Virginia bans sale of geolocation data
Hacker News · 2026-07-02 · 개인정보·위치데이터 규제
2026년 4월 13일 버지니아 주지사 Abigail Spanberger가 서명한 S.B. 388은 버지니아 소비자 데이터 보호법(VCDPA)을 개정해 위치정보(geolocation) 데이터의 ‘판매’를 금지했습니다. 법은 ‘판매’를 기존 일부 주보다 좁게 규정해 ‘컨트롤러가 제3자에게 개인 데이터를 금전적 대가로 교환하는 행위’로 정의하고 있으며, 해당 금지 조항은 2026년 7월 1일부터 발효됩니다. 이번 조치는 메릴랜드·오리건의 조치에 동참하는 것으로, 해당 두 주는 ‘판매’ 개념을 금전적 또는 그 외 가치있는 대가로 더 넓게 규정했습니다. 입법 배경에는 위치정보 산업에 대한 규제당국의 관심이 깔려 있습니다. 기사 근거는 캘리포니아 법무장관의 2025년 3월 위치정보 산업 조사와 2024년 연방거래위원회(FTC)의 데이터 브로커에 대한 위치정보 판매 금지 합의 등을 언급해 최근의 감독·집행 추세와 연계된 움직임임을 보여줍니다. 기술적·실무적 의미는 분명합니다. VCDPA의 ‘판매’ 정의가 금전 교환과 ‘컨트롤러’ 주체에 한정되어 있어 보상 형태나 데이터 흐름의 주체에 따라 법 적용 범위가 달라질 수 있으므로, 위치정보를 수집·유통하거나 제3자와 공유하는 기업들은 데이터 흐름, 계약관계, 대가 지급 방식 등을 재검토할 필요가 있습니다. 또한 캘리포니아·매사추세츠·버몬트·워싱턴 등 유사 법안 제출 움직임과 맞물려 여러 주에서의 규제 불확실성이 확대될 가능성도 염두에 둬야 합니다.