버몬트, 포괄적 개인정보 보호법 제정 주 대열에 합류

필 스콧 버몬트 주지사가 6월 16일 버몬트 데이터 프라이버시 및 온라인 감시법(Senate Bill 71)에 서명했다. 이번 서명으로 버몬트는 포괄적인 소비자 데이터 프라이버시법을 제정한 미국 내 23번째 주가 되었으며, 지난 수년간 꾸준히 확대되어 온 주 단위 개인정보 보호 체계의 조각보에 또 하나의 항목을 추가하게 됐다. 이 법은 즉시 발효되지 않는다. 기업과 소비자는 새로운 규정이 적용되기까지 2028년 1월 1일을 기다려야 한다.

이 일정은 중요하다. 버몬트에서 사업을 운영하거나 버몬트 주민의 개인 데이터를 취급하는 기업들은 이제 컴플라이언스 의무가 시작되기 전에 소비자 정보를 수집, 저장, 사용하는 방식을 검토할 시간을 확보하게 된다. 일반 주민들에게 이 법은 기업이 온라인에서 수집하는 개인 데이터에 대한 통제권을 확대하는 의미 있는 조치이며, 비록 시행은 미뤄졌지만 분명한 진전을 뜻한다.

버몬트 데이터 프라이버시 및 온라인 감시법이 다루는 내용

버몬트 데이터 프라이버시 및 온라인 감시법은 주 프라이버시 법안을 추적해온 사람들이라면 익숙한 패턴을 따른다. 소비자가 기업에 보유된 개인 정보에 접근하고, 이를 정정 및 삭제할 수 있는 권리와 더불어 특정 데이터 관행을 거부할 수 있는 권리를 규정한다. 버몬트가 기존의 많은 주 법률들과 차별화되는 지점은 법의 명칭과 범위에 '온라인 감시'를 명시적으로 포함시켰다는 점이다. 이는 입법자들이 데이터 수집이라는 추상적 개념뿐 아니라, 웹사이트, 앱, 연결된 기기 전반에 걸쳐 보편화된 추적, 프로파일링, 감시라는 더 넓은 생태계를 함께 다루고자 했음을 시사한다.

2027년 발효 예정인 루이지애나 데이터 프라이버시법을 제정한 루이지애나와 같은 주들의 대열에 합류함으로써, 버몬트는 연방 차원의 조치보다 앞서 움직이는 주들이 늘어나는 지역적 추세에 힘을 보탠다. 이 법의 구체적인 조항에 대해 더 깊이 알아보고자 하는 독자들은 2028년 버몬트 데이터 프라이버시 및 감시법의 의미에 관한 상세 설명 기사에서, 사업주와 주민들이 발효일이 다가옴에 따라 주목해야 할 컴플라이언스 세부 사항을 확인할 수 있다.

이번이 버몬트의 첫 포괄적 프라이버시 법안 시도는 아니다. 주정부가 S.71에 도달하기까지는 이전의 입법적 노력이 있었으며, 버몬트가 상원 법안 71을 통과시켰을 때에 관한 이전 보도는 이 법안이 주의회를 통과해 주지사의 책상에 오르기까지의 과정을 추적하고 있다.

감시라는 각도가 두드러지는 이유

대부분의 주 프라이버시 법률들은 데이터 수집, 판매, 소비자 권리 요청에 초점을 좁게 맞추고 있다. 버몬트가 '온라인 감시'를 법 제목에 포함시키기로 한 결정은, 일반적인 데이터 브로커와 광고주를 훨씬 넘어서는 추적 기술에 관해 전국적으로 벌어지고 있는 폭넓은 공론화를 반영한다. 이 공론화는 브라우저 핑거프린팅부터 물리적 감시 도구에 이르기까지 모든 영역을 건드리고 있다. 예를 들어, 자동 번호판 판독기와 카메라 네트워크를 둘러싼 논쟁은 다른 주에서도 정치적 관심을 불러일으켰으며, 플록 카메라 감시 반대 움직임에 관한 보도에 상세히 나온 지속적인 반발 사례가 이를 보여준다. 버몬트의 법이 해당 범주의 감시 기술을 직접적으로 규제하지는 않지만, 이러한 프레이밍은 오늘날 '프라이버시'란 단순히 웹사이트가 장바구니 데이터를 처리하는 방식을 넘어서는 의미를 갖는다는 점을 입법자들이 점점 더 인식하고 있음을 시사한다.

이것이 당신에게 의미하는 바

버몬트에 거주하는 경우, 이 법의 실질적인 효력은 하루아침에 도래하지 않는다. 기업들은 컴플라이언스 프로그램을 구축하는 데 약 1년 반의 시간을 확보했으며, 이는 버몬트 데이터 프라이버시 및 온라인 감시법이 창출한 개인 데이터 접근, 정정, 삭제와 같은 권리들이 2028년 1월 1일까지는 집행될 수 없음을 의미한다. 그 사이에, 당신이 상호작용하는 기업들이 데이터 관행에 관해 어떻게 소통하는지 주목할 필요가 있다. 많은 기업들이 마감 직전의 혼란을 피하기 위해 마감일 훨씬 전부터 정책을 조정하기 시작할 것이기 때문이다.

기업, 특히 전담 개인정보 보호 부서나 법무팀이 없는 소규모 기업에게는 이 유예 기간이 부담이 아닌 기회다. 어떤 개인 데이터가 수집되고, 어디에 저장되며, 누구와 공유되는지를 지금부터 파악해두면 향후 컴플라이언스 절차가 훨씬 덜 혼란스러워질 것이다.

핵심 요점

버몬트의 새로운 법은 확장 일로에 있는 포괄적 프라이버시 법령 목록에 또 하나의 주를 추가하며, 단일 연방 표준의 부재 속에서 더 많은 주의회가 입법에 나서면서 둔화될 기미를 보이지 않는 추세를 강화한다. 주민들은 2028년 발효일이 가까워짐에 따라 정기적으로 이용하는 기업들의 업데이트된 프라이버시 고지를 주시해야 하며, 버몬트에 고객을 둔 모든 기업들은 조만간 데이터 관행 검토에 착수해야 한다. 더 많은 주들이 각기 다른 버전의 법률들을 통과시킴에 따라, 각 법률이 어떻게 다른지 그리고 실제로 어떤 권리를 부여하는지에 대해 지속적으로 정보를 얻는 것이, 점점 더 데이터 중심화되는 경제 속에서 소비자가 자신의 개인 정보를 보호할 수 있는 가장 간단한 방법 중 하나로 남을 것이다.