미국 버지니아주가 SB 338 개정안을 통해 정확 지오로케이션 데이터(precise geolocation data)의 판매를 전면 금지했습니다. 본 글은 2026년 7월 1일 시행된 이번 개정의 조항 요지, 집행 구조, 그리고 미국 사용자를 대상으로 서비스하는 한국 개발자가 우선 점검해야 할 항목을 정리합니다.
기준 시점은 2026년 7월 3일이며, 근거는 Virginia Consumer Data Protection Act(VCDPA) 개정안 SB 338 관련 법률 로펌 브리핑과 Consumer Reports 발표 자료입니다. 미국 프라이버시 규제 흐름은 주(state) 단위로 파편화되어 있어 회사가 서비스하는 주별로 적용 여부를 개별 판단해야 합니다.
1. 무엇이 달라졌나 (What)
Hunton Andrews Kurth 브리핑에 따르면 SB 338은 VCDPA의 민감 정보(sensitive data) 처리 조항을 개정하여, 종전에는 소비자의 옵트인(informed consent) 하에 처리 가능하던 정확 지오로케이션 데이터를 “판매(sale)” 자체를 금지하는 구조로 전환했습니다. 즉 동의 여부와 무관하게 정확 위치 정보의 대가성 이전이 봉쇄됩니다.
- 이전 구조: 옵트인 동의 시 판매 허용 (sensitive data 카테고리)
- SB 338 이후: 정확 지오로케이션 데이터 판매 자체 금지
- 수집 및 자체 이용은 여전히 opt-in 등 기존 규칙 적용
버지니아는 Maryland, Oregon에 이어 정확 지오로케이션 데이터 판매를 금지한 세 번째 주가 된 것으로 The Record 보도가 정리합니다. Consumer Reports 발표에 따르면 법안은 주 의회에서 초당적 만장일치로 통과되었습니다.
2. 법 조문 핵심 — “정확 지오로케이션”의 정의
VCDPA는 “precise geolocation data”를 기술적으로 개인의 특정 위치를 반경 1,750피트(약 533m) 이내로 식별할 수 있는 데이터로 정의합니다. 스마트폰의 GPS 좌표, Wi-Fi 삼각측량 결과, 특정 실내측위 신호가 여기에 해당합니다.
Proskauer 법무법인 브리핑에 따르면 반경 1,750피트를 넘어서는 광역 위치 정보, 예를 들어 IP 주소로 추정한 시(city) 단위 위치나 통신사 셀 단위 광역 위치는 이번 판매 금지 범위 바깥에 있습니다. 다만 이 광역 데이터도 여러 신호와 결합되어 실질적으로 1,750피트 내로 재구성 가능하다면 규제 대상이 될 여지가 있어, 컴플라이언스 팀은 조합 재식별 가능성을 함께 검토해야 합니다.
“판매(sale)”의 정의는 National Law Review 정리 기준 “금전 또는 기타 가치 있는 대가(monetary or other valuable consideration)를 위한 개인정보의 교환”으로 넓게 잡혀 있습니다. 광고 네트워크에 SDK 형태로 데이터를 넘기고 대가로 광고 수익을 정산받는 구조도 판매 정의에 포함될 수 있으므로 계약 조항 재검토가 필요합니다.
3. 시행일과 적용 범위
Consumer Reports 보도자료 기준 SB 338은 2026년 4월 13일 Abigail Spanberger 주지사가 서명했고, 2026년 7월 1일부터 시행되었습니다. 본 글 게재 시점(2026년 7월 3일)에 이미 발효된 상태입니다.
적용 대상은 기존 VCDPA 적용 기준을 따릅니다. Virginia Attorney General 요약 자료에 따르면 다음 중 하나를 충족하는 사업자가 VCDPA 적용 대상 “controller”에 해당합니다.
- 버지니아 주민의 개인정보를 연간 10만 명 이상 처리
- 버지니아 주민의 개인정보를 연간 2만 5천 명 이상 처리하면서, 매출의 50% 이상(공식 조항 기준)을 개인정보 판매에서 얻는 사업자
한국에 본사를 둔 앱이라도 위 기준을 충족하는 미국 사용자 규모라면 VCDPA 적용 대상입니다. B2B SaaS는 대체로 적용 대상 밖이지만, 미국 소비자 대상 B2C 앱이나 광고 SDK 사업자는 정면으로 해당될 가능성이 높습니다.
4. 위반 시 제재와 집행 구조
Virginia Attorney General 안내에 따르면 VCDPA 집행 권한은 주 법무장관(Attorney General)에게 전속됩니다. 소비자 개인이 직접 소송을 제기할 수 있는 사적 청구권(private right of action)은 없습니다.
집행 절차는 다음과 같이 요약됩니다.
- 주 법무장관이 위반 의심 사업자에게 30일 서면 통지
- 30일 시정 기간 내 위반을 치유하고 재발 방지 서면 진술 시 제소 없음
- 치유 실패 또는 서면 진술 위반 시 위반 건당 최대 $7,500 민사 제재금 및 금지명령
Bloomberg Law 요약에 따르면 위반 “건(each violation)”은 개별 소비자 데이터 처리 사건 단위로 산정되기 때문에, SDK를 통해 수십만 건의 정확 위치 데이터가 판매된 경우 제재금 상한이 명목적으로는 매우 커질 수 있는 구조입니다. 실제 제재 사례는 향후 축적을 지켜봐야 합니다.
5. 한국 앱·SDK 개발자 대응 체크리스트
미국 사용자 대상 서비스 여부와 무관하게, VCDPA 적용 대상이 될 가능성이 있는 조직이라면 다음 항목을 우선 점검하도록 합니다.
5-1. 데이터 계약 재검토
광고 SDK, 데이터 브로커, 애널리틱스 벤더와의 계약에서 정확 위치 데이터가 “monetary or other valuable consideration”에 해당하는 대가로 이전되고 있는지 확인해야 합니다. 무상 제공이라도 광고 수익 정산 등 간접 대가가 있으면 판매로 재분류될 수 있습니다.
5-2. 위치 정확도 다운스케일링
정확 지오로케이션 대신 반경 1,750피트를 명확히 벗어나는 광역 위치(우편번호 3자리, 시 단위)로 다운스케일링하는 파이프라인을 준비합니다. 서비스 UX가 광역 위치로도 성립하는지 검증이 선행되어야 합니다.
5-3. 주별 컴플라이언스 매트릭스
Maryland, Oregon, Virginia 3개 주가 이미 판매 금지에 진입했고, ComplianceHub 정리 자료에 따르면 California, Maine, Massachusetts, New Mexico, Vermont, Washington 등이 유사 입법을 검토 중입니다. 사용자 위치가 어느 주에 속하는지에 따라 데이터 처리 정책을 분기하는 매트릭스 유지가 필요합니다.
6. 판단 가이드 — 우리 서비스는 영향권인가
다음 조건을 하나라도 만족하면 SB 338 대응 프로젝트를 별도 트랙으로 시작할 것을 권장합니다.
- 버지니아 주민이 사용하는 모바일 앱에서 GPS·Wi-Fi 기반 정확 위치를 수집한다
- 수집한 위치 정보를 광고 네트워크, 애널리틱스 벤더, 데이터 브로커에게 전달한다
- 해당 전달의 대가로 광고 수익, 서비스 크레딧, 데이터 세트 접근권 등 유무형 이익을 받고 있다
- VCDPA 적용 임계치(공식 조항 기준, 연간 10만 명 또는 2만 5천 명+50% 매출)를 충족한다
반대로 서버측에서만 IP 기반 광역 위치를 추정하고 외부 판매 관계가 없는 SaaS라면 이번 개정의 직접 대상이 아닐 가능성이 높습니다. 다만 향후 주 단위 확산 흐름을 고려해 데이터 흐름 문서화 자체는 미리 정비해 두는 편이 실무적으로 안전합니다.
관련 글
이번 개정과 함께 살펴볼 만한 최근 정리 글은 다음과 같습니다. 데이터 파이프라인 관점에서 로그·계측 설계를 함께 점검할 수 있는 자료입니다.
- 파이프라인 로깅 설계와 관측 가능성 재정의를 다룬 옵저버빌리티 2.0: 모든 것은 로그다 — 세 기둥 모델이 깨지는 이유 — 위치 데이터 흐름 추적에 참고할 수 있습니다.
- 미국 반도체·규제 흐름과 연결해 살펴볼 만한 OpenAI 첫 자체 칩 Jalapeño 공개 — Broadcom 9개월 ASIC의 의미도 함께 참고 가능합니다.
📌 함께 보시면 좋은 글
※ 본 글은 AI(Claude)의 초안을 기반으로 편집자 검수를 거쳐 발행되었습니다. (한국 AI기본법 대응 고지)
이직·퇴사, 지금 움직여도 될지 헷갈리시나요?
막연히 불안한 건지, 정말 시점이 온 건지 판단이 어려울 때가 있습니다.
5분 체크리스트로 지금 상태를 먼저 정리해보세요.
결론을 대신 내리기보다, 스스로 판단할 기준을 잡는 데 도움을 드립니다.
아직 확신이 없다면, 지금이 ‘고민 단계’인지부터 먼저 점검해보세요