주(州) 프라이버시법 지형

문서 기준: 2026년 8월

개요

미국에는 EU GDPR에 대응하는 연방 차원의 포괄적(comprehensive) 개인정보보호법이 존재하지 않습니다. 대신 HIPAA(헬스케어), GLBA(금융), COPPA(아동) 등 분야별 연방법이 개별적으로 작동하는 가운데, 일반 소비자 개인정보를 다루는 규제는 각 주(state)가 독자적으로 입법해 왔습니다. 그 결과 2026년 현재 20개 이상의 주가 서로 다른(그러나 상당 부분 유사한) 프라이버시법을 시행 중이며, 기업은 사업 대상 주마다 요건을 개별 확인해야 하는 “패치워크(patchwork)” 구조에 놓여 있습니다. 이 문서는 이 구조의 배경, 시행 중인 주요 주법의 공통 요건, 그리고 멀티스테이트 아키텍처 설계 시사점을 정리합니다.

연방 포괄법 부재 구조

연방 차원의 포괄적 프라이버시법 입법 시도는 여러 차례 있었으나 모두 통과에 실패했습니다.

ADPPA(American Data Privacy and Protection Act, H.R.8152, 117대 의회 2022년 발의): 하원 에너지상무위원회를 53대2로 통과했지만 본회의 표결에는 부쳐지지 못했고, 117대 의회 종료와 함께 폐기
APRA(American Privacy Rights Act, H.R.8818, 118대 의회 2024년 발의): 상하원이 공동 초안을 마련해 발의(Introduced)되었고 하원 에너지상무위 소위원회가 토론초안(discussion draft)을 심사했으나, 캘리포니아 등 강력한 주법을 무력화(선점, preemption)할지 여부와 개인의 직접 소송권(private right of action) 인정 범위를 둘러싼 이견으로 정식 위원회 표결·통과에는 이르지 못한 채 계류

2026년 8월 현재까지 이를 대체할 신규 연방 법안이 제정되지 않았으며, 주(state) 입법과 주 법무장관(Attorney General) 집행이 사실상 미국 프라이버시 규제의 중심 역할을 하고 있습니다.

시행 중인 주 프라이버시법 현황 (2026년 8월 기준)

2026년 상반기 기준 약 20개 주가 포괄적 소비자 프라이버시법을 시행 중이며, 추가로 여러 주가 법을 제정했으나 시행일이 아직 도래하지 않은 상태입니다. 확인된 시행 중인 주는 다음과 같습니다.

주	법률	시행일
캘리포니아	CCPA(2018) / CPRA 개정(2023)	2020.1.1 / 2023.1.1
버지니아	VCDPA	2023.1.1
콜로라도	CPA	2023.7.1
코네티컷	CTDPA	2023.7.1
유타	UCPA	2023.12.31
오리건, 몬태나, 텍사스(TDPSA) 등	각 주법	2024년 중
델라웨어, 아이오와, 메릴랜드, 미네소타, 네브래스카, 뉴햄프셔, 뉴저지, 테네시 등	각 주법	2024–2025년 중
인디애나, 켄터키, 로드아일랜드	각 주법	2026.1.1

CCPA/CPRA — 사실상의 기준선

캘리포니아는 미국에서 가장 먼저(2018년) 소비자 프라이버시법을 제정했고, 2023년 CPRA 개정으로 GDPR에 가까운 요건(권리 확대, 감독기구 신설)을 갖추면서 다른 주법 입법의 참고 모델 역할을 해 왔습니다. 집행기구는 CPPA(California Privacy Protection Agency) 로, 미국 주 단위로는 드문 전담 개인정보 감독기구입니다.

2026년 1월 1일 발효된 최신 개정 규정은 다음을 포함하되, 의무별로 시행 유예(phase-in) 기간이 다르므로 유의해야 합니다.

민감정보(Sensitive Personal Information) 범위 확장: 신경데이터(neural data)가 새로 포함되었으나, 이는 2025년 1월 1일 발효된 법률 개정에 따른 것입니다.
자동화 의사결정 기술(ADMT, Automated Decision-Making Technology) 규제: 고용·대출·의료 등 중대한 영향을 미치는 자동화 결정에 대한 투명성·옵트아웃 요건이 규정되었으나, 실제 준수 의무 시행일은 2027년 1월 1일입니다.
사이버보안 감사 및 리스크 평가 의무화: 리스크 평가 의무는 2026년부터 단계적으로 적용되며, 사이버보안 감사 인증 의무는 사업자 규모에 따라 2028–2030년 사이 순차 시행됩니다.
서비스 제공자 계약 요건 강화: 목적 외 사용 금지, ADMT 준수 지원, 하위 벤더(subcontractor) 승계 조항 등을 계약에 명시

캘리포니아는 최근 공격적인 프라이버시 집행 기조를 보이고 있습니다. 2026년 2월 캘리포니아 법무장관(Attorney General, Rob Bonta) 이 Disney/ABC와 275만 달러 합의를 발표했습니다(CCPA 관련 역대 최대 규모 합의로 보도됨). CPPA도 별도로 같은 해 3월 PlayOn Sports 등을 상대로 약 110만 달러 제재를 발표하는 등, 법무장관과 CPPA가 각자의 집행 트랙에서 활동하고 있습니다.

공통 요건

주마다 세부 조문은 다르지만, 다수의 주법이 버지니아 VCDPA 모델 또는 캘리포니아 CPRA 모델을 기반으로 하기 때문에 다음 요건이 폭넓게 공유됩니다.

소비자 권리: 접근(access), 정정(correction), 삭제(deletion), 이동(portability), 옵트아웃(opt-out) — 대부분 45일 이내(연장 시 45일 추가) 대응 의무
옵트아웃 권리 3종: 타겟 광고(targeted advertising), 개인정보 판매(sale), 법적·중대한 효과를 미치는 프로파일링에 대한 옵트아웃
민감정보 처리: 인종·민족, 종교, 건강 진단, 성적 지향, 이민 신분, 생체·유전 정보, 정밀 위치정보, 아동(13세 미만) 정보 등을 “민감정보”로 별도 규정. VCDPA·CPA 등 다수 주는 민감정보 처리에 옵트인(사전 동의) 을 요구 — 일반 개인정보의 옵트아웃 원칙과 대비되는 지점
다크패턴 금지: 소비자의 선택을 방해·왜곡하는 인터페이스 설계(dark pattern)를 금지 — 텍사스 TDPSA 등에 명시적 조항
보편적 옵트아웃 메커니즘(UOOM, Universal Opt-Out Mechanism) 인식 의무: 2026년 1월 기준 캘리포니아, 콜로라도, 코네티컷, 델라웨어, 메릴랜드, 미네소타, 몬태나, 네브래스카, 뉴햄프셔, 뉴저지, 오리건, 텍사스 등 12개 주가 브라우저 차원의 옵트아웃 신호(대표적으로 GPC, Global Privacy Control)를 자동으로 인식·처리하도록 요구. 반면 버지니아·유타·아이오와·인디애나·켄터키·테네시 등 버지니아 모델 기반 주법은 이 요건이 없음
시정 기간(cure period): 다수 주가 초기 위반에 대해 일정 기간(예: 30일) 시정 기회를 부여하지만, 콜로라도는 2025년 1월 1일부로 이 유예 기간이 일몰(sunset)되어 즉시 집행이 가능해짐

헬스케어 특화 사례 — 워싱턴주 My Health My Data Act(MHMDA)

워싱턴주 MHMDA(2023년 제정, 대부분 조항 2024년 3월 31일 시행)는 HIPAA가 커버하지 못하는 건강 관련 소비자 데이터를 규제하는 별도 법으로, 일반 프라이버시법과 성격이 다릅니다.

별도의 “소비자 건강데이터 프라이버시 정책” 게시 의무(마케팅성 문구 없이 독립 문서로)
신규 카테고리 수집·목적 변경 시 사전 동의(affirmative consent) 필요
의료시설 반경 2,000피트 내 지오펜싱(geofencing) 기반 위치추적 금지
개인 소송권(private right of action) 인정 — 위반은 워싱턴주 소비자보호법(Consumer Protection Act, CPA) 위반으로 취급되어 주 법무장관 집행 외에 소비자가 직접 소송 가능하며, 구제·손해배상 범위는 CPA 기준(사안별 최대 7,500달러 한도 포함)을 따릅니다

MHMDA는 “건강데이터”를 HIPAA보다 넓게 정의하기 때문에, 헬스케어·웰니스 앱이 HIPAA만 준수하면 충분하다고 가정하는 것은 위험합니다.

GDPR과의 구조적 차이

구분	GDPR	미국 주 프라이버시법(전형)
적용 범위	EU 거주자 대상 처리 시 역외적용, 단일 법	주별 매출·데이터량 임계값 기준, 법률이 주마다 상이
동의 모델	원칙적으로 처리 근거(적법 근거) 필요, 다수 상황에서 옵트인	원칙적으로 옵트아웃 — 사업자는 고지 후 처리 가능(민감정보는 예외적으로 옵트인)
감독기구	각 회원국 DPA + EDPB	대부분 주 법무장관 집행, 캘리포니아만 전담 기구(CPPA) 보유
개인 소송권	광범위하게 인정	대부분 주는 법무장관 전속 집행, 캘리포니아(데이터 유출 한정)·워싱턴 MHMDA 등 일부만 개인 소송권 인정
제재 규모	최대 2천만 유로 또는 전 세계 매출 4%	주별 상이(예: TDPSA 위반 최대 7,500달러/건이지만, 텍사스 법무장관은 별도 소비자보호법을 근거로 메타 14억 달러·구글 13.75억 달러 등 대형 합의를 이끌어낸 바 있음)

핵심 차이는 미국이 여전히 “옵트아웃 + 고지” 모델을 근간으로 한다는 점입니다. GDPR처럼 처리 자체에 적법 근거를 요구하지 않으며, 사업자는 프라이버시 정책으로 처리 목적을 고지하고 소비자가 거부할 권리를 보장하면 되는 구조가 기본값입니다. 다만 민감정보·아동정보·건강정보 등 고위험 카테고리는 예외적으로 GDPR과 유사한 옵트인 방식으로 수렴하는 추세입니다.

멀티스테이트 대응 아키텍처

여러 주에서 동시에 사업을 운영하는 경우, 주별로 개별 대응하기보다 다음과 같은 공통 아키텍처로 수렴하는 것이 실무적입니다.

데이터 매핑(Data Mapping): 어떤 개인정보를 어느 주 거주자로부터, 어떤 목적으로, 어느 벤더·서비스를 거쳐 수집·저장하는지 전사 인벤토리화. 민감정보 카테고리는 별도 태깅
동의·환경설정 관리 플랫폼(CMP, Consent Management Platform): 주별 상이한 옵트인/옵트아웃 요건을 지리적 위치(주) 기준으로 분기 처리. GPC 등 UOOM 신호를 자동 감지해 판매·타겟광고 옵트아웃으로 매핑하는 로직 필수
가장 높은 수준의 기준선(highest common denominator) 채택: 다수 기업은 주별로 다른 UX를 운영하는 대신, 캘리포니아 CPRA 수준의 요건(가장 엄격한 축)을 전 미국 사용자에게 동일 적용해 운영 복잡도를 낮추는 전략을 채택
민감정보·건강데이터 별도 처리 경로: MHMDA 유형의 건강데이터, 생체정보, 정밀 위치정보는 일반 개인정보와 분리된 동의·삭제 워크플로를 설계
벤더·DPA 관리: 클라우드·SaaS 벤더와의 계약(DPA)에 서비스 제공자 의무(목적 외 사용 금지, 하위 벤더 승계, 소비자 요청 지원)가 포함되는지 확인 — 관련 아키텍처는 데이터 보호와 워크로드 보안 참고
유출 통지 대응 자동화: 주별로 상이한 데이터 유출 통지 기한·기준을 사전에 매핑해, 인시던트 발생 시 자동으로 해당 주 요건을 산출하는 프로세스를 갖추는 것이 바람직 — 관련 내용은 보안 인시던트 대응 참고

실무 시사점

연방법 제정을 전제로 설계하지 않기: ADPPA·APRA 모두 반복적으로 실패했고, 2026년 8월 현재도 재입법 논의만 있을 뿐 확정된 법안은 없습니다. 주 단위 패치워크가 당분간 지속된다는 전제로 아키텍처를 설계해야 합니다.
캘리포니아 기준을 사실상의 최저선으로: CPPA의 공격적 집행 기조와 CPRA의 폭넓은 요건(ADMT, 리스크 평가, 신경데이터 등)을 감안하면, 캘리포니아 요건을 충족하도록 설계하면 다른 대부분 주 요건도 함께 충족되는 경우가 많습니다.
UOOM/GPC 신호 처리는 선택이 아닌 다수 주의 의무: 12개 이상 주가 요구하므로, 배너 기반 동의 UI만으로는 부족하고 브라우저 신호를 자동 인식하는 기술적 구현이 필요합니다.
건강·생체 데이터는 HIPAA 준수만으로 안심할 수 없음: MHMDA류의 주법은 HIPAA 사각지대를 겨냥해 제정되었으므로, 헬스·웰니스 서비스는 별도 검토가 필요합니다.
최신성 재확인 프로세스 내재화: 신규 주 프라이버시법 제정이 매년 이어지므로, 사업 확장 시점마다 대상 주의 법 시행 여부를 공식 소스로 재확인하는 절차를 거버넌스에 포함시킵니다.