미국 B2B 아웃바운드 영업을 위한 코네티컷과 캘리포니아 프라이버시 법률 규제 완벽 대비 가이드

미국 시장의 기업 계정을 타깃으로 삼는 B2B 성장 팀에게 데이터 수집 전략은 각 주마다 다르게 발전하는 프라이버시 법률과 직접적으로 충돌하고 있습니다. 비즈니스 연락처와 개인 소비자를 나누는 법적 기준은 더 이상 주 경계를 넘어 동일하게 적용되지 않습니다. 코네티컷주는 상업적 목적의 커뮤니케이션에 대해 명시적인 예외를 인정하는 반면, 캘리포니아주는 데이터 브로커, 인리치먼트(Enrichment) 공급업체 및 제3자 파트너로부터 획득한 데이터까지 소비자의 데이터 삭제 요구 권리를 확대했습니다.

아웃바운드 타깃 목록을 안전하게 관리하려면 각 주 규제 프레임워크가 개인정보를 정의하는 방식, 삭제 의무가 강화된 잠재 고객 데이터에 미치는 영향, 그리고 컴플라이언스 마찰을 방지하는 실무적 운영 통제 방식을 깊이 이해해야 합니다.

핵심적인 차이: 비즈니스 직무 대 보편적 소비자 지위

코네티컷주 데이터 프라이버시법(CTPA)과 캘리포니아 소비자 프라이버시법(CCPA) 간의 가장 결정적인 운영상 차이는 업무 환경에서 연락을 취하는 개인을 각 법률이 어떻게 분류하는가에 있습니다.

코네티컷주는 2022년 공법(Public Act) 22-15를 통해 프라이버시 체계를 마련하면서 상업적 활동의 범위를 명확히 구분했습니다. 코네티컷 법률상 '소비자'라는 용어는 상업적 또는 고용 환경에서 행동하는 개인, 또는 기업, 파트너십, 개인사업자, 비영리단체, 정부 기관의 직원, 소유자, 이사, 임원, 계약자로서 데이터 컨트롤러와의 커뮤니케이션이나 거래가 전적으로 해당 조직 내 직무 범위에서만 발생하는 경우를 명시적으로 제외합니다. 2026년 7월 1일부터 주요 조항이 시행되도록 해당 법률을 개정한 코네티컷 공법 25-113에 따라, 법률의 일반 적용 기준은 기존 십만 명에서 35,000명의 소비자로 낮아져 적용 범위가 확대되었습니다. 그러나 순수하게 업무상 직무 권한 내에서 행동하는 개인에 대한 근본적인 제외 조항은 그대로 유지됩니다.

반면 캘리포니아주는 전혀 다른 접근 방식을 취합니다. CCPA는 B2B 커뮤니케이션에 대해 영구적이고 포괄적인 면제를 제공하지 않으며, 캘리포니아 주민을 광범위하게 소비자로 보호합니다. 법정 매출이나 보유 데이터 기준을 충족하는 기업이 캘리포니아 소재 기업의 담당자 정보를 처리할 때, 해당 담당자는 주법에 따라 소비자로서의 권리를 그대로 유지합니다.

수익 운영(RevOps) 팀의 관점에서 이러한 구조적 차이는 실무적인 차이로 직결됩니다. 코네티컷주 하트퍼드에 있는 영업 총괄을 대상으로 하는 아웃바운드는 커뮤니케이션 내용이 담당자의 기업 역할에만 한정되는 한 CTPA의 일반 소비자 데이터 권리를 발동시키지 않습니다. 반면 샌프란시스코에 위치한 동일한 직무의 임원에게 접근할 때는 필수적인 옵트아웃 추적과 소비자 데이터 삭제 요청 처리 등 캘리포니아의 엄격한 프라이버시 보호 장치를 준수해야 합니다.

캘리포니아 SB 923: 제3자 데이터로 확장된 삭제권

2026년 9월 27일, 개빈 뉴섬 캘리포니아 주지사는 개인정보 권리 확대법(Expanding Privacy Rights Act)으로 알려진 상원 법안 923(SB 923)에 서명했습니다. 이 법안은 캘리포니아 민법 제1798.105조 및 제1798.130조를 개정하며 시행일은 2027년 1월 1일입니다.

기존 CCPA 제1798.105조에 따르면 적용 대상 기업은 주로 소비자로부터 직접 수집한 개인정보에 대해서만 삭제 요청을 처리할 의무가 있었습니다. 이에 따라 아웃바운드 팀은 외부 데이터베이스를 구매하거나 데이터 애그리게이터를 통해 업무용 이메일을 검증하고 CRM 레코드에 제3자 휴대전화 번호를 추가하면서, 이러한 제3자 제공 필드가 소비자 삭제 요청 범위에 포함되지 않는다고 간주해 왔습니다.

Nixon Peabody의 법률 분석에 따르면, SB 923은 소비자에 대하여 또는 소비자로부터 수집된 정보까지 삭제 의무를 확대함으로써 이러한 구분을 없앴습니다. 이 기준에 따라 유효한 삭제 요청을 받은 대상 기업은 직접 입력된 양식 제출 내역이나 계정 기록뿐만 아니라, 브로커로부터 구매했거나 파이프라인 보강 과정에서 추가된 데이터, 데이터 매칭을 통해 추론된 정보까지 모두 영구 삭제해야 합니다.

TrustArc의 컴플라이언스 분석은 이러한 변화로 인해 영업 및 마케팅 팀이 하류 데이터 흐름을 정밀하게 매핑해야 한다고 강조합니다. 잠재 고객이 삭제 권리를 행사할 경우, 활성 마케팅 시퀀스에서 해당 연락처만 지우고 백업 스토리지에 제3자 보강 데이터를 남겨두는 방식은 더 이상 허용되지 않습니다. 상류의 데이터 저장소와 부가된 모든 속성 정보가 연계된 전체 시스템에서 일괄적으로 정리되어야 합니다.

운영상 안전장치: 제외 목록(Suppression) 아키텍처 및 웹 양식 의무화

지속적인 아웃바운드 영업의 현실적 특성을 반영하여 SB 923에는 구체적인 법적 보호 장치가 포함되었습니다. CalPrivacy의 공식 발표에 명시된 바와 같이, 기업은 삭제 요청 기록과 함께 정보가 다시 유입되어 사용되지 않도록 방지하는 제외 목록(Suppression List) 유지에 필요한 최소한의 데이터를 보관할 수 있습니다.

이러한 안전장치가 없다면 기업이 정당하게 데이터를 삭제한 후, 얼마 지나지 않아 새로운 외부 벤더 데이터베이스를 가져오는 과정에서 삭제된 잠재 고객이 실수로 아웃바운드 시퀀스에 다시 유입될 수 있습니다. 최소한의 단방향 해시나 식별 레코드를 제외 목록으로 유지하면 외부 데이터세트를 새롭게 가져오더라도 삭제된 담당자에게 다시 연락하는 오류를 차단할 수 있습니다.

이와 함께 SB 923은 기업이 소비자 요청을 접수하는 방식도 변경합니다. 2027년 1월 1일부터 온라인으로만 운영되며 소비자와 직접적인 관계를 맺고 있는 대상 기업은 전용 이메일 주소 하나에만 의존할 수 없습니다. 이들 기업은 열람, 정정 및 삭제 요청을 원활하게 처리하기 위해 이메일 주소뿐만 아니라 인터랙티브 웹 양식이나 온라인 포털과 같은 디지털 창구를 반드시 함께 제공해야 합니다.

아웃바운드 영업 관점에서 본 주별 프레임워크 비교

이 두 규제 방식의 실무적 차이는 영업 운영 팀이 리드 목록을 구성하고 미국 전역에서 파이프라인을 발굴하는 방식에 직접적인 영향을 미칩니다.

위 비교에서 볼 수 있듯이, 미국 전역에 단일한 아웃바운드 절차를 무차별 적용하는 것은 상당한 잠재적 위험을 초래합니다. 코네티컷주의 경우 커뮤니케이션 내용이 순수하게 비즈니스 관련 사안이라면 기업 연락처 데이터를 원활하게 활용할 수 있습니다. 반면 캘리포니아주의 경우 제3자로부터 획득한 모든 비즈니스 연락처가 잠재적인 삭제 요청 및 공식 접수 채널 운영 의무의 대상이 됩니다.

규정을 준수하는 B2B 인텔리전스 구축 전략

각 주마다 상이한 규제 요건을 극복하기 위해서는 무분별한 대량 데이터 구매 방식에서 벗어나 철저한 계정 조사 중심으로 전환해야 합니다. 출처가 불분명한 대량 데이터베이스에 의존할 경우, 데이터 정제 비용 증가, 복잡한 제외 목록 관리 부담, 도메인 전달률을 떨어뜨리는 높은 반송률 등의 위험을 고스란히 떠안게 됩니다.

미국 시장을 타깃으로 하는 아웃바운드 팀은 다음과 같은 핵심 운영 계층을 확립해야 합니다:

1. 관할 구역별 세분화 관리: 엄격한 소비자 정의를 적용하는 주와 명시적인 상업적 예외를 두는 주의 연락처를 분리해 관리하십시오. 미국 내 모든 리드에 대해 가장 엄격한 캘리포니아 수준의 삭제 관리 체계를 일관되게 적용하면 업무 분절 없이 법적 방어력을 확보할 수 있습니다.
2. 견고한 제외 목록(Suppression) 거버넌스 구축: SB 923에 따라 삭제를 요청한 연락처가 향후 새로운 데이터베이스를 가져올 때 실수로 다시 등록되지 않도록, 비가역적 해싱이나 최소 식별자 테이블을 구성해 완벽히 차단하십시오.
3. 대량 스크래핑 대신 의도 기반(Intent-Driven) 영업 채택: 아웃바운드 성공률은 이제 발송 수량이 아니라 메시지의 맥락과 시의적절한 기업 계기에 의해 좌우됩니다. 검증되지 않은 데이터를 대량으로 쌓는 대신, 구체적인 기업 인사이트와 적절한 타이밍을 포착해 대화를 시작해야 합니다.

기술적 발송 기준과 규정을 준수하는 아웃바운드 권장 사항을 자세히 알아보려면, 도메인 평판 관리를 다룬 Google 대량 발신자 규칙: 개인 Gmail 대 Workspace 가이드를 확인하거나, 플랫폼 이용약관이 제3자 데이터 추출에 미치는 영향을 분석한 LinkedIn ProAPIs 판결이 B2B 영업에 미치는 의미 문서를 참고하시기 바랍니다. 체계적인 파이프라인 구축을 위한 추가 플레이북은 영업 관련 지식 가이드 모음에서 확인할 수 있습니다.

현대적인 아웃바운드 실행은 타깃 접점에서의 정확성을 필수적으로 요구합니다. Ember Lead Intelligence와 같은 플랫폼은 무차별적인 자동 메시지 발송 대신, 적절한 타이밍과 최적의 비즈니스 논리를 바탕으로 누구에게 어떤 각도로 접근해야 하는지 파악하고 검증된 비즈니스 연락처를 온디맨드로 조회할 수 있도록 돕습니다. 맥락에 맞는 정확한 타깃팅과 철저한 제외 목록 관리를 결합할 때, 성장 조직은 변화하는 주별 프레임워크 속에서도 지속 가능하고 안전하게 파이프라인을 확장할 수 있습니다.