캘리포니아가 웹 추적 소송 한 갈래를 막았다 — 그러나 픽셀·세션 리플레이 소송은 남아, 태그 목록 점검은 끝나지 않았다

📖 약 4분 읽기

캘리포니아에서 웹사이트 방문자 추적을 겨냥한 소송 약 4,000건을 낳은 법 조항이 민간 소송의 근거에서 빠졌다. 그런데도 태그 목록을 다시 점검해야 하는 이유는 오히려 분명해졌다. 소송 한 갈래가 닫힌 자리에, 여전히 열려 있는 다른 갈래가 남아 있기 때문이다.

법 개정의 배경과 적용 범위

캘리포니아 주지사 개빈 뉴섬(Gavin Newsom)이 2026년 9월 30일 SB 690에 서명했다고 법무법인들과 PPC Land가 전했다. 상원은 2025년 6월 3일 35대 0으로, 하원은 2026년 8월 28일 66대 0으로 이 법안을 통과시켰다고 보도되었다. 이 법은 캘리포니아 형법 637.2조를 고쳐, 웹사이트·온라인 애플리케이션·모바일 애플리케이션에서 일어난 638.51조 위반에 대한 민간 소송권을 없앤다. 638.51조는 펜 레지스터와 트랩 앤 트레이스를 규정한 조항으로, 앞으로 이 유형의 위반은 주 검찰총장만 제기할 수 있다.

여기서 CIPA는 캘리포니아 프라이버시 침해 방지법(California Invasion of Privacy Act)을 가리킨다. 펜 레지스터와 트랩 앤 트레이스는 통신 내용이 아니라 누가 어디로 연결했는지를 기록하는 장치를 뜻하는 도청법상 용어다. 원고 측은 웹사이트에 심어진 추적 코드가 방문자의 IP 주소 같은 연결 정보를 제3자로 전송한다는 점을 이 장치에 빗대어 소송을 제기해 왔다. PPC Land는 2025년 2월 이후 이런 소송이 약 4,000건에 이르렀다고 보도했으며, 계류 중인 소송에는 2년 소급 조항이 적용된다고 전했다. 또한 법안 초기 안에 있던 상업적 사업 목적 예외는 최종본에서 빠졌다고 PPC Land는 덧붙였다.

남아있는 소송 위험

법무법인들의 해설은 공통된 지점을 가리킨다. 이번 개정이 막은 것은 638.51조를 근거로 한 민간 소송 한 갈래뿐이라는 점이다. 631조·632조 같은 도청 계열 조항, 컴퓨터 데이터 접근·사기 방지법, 사생활 침해에 관한 관습법상 청구는 그대로 남는다. 픽셀은 방문 정보를 광고·분석 서비스로 전달하는 추적 코드를, 세션 리플레이는 방문자의 화면 조작을 되돌려 보는 분석 도구를 가리키는데, 이 두 가지와 채팅 도구가 이런 청구의 대상으로 계속 거론된다.

다만 남아 있는 청구는 통신 내용 자체와 제3자의 접근을 입증해야 한다는 점에서, 펜 레지스터 조항을 근거로 한 소송보다 원고의 입증 부담이 크다고 법무법인들은 설명한다. 즉 소송 제기의 문턱 하나가 높아졌을 뿐, 태그가 어떤 정보를 어디로 보내는지에 대한 책임 자체가 사라진 것은 아니다. 추적 코드의 적법성을 다투는 틀이 바뀌었을 뿐, 태그의 동작 방식을 점검해야 할 이유는 그대로 남은 셈이다.

국내 기업이 점검할 사항

이 법이 한국 기업에 직접 적용되는지는 확인되지 않았다. 따라서 이번 소식은 캘리포니아 이용자가 방문하는 해외 직판 사이트, 영문 사이트, 모바일 애플리케이션을 운영하는 기업에 한정해 참고할 사안이다. 그런 기업이라면 세 가지를 점검할 만하다.

첫째, 사이트와 앱에 심어 둔 태그를 전부 정리한 태그 목록이 있는지 확인한다. 어떤 태그가 언제부터 심어져 있는지, 누가 추가했는지 기록이 없는 경우가 많기 때문에 이 작업만으로도 전체 추적 구조가 드러난다. 둘째, 동의 모드와 동의 배너의 기본값이 실제로 태그 발사를 막는지 측정한다. 동의 모드는 사용자의 동의 상태에 따라 태그 동작을 제한하는 설정을 뜻하는데, 배너는 떠 있어도 태그는 그대로 작동하는 경우가 적지 않다. 셋째, 세션 리플레이와 채팅, 광고 픽셀이 어느 제3자에게 어떤 정보를 보내는지 도착지 단위로 적어 둔다. 이 세 가지를 문서로 정리해 두면, 추적 관련 분쟁이 생겼을 때 자사의 데이터 흐름을 설명할 근거가 된다.

펜 레지스터 조항이 소송에 쓰인 방식(용어 보충)

펜 레지스터는 원래 수사기관이 전화 통화의 발신 번호를 기록하던 장치를 가리키는 말이다. 소송 원고들은 웹사이트에 심은 추적 코드가 방문자의 IP 주소와 같은 연결 정보를 제3자에게 보낸다는 점을 이 장치에 빗댔다. 이번 법은 이 해석으로 제기하는 민간 소송만 막는 것이며, 추적 기술 자체를 허용하거나 면책하는 법은 아니다.

확인되지 않은 사항

법의 시행일은 보도마다 다르다. PPC Land는 2027년 1월 1일로 전했고, 다른 법무법인은 서명 즉시 효력이 발생한다고 전했다. 법안 원문과 주지사 공식 발표는 이번 조사 과정에서 직접 확인하지 못했다. 소송 약 4,000건이라는 수치 역시 PPC Land의 보도에 근거한 것이며, 독자적으로 검증된 수치는 아니다. 따라서 정확한 적용 시점과 계류 중인 소송의 처리 방식은 법무 자문을 통해 별도로 확인해야 한다.

태그맨은 웹사이트에 심어진 태그 목록을 정리하고 동의 설정의 기본값을 점검하는 작업을 지원한다.

자주 묻는 질문 (FAQ)

SB 690은 한국 기업에도 적용되는가

한국 기업에 직접 적용되는지는 확인되지 않았다. 캘리포니아 이용자가 방문하는 해외 직판 사이트나 영문 서비스, 앱을 운영하는 기업이라면 참고할 필요가 있는 사안이다.

민간 소송이 사라졌으니 추적 관련 소송 위험이 전부 없어진 것인가

아니다. 631조 등 도청 계열 청구, 컴퓨터 데이터 접근·사기 방지법, 사생활 침해 관습법 청구는 남아 있어 픽셀·세션 리플레이·채팅 도구는 여전히 소송 대상으로 거론된다.

법의 시행일은 언제인가

보도마다 다르다. PPC Land는 2027년 1월 1일로, 다른 법무법인은 서명 즉시 효력으로 전했다. 법안 원문은 직접 확인하지 못해 정확한 시점은 법무 자문으로 확인해야 한다.

출처 :

• Morgan Lewis, 「California Eliminates Private Right of Action Under CIPA’s ‘Pen Register’ and ‘Trap and Trace’ Provision」 (2026-10) — https://www.morganlewis.com/pubs/2026/10/california-eliminates-private-right-of-action-under-cipas-pen-register-and-trap-and-trace-provision
• Procopio, 「California Governor Signs SB 690, Curtailing CIPA Pen-Register Litigation」 — https://www.procopio.com/resource/california-governor-signs-sb-690-curtailing-cipa-pen-register-litigation
• PPC Land, 「Newsom bans one kind of private web tracking lawsuit as claims near 4,000」 (2026-10-01) — https://ppc.land/newsom-bans-one-kind-of-private-web-tracking-lawsuit-as-claims-near-4-000/
• PPC Land, 「California lawmakers pass SB 690, cutting CIPA tracking lawsuits」 — https://ppc.land/california-lawmakers-pass-sb-690-cutting-cipa-tracking-lawsuits/