계산대에서 "전화번호 찍으시면 포인트 쌓아 드려요" 하면 저도 모르게 번호를 누릅니다. 커피 열 잔에 한 잔 공짜라는데 안 누르고 배기겠습니까.

그런데 그렇게 쌓인 번호와 이메일이 내년부터는 동네 가게 사장님의 숙제가 될 수도 있습니다. 델라웨어 개인정보법, Delaware Personal Data Privacy Act 이야기입니다.

이 법은 2023년 9월에 서명되어 2025년 1월 1일부터 시행 중입니다. 지금까지는 큰 회사들 일이려니 하고 넘기신 분이 많았을 겁니다.

그럴 만도 했지요. 올해까지 기준은 델라웨어 소비자 35,000명 이상의 개인정보를 다룬 사업자였으니까요.

개인정보를 팔아서 매출의 20%가 넘게 버는 곳은 10,000명부터 해당됐고요.

그런데 2027년 1월 1일부터 35,000명이 10,000명으로, 10,000명은 5,000명으로 내려갑니다. 주법 원문을 직접 읽어 보다가 눈이 좀 커졌습니다. 일반 기준이 3분의 1도 안 되는 선으로 떨어졌으니 말입니다.

여기에 다른 사업자한테서 개인정보를 넘겨받는 third party도 적용 대상으로 새로 들어갑니다.

다만 "작은 업체도 적용"이라는 말은 반만 맞습니다. 동네 구멍가게가 전부 걸리는 게 아니에요. 1만 명이 안 되고 데이터 장사도 안 하면 내년에도 대상이 아닙니다.

그럼 어떻게 세느냐. 법 문구가 preceding calendar year, 그러니까 직전 연도입니다. 그대로 읽으면 2027년 적용 여부는 올해 숫자로 가려진다는 얘기니, 내년에 세어 보겠다는 건 늦습니다.

세는 대상도 따져야 합니다. 여기서 consumer는 델라웨어 주민이고, 직장이나 거래처 일로 움직이는 사람은 빠집니다.

결제를 끝내려고만 처리한 정보도 제외됩니다. 손님이 카드 한 번 긁고 간 것만으로는 숫자가 올라가지 않습니다.

문제는 그다음입니다. 법이 말하는 personal data는 특정 개인과 연결되거나 연결될 수 있는 정보 전부거든요. 멤버십, 온라인 주문, 문자 쿠폰, 이메일 소식지 명단을 몇 년씩 쌓아 온 곳이라면 한번 세어 볼 만합니다.

매출이 작다고 빠져나갈 구멍도 없습니다. 원문에 규모나 매출로 면제해 주는 조항이 보이지 않아요. 기준은 오직 사람 수입니다.

비영리 단체도 일반 면제가 없습니다. 법무장관실 안내문에도 영리와 비영리 모두 적용된다고 나와 있으니, 회원 명단이 큰 단체라면 함께 챙겨야 합니다.

빠지는 쪽도 있습니다. 은행, 크레딧 유니언, 보험사, 일부 증권사와 투자자문사는 면제이고, HIPAA 적용을 받는 환자 건강정보도 제외입니다.

소비자 입장에서는 뭘 할 수 있을까요. 내 정보를 확인하고, 틀린 걸 고치고, 지우라고 하고, 복사본을 받을 수 있습니다. 내 정보를 넘겨받은 third party 목록도 요구할 수 있어요.

타겟 광고, 개인정보 판매, 중요한 결정에 쓰이는 자동 프로파일링은 opt-out, 즉 거부할 수 있습니다.

회사는 45일 안에 답해야 하고, 사정이 있으면 45일을 더 쓸 수 있습니다. 12개월에 한 번은 무료이고, 거절당해 이의를 내면 60일 안에 서면으로 답해야 합니다.

민감정보 범위도 넓어집니다. 소셜 번호, 여권 번호, 운전면허 번호에 카드 번호와 계좌 로그인 정보까지 들어갑니다.

neural data, 말하자면 뇌 신호 데이터도 있더군요. 제 머릿속을 읽어 봐야 점심 메뉴밖에 안 나올 텐데 말입니다.

13세 이상 18세 미만 청소년도 있습니다. 사업자가 나이를 알거나 일부러 모른 척한 경우라면, 타겟 광고와 판매에 프로파일링까지 동의를 받아야 합니다.

사장님 쪽 의무는 이렇습니다. 어떤 정보를 왜 모으고 누구와 나누는지 privacy notice에 알기 쉽게 적어야 합니다. 정보를 넘기는 상대와는 계약을 맺고, 설문지와 서류 검토 같은 due diligence도 해야 합니다.

위험이 큰 처리를 할 때 쓰는 data protection assessment 기준도 소비자 100,000명에서 50,000명으로 내려갑니다.

어기면 어떻게 될까요. 잘못을 고칠 기회를 주던 cure 기간은 2025년 말로 끝났고, 올해부터는 법무부가 여러 사정을 따져 시정 기회를 줄지 정합니다.

소비자가 이 법을 근거로 직접 소송을 걸 수는 없고, 집행은 주 법무부만 합니다. 다만 위반은 소비자 사기법상 불법 행위로 다뤄지고, 법원이 고의 위반으로 판단하면 건당 최대 $10,000까지 나올 수 있습니다.

저는 이번 개정이 반갑습니다. 정보가 새면 피해자는 가게 크기를 가려 가며 다치지 않거든요. 약한 사람일수록 이런 보호가 먼저 필요하다고 생각합니다.

불만도 있습니다. 이달 초 법무장관실 안내 페이지를 봤는데 2027년 변경 내용이 따로 안 보이더군요. 기준을 낮췄으면 영세 사장님들이 알아듣게 설명해 주는 것까지가 정부 몫이지요.

저라면 이 순서로 하겠습니다. 흩어진 고객 명단을 한데 모으고, 중복을 지우고, 델라웨어 주민만 셉니다.

안 쓰는 명단은 과감히 없앱니다. 없는 정보는 샐 일도 없으니까요.

해당될 것 같으면 privacy notice를 손보고 삭제 요청 받을 이메일 창구부터 만듭니다. 조건은 상황마다 다르니 최종 판단은 변호사와 확인하시는 게 좋습니다.

손님 입장에서 문제가 있다면 법무장관실 사이트의 Submit Privacy Complaint 양식을 쓰면 되고, 문의는 [email protected]로 하면 됩니다.

여러분은 계산대에서 전화번호를 찍으십니까, 안 찍으십니까? 댓글로 한 표씩 부탁드립니다. 저는 아직 커피 한 잔 앞에서 무너지는 쪽입니다.