가트너에 따르면 2025년 미국 각 주가 기업에 부과한 개인정보 관련 벌금은 34억5천만달러로, 직전 5년 합계보다도 컸습니다.1 숫자 자체도 크지만 더 중요한 건, 이 돈이 "새 법이 많아졌다"는 사실보다 "집행이 실제 운영 문제로 넘어왔다"는 신호라는 점입니다.
많은 팀은 아직도 "어느 주 법이 우리에게 적용되나"를 먼저 봅니다. 그런데 지금 더 실무적인 질문은 따로 있습니다. 우리 회사의 어떤 데이터 관행이 현재 주 검찰총장이나 규제기관 입장에서 가장 손대기 쉬운 표적처럼 보이느냐는 것입니다.
모든 주가 똑같이 위험한 건 아니다
미국에는 연방 차원의 단일 개인정보보호법이 없고, 주별 법이 겹치는 패치워크 구조가 이어지고 있습니다.2 2026년 기준으로 20개 주에서 포괄적 소비자 프라이버시 법이 발효된 상태이며, 세부 의무도 조금씩 다릅니다.34
하지만 적용 주 수가 곧바로 집행 리스크의 크기를 뜻하진 않습니다. 예를 들어 텍사스와 네브래스카는 비교적 넓게 적용될 수 있는 구조라 더 많은 기업이 사정권에 들어갑니다.4 반대로 플로리다는 요건이 매우 높아 실제 대상이 제한적입니다.4
여기에 캘리포니아는 별도 규제기관(CPPA)과 세부 규정, 데이터 브로커 삭제 체계까지 갖춘 가장 적극적인 기준점입니다.2 즉, "법이 있는가"보다 "집행 역량이 있는가", "우리 비즈니스 모델과 잘 맞물리는가"를 같이 봐야 합니다.
규제기관이 실제로 보는 건 조항보다 데이터 관행이다
2025년 집행 동향을 보면 공통분모가 꽤 선명합니다. Future of Privacy Forum은 캘리포니아와 텍사스의 공개 집행 확대, 아동·청소년 보호, 위치정보와 운전 데이터, 민감정보 처리 문제를 핵심 흐름으로 짚었습니다.5 DataGrail도 쿠키 배너, 옵트아웃, 벤더 관리, 위치정보, 과거부터 이어진 미준수 이력 같은 요소가 실제 표적이 되는 지점이라고 정리합니다.6
실무적으로 보면 특히 위험한 건 대체로 이런 경우입니다.
소비자 불만이 누적되는 권리행사 흐름, 작동하지 않거나 헷갈리게 만든 옵트아웃, 광고·분석 SDK를 통한 제3자 데이터 이전, 위치·건강·생체처럼 민감한 데이터의 공격적 활용, 그리고 벤더 계약은 있지만 실제 데이터 흐름을 통제하지 못하는 구조입니다.
여기서 중요한 반론도 있습니다. "우리는 빅테크가 아니라서 괜찮다"는 생각입니다. 최근 집행은 자동차, 스트리밍, 로열티 프로그램, 게임, 중견기업까지 넓어졌다는 점에서 이 가정은 점점 덜 맞습니다.6 규모보다도 데이터 흐름이 복잡하고, 외부 추적 도구가 많고, 공개 화면에서 쉽게 위반이 드러나는 기업이 더 눈에 띕니다.
30분 안에 만드는 우리 회사의 집행 히트맵
법 조문을 전부 비교하기 전에, 먼저 내부 점수를 매겨보는 편이 빠릅니다.
첫째, 주별 사업 발자국입니다. 캘리포니아·텍사스·콜로라도·코네티컷처럼 집행 존재감이 크거나 보편적 옵트아웃 신호(GPC)를 요구하는 주 비중이 큰지 보세요.34
둘째, 데이터 볼륨과 민감도입니다. 위치, 건강, 청소년 데이터, 광고 식별자, 차량·행동 데이터가 많을수록 점수를 높게 잡는 편이 현실적입니다.5
셋째, 광고 기술 의존도입니다. 타기팅 광고, 리타게팅, 데이터 "판매/공유"로 해석될 수 있는 제휴가 많으면 공개 페이지에서 바로 점검당할 수 있습니다. 특히 12개 주는 GPC 같은 범용 옵트아웃 신호를 요구합니다.4
넷째, 사고 이력과 증빙 수준입니다. 침해사고가 없더라도, 삭제 요청이 실제 하위 프로세서까지 전파됐는지, 동의·선호 이력이 남는지, 공지문과 실제 수집이 일치하는지 설명할 자료가 없으면 방어력이 약합니다.
이렇게 보면 "모든 주를 균등 대응"하는 것보다, "집행 가능성이 높은 워크플로우를 먼저 고친다"는 우선순위가 나옵니다.
한 분기밖에 없다면 무엇부터 고칠까
인력이 부족한 팀이라면 순서는 비교적 명확합니다.
가장 먼저 고칠 것은 대외 노출면입니다. 개인정보처리방침, 쿠키/추적 고지, 판매·공유·타기팅 광고 옵트아웃, GPC 인식 여부입니다. 이 영역은 규제기관이 바깥에서 가장 쉽게 확인할 수 있습니다.46
그다음은 민감정보 처리입니다. 명시적 동의가 필요한 데이터가 무엇인지 다시 분류하고, 특히 청소년·위치·건강 관련 흐름을 별도로 점검해야 합니다. 메릴랜드처럼 민감정보 판매를 사실상 금지하는 강한 규칙도 등장했습니다.4
세 번째는 벤더와 데이터 맵입니다. 계약서 문구보다 실제 어떤 SDK, 픽셀, SaaS가 어떤 데이터를 가져가는지 설명 가능해야 합니다.6
마지막은 증빙입니다. 권리요청 처리 기록, 동의 로그, 삭제 전파 기록, 신규 데이터 사용에 대한 리뷰 흔적이 남아야 합니다. 규제기관이 간접적으로 보는 건 "좋은 의도"가 아니라 "작동하는 통제"입니다.
결국 지금의 미국 주 프라이버시 집행은 법률 해석 경쟁이 아니라 운영 성숙도 시험에 가깝습니다. 전국 단위 서비스, 광고 의존형 비즈니스, 위치·건강·청소년 데이터를 다루는 팀이라면 특히 더 그렇습니다. 앞으로 봐야 할 기준도 단순합니다. 우리 회사가 규제기관 눈에 "복잡하지만 성실한 사업자"로 보일지, 아니면 "공개 화면만 봐도 문제를 찾을 수 있는 사업자"로 보일지입니다.
참고
2Data protection laws in the United States - Data Protection Laws of the World
3US State Privacy Legislation Tracker
4The US State Privacy Law Tracker for 2026: Twenty Laws, One Compliance Baseline
5FPF Retrospective: U.S. Privacy Enforcement in 2025
6Part 2: State Privacy Enforcement and Litigation in 2025: What Every Business Needs to Know
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.