클릭 한 번으로 전국 데이터 브로커에게 '내 정보 지워'— 캘리포니아 DROP이 발효됐습니다

개인정보를 지우려면 지금까지는 데이터 브로커 한 곳 한 곳에 따로 요청해야 했습니다. 등록된 업체만 500곳이 넘는데 말이죠. 캘리포니아가 이 구조를 뒤집었습니다. 2026년 8월 1일부터는 주민이 한 번만 요청하면 등록된 데이터 브로커 전체에 삭제 명령이 걸립니다. 미국에서 처음입니다.

미리 밝혀둘 게 있습니다. 이 주제는 지난 30일간 커뮤니티 논의가 거의 잡히지 않았습니다. 규제 발효 첫 주라 아직 체감 사례가 쌓이지 않은 탓 같습니다. 그래서 이 글은 커뮤니티 반응을 옮기는 대신 제도가 어떻게 짜였고 무엇을 흔드는지를 봅니다.

DROP이 뭔가

DROP은 Delete Request and Opt-Out Platform의 약자입니다. 캘리포니아 프라이버시보호국(CPPA)이 운영하는 중앙 집중식 삭제 요청 창구인데요. 근거 법은 2023년 통과된 SB 362, 별칭 델리트 액트(Delete Act)입니다.

굴러가는 방식은 단순합니다. 주민이 DROP 사이트에 등록해 신원을 확인하면 시스템이 삭제 요청 명단을 만듭니다. 캘리포니아에 등록된 모든 데이터 브로커는 45일마다 이 명단을 조회해서, 거기 올라 있는 사람의 개인정보를 지워야 합니다. 소비자가 브로커에게 일일이 연락할 일이 없어진 겁니다.

일정은 두 단계로 나뉩니다. 소비자용 접수 창구는 2026년 1월 1일에 열렸고, 브로커의 조회·삭제 의무는 2026년 8월 1일부터 실제로 발생합니다. 지금이 진짜 출발선인 셈이죠.

기존 CCPA와 뭐가 다른가

CCPA에도 삭제권은 있었습니다. 문제는 실효성이었습니다.

예전에는 소비자가 브로커를 하나씩 찾아내야 했습니다. 애초에 어떤 업체가 내 정보를 갖고 있는지 알 방법이 없는데도요. 요청 양식은 업체마다 제각각이고 신원 확인 절차도 다릅니다. 500곳에 요청하려면 500번을 반복해야 했습니다. 사실상 개인이 감당할 수 없는 비용이었죠.

DROP은 이 비용 구조를 반대로 뒤집습니다. 찾아다니고 반복하는 일을 소비자가 아니라 사업자가 떠맡습니다. 소비자는 한 번 등록하면 끝입니다. 대신 브로커가 정기적으로 명단을 확인할 의무를 집니다. 권리를 새로 만든 게 아니라, 있는 권리를 쓸 때 걸리는 마찰을 줄인 설계입니다.

삭제가 한 번으로 끝나지도 않습니다. 45일 주기로 계속 조회해야 하니 브로커가 나중에 같은 사람의 데이터를 다시 수집해도 다음 주기에 또 지워야 합니다. 한 번 지우는 쪽보다 계속 막아두는 쪽에 가깝습니다.

처벌은 얼마나 아픈가

법에는 금전 제재가 붙어 있습니다. 등록 의무를 어기면 하루당 200달러, 삭제 요청을 처리하지 못하면 위반 1건당 200달러 수준입니다. 여기에 조사 비용과 변호사 비용까지 물 수 있습니다.

숫자만 보면 작아 보입니다. 하지만 데이터 브로커는 수백만 명의 레코드를 다룹니다. 요청자 수만 명이 명단에 올라 있는데 시스템이 조회를 놓쳤다면 곱셈이 시작되고, 금액은 순식간에 불어납니다.

액수보다 눈여겨볼 신호는 따로 있습니다. CPPA는 최근 몇 년간 등록을 누락한 브로커에게 실제로 과징금을 부과해 왔습니다. 서류상 규제가 아니라는 뜻입니다. 다만 초기 집행이 얼마나 촘촘할지는 아직 미지수입니다. 규제 기관의 인력과 예산은 유한하니까요.

감시 광고와 AI 학습 데이터는 흔들릴까

제일 궁금한 대목이죠. 답부터 하면 금은 가는데 무너지지는 않습니다.

타격이 확실한 쪽은 순수 리셀러형 브로커입니다. 공개 기록과 앱 SDK에서 긁어모은 신원 정보를 팔아온 업체들이죠. 캘리포니아 인구는 미국 전체의 약 12%입니다. 재고에서 그만큼이 빠지는데 그것도 한 번이 아니라 계속 빠집니다. 광고주 눈에 캘리포니아 타겟팅의 정확도가 떨어지면 단가 협상력도 같이 약해집니다.

반면 빠져나갈 구멍도 넓습니다. 세 가지가 걸립니다.

첫째, 퍼스트파티 데이터는 대상이 아닙니다. 소비자와 직접 관계를 맺은 기업, 즉 여러분이 가입한 서비스는 데이터 브로커로 치지 않습니다. 대형 플랫폼의 광고 사업은 대부분 여기 속합니다.

둘째, 이미 학습된 모델은 되돌릴 수 없습니다. 삭제 의무가 걸리는 대상은 브로커가 들고 있는 데이터베이스입니다. 그 데이터로 이미 가중치를 학습한 모델에서 특정인의 기여분만 걷어내는 건 기술적으로 어렵습니다. 머신 언러닝 연구가 진행 중이지만 실무 표준은 아닙니다. 미래의 수집은 막지만 과거의 학습은 그대로입니다.

셋째, 관할이 캘리포니아에서 끊깁니다. 캘리포니아 주민이 아닌 데이터는 그대로 유통됩니다. 다른 주와 해외에서는 같은 방식의 영업이 계속됩니다.

그래서 뭘 봐야 하나

당장 의미 있어 보이는 지표는 세 가지입니다.

DROP 등록자 수. 수만 명 수준에 그치면 업계가 감당 가능한 비용으로 처리하고 넘어갑니다. 수백만 명이 되면 사업 모델 자체를 다시 짜야 합니다.

첫 집행 사례의 규모도 봐야 합니다. CPPA가 8월 이후 어느 시점에 어떤 업체를 어떤 액수로 제재하는지가 실질 억지력을 결정합니다.

확산 여부는 더 긴 이야기입니다. 캘리포니아 프라이버시 규제는 그동안 여러 번 다른 주의 템플릿이 됐습니다. DROP 방식을 베끼는 주가 나오기 시작하면 그때는 판이 달라집니다.

한국에서도 남 이야기는 아닙니다. 우리 개인정보보호법에도 삭제 요구권은 있지만, 행사 창구는 여전히 사업자별로 흩어져 있습니다. DROP을 보면 질문이 바뀝니다. 권리가 있느냐가 아니라 그 권리를 쓰는 데 클릭 몇 번이 드느냐입니다. 여러분이 지금 이용 중인 서비스에서 내 정보를 전부 지우려면, 몇 번을 눌러야 할까요.