올해 발효될 새로운 주법(State Law)은 기업과 소비자들에게 중대한 국가적 의미를 지닌다. By Jeff John Roberts

올해는 많은 미국인들이 온라인 프라이버시를 보호하기 위한 강력한 도구를 갖게 될 전망이다. 전면적인 새 법에 따라, 수백만 개의 기업들은 소비자들에게 그들에 대해 수집한 데이터를 정확히 밝혀야 한다. 또 소비자들이 요청하면 그 데이터를 삭제해야 한다.

캘리포니아 소비자 개인정보 보호법(CPCPA)으로 알려진 이 법은, 거대 기술업체에서부터 일반 소매업체에 이르기까지 수많은 회사들이 맞춤형 광고에 의존하고 있기 때문에, 온라인 경제에 심각한 혼란을 줄 수 있다. 소비자들이 기업들에 그들의 데이터를 삭제하라고 요구하면, 광고 효과가 떨어지기 때문이다.

예를 들어, 월마트는 예전처럼 개인 맞춤형 온라인 광고를 진행할 수 없기 때문에 판매기회를 놓칠 수 있다. 한편으로 구글도 매출이 상당 부분 감소할 위험이 있다. 포괄적인 광고는 개인 데이터를 활용하는 광고보다 가격이 훨씬 낮기 때문이다.

따라서 거의 20개의 다른 주에서 벤치마킹하고 있는 캘리포니아 법은 엄청난 효과를 낳을 수 있다. 물론 1월 1일 이 법이 발효된 후, 소비자들이 새로운 권리를 주장한다는 가정하에서다. 유럽에서는 2018년 GDPR이라 불리는 유사한 개인정보 법이 도입됐다. 하지만 이 법을 이용한 사람들은 상대적으로 적었다. 따라서 미국 내에 개인정보 법이 도입된다고 해도, 얼마나 큰 파급 효과를 미칠지는 지켜봐야 한다.

컨설팅 회사 딜로이트에서 기업 리스크를 전문적으로 다루는 크리스 메이 Chris May는 “이 법이 과연 수천, 수십, 수백만의 사람들에게 큰 관심사일까? 아직은 모른다"라고 전망한다.

그러나 개인정보 보호 규정의 영향을 받는 기업들에 준수 부담은 매우 현실적인 문제다.

법 조항에 따라, 소비자들은 온라인 서류작성과 수신자부담 전화의 두 가지 방식으로 데이터를 확인하고 삭제할 수 있다. 캘리포니아 검찰총장이 의뢰한 중립적 보고서에 따르면, 주 기업들은 법률 자문과 기술보완 같은 업무를 처리하기 위해, 초기비용으로 550억 달러를 추가 지출해야 한다. 한 기업당 약 5만 5,000~200만 달러를 더 지불해야 하는 셈이다.

CCPA는 캘리포니아 법이지만, 대부분 주요 기업들이 캘리포니아에서 사업을 하고 있기 때문에 그 영향을 받는다. 더욱이 미국 내 최대 시장에서 사업을 접을 수 있는 기업은 거의 없다.

소비자들의 호의를 사기 위해, 마이크로소프트 같은 소수의 대기업과 보스턴에 본사를 둔 인터넷 서비스 제공업체 스타리 Starry 등 중소 기업들은 50개 주 모두에서 자발적으로 새로운 법을 준수할 것이라고 밝혔다. 스타리의 CEO 쳇 카노지아 Chet Kanojia는 “지금까지 소수의 고객들만 데이터 삭제를 요청한 반면, 수십 여 명은 회사가 선택권을 준 데 대해 감사하다는 편지를 보냈다”고 말한다.

미국 상공회의소의 수석 부회장 팀 데이 Tim Day 같은 다른 사람들은 CCPA에 대해 낙관적이지 않다. 그는 “이 법이 꽃가게나 와이너리 같은 수천 개의 소기업들을 구속할 것”이라고 경고한다.

캘리포니아 법은 매출 기준으로 2,500만 달러 이하의 대부분 회사들을 면제해 준다. 그러나 적어도 5만 명—고객 e메일 주소를 수집하는 기업의 경우 쉽게 도달할 수 있는 기준이다—에 해당하는 데이터를 보유한 기업들은 새 규칙을 따라야 한다.

데이는 “대기업들은 이 법에 대처할 여력이 있다. 하지만 이 나라 경제의 근간을 이루는 소기업들에는 엄청난 부담”이라고 지적한다.

딜로이트의 메이는 “그 결과 많은 중소기업들이 법을 준수하지 않을 수도 있다”며 “처벌을 받지 않을 수도 있고, CCPA을 어렵게 지키는 것보다 차라리 벌금을 무는 게 더 싸게 먹힌다고 판단할 수 있기 때문”이라고 설명한다. 캘리포니아 주 법무부는 6개월간의 유예기간을 거쳐, 7월 1일부터 이 법을 시행할 계획이다. 메이는 꽃가게와 와이너리가 최우선 목표가 될 것 같지는 않다고 전망한다. 딜로이트는 포춘에 법 집행 대응전략에 대한 자세한 내용을 밝히기를 거부했다.

하비에르 베세라 Xavier Becerra 캘리포니아 검찰총장은 이메일 인터뷰에서 “우리는 법을 집행할 책임이 있으며, 이것이 우리가 할 일"이라며 “소비자와 기업이 확실하게 법을 준수하도록 최대한 노력할 것"이라고 강조했다.

그러나 적용될 법이 최종 결정된 것은 아니다. 상공회의소가 CCPA를 대체하는 연방법을 통과시키기 위해, 의회에 로비를 벌이고 있기 때문이다. 과거 기술업계의 시도는 실패했다. 하지만 데이는 “상공회의소의 시도는 그 전과는 다르다. 이 단체가 법의 광범위한 원칙은 유지하길 원하기 때문이다. 즉, 소기업들이 피해를 입지 않도록 적극 노력하면서도, 특히 대부분의 개인 데이터를 요구하고 삭제할 권리는 존중하는 방향으로 입법을 시도하고 있다”고 설명한다. 

의회에서는 누가 이 연방법을 집행해야 하는지, 그리고 이 법이 주의 개인정보 보호법을 대체해야 하는지에 대해 양당의 의견이 엇갈린다. 하지만 이런 법안을 통과시켜야 한다는 부분에서는 이례적으로 초당적 합의를 이뤘다. 많은 사람들은 올해 대선이 끝나야 비로소 새 연방법이 마련될 것이라고 예상한다. 반면, 브루킹스 연구소의 개인정보 보호 전문가 캐머런 케리 Cameron Kerry는 “선거 이전에 법이 통과될 수 있을 정도로 프라이버시에 대한 미국의 태도가 극적으로 변화했다”고 강조한다.

그는 “더욱 많은 의원들이 온라인에서 많은 시간을 보내고, 데이터 개인정보가 자신의 아이들과 손주들에게 미치는 영향을 걱정하며 변화가 일어났다”고 말한다.