뉴저지, 주별 개인정보 보호법 패치워크에 합류

뉴저지 소비자 데이터 개인정보 보호법(정식 명칭: PL 2023, c. 266, NJDPL)은 주민들에게 자신의 개인 데이터에 대한 공식적인 통제권을 부여하는 점점 더 많은 주 대열에 뉴저지를 합류시켰습니다. Stauss PLLC의 법률 분석에 따르면, 이 법은 전반적으로 미국에서 가장 먼저 제정되어 가장 널리 모방된 템플릿 중 하나인 버지니아 개인정보 보호법의 구조를 따르고 있습니다. 그러나 같은 분석은 주목할 만한 점을 지적합니다. 코네티컷과 같은 주의 법률에 포함된 여러 문단과 조항이 뉴저지 버전에서는 빠져 있다는 것입니다.

이 차이는 중요합니다. 더 많은 주가 자체 소비자 데이터 개인정보 보호법을 통과시킬수록, 누가 적용 대상인지, 어떤 권리가 존재하는지, 그리고 그 권리가 얼마나 엄격하게 집행되는지에 대한 세부 사항은 주마다 크게 달라집니다. 뉴저지의 접근 방식은 동일한 기본 프레임워크 위에 세워진 법률조차도 최종 확정되면 중요한 측면에서 갈라질 수 있음을 보여줍니다. 주들은 꾸준한 속도로 이 패치워크에 계속 합류하고 있습니다. 루이지애나는 최근 포괄적인 개인정보 보호 법안을 제정한 22번째 주가 되었으며, 이는 이 법 영역이 얼마나 빠르게 확장되고 있으며 여러 주에서 사업을 운영하는 기업들의 컴플라이언스 의무가 얼마나 불균등해졌는지를 잘 보여줍니다.

준수 대상: 법 적용을 촉발하는 임계값

대부분의 주 개인정보 보호법과 마찬가지로, 뉴저지 법은 모든 기업에 적용되지는 않습니다. 이 법은 기업이 법의 요건을 준수해야 하는 '컨트롤러'에 해당하는지 여부를 결정하는 특정 임계값을 설정합니다. 일반적으로 이 법은 결제 거래를 완료하기 위해서만 처리된 데이터를 제외하고, 최소 10만 명의 뉴저지 소비자 개인 데이터를 처리하는 주체에 적용됩니다. 또한 더 작은 회사, 즉 최소 2만 5천 명의 소비자 데이터를 처리하는 회사라도 해당 개인 데이터 판매로 수익을 창출하는 경우에는 적용됩니다.

한 가지 주목할 만한 특징: 뉴저지 법은 캘리포니아 개인정보 보호법과 달리 컨트롤러에 대한 매출 임계값을 포함하지 않습니다. 캘리포니아 법은 적용 대상에 특정 금액 기준을 설정하고 있습니다. 즉, 기업의 총매출 자체만으로는 뉴저지 법 적용 여부를 결정하는 요소가 되지 않습니다. 대신, 처리되는 소비자 데이터의 양과 해당 데이터가 판매되는지 여부에 초점이 맞춰집니다.

NJDPL에 따른 소비자 권리, 그리고 빠진 것들

이 법에 따라 뉴저지 소비자는 일반적으로 다른 주 개인정보 보호법과 유사한 권리를 얻습니다. 기업이 자신의 데이터를 처리하고 있는지 확인하고, 해당 데이터에 접근하며, 부정확한 정보를 정정하고, 삭제를 요청하며, 자신의 정보에 대한 이동 가능한 사본을 받을 수 있는 능력입니다. 또한 소비자는 일반적으로 자신의 데이터가 타겟 광고에 사용되거나, 제3자에게 판매되거나, 법적 또는 이와 유사하게 중대한 영향을 미치는 특정 유형의 프로파일링에 사용되는 것을 거부할 수 있습니다.

더 미묘한 차이가 발생하는 부분은 Stauss PLLC의 분석이 코네티컷 법령과 비교하여 부재하다고 지적한 세부 사항들입니다. 코네티컷 법은 일부 유사 주 법률보다 더 세분화된 소비자 보호 조치와 절차적 요건을 담고 있는 것으로 개인정보 보호 변호사들 사이에서 자주 인용됩니다. 뉴저지 법이 코네티컷에 포함된 조항들을 생략했다는 사실은, 뉴저지 소비자가 의미 있는 권리를 가지기는 하지만, 집행 메커니즘과 특정 보호 조치가 더 새롭거나 더 상세한 법률을 가진 다른 주의 주민들이 받는 것만큼 포괄적이지 않을 수 있음을 시사합니다.

이것이 여러분에게 의미하는 바

뉴저지에 거주하는 경우, 이 법은 주 차원에서 처음으로 개인 데이터에 대한 실질적이고 사용 가능한 권리를 부여합니다. 귀하는 기업이 자신의 정보로 무엇을 하는지 문의하고, 정정이나 삭제를 요청하며, 데이터 판매나 타겟 광고 사용을 거부할 수 있습니다. 단, 해당 기업이 위에서 설명된 임계값을 충족해야 합니다. 데이터를 판매하지 않고 10만 명 소비자 기준을 충족하지 않는 소규모 기업은 법의 범위에서 완전히 벗어날 수 있으므로, 귀하가 상호 작용하는 모든 기업이 이러한 요청에 응할 의무가 있는 것은 아닙니다.

또한 뉴저지의 보호 조치는 실질적이기는 하지만, 현재 전국적으로 시행 중인 소비자 데이터 개인정보 보호법 중 가장 강력한 버전은 아니라는 점을 이해하는 것이 중요합니다. 이곳에서의 권리를 코네티컷과 같은 주에 사는 친구나 가족이 가진 권리와 비교한다면, 그들의 법이 더 구체적인 절차나 보호 조치를 명시하고 있다고 해도 놀라지 마십시오. 미국 개인정보 보호법의 패치워크 특성상, 연방 법률이 제정되어(만약 제정된다면) 기준선을 표준화하기 전까지는 귀하의 권리가 거주 지역에 따라 실질적으로 달라질 수 있음을 의미합니다.

실행 가능한 조치 사항

뉴저지 주민에게 가장 유용한 첫걸음은 단순히 무엇을 요청해야 하는지를 배우는 것입니다. 데이터에 대한 접근을 요청하고, 기업이 더 이상 필요로 하지 않는 데이터를 삭제하도록 요청하며, 기업이 법적으로 그 요청을 이행해야 하는 경우 데이터 판매나 타겟 광고를 거부하는 것입니다. 뉴저지에서 사업을 운영하는 기업이라면, 지금이 두 가지 처리 임계값 중 하나라도 충족하는지 확인하고, 귀사의 관행을 이 법이 따르는 버지니아 스타일 프레임워크와 비교 검토해야 할 때입니다. 코네티컷과 같은 더 엄격한 주와 비교했을 때의 공백이 다른 곳에서의 컴플라이언스 의무가 더 가볍다는 것을 반드시 의미하지는 않기 때문입니다. 더 많은 주가 자체 버전의 소비자 데이터 개인정보 보호법을 통과시킬수록, 자신이 속한 주의 특정 조항과 그 한계에 대해 계속해서 정보를 파악하는 것이 부여된 권리를 실제로 행사하는 최선의 방법으로 남습니다.