CCPA 집행이 앱에 미치는 영향

캘리포니아 소비자 개인정보 보호법 (CCPA) 모바일 앱의 사용자 데이터 처리 방식을 재편하고 있습니다. 주요 내용은 다음과 같습니다:

• 적용 대상: 연간 매출 2,500만 달러 이상, 10만 명 이상의 사용자 데이터 보유, 또는 데이터 판매 수익이 50% 이상인 앱.
• 주요 요구 사항:
  • 데이터 수집 관행(기기 ID 및 IP 주소 등) 공개.
  • 사용자가 데이터에 접근, 삭제 또는 공유를 거부할 수 있는 도구를 제공하세요.
  • 암호화 및 액세스 제어를 통해 데이터를 보호하세요.
• 집행 사례: 위반 시 건당 최대 $7,988의 벌금이 부과될 수 있습니다. 주요 사례는 다음과 같습니다. Sephora ($120만 벌금) 및 DoorDash ($37.5만 벌금).
• 흔한 실수: “Do Not Sell” 링크 누락, Global Privacy Control (GPC) 신호 무시, 규제되지 않은 데이터 공유.

꿀팁: 데이터 감사부터 시작하여, 다음을 업데이트하세요. 개인정보 처리방침, 그리고 다음과 같은 도구를 사용하여 OneTrust 또는 Osano 를 통해 컴플라이언스를 간소화할 수 있습니다. 규정을 준수하는 것은 단순히 벌금을 피하는 것뿐만 아니라, 사용자 신뢰를 구축하고 비즈니스를 보호하는 일입니다.

앱을 위한 CCPA 핵심 요구사항

데이터 수집 고지

앱 개발자는 기기 식별자, IP 주소, 가구 정보와 같이 수집하는 데이터에 대해 명확하고 사전적인 고지를 제공해야 합니다 [1]. 이러한 고지는 데이터가 어떻게 사용되는지 설명해야 하며, 데이터 수집 전 앱 설정 내에서 쉽게 접근할 수 있어야 합니다. 고지 사항에는 모든 데이터 카테고리와 수집 목적을 포함해야 합니다 [3]. 앱이 사용자 데이터를 판매하거나 공유하는 경우, [3].

CCPA는 이러한 고지와 더불어 사용자 권리를 보호하는 것의 중요성도 강조합니다.

사용자 개인정보 권리

CCPA는 앱 사용자에게 특정 권리를 부여하며, 개발자는 지정된 기한 내에 이를 준수해야 합니다. 기업은 수신자 전용 전화번호와 같이 사용자가 요청을 제출할 수 있는 최소 두 가지 방법을 제공해야 합니다. 앱의 경우, 대화형 웹 양식도 함께 제공되어야 합니다. [4].

사용자 요청 처리 방법은 다음과 같습니다:

• 데이터 접근 요청: 10일 이내에 수신 확인을 하고, 45일 이내에 요청된 데이터를 제공해야 합니다.
• 데이터 삭제 요청: 요청을 검증하기 위해 2단계 확인 프로세스를 사용하십시오.
• 옵트아웃(Opt-Out) 요청: 15일 이내에 옵트아웃 프로세스를 완료하고, 지난 90일 동안 사용자의 데이터를 받은 제3자에게 해당 사실을 알려야 합니다.

“규정 준수를 원하는 기업의 핵심 요소는 GDPR의 데이터 주체 접근 요청과 유사하게 CCPA에 따른 소비자 요청 관리 프로세스를 구현하는 것입니다.” - TrustArc [4]

사용자 데이터를 보호하는 것은 이러한 개인정보 권리의 핵심 요소입니다.

데이터 보안 요구 사항

이러한 개인정보 보호 조치를 지원하기 위해 CCPA는 엄격한 데이터 보안 표준을 시행합니다. 주요 실천 사항은 다음과 같습니다:

• 암호화: 저장 및 전송되는 데이터 모두에 강력한 암호화를 적용합니다.
• 액세스 제어: 엄격한 인증 및 권한 부여 프로토콜을 구현합니다.
• 정기 테스트: 정기적인 보안 평가 및 침투 테스트를 수행합니다.
• 침해 사고 대응: 데이터 유출 통지 절차를 최신 상태로 유지하고 즉시 대응할 수 있도록 준비합니다.

또한, 기업은 개인정보 관련 활동 및 사용자 요청 기록을 24개월 동안 보관해야 합니다. [5].

캘리포니아 검찰총장의 모바일 앱 개인정보 보호 집행 강화

CCPA 집행 사례

최근 사례들은 모바일 앱에 대한 캘리포니아의 적극적인 개인정보 보호법 집행 의지를 보여줍니다. 막대한 벌금은 개발자들에게 컴플라이언스 준수의 중요성을 경고하는 강력한 메시지가 되고 있습니다.

주요 벌금 및 과징금

캘리포니아 검찰총장과 캘리포니아 개인정보 보호국(CPPA)은 CCPA 위반 사항에 대해 강력하게 대응하고 있습니다. 주목할 만한 두 가지 사례는 다음과 같습니다:

Sephora의 120만 달러 합의금 (2022)
Sephora는 다음과 같은 여러 컴플라이언스 위반 사항으로 인해 120만 달러를 지불하기로 합의했습니다:

• 소비자 데이터 판매 사실 미공개
• Global Privacy Control (GPC) 신호 미준수
• 옵트아웃(opt-out) 요청 무시
• 위반 사항 시정 기한(30일) 미준수 [2]

“Global Privacy Control과 같은 기술은 데이터 프라이버시 권리를 행사하려는 소비자들에게 혁신적인 변화를 가져왔습니다. 하지만 기업이 고객 데이터 사용 방식을 숨기고 판매 거부 요청을 무시한다면 이러한 권리는 무의미해집니다. 이번 합의가 캘리포니아 소비자 개인정보 보호법을 여전히 준수하지 않는 기업들에게 강력한 경고가 되길 바랍니다. 저희는 계속 주시할 것이며, 반드시 책임을 물을 것입니다.” – AG Rob Bonta [6]

DoorDash의 37만 5천 달러 벌금 (2024)
DoorDash는 고객의 명시적 동의 없이 마케팅 협동조합과 데이터를 공유하여 375,000달러의 벌금을 부과받았습니다. [2].

이러한 사례들은 반복되는 컴플라이언스 이슈를 보여주며, 기업이 개인정보 보호법을 준수하는 데 겪는 어려움을 잘 나타냅니다.

주요 컴플라이언스 실수 사례

모바일 앱은 CCPA의 특정 요구 사항을 충족하는 데 어려움을 겪는 경우가 많으며, 이는 빈번한 위반으로 이어집니다. 주요 실수 유형과 방지 방법을 정리했습니다:

주의 깊게 살펴봐야 할 두 가지 집행 변화:

• 위반 사항에 대한 30일의 시정 기간(cure period)이 폐지되었습니다.
• Global Privacy Control 요구 사항 준수에 대한 감시가 강화되었습니다. [6].

“검찰총장의 초점은 법 준수와 소비자에게 선택권 및 제어권을 부여하는 데 있습니다. 캘리포니아 개인정보 보호 기금의 수익을 늘리려는 것이 아니라, 준수를 독려하는 것이 목적입니다.” – Melissa G. Powers, LewisRice 어소시에이트 [6]

이러한 집행 조치는 명확히 보여줍니다. 모바일 앱 개발자는 마케팅 목표를 유지하면서도 변화하는 개인정보 보호 환경에 대응하기 위해 반드시 컴플라이언스를 최우선 순위에 두어야 합니다.

sbb-itb-f9944d2

CCPA 준수 가이드

최근 규제 집행 사례를 고려할 때, 모바일 앱의 컴플라이언스 관리는 매우 중요합니다. 주요 단계를 파악할 수 있는 실무 가이드를 소개합니다.

데이터 감사 단계

앱이 수집, 처리 및 공유하는 모든 사용자 데이터의 상세 인벤토리를 작성하는 것부터 시작하세요. 방법은 다음과 같습니다.

• 데이터 수집 지점 식별: 회원가입 양식, 결제, 분석 도구, third-party SDK 등 모든 데이터 입력 소스를 문서화하세요.
• 데이터 분류: 다음과 같은 유형으로 분류하세요:
  • 식별자 (예: 이름, 이메일, device ID)
  • 상업적 데이터
  • 온라인 활동 데이터
  • 지리적 위치 정보
  • 생체 인식 정보
  • 직업 정보

개인정보 처리방침 업데이트

CCPA를 준수하려면 개인정보 처리방침에 데이터 처리 방식을 명확히 설명해야 합니다. 아래 표를 가이드로 활용하세요:

이러한 업데이트는 사용자 권리 요청을 효과적으로 처리하는 데 필수적입니다.

사용자 권리 관리

CCPA를 준수하려면 45일 이내에 개인정보 요청을 처리할 수 있는 시스템이 필요합니다. 다음 사항에 집중하세요:

• 접근 요청:

  • 앱 내에 개인정보 대시보드를 추가하세요.
  • 사용자 편의를 위해 식별 정보로 양식을 미리 채워두세요.
  • 미등록 사용자의 경우 기기 ID 트래킹을 활용하세요.

• 삭제 요청:

  • 데이터 삭제 처리를 위한 워크플로우를 자동화하세요.
  • third-party SDK가 데이터 삭제를 지원하는지 확인하세요.
  • 모든 삭제 요청에 대한 상세 기록을 유지하세요.

데이터 보안 설정

사용자 데이터 보호는 컴플라이언스의 핵심입니다. 보안을 강화하는 방법은 다음과 같습니다:

• 기술적 조치:

  • 전송 중인 데이터에 종단간 암호화를 적용하세요.
  • 저장된 데이터를 암호화하여 안전하게 보호하세요.
  • 엄격한 액세스 제어 및 인증 체계를 구축하세요.
  • 정기적인 보안 감사를 실시하세요.

• 제3자 관리 감독:

  • 사용 중인 모든 SDK가 CCPA를 준수하는지 확인하세요.
  • 데이터 공유 방식을 문서화하고 거부(opt-out) 옵션을 제공하세요.
  • 모든 제3자의 보안 관행을 주기적으로 검토하세요.

예를 들어, Flurry SDK에는 사용자 설정을 존중하고 데이터 삭제 요청을 관리하는 opt-out API 기능이 포함되어 있습니다. [1].

CCPA 준수 리소스

CCPA 표준을 충족하려면 앱 개발자는 준수 프로세스를 간소화할 적절한 도구가 필요합니다. 데이터 프라이버시에 투자하면 신뢰를 쌓을 수 있을 뿐만 아니라, 지출한 1달러당 최대 2.70달러의 수익을 창출할 수 있습니다. [8]. 다음은 컴플라이언스 평가, 프라이버시 관리 및 앱 업데이트 더욱 관리하기 쉬워집니다.

컴플라이언스 평가 도구

다음 도구들은 앱이 CCPA 요구 사항을 얼마나 잘 준수하는지 평가하는 데 도움을 줍니다:

이러한 플랫폼은 자동화된 격차 분석과 실시간 컴플라이언스 추적을 제공합니다. 예를 들어, Osano는 Lattice 운영 복잡성을 줄이고, 마케팅을 컴플라이언스 요구사항에 맞추며, 개인정보 보호 우선 원칙을 유지하도록 도왔습니다 [8].

개인정보 관리 소프트웨어

개인정보 관리 도구는 다음 네 가지 핵심 영역에 집중합니다:

• 동의 관리: 사용자 설정을 자동으로 수집하고 추적합니다.
• 데이터 탐색: 개인정보를 스캔하고 목록화합니다.
• 요청 자동화: 규정된 45일 이내에 사용자 권리 요청을 처리합니다.
• 제3자 모니터링: 외부 벤더와의 데이터 공유 현황을 추적합니다.

다음과 같은 솔루션: Usercentrics 및 iubenda 등이 이러한 기능을 효과적으로 제공합니다. 예를 들어, iubenda, Capterra에서 4.5/5점을 기록하며 운영 부담을 최소화하면서도 앱의 규정 준수를 돕는 것으로 잘 알려져 있습니다 [7].

Capgo: CCPA 준수 앱 업데이트

개인정보 관리뿐만 아니라, Capgo 업데이트 중에도 앱이 CCPA 규정을 준수하도록 보장합니다. Capgo 다음 기능을 통해 규정 준수를 지원합니다:

• 종단 간 암호화 업데이트 중 사용자 데이터를 보호합니다.
• 기기 간 트래킹 금지 또는 지속적 식별자 사용 금지
• 투명한 데이터 처리 통계 데이터는 집계된 형태로만 제공됩니다.
• 사용자 제어권 보장 즉각적인 계정 및 데이터 삭제 옵션을 제공합니다.

Capgo는 엄격한 개인정보 보호 가이드라인을 준수하며 1,800개 이상의 프로덕션 앱에 4억 9,240만 건 이상의 업데이트를 성공적으로 전달했습니다. [9].

“Capgo는 생산성을 높이고 싶은 개발자에게 필수적인 도구입니다. 버그 수정 시 리뷰를 거치지 않아도 된다는 점은 정말 큰 장점이죠.” - Bessie Cooper [9]

이러한 도구들을 정기적인 감사와 병행하면 지속적인 CCPA 준수에 도움이 됩니다.

결론: CCPA 준수를 위한 단계

앞서 논의한 전략을 바탕으로 CCPA 준수를 보장하기 위한 핵심 조치들을 정리했습니다. 규정을 준수한다는 것은 모바일 앱 내 사용자 데이터를 보호하기 위해 철저한 접근 방식을 취한다는 것을 의미합니다. 최근의 집행 사례들은 막대한 벌금을 포함한 미준수 리스크를 보여주고 있으므로, 개발자는 개인정보 보호 조치를 진지하게 다뤄야 합니다.

집중해야 할 세 가지 주요 영역은 다음과 같습니다:

• 데이터 관리 및 투명성

  • 기기 식별자 및 IP 주소와 같이 수집되는 모든 개인정보를 파악하기 위해 데이터 인벤토리를 수행하세요. [1].
  • 사용자 데이터 처리 과정을 추적하고 기록하세요.
  • 데이터 수집 전, 수집 방식에 대해 사용자에게 명확히 안내하세요.
  • 사용 중인 third-party SDK가 규정 준수 표준을 충족하는지 검토하세요.

• 사용자 권리 구현

  • 데이터 접근 및 삭제 요청을 처리할 시스템을 구축하세요.
  • 사용자 요청이 규정된 45일 이내에 처리되도록 관리하세요.
  • '내 개인정보 판매/공유 금지' 링크를 찾기 쉬운 곳에 배치하세요.
  • 사용자 요청을 안전하게 관리할 본인 인증 프로세스를 만드세요. [10].

• 기술 인프라

  • 종단간 암호화(E2EE)를 사용하여 사용자 데이터를 보호하세요.
  • 사용자 동의 내역을 안전하게 저장하세요.
  • Capgo와 같이 개인정보 보호에 특화된 업데이트 도구를 사용하세요.
  • 정기적으로 보안 감사를 실시하고 개인정보 처리방침을 최신 상태로 유지하세요.

지속적인 규정 준수를 위해 CCPA 규칙에 최적화된 도구 사용을 고려해 보세요. 예를 들어, colenso는 Capgo를 사용한 경험을 다음과 같이 공유했습니다:

“5,000명 이상의 사용자에게 Capgo OTA 업데이트를 프로덕션 환경에 배포했습니다. 운영은 매우 원활하며, @Capgo에 OTA가 배포된 후 몇 분 안에 거의 모든 사용자가 최신 버전을 사용하고 있습니다.” [9]

How CCPA Enforcement Impacts Apps 읽기 이어가기

사용 중인 경우 CCPA 집행이 앱에 미치는 영향 보안 및 컴플라이언스 계획을 세우려면, 다음 항목과 연결하세요 암호화 암호화 구현 세부 사항은, 컴플라이언스 컴플라이언스 구현 세부 사항은, Capgo 보안 스캐너 Capgo Security Scanner의 제품 워크플로우는, Capgo 보안 Capgo Security의 제품 워크플로우와, Capgo 신뢰 센터 Capgo Trust Center의 제품 워크플로우는.