캘리포니아 새 데이터프라이버시 규정, 글로벌 서비스 본인확인 절차는 어떻게 달라지나

결론부터 정리하면, 캘리포니아가 진행 중인 데이터프라이버시 규정 강화는 캘리포니아 거주자를 겨냥한 것이지만, 실무적으로는 글로벌 서비스 전반의 본인확인(개인정보 열람·삭제 요청 시 신원을 증명하는 절차)과 자동화 처리 고지 방식에 파급 효과를 낼 가능성이 큰 것으로 알려졌다. 여기서 중요한 건 '한국 이용자의 확인 절차가 곧바로 바뀐다'는 확정된 사실이 아니라, 기업들이 규정 대응을 위해 절차를 표준화하는 과정에서 간접적으로 영향을 받을 수 있다는 점이다.

배경을 보면, 캘리포니아는 2020년 통과된 CPRA(캘리포니아 프라이버시 권리법)를 축으로 프라이버시 전담기구가 세부 규정을 계속 다듬어 왔다. 2026년 현재 초점은 크게 세 가지로 알려져 있다. 첫째, 개인정보 자동화 의사결정(사람이 아닌 알고리즘이 판단하는 처리)에 대한 고지와 거부권, 둘째, 위험도가 높은 데이터 처리에 대한 사전 평가, 셋째, 열람·정정·삭제 요청을 처리할 때의 본인확인 절차 정비다. 데이터 분석 업무를 하는 입장에서 보면, 세 번째 항목이 실무 부담이 가장 크다. 삭제 요청을 처리하려면 요청자가 진짜 본인인지 검증해야 하는데, 검증을 위해 추가 정보를 받으면 그 자체가 또 다른 개인정보 수집이 되는 구조적 딜레마가 있기 때문이다. 규정이 '과도한 신원 정보 요구는 제한하라'는 방향으로 정리되면 기업들은 기존 확인 절차를 재설계해야 한다.

이해관계자별 반응은 온도차가 뚜렷하다. 대형 플랫폼 기업들은 이미 유럽 GDPR(일반개인정보보호규정) 대응 인프라를 갖춰 둔 경우가 많아, 캘리포니아 요건을 그 위에 얹는 방식으로 대응하는 흐름이 관찰된다. 반면 광고·데이터 브로커 업종은 자동화 처리 고지와 옵트아웃(수집 거부) 확대에 민감하게 반응하는 것으로 알려졌다. 통계 수치를 단정하긴 어렵지만, 규정 준수 비용이 상대적으로 작은 기업일수록 부담이 크다는 지적은 여러 업계에서 공통적으로 나온다. 미국 내에서도 주(州)별로 프라이버시 법제가 제각각이라, 기업들이 가장 엄격한 기준에 맞춰 정책을 통일하는 '상향 평준화' 경향이 나타나는 점도 눈여겨볼 대목이다.

한국·아시아 이용자 관점에서 의미 있는 지점은 바로 이 상향 평준화다. 글로벌 서비스는 국가별로 정책을 따로 운영하기보다, 가장 까다로운 규정을 기준으로 절차를 통일하는 경우가 많다. GDPR이 시행됐을 때 한국 이용자의 약관과 동의 화면이 함께 바뀌었던 흐름을 떠올리면 이해가 쉽다. 따라서 이번에도 삭제·열람 요청 시 본인확인 단계가 늘거나, 반대로 과도한 정보 요구를 줄이는 방향으로 정비되는 변화가 간접적으로 한국 화면에도 반영될 가능성이 있다. 다만 이는 어디까지나 기업의 정책 선택에 달린 문제이지, 캘리포니아 규정이 한국 이용자에게 직접 적용되는 것은 아니라는 점을 분명히 해둘 필요가 있다.

남은 불확실성도 짚어야 한다. 세부 시행 규정의 최종 문구와 적용 시점은 조정 여지가 있는 것으로 전해지며, 자동화 처리 고지 의무의 범위를 두고도 해석이 갈린다. 실제로 한국 이용자의 확인 절차가 바뀌는지는 각 서비스의 업데이트된 개인정보 처리방침을 직접 확인하는 것이 가장 정확하다. 앞으로 점검할 기준은 세 가지다. 이용 중인 서비스의 처리방침 개정 공지가 나오는지, 삭제·열람 요청 화면의 요구 정보가 달라지는지, 자동화 의사결정 관련 고지가 새로 추가되는지다. [최신 정보 확인 권장]