행태정보 맞춤형 광고에 대한 CPRA의 규제

미국 캘리포니아주는 CCPA(California Consumer Privacy Act)를 개정한 CPRA(California Privacy Rights Act)을 발표하였는바, 2023. 1. 1. 시행 예정인데, 온라인 행태정보 맞춤형 광고에 치명적인 영향을 주고 있어, 이에 그 내용을 살펴보기로 한다.

o CPRA : 맞춤형 광고 규제를 위한 입법

o 크로스 컨텍스트 행동 광고(cross-context behavioral advertising) : 소비자가 의도적으로 상호 작용하는 특정 브랜드의 웹사이트, 애플리케이션 또는 서비스를 갖춘 하나의 기업이 아니라 특정 브랜드의 웹사이트, 애플리케이션 또는 서비스를 갖춘 다수의 기업이 소비자의 행동으로부터 획득한 소비자의 개인 정보를 바탕으로 소비자에게 맞춤화한 광고 (cf. 비맞춤형 광고 : 소비자와 기업 간의 현재의 상호작용에서 도출한 소비자 개인 정보(소비자의 정밀한 지리적 위치는 제외)만을 기초로 해서 만든 광고 및 마케팅)

o 행태정보(인터넷 또는 기타 전자 네트워크 활동 정보. 이는 탐색 기록, 검색 기록, 인터넷 웹사이트·애플리케이션 또는 광고에 대한 소비자의 상호 작용 정보를 포함하나 이에 국한하지 아니한다)를 개인정보로 분류함. 추론정보(소비자의 선호, 특성, 심리적 경향, 성향, 행동, 태도, 지식, 능력 및 적성을 고려하여 소비자 관련 프로필을 생성하고자 이 항에서 식별하는 정보에서 도출한 추론) 역시 개인정보로 분류함

o 확률적 식별자 : 개인 정보 정의에서 나열하는 범주에 속하거나 이와 유사한 개인 정보 범주를 사용하는 대신 확률에 기반하여 소비자 또는 소비자의 기기를 식별하는 요소

o 고유 (개인) 식별자 : 어떠한 소비자나 가족 또는 어떠한 소비자나 가족에 연결되는 기기를 오랜 기간 동안 다양한 서비스에 걸쳐 인지하는 데 사용할 수 있는 특별 식별자를 말하며, 이는 기기 식별자, 인터넷 프로토콜 주소, 쿠키, 비콘, 픽셀 태그, 모바일 광고 식별자 또는 이와 유사한 기술, 고객 번호, 고유 익명 정보, 사용자 가명, 전화 번호, 특정 소비자 또는 특정 소비자나 가족에 연결되는 기기를 식별하는 데 사용할 수 있는 기타 형태의 영구 식별자나 확률적 식별자를 포함하나 이에 국한하지 아니한다. ⇒ 고유 식별자는 개인정보에 해당함

o 공유 : 금전적 대가나 기타 유가 약인의 대가인지에 상관없이 기업이 교차 컨텍스 기반 행동 맞춤형 광고를 위해 구두나 서면 방식으로나 전자 또는 다른 수단을 이용하여 소비자의 개인 정보를 제3자에게 판매, 임대, 노출, 공시, 배포, 공개 및 전송하거나 달리 전달하는 것 (이는 기업이 자신의 이익을 위한 교차 컨텍스 기반 행동 맞춤형 광고와 관련하여 제3자와 체결하였으며 별도의 금전 교환이 이루어지지 않는 거래를 포함한다)

o 공유 거부권 : 소비자의 행태정보를 활용한 광고 목적으로 사업자가 개인정보를 제3자에게 전송하거나 제공하는 경우, 소비자는 이를 거부할 수 있음 (소비자가 기업이 제3자에게 개인정보를 판매하는 것을 쉽게 거부할 수 있도록 CCPA는 기업이 웹사이트에 "Do Not Sell My Personal Information(내 개인 정보를 판매하지 마십시오)"이라는 명확하고 눈에 띄는 링크를 게시하도록 요구하는데, CPRA는 이 권리를 확대하여, 기업은 "Do Not S ell/Do Not Share/Do Not Share My P ersonal Information for Cross‐Context Behavioral Advertising"라는 웹사이트의 명확하고 눈에 띄는 링크를 통해 소비자에게 이 새로운 권리를 알려야 함)

o CPRA는 공유 거부 설정 및 탈법행위에 대한 구체적이고 자세한 규율을 하고 있음

* 번역문은 개인정보보호위원회 국제협력센터를 참조함

* 법무법인 민후 김경환 변호사 작성, 블로그(2022. 11. 27.) 기고.