캘리포니아 소비자 프라이버시법(CCPA)에 대한 비교법적 연구

A Comparative Legal Study on the California Consumer Privacy Act

2020. 1. 1.부터 시행된 캘리포니아 소비자 프라이버시법(CCPA)는 캘리포니아 주민들의 프라이버시에 관한 캘리포니아 헌법상 권리를 보장하기 위해 미국 연방과 주를통틀어 최초로 제정된 개인정보보호 일반법이다. CCPA는 개인정보보호와 관련하여소비자들의 권리를 구체적으로 천명하였고 이를 집행하기 위한 수단도 구체적으로마련하였다는 점에서 큰 의미가 있다. 하지만, 개인정보에 대한 규제는 국가적 통일성을 요하는 사안으로 인정될 소지가크므로 연방의회가 연방법을 제정하여 CCPA를 무효화할 가능성을 배제할 수 없으며, CCPA가 수정헌법 제1조에 의해 보장되는 상업적 표현의 자유를 침해한다는 주장이제기될 가능성도 있다. 인격권 기반으로 만들어진 우리 개인정보보호법과 달리 CCPA는 계약관계를 기반으로 만들어져 있다. 따라서, CCPA는 개인정보 수집을 위한 동의요건, 개인정보 정정청구권 등을 인정하지 않고 개인정보 삭제청구의 대상이 되는 개인정보도 좁게 인정한다. 반면, 우리 개인정보보호법에 비하여 개인정보의 범위를 더 넓고 구체적으로 인정하고 개인정보 삭제의 예외를 넓게 인정한다. 이처럼, CCPA는 소비자의 개인정보를 보호하면서도 각 기업의 데이터 활용을 저해하지 않으려 노력하는 실용주의적 접근방식을 취한다. 이러한 CCPA의 특징은 우리도 참고할 필요가 있다고 생각되고 이러한 점에서 최근 개인정보의 안전한 활용 촉진을 도모하기 위해 이루어진 우리나라개인정보보호법 개정은 그 의미가 크다. 마지막으로, IT 기업들은 CCPA를 준수하기 위해 시간과 비용을 들여 여러가지 준비를 하여야 하겠지만 그동안 영위하던 영업방식을 포기하여야 할 만큼 중대한 사업상 지장을 받지는 않을 것으로 보인다.

California Consumer Privacy Act (CPA), effective from January 1, 2020, is the first general law on personal information protection across the U.S. federal and states to ensure Californians’ constitutional rights to privacy. The CCPA has significant meaning in that it has specifically declared the rights of consumers in relation to their personal information protection and has also provided specific means for enforcing law. However, the regulation on personal information is likely to be recognized as the concern requiring national uniformity treatment by Dormant Commerce Clause Doctrine, so Congress might try to preempt the CCPA by enacting federal laws. Someone could challenge the CCPA contending it violates the Freedom of Commercial Speech guaranteed by the First Amendment. Unlike our personal information protection law which is based on human dignity, the CCPA is based on a contractual relationship. Therefore, the CCPA does not recognize the consent requirements for collecting personal information and the right to rectification by consumer, also narrowly recognizes the personal information that is subject to deletion. On the other hand, the scope of personal information is wider and more specific than our personal information protection law, and the exceptions to personal information deletion are widely recognized. Thus, the CCPA takes a pragmatic approach to protect consumers’ personal information while trying not to undermine the data utilization of each company. We need to consider these characteristics of the CCPA. In this regard, the recent amendment of the Personal Information Protection Act for promoting the data use in the secure manner is significant. Finally, although companies should prepare for compliance of the CCPA, it is unlikely that the CCPA will cause any material disruption for the IT industry business.