Companies That Buy and Sell Your Data Are Not Following California’s Strict Privacy Laws

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

스탠퍼드 공동연구는 2025년 캘리포니아 등록 데이터 브로커 522곳 중 법정 투명성 요건을 완전히 지킨 곳이 9%뿐이며, 요청 절차의 방해와 불완전한 공개가 소비자의 개인정보 통제를 약화한다고 밝혔다.

📌 핵심 요약

• 2023년 삭제법은 캘리포니아 소비자 최소 1천만 명의 데이터를 수집하는 사업자에게 주 등록을 요구하고, 소비자에게 개인정보 삭제·정정과 수집·판매 정보 확인 등의 권리를 부여했다.
• 스탠퍼드 규제연구소와 스탠퍼드 인간중심인공지능연구소 연구진이 2025년 자진 등록 데이터 브로커 522곳을 조사한 결과, 9%만 모든 투명성 요건을 준수했고 45%는 권리 요청 지표를 전혀 제출하지 않았으며 64%는 요청 과정에 마찰을 추가했다.
• 데이터 브로커는 2025년 7월 1일까지 최근 2년간 받은 여섯 유형의 소비자 요청 건수와 처리 기간의 평균·중앙값, 수용·거부 건수를 캘리포니아 개인정보보호국에 공개해야 했다.
• 낮은 준수율의 가능한 요인으로 데이터 브로커의 자진 등록에 의존하는 체계, 일관되지 않은 제재, 감독기관의 자원 부족이 지목됐으며, 부정확한 데이터는 광고·가격·채용·대출 판단과 자동화된 인공지능 예측에 영향을 줄 수 있다.
• 2026년 데이터 브로커 등록부에서는 30곳 넘는 기업이 생성형 인공지능 개발자에 대한 데이터 판매 여부를 공개했으며, 삭제 요청·판매 거부 플랫폼(DROP)은 한 번의 요청과 45일 주기 삭제를 지원하고 2028년부터는 3년마다 제3자 감사가 예정돼 있다.

🧩 주요 포인트

1. 강한 권리 규정과 낮은 이행: 삭제법이 상세한 소비자 권리와 보고 의무를 정했지만 9%의 완전 준수와 45%의 전면 미제출은 법률의 존재만으로 실질적 투명성이 확보되지 않음을 보여준다.
2. 절차적 마찰과 현실적 피해: 64%가 복잡한 웹 설계·다중 양식·과도한 본인 확인을 사용했고, 이는 오류가 있는 개인정보를 바로잡거나 광고·가격·채용·대출에 미치는 영향을 통제하기 어렵게 만든다.
3. 새로운 제도와 집행의 결합: 삭제 요청·판매 거부 플랫폼(DROP), 2026년 데이터 브로커 등록부, 2028년부터의 3년 주기 제3자 감사는 통제 수단을 확대하지만 완전한 공개와 일관된 제재가 뒷받침돼야 한다.

🧠 상세 정리

1. 보이지 않는 데이터 거래 생태계와 소비자 영향

웹사이트와 모바일 앱을 이용하는 동안 기업은 클릭과 탐색 과정에서 개인정보를 수집하고, 제3자 데이터 브로커는 방대한 고객 정보를 사고파는 생태계를 형성하지만 그 존재와 거래는 대부분의 소비자에게 잘 보이지 않는다. 브로커가 판매한 정보는 이용자에게 노출되는 광고, 기업이 제시하는 가격, 채용 여부, 대출 자격에까지 영향을 줄 수 있다. 잘못된 정보도 이 생태계 안에서 빠르게 확산되고, 오류가 발견된 뒤에도 오래 남을 수 있다는 점이 문제로 제시됐다. 기업은 여러 데이터를 결합해 개인에 대한 360도 프로필과 예측을 만들지만 기초 정보 자체가 부정확할 수 있으므로, 연구진은 소비자가 자신의 데이터 흐름 전체를 통제할 필요가 있다고 강조했다.

2. 2023년 삭제법의 권리와 투명성 의무

캘리포니아는 불투명한 데이터 브로커 생태계를 규율하기 위해 2023년 삭제법을 제정했다. 이 법은 캘리포니아 소비자 최소 1천만 명의 데이터를 수집하는 사업자에게 주 등록을 요구하고, 소비자가 자신의 정보를 삭제하거나 정정하고 기업이 수집·판매·공유하는 정보를 확인할 권리를 인정했다. 데이터 브로커는 2025년 7월 1일까지 최근 2년간 접수한 삭제, 정정, 수집 정보 확인, 판매·공유 정보 확인, 판매·공유 거부, 민감정보 이용·공개 제한 요청의 건수를 공개해야 했다. 각 요청 유형의 평균·중앙 처리 일수와 수용·거부 건수까지 보고하도록 했기 때문에, 법률상 요구되는 투명성의 범위는 단순한 개인정보 처리방침 게시보다 훨씬 구체적이었다.

3. 522개 데이터 브로커 조사와 낮은 준수율

스탠퍼드 규제연구소와 스탠퍼드 인간중심인공지능연구소 공동연구진은 2025년에 자진 등록한 데이터 브로커 522곳 전체의 개인정보 처리방침을 수작업으로 검토했다. 조사 결과 모든 투명성 요건을 빠짐없이 보고한 기업은 9%에 불과했다. 45%는 소비자의 권리 요청과 관련된 지표를 캘리포니아 개인정보보호국에 하나도 제출하지 않았다. 연구진은 이 준수율이 예상보다 매우 낮다고 평가했으며, 데이터 브로커들이 보고 방식을 정리하는 중일 가능성을 언급하면서도 관련 기업들이 3년 넘게 사전 통지를 받았고 해당 보고 단계가 이미 의무화됐다는 점을 지적했다.

4. 권리 행사를 방해하는 절차와 집행 구조의 한계

조사 대상 데이터 브로커의 64%는 혼란스러운 웹사이트 설계, 여러 단계의 양식, 과도한 본인 확인 절차를 사용해 소비자의 권리 요청을 더 어렵게 만들었다. 이러한 다크 패턴은 삭제법이 명시적으로 금지한 방식이지만 실제 요청 과정에서는 광범위하게 발견됐다. 연구진은 낮은 준수의 가능한 원인으로 데이터 브로커가 스스로 등록해야 하는 구조, 일관되지 않은 처벌, 집행기관의 부족한 자원을 제시했다. 따라서 법률이 삭제와 정정 권리를 형식적으로 보장하더라도 요청 접수 단계에 큰 마찰이 있고 보고 누락에 대한 재정적 결과가 일관되지 않으면 소비자가 권리를 실제로 행사하기 어렵다는 문제가 드러났다.

5. 데이터 브로커와 인공지능 개발의 불완전한 연결 정보

개인정보는 자동화된 시스템이 개인에 관한 예측을 만드는 재료로 사용될 수 있어 데이터 브로커 규제는 인공지능 개발과도 연결된다. 그러나 최첨단 모델이 어떤 방식으로 구축되는지에 관한 투명성이 부족해 데이터 브로커가 인공지능 개발에 어느 정도 영향을 주는지는 현재 명확하지 않다. 2026년 데이터 브로커 등록부는 브로커가 생성형 인공지능 개발자에게 데이터를 판매했는지 공개하도록 요구했고, 지금까지 30곳 넘는 기업이 관련 정보를 공개했다. 캘리포니아의 제도는 원칙적으로 데이터 브로커와 인공지능 생태계의 관계를 파악할 근거를 제공하지만, 연구진은 실제 공개 내용이 아직 완전하지 않다고 평가했다.

6. DROP 도입과 2028년 제3자 감사

삭제법은 캘리포니아 주민이 등록된 모든 데이터 브로커를 대상으로 단 한 번의 신청으로 삭제와 판매 거부를 요청할 수 있는 삭제 요청·판매 거부 플랫폼(DROP)도 도입했다. 8월 1일 운영을 시작한 이 플랫폼에 따라 데이터 브로커는 45일마다 신청자의 행동·금융·건강·위치·관계 정보와 그 정보로부터 도출한 추론을 포함한 모든 관련 개인정보를 삭제해야 한다. 연구진은 플랫폼의 가능성을 인정하면서도 소비자 권리 단체가 새 제도를 얼마나 효과적으로 알리는지에 따라 이용과 효과가 달라질 수 있다고 설명했다. 2028년부터는 데이터 브로커가 3년마다 제3자 감사를 받아 삭제법 준수 여부를 평가받게 되며, 연구진은 명확한 보고 요건과 일관된 재정적 제재가 실제 이행을 확보하는 데 필요하다고 강조했다.

🧾 핵심 주장 / 시사점

• 완전 준수율 9%와 권리 요청 지표 전면 미제출 비율 45%의 격차는 캘리포니아의 강한 법적 규정과 현장 집행 사이에 큰 간극이 있음을 보여준다.
• 64%에서 발견된 절차적 마찰은 개인정보 권리의 실효성이 권리 조항뿐 아니라 요청 화면, 양식 수, 본인 확인 방식과 같은 실제 접근 절차에도 좌우된다는 점을 드러낸다.
• 2026년 등록부의 공개 의무와 2028년 제3자 감사는 데이터 브로커의 책임 범위를 넓히지만, 인공지능 개발자 대상 판매 정보가 불완전하고 제재가 일관되지 않으면 전체 데이터 흐름을 파악하기 어렵다.

✅ 액션 아이템

• 캘리포니아 개인정보보호국의 45% 권리 요청 지표 전면 미제출과 9% 완전 준수에 대한 일관된 집행 강화 필요.
• 삭제 요청·판매 거부 플랫폼(DROP)의 단일 요청 및 45일 주기 삭제 의무가 실제로 작동하는지 지속 확인 필요.
• 2026년 데이터 브로커 등록부의 생성형 인공지능 개발자 대상 데이터 판매 공개 완결성과 2028년 3년 주기 제3자 감사의 실효성 확보 필요.

❓ 열린 질문

• 캘리포니아 개인정보보호국은 권리 요청 지표를 전혀 제출하지 않은 45%와 완전 준수한 9% 사이의 격차를 어떤 집행 방식으로 줄일 수 있는가?
• 삭제 요청·판매 거부 플랫폼(DROP)은 45일 주기 삭제 의무가 모든 등록 데이터 브로커에서 실제로 이행되는지 어떻게 확인할 것인가?
• 2026년 데이터 브로커 등록부에 공개한 30곳 넘는 기업의 정보만으로 생성형 인공지능 개발자와 데이터 브로커의 관계를 얼마나 파악할 수 있는가?