요청 한 번이면 데이터 브로커 수백 곳이 내 정보를 지워야 한다 — 캘리포니아 DROP 의무화 시작

8월 1일부터 미국 캘리포니아에서 꽤 의미 있는 개인정보 제도가 실제로 가동되기 시작했어요. 이름은 DROP, 'Delete Request and Opt-out Platform'의 약자인데요. 캘리포니아 주민이 이 플랫폼에 삭제 요청을 한 번만 등록하면, 주에 등록된 모든 데이터 브로커가 그 사람의 개인정보를 찾아서 지워야 하는 제도예요. 지금까지는 삭제권이라는 권리가 있어도 회사 한 곳 한 곳에 일일이 요청해야 했는데, 이제 '원스톱 삭제'가 법적 강제력을 갖게 된 거죠.

데이터 브로커가 뭐냐면

먼저 용어부터 짚고 갈게요. 데이터 브로커는 소비자와 직접적인 거래 관계가 없으면서 개인정보를 수집해 사고파는 회사예요. 여러분이 가입한 적도 없는 회사가 여러분의 이름, 주소, 구매 이력, 위치 정보, 심지어 건강 관련 추정 정보까지 긁어모아서 광고 회사나 보험사, 채권 추심 업체 같은 곳에 파는 거죠. 미국에서는 이런 업체가 수백 곳에 달하고, 캘리포니아는 이들에게 주정부 등록 의무를 지우고 있어요. 2023년에 통과된 Delete Act(SB 362)라는 법이 이 등록 업체 전부를 상대로 하는 일괄 삭제 플랫폼을 만들라고 명령했고, 그 결과물이 바로 DROP이에요.

어떻게 동작하나요

소비자 입장에서는 간단해요. DROP에 접속해서 본인 확인을 하고 삭제 요청을 등록하면 끝이에요. 그러면 등록된 데이터 브로커들은 45일마다 이 요청 목록을 내려받아서 자기 데이터베이스와 대조하고, 일치하는 사람의 정보를 삭제해야 해요. 한 번 지우고 끝이 아니라, 이후에 새로 수집되는 정보도 계속해서 지워야 하는 지속적인 의무고요. 8월 1일부터는 이 의무를 어기면 캘리포니아 개인정보보호청(CPPA)이 실제 제재를 가할 수 있게 됐어요. 위반하면 삭제 요청 건당 과태료가 매일 쌓이는 구조라서, 요청자가 많아질수록 불이행 비용이 기하급수적으로 커지는 설계예요.

기술적으로 보면 이게 꽤 흥미로운 문제거든요. 수백 개 회사가 각자 다른 스키마로 쌓아둔 데이터에서 특정 개인을 '정확히' 찾아서 지워야 하는데, 매칭이 잘못되면 엉뚱한 사람의 정보를 지우거나 반대로 남기게 되잖아요. 신원 매칭의 정확도, 백업과 로그에 남은 사본 처리, 삭제 이후의 재수집 방지까지, 개인정보 삭제 파이프라인 설계에서 어려운 지점이 전부 들어 있는 문제예요.

업계 맥락

흐름으로 보면 이건 유럽 GDPR이 만든 '잊힐 권리'의 미국식 진화형이에요. GDPR도, 한국의 개인정보보호법도 삭제권 자체는 보장하지만, 권리 행사는 여전히 회사별로 따로따로 해야 하거든요. 캘리포니아는 여기서 한 발 더 나가서 '한 번의 요청이 시장 전체에 적용되는' 중앙 플랫폼을 만든 거예요. 이 모델이 성과를 내면 다른 주나 다른 나라가 따라갈 가능성이 커요. 반대편에서는 광고 기술 업계의 부담이 상당한데, 제3자 데이터에 의존하던 타기팅 광고 생태계가 서드파티 쿠키 제한에 이어 또 하나의 구조적 압박을 받게 된 셈이죠. 자사가 직접 수집한 퍼스트파티 데이터 중심으로 재편되는 흐름이 한층 빨라질 거예요.

한국 개발자에게 주는 시사점

'미국 얘기네' 하고 넘기기엔 실무 함의가 있어요. 캘리포니아 주민의 데이터를 다루는 서비스라면 국내 회사도 이 규제망에 들어갈 수 있고, 글로벌 서비스를 준비 중이라면 처음부터 삭제 가능성을 염두에 둔 데이터 설계가 필요해요. 사용자 데이터를 여러 테이블과 로그, 백업, 데이터 웨어하우스에 흩뿌려 놓으면, 나중에 '이 사람 데이터 전부 지워주세요'라는 요청 하나가 대형 프로젝트가 되거든요. 사용자 식별자를 중심으로 데이터가 어디로 흘러갔는지 추적할 수 있게 해두는 것, 소프트 삭제와 하드 삭제 정책을 처음부터 구분해두는 것만으로도 미래의 고생을 크게 줄일 수 있어요. 개인정보 규제는 어느 나라든 강해지는 방향으로만 움직이고 있으니까요.

정리하면, '삭제권'이 개별 요청의 시대에서 플랫폼 강제의 시대로 넘어가는 신호탄이에요. 여러분의 서비스는 지금 '특정 사용자 데이터 전체 삭제' 요청이 들어오면 며칠 안에 처리할 수 있나요?