2026년 1월 1일, 캘리포니아는 DROP(삭제 요청 및 옵트아웃 플랫폼, Delete Request and Opt-Out Platform)을 출시했으며, 2026년 8월 1일부터 이 플랫폼 사용이 의무화됩니다. 이 날짜부터 캘리포니아에 등록된 모든 데이터 브로커는 최소 45일마다 DROP에 접속하여 중앙화된 삭제 요청을 검색하고, 90일 이내에 삭제 필요 여부를 결정하고, 결과를 보고해야 합니다. 2028년까지 모든 브로커는 최소 3년마다 독립적인 삭제법 감사를 받고 그 보고서를 캘리포니아 개인정보 보호 기관(CPPA)에 제출해야 합니다.
귀하가 데이터 브로커이거나, 개인정보를 판매하는 기업이거나, 브로커로부터 데이터를 구매하는 중소기업이라면, 이 마감일은 중요합니다. 직접 삭제를 처리하기 때문이 아니라, 귀하가 의존하는 데이터 공급망이 이제부터 소비자 요청에 의해 45일마다 대규모로 필터링될 것이기 때문입니다.
DROP이란 무엇이며, 업무 흐름을 어떻게 바꾸는가
삭제법(SB 362, 2023) 이전에는 캘리포니아 주민이 데이터 브로커가 보유한 개인정보 삭제를 원할 경우, 각 브로커를 일일이 찾아 개별적으로 옵트아웃해야 했습니다. 이는 500개 이상의 등록된 브로커를 대상으로 하는 번거롭고 수동적인 절차였습니다. DROP은 이를 중앙화합니다: 캘리포니아 주민은 CPPA 플랫폼에서 한 번 거주자 인증을 완료하고 단일 삭제 요청을 제출하면, 그 요청은 현재 및 미래의 모든 등록 브로커에게 전송됩니다. 소비자는 특정 브로커를 요청에서 선택적으로 제외하고 상태를 확인할 수 있습니다.
브로커에게 있어 운영상의 변화는 수동적인 일회성 요청 처리에서 반복적인 플랫폼 기반 대기열 처리로의 전환입니다:
- 최소 45일마다 DROP에 접속합니다. 브로커는 모든 관련 삭제 요청을 최소한 이 빈도로 검색해야 합니다. 시간이 있을 때가 아니라 45일 주기로 검색해야 합니다.
- 90일 이내에 결정합니다. 각 요청에 대해 브로커는 90일 이내에 삭제 필요 여부를 결정하고, 삭제를 수행하며(서비스 제공자 및 계약업체에 삭제 지시 포함), DROP을 통해 소비자에게 결정을 보고해야 합니다.
- 지속적 의무. 소비자가 옵트아웃한 경우, 브로커는 이후 해당 개인에 대해 수집하는 모든 정보를 최소 45일마다 삭제해야 합니다. 일회성이 아니라 지속적으로 삭제해야 합니다.
또한 브로커는 등록 시 정밀 지리위치 데이터나 미성년자에 관한 정보를 수집하는지 여부를 공개해야 합니다. 이는 SB 362 이전에는 존재하지 않았던 확장된 등록 세부 사항이며, 2024년 1월부터 매년 CPPA에 등록해야 합니다.
데이터 브로커란 누구인가
삭제법은 직접적인 관계가 없는 소비자의 개인정보를 의도적으로 수집하고 판매하는 기업에 적용됩니다. 귀하의 수익이 개인정보의 집계, 결합, 거래(인물 검색, 마케팅 데이터, 리스크, 리드 목록)에 의존한다면, 귀하는 적용 대상입니다. 고객 목록을 가끔 판매하는 중소기업은 대상이 아니지만, 소규모라도 데이터 중개를 사업 모델로 하는 기업은 대상입니다.
마케팅, 리스크 평가, 또는 리드 생성 목적으로 브로커로부터 데이터를 구매하는 경우, 삭제법의 삭제 의무가 직접 적용되지는 않지만 하류에서 그 영향을 받게 됩니다: 귀하가 구매하는 브로커 풀은 45일마다 삭제로 인해 얇아질 것입니다. 7월에 구매한 리드 목록은 8월 DROP 정리 후 10~15% 더 작아질 수 있으며, 갱신 요건이 발생합니다.
8월 1일 이전 운영 체크리스트
브로커인 경우:
- CPPA 등록이 최신 상태인지, DROP 통합이 테스트되었는지 확인 — 수동 포털 확인이 아닌 자동 검색
- 45일 검색 일정을 당직 담당자와 함께 구축하여 휴가로 인해 주기가 끊기지 않도록 함
- 계약업체/서비스 제공자 통지를 포함한 90일 결정 및 삭제 워크플로우 구현 — 로컬에서 삭제한다고 해서 하류 의무가 끝나는 것은 아님
- 모든 결정을 DROP 티켓 ID, 삭제 날짜, 서비스 제공자 확인서와 함께 기록 — 이 기록이 2028년 감사의 증빙 자료
- 지금 2028년 독립 감사 일정을 예약 — 감사인은 이미 예약을 받고 있으며, 첫 감사는 최소 3년마다 제출해야 함
데이터 브로커는 아니지만 개인정보를 취급하는 중소기업인 경우, 삭제법이 직접적인 삭제 의무를 부과하지는 않지만 CPPA의 방향성을 보여줍니다: 중앙화되고 소비자 주도적인 대규모 삭제. 귀하의 자체 개인정보 요청 워크플로우(통지, 인증, 45일 삭제 주기)를 브로커 기준에 맞추면, 더 광범위한 CCPA 의무가 적용될 때 메워야 할 격차를 줄일 수 있습니다.
재무 관리 간소화
보유할 수 없거나, 판매할 수 없거나, 재사용할 수 없는 데이터는 자산 가치가 없으며, 삭제 규정 준수에는 장부에 기록해야 할 비용이 발생합니다. Beancount.io는 규정 준수 비용, 데이터 처리 비용, 그리고 모든 브로커 수수료를 일반 텍스트 기반의 버전 관리되는 회계로 관리하여, 다음 DROP 주기가 단순한 개인정보 페이지 업데이트가 아닌 예산 편성되고 추적 가능하도록 합니다. 무료로 시작하기 — 귀하의 데이터 처리를 재무만큼 감사 가능하게 유지하세요.