2020년 캘리포니아 소비자 개인정보보호법 CCPA (California Consumer Privacy Act)이 시행되기 시작한 후, 더욱 강화된 개인정보보호법 CPRA (California Privacy Rights Act)가 2023년부터 시행에 들어가게 됩니다. 캘리포니아 고객에 대해서 비즈니스를 영위하는 기업 중에서 연매출 2500만불 이상 또는 연간 10만명 이상에 대한 개인정보를 취급하는 기업, 또는 개인정보 처리를 주요 사업모델로 하는 기업 등이 CPRA의 적용대상입니다.
CPRA의 적용대상 기업은어떠한 개인정보를 어떠한 목적으로 수집하고 있는지, 각 정보에 대해서 어느정도 기간동안 보유하고 있는지, 그리고 개인정보를 판매하거나 공유하는지 등에 대해서 개인정보 정책(Privacy Policy) 등을 통하여공지하여야 합니다. 그리고, 합리적으로 필요한 기간 이상으로 개인정보를 저장하여서는 안되며, 수집되는 개인정보의 범위도 필요한 목적에 부합하는 수준으로 제한됩니다. 또한, 개인정보 유출을 방지하기 위하여 합리적인 수준의 보안을 유지할 것도 요구하고 있습니다.
CPRA는 개인정보에 대한 개인의 알권리나 통제권과 같은 권리들을 보장하고 있습니다. 가령, 개인은 기업에게 어떠한 개인정보가 어떻게 수집되어 저장되어 있는지 문의할 수 있고, 해당 정보에 대한 접근을 요청할 수 있으며, 개인정보가 판매되거나 공유되고 있는지와 그렇다면 누구에게 판매되거나 공유되는지 문의할 수 있으며, 기업은 이러한 요청에 대해서 답변하여야 합니다. 또한, 개인은 수집된 개인정보에 대해서 전체 혹은 일부의 삭제를 요청할 수 있고, 정보가 잘못되어 있을때 수정할 것을 요청할 수 있으며, 개인정보를 판매하지 못하게 할 권리도 있습니다.
CPRA를 위반했을 경우 각 위반 당 최대 2,500불의 벌금 (고의적 위반에 대해서는 최대 7,500불)이 부과될 수 있겠으며, CPRA 위반의 결과로 개인정보유출이 발생하였다면 개인정보가 유출된 개인은 해당기업으로부터 적어도 100불에서 많게는 750불까지의 법정손해배상액을 받을 수 있습니다. 대량의 개인정보유출이 발생했을 경우 집단소송이 제기될 수도 있고, 거액의 법정손해배상액을 지불해야할 수도 있으므로 주의하여야 하겠습니다.
CPRA 뿐 아니라 유럽의 GDPR (General Data Protection Regulation) 등 개인정보보호가 강화되는 전세계적인 추세 속에, 특히 여러 나라에서 비즈니스를 영위하고 있는 기업들의 경우 다양한 개인정보보호법의 준수방법에 대해서 검토하여 실행할 필요가 있겠습니다.
채희동 변호사 (hdchae@lucemlaw.com)
Lucem PC
660 S Figueroa St. Suite 2300
Los Angeles, CA 90017
www.LucemLaw.com
(Office) 1-213-387-3630; (Fax) 1-213-863-6332