이터가 무엇에 사용될 것이라고 그들이 말했는지 문서화하는 방법이 포함됩니다.
- 지금 새로운 수수료 구조에 대한 예산을 책정하십시오. 900달러의 연간 등록 수수료와 20,000달러의 보증 보험은 내년 운영 예산에 포함되어야 할 실제 비용이며, 규정 준수 마감일이 이미 임박했을 때 발견하는 예상치 못한 지출이 아닙니다.
이것이 법무 서류뿐만 아니라 장부에 포함되어야 하는 이유
이와 같은 규정 준수 비용은 부서 간에 사라지기 쉽습니다. 법무팀은 등록을 담당하지만, 재무팀은 이에 대한 명확한 항목을 추적하지 않고 수수료, 보험료 및 잠재적 벌금 노출을 결국 흡수하게 됩니다. 버몬트주 등록 수수료, 보증 보험 비용 및 잠재적 일일 벌금 노출을 일반적인 '법률 및 전문 수수료' 항목에 묻어두지 않고 자체 추적 계정으로 취급하면 규정 준수 실수로 인한 실제 비용을 훨씬 쉽게 확인하고 해마다 정확하게 예산을 책정할 수 있습니다. 귀하의 비즈니스가 결국 데이터 브로커로 등록하게 된다면, 그 900달러의 수수료와 보험료는 다음 1월까지 잊어버리는 일회성 서류 제출이 아니라, 소프트웨어 구독이나 보험료에 적용하는 것과 동일한 규율로 추적해야 할 반복 비용입니다.
규정 준수 비용을 계속 확인 가능하게 유지하십시오
버몬트주 H.211과 같은 새로운 주법이 평범한 데이터 공유 파트너십을 규제 대상 활동으로 전환함에 따라, 명확한 재무 기록을 통해 규정 준수 비용, 벌금 노출 및 벤더 의무를 실제 비용이 얼마인지 간과하지 않고 추적하기가 훨씬 쉬워집니다. Beancount.io는 투명하고, 버전 관리가 가능하며, 감사하기 쉬운 일반 텍스트 회계를 제공합니다. 블랙박스도 없고, 벤더 종속도 없습니다. 지금 무료로 시작하여 개발자와 재무에 능숙한 비즈니스 소유자가 일반 텍스트 회계로 전환하는 이유를 확인하십시오.