TL;DR

  • SB 690은 웹사이트·앱에서 발생한 펜 레지스터 및 트랩앤트레이스 청구의 사적 소송을 제한하지만, CIPA 제631조 도청 청구는 그대로 남겨두는 법률임.
  • Gavin Newsom 주지사는 2026년 9월 30일 법안에 서명했으며, 법률은 2027년 1월 1일 발효됨.
  • 발효일부터 해당 웹사이트·앱 행위에 관한 제638.51조 청구는 캘리포니아 법무장관만 제기할 수 있음; 발효일 현재 계류 중인 일부 청구에도 적용됨.
  • 제631조는 수정되지 않아, 방문자가 입력하거나 클릭한 내용을 가로챘다는 이론으로 개인 원고가 직접 소송을 제기할 권리와 법정 손해배상이 유지됨.
  • CCPA 의무는 SB 690의 영향을 받지 않으며, 동의 인터페이스와 상호작용하기 전에 발생하는 제3자 요청 및 접속 도메인을 계속 점검해야 함.

2026년 9월 30일 기준 현황

  • Newsom 주지사는 2026년 9월 30일 SB 690에 서명했으며, 법률은 2027년 1월 1일 발효됨. 주지사의 서명 시한 마지막 날에 서명한 것임.
  • 법안은 2026년 8월 28일 캘리포니아주 의회 양원을 반대 표결 없이 통과했고, 9월 4일 주지사에게 전달됨. 긴급 조항이 없어 발효일은 2027년 1월 1일임.
  • 법안은 형법 제637.2조만 개정함. 도청 조항인 제631조는 개정하지 않으며, 같은 웹사이트 추적기를 두고 제631조에 따라 개인이 소송을 제기할 수 있음.
  • 이 법을 CIPA 웹사이트 추적 소송의 종식으로 소개한 보도가 많지만, 실제로는 원고가 웹사이트 추적기에 제기해온 두 가지 법적 이론 중 하나만 제한하고 나머지는 그대로 둠.

법률이 바꾸는 내용

  • 웹사이트 추적과 관련된 CIPA에는 두 조항이 있으며, SB 690은 그중 하나만 다룸.
  • 제631조는 통신 내용의 가로채기를 다루는 도청 조항임. 이에 근거한 청구는 추적기가 방문자가 입력·클릭·제출한 내용을 포착했다고 주장함.
  • 제638.51조는 펜 레지스터 및 트랩앤트레이스 조항임. 내용이 아니라 라우팅·주소 정보를 기록하는 장치나 절차를 다루며, 광고 픽셀이 방문자의 트래픽이 향한 곳을 기록한다고 주장할 때 근거가 되는 조항임.
  • SB 690은 피해 당사자에게 위반 1건당 5,000달러 또는 실제 손해액의 3배 중 큰 금액을 청구할 사적 권리를 부여하는 제637.2조에 새 항을 추가함.
  • 새 조항에 따르면 인터넷 웹사이트, 온라인 애플리케이션 또는 모바일 애플리케이션에서의 행위로 발생했다고 주장하는 제638.51조 위반에 관해 민간 행위자를 상대로 하는 소송은 캘리포니아 법무장관만 제기할 수 있음. 소비자는 해당 행위에 관해 그 조항으로 기업을 직접 소송할 수 없게 됨.
  • 법률은 과거에 제기된 청구에도 적용됨. 시행일 전 2년 이내에 시작된 소송에서 아직 계류 중인 청구가 대상이므로, 해당 기간에 제기돼 2027년 1월 1일에도 계속 중인 제638.51조 웹사이트 청구도 포함됨. 이 내용은 법안 최종 문안에 명시됨.

중요한 구분

  • 이 법률의 나머지 효과는 두 조항의 구분에서 비롯됨.
  • 웹사이트·앱 행위에 관한 제638.51조 펜 레지스터 및 트랩앤트레이스 청구: 2027년 1월 1일부터 법무장관만 제기 가능함. 기업은 제638.51조에 따른 주 정부 집행의 대상이 계속되며, 사라지는 것은 사적 소송과 이를 위협하는 요구서임.
  • 제631조 도청 청구: 변경되지 않음. 개인 원고는 현재와 동일하게 제631조에 따라 직접 소송할 수 있고, 제637.2조의 법정 손해배상인 위반 1건당 5,000달러 또는 실제 손해액의 3배 중 큰 금액도 계속 적용됨.
  • 소송 건수가 사라지기보다 다른 법적 이론으로 이동할 가능성이 있음. 펜 레지스터로 주장했을 픽셀을 제631조에 따라 통신 내용의 가로채기로 주장할 수 있음.
  • 제631조 이론은 주소 정보가 아니라 통신 내용을 요구하므로 원고에게 더 많은 입증을 요구함. 세션 리플레이 스크립트와 채팅 위젯은 이 이론에 가장 자연스럽게 부합하는 사례임.

달라지지 않은 사실 하나

  • 제631조에 따른 도청 책임 노출은 SB 690 전후로 동일함. 이 법률은 제631조를 전혀 개정하지 않음.

주지사가 다음으로 요청한 사항

  • 서명 메시지는 짧음. 웹사이트와 앱에서 발생한 펜 레지스터 및 트랩앤트레이스 청구의 사적 소송권을 없애는 법안이라고 설명하고, 일반적인 추적 소프트웨어를 설치한 소기업을 겨냥한 소송과 요구서를 대상으로 제시함.
  • 메시지는 CIPA의 다른 오래된 조항도 같은 유형의 소송에 열려 있다며 “이 분야에서 추가 작업이 필요하다”고 밝히고, 의회가 내년에 이를 다루도록 요청함.
  • 이는 요청이지 법률이 아님. 현재 제631조를 바꾸지 않으며, 다음 회기에 법안이 통과될지 또는 어떤 내용을 담을지도 보장하지 않음. 다만 제631조 쟁점이 2027년 새크라멘토에서 다시 제기될 가능성을 시사함.

지금 다시 점검할 사항

  • SB 690은 CIPA와 별도 법률인 CCPA에는 영향을 주지 않음. CCPA 제1798.120조는 소비자가 기업에 개인정보의 판매 또는 공유를 중단하도록 지시할 권리를 부여하고, 제7025조는 옵트아웃 선호 신호를 자동으로 전달하는 수단을 규정함.
  • CCPA상 픽셀 및 펜 레지스터 방식의 보고를 판매 또는 공유로 취급하고 제7025조에 따른 신호를 받으면 이를 억제하는 기업에는, 방문자의 선택이 등록되기 전에 해당 요청이 발생하지 않도록 해야 할 별도의 이유가 있음. SB 690은 그 의무를 변경하지 않음.
  • 계속 측정할 사항은 방문자가 동의 인터페이스와 상호작용하기 전에 사이트가 보내는 제3자 요청과 각 요청이 접속하는 도메인임. 제631조 이론에 자연스럽게 들어맞는 세션 리플레이 도구와 채팅 도구를 특히 점검할 필요가 있음.
  • 사이트의 실시간 네트워크 트래픽을 스캔하면 첫 상호작용 전에 실행된 추적기, 각 추적기가 접속한 도메인, 첫 상호작용과 요청 발생 시점의 관계를 확인할 수 있음. 이 측정의 의미는 SB 690 전후로 달라지지 않음.