캘리포니아 삭제법 시행에 따른 B2B 데이터 브로커 규제와 영업 리스크 대응 전략

B2B 영업 및 마케팅 팀은 기업 관련 데이터가 규제의 사각지대나 안전지대에 머물러 있다고 여기는 경우가 많습니다. 지난 수년간 수익 책임자들은 회사 전화번호, 업무용 이메일 주소, 직책 정보를 일반 소비자 개인정보와는 본질적으로 다른 영역으로 취급해 왔습니다.

하지만 이러한 실무적 전제는 이제 더 이상 유효하지 않습니다.

2026년 9월 1일, 캘리포니아 개인정보보호국(CalPrivacy)은 SalesIntel 제재에 관한 CalPrivacy 발표를 통해 버지니아에 본사를 둔 데이터 벤더 SalesIntel Research, Inc.에 대한 법적 제재 조치를 공개했습니다. 보호국은 SalesIntel이 캘리포니아 삭제법(Delete Act)에 따른 2025년 등록 마감일을 준수하지 않았다는 이유로 36,400달러의 과징금을 부과했습니다.

이번 과징금은 기업 담당자 연락처를 판매했다는 행위 자체만으로 부과된 것이 아닙니다. 오히려 직무 프로필, 기업 유선 전화번호, 이직 및 경력 변화 시그널을 판매하는 행위 자체가 캘리포니아 법률상 해당 기업을 데이터 브로커로 규정한다는 점을 명확히 한 사례입니다. 이에 따라 수익 책임자, 매출 운영(RevOps) 팀, 컴플라이언스 담당자는 서드파티 아웃바운드 타깃 목록을 구매, 저장, 활용할 때 요구되는 사전 실사 방식을 근본적으로 재검토해야 합니다.

SalesIntel 규제 제재 조치 심층 분석

SalesIntel에 대한 규제 집행은 주 규제 당국이 현대적 상업용 데이터 브로커를 어떻게 규정하고 있는지 분명히 보여줍니다. SalesIntel 제재에 관한 CalPrivacy 발표에 따르면, SalesIntel은 2억 개가 넘는 비즈니스 프로필 연락처와 5,400만 개의 휴대전화 번호에 대한 접근 권한을 판매해 왔습니다. 또한 웹사이트 방문자 트래픽의 익명성을 해제하여 직통 유선 번호와 검증된 직장 이메일을 식별해 주는 기능도 함께 제공했습니다.

CalPrivacy가 B2B 영업 목적의 잠재고객 발굴(프로스펙팅) 자체를 불법으로 규정한 것은 아닙니다. 제재의 초점은 주 정부의 투명성 준수 의무에 맞춰져 있었습니다. SalesIntel에 대한 공식 합의 명령에 명시된 바와 같이, 이번 사건은 SalesIntel의 2024년 사업 활동과 법정 2025년 마감일까지 주 데이터 브로커 등록부에 등록하지 않은 부작위를 중심으로 다뤄졌습니다. 합의 명령문에서는 해당 벤더가 2025년 활동에 대해서는 2026년 기한 내에 정상적으로 등록을 마쳤다는 점도 함께 명시했습니다.

36,400달러의 벌금 외에도 합의 조건에 따라 SalesIntel은 다음 사항을 이행해야 합니다.

• 웹사이트에 연례 소비자 권리 처리 통계를 게시할 것.
• 주 정부의 중앙 집중식 일괄 삭제 시스템과 직접 연동할 것.
• 해당 시스템을 통해 접수되는 모든 향후 삭제 요청을 처리하고 준수할 것.

이번 조치는 이전의 주요 등록 위반 제재 사례들의 연장선상에 있습니다. Delete Act와 DROP에 관한 Clark Hill의 법률 분석에 따르면, CalPrivacy는 등록 지연을 이유로 Datamasters에 42,000달러, S&P Global, Inc.에 62,000달러의 벌금을 부과한 바 있습니다. S&P Global 사례의 경우 단순 행정상 착오로 인해 313일 동안 등록이 누락되었음에도 벌금이 부과되었으며, 이는 고의성이 없더라도 법적 집행을 피할 수 없음을 명확히 보여줍니다.

삭제법(Delete Act)과 DROP의 메커니즘

데이터 벤더의 리스크를 평가하려면 상업 조직은 그 법적 기반인 캘리포니아 상원 법안 362호(SB 362, 일명 Delete Act)를 이해해야 합니다.

데이터 브로커 정의에 관한 캘리포니아 입법 법전에 기록된 캘리포니아 민법 제1798.99.80조 (c)항에 따르면, 데이터 브로커는 직접적인 관계가 없는 소비자의 개인정보를 고의로 수집하여 제3자에게 판매하는 모든 사업자로 정의됩니다.

여기서 핵심은 소비자 정의에 관한 캘리포니아 입법 법전에 인용된 캘리포니아 민법 제1798.140조 (i)항에서 '소비자'를 단순히 캘리포니아 거주자인 자연인으로 규정하고 있다는 사실입니다. 법 조항에는 직업적 업무 수행이나 B2B 맥락에서 활동하는 개인을 일괄적으로 제외하는 별도의 면책 조항이 없습니다. 캘리포니아주는 과거 민법 제1798.145조 (n)항을 통해 기업 간 거래(B2B) 커뮤니케이션에 대한 한시적 예외를 두었으나, CCPA 예외 규정에 관한 캘리포니아 입법 법전에서 확인할 수 있듯이 해당 조항은 2023년 1월 1일부로 효력이 만료되었습니다.

[ 캘리포니아 거주자 ]
         │
         ▼
[ DROP을 통해 일괄 삭제 요청 제출 ]
         │
         ▼
[ CalPrivacy DROP 중앙 집중식 시스템 ]
         │ (45일마다 의무 조회)
         ▼
[ 등록된 데이터 브로커 생태계 ]
         │
         ├── 45일 이내 삭제 처리
         ├── 소비자 기록 판매 또는 공유 중단
         └── 내부 영구 제외(억제) 목록 유지

이 제도의 핵심 운영 장치는 '삭제 요청 및 옵트아웃 플랫폼(DROP)'입니다. 삭제 메커니즘에 관한 캘리포니아 입법 법전에 명시되어 있으며 2026년 8월 1일 시행된 캘리포니아 민법 제1798.99.86조에 따라, 등록된 데이터 브로커는 최소 45일에 한 번씩 DROP에 접속해야 합니다. 브로커는 요청을 수신한 시점부터 45일 이내에 삭제를 처리해야 하며, 해당 소비자에 대해 새로 수집된 개인정보의 판매나 공유를 영구히 중단해야 합니다.

Delete Act에 관한 DataGrail의 컴플라이언스 가이드에 따르면, DROP을 통한 삭제 요청을 이행하지 않을 경우 요청 1건당 하루 200달러의 법정 과태료가 부과됩니다. 이러한 책임은 최초 등록 누락에 따른 벌금과는 별개로 발생합니다.

이러한 등록 제출과 관련된 집행 기준은 매우 엄격합니다. 2026년 9월 3일, CalPrivacy는 집행 자문 No. 2026-01을 발표했습니다. 이 가이드라인은 삭제법이 의도치 않은 단순 사무 착오와 고의적 허위 진술을 구분하지 않는다고 명시했습니다. 등록부에 부정확한 내용이 남아 있을 경우, 해당 오류가 게시된 기간 동안 매일 200달러의 벌금이 부과됩니다.

2차 책임: 서드파티 잠재고객 데이터 감사

주 규제 당국이 특정 데이터 벤더를 제재할 때 데이터 구매 기업들은 흔히 다음과 같은 의문을 갖습니다. 규정을 준수하지 않는 브로커로부터 리드 목록을 구매한 우리 회사도 벌금을 물게 될까?

현재의 집행 공고들은 일반 구매 기업보다는 소비자와 직접적인 관계없이 데이터를 수집하고 판매하는 주체에 집중되어 있습니다. 그러나 다운스트림 단계의 구매 기업 역시 실질적인 운영상의 타격과 평판 리스크에 직면하게 됩니다.

데이터 공급업체가 DROP 규정을 준수하기 위해 시스템을 업데이트하면 주 데이터베이스에서 등록된 캘리포니아 거주자를 영구 삭제해야 합니다. 만약 귀사의 영업팀이 정적 CSV 파일이나 대량 연락처 데이터베이스를 내부로 가져와 사용하는 경우, 해당 데이터는 수집 즉시 부패하기 시작합니다. 담당자가 DROP을 통해 일괄 삭제를 요청했음에도 불구하고 개인 휴대전화나 업무용 메일로 지속적인 영업 연락을 취한다면, 컴플라이언스 마찰이 생기고 통신사 스팸 블랙리스트에 오를 위험이 커지며 개인 민원이 제기될 가능성도 높아집니다.

또한 전화 기반 아웃바운드 캠페인을 운영하는 팀은 연방 차원의 텔레마케팅 규정이 주 단위 데이터 브로커 등록 제도와는 별도로 작동하므로, B2B 아웃바운드 영업에서 TCPA 동의 철회 관리와 같은 자체 보호 조치를 상시 가동해야 합니다.

내부 시스템을 안전하게 보호하기 위해 RevOps 리더는 서드파티 잠재고객 데이터에 대해 다음 4단계 감사 절차를 도입해야 합니다.

1. 벤더의 등록부 등록 상태 확인

상업용 데이터 제공업체와 계약을 체결하거나 갱신하기 전에 캘리포니아주 공개 데이터 브로커 등록부를 직접 확인해야 합니다. 해당 벤더가 당해 연도에 유효하게 등록되어 있는지 점검하십시오. 만약 미국 내 직무 담당자의 직통 번호나 개인 이메일을 판매하는 국내외 공급업체가 등록 면제 대상이라고 주장한다면, 그에 대한 공식적인 법적 근거를 서면으로 요구해야 합니다.

2. 데이터 소싱 및 인리치먼트 경로 감사

공급업체가 연락처 정보를 수집하는 구체적인 방식을 점검해야 합니다. 직통 번호가 당사자의 명함 동의, 공개적인 규제 공시 자료, 자동화된 웹 스크래핑, 모바일 앱 SDK 트래커 중 어디에서 확보된 것인지 확인하십시오. 캘리포니아 상원 법안 361호(SB 361)에 따르면 브로커는 모바일 광고 ID나 로그인 자격 증명을 수집하는지, 인공지능 학습 파이프라인에 데이터를 판매하는지 여부를 공개해야 합니다. 인리치먼트 데이터의 출처를 파악해야 갑작스러운 서비스 중단 리스크에 처할 수 있는 파트너를 사전에 선별할 수 있습니다.

3. 데이터 동기화 주기 설정

데이터 제공업체가 DROP 요구사항을 준수하기 위해 레코드를 삭제할 때, 귀사의 내부 고객관계관리(CRM) 플랫폼에 유효기간이 지났거나 삭제가 요구된 정보가 무기한 보관되어서는 안 됩니다. 벤더와 정기적인 제외 목록(Suppression List) 업데이트를 수신하는 운영 정책을 수립해야 합니다. 아웃바운드 플랫폼을 검토할 때, Lemlist와 Ember Lead Intelligence 비교: 아웃바운드 분석에서 다룬 바와 같이 파이프라인 관리 소프트웨어가 시간 경과에 따른 연락처 업데이트, 옵트아웃, 리드 제외 처리를 어떻게 지원하는지 면밀히 확인해야 합니다.

4. 정적 대량 스크래핑과 검증된 리서치 분리

무분별한 대량 스크래핑은 데이터 유효율이 빠르게 떨어지고 컴플라이언스 리스크를 급격히 높입니다. 지속 가능한 아웃바운드 운영은 다각적인 신호 검증을 기반으로 합니다. 기업에 실질적인 비즈니스 니즈가 존재하는지, 담당자의 현재 직책이 일치하는지 확인하고, 검증된 전문 비즈니스 채널을 통해 접근해야 합니다.

규정을 준수하는 아웃바운드 체계 구축

규제 위험을 관리한다는 것이 아웃바운드 고객 발굴을 전면 중단해야 한다는 뜻은 아닙니다. 엄격한 등록 규제가 적용되지 않는 지역에서 광범위한 타깃을 대상으로 수백만 건의 단순 정적 연락처가 필요한 조직의 경우, 기존 엔터프라이즈 플랫폼과 전통적인 데이터 제공업체가 여전히 대안이 될 수 있습니다.

그러나 최신 B2B 영업 조직들은 검증되지 않은 대규모 콜드 리스트 대신 정밀한 맥락 정보(컨텍스추얼 인텔리전스)를 활용하는 방식으로 빠르게 전환하고 있습니다. 수백만 건의 단순 데이터 행을 무차별 구매하는 대신, 적절한 접촉 시점, 담당자의 역할 적합성, 감지된 비즈니스 시그널을 우선순위에 두는 방식입니다.

이러한 업무 체계를 구축하는 팀을 위해 Ember Lead Intelligence는 단순 데이터 볼륨 중심이 아닌 정성적 시그널을 중심으로 잠재고객 발굴 과정을 구조화합니다. Ember는 영업팀이 누구에게 연락해야 하는지, 왜 지금이 적절한 시점인지, 어떤 전략적 관점으로 접근해야 하는지 명확히 파악하도록 지원함으로써 아웃바운드 영업을 차별점 없는 대량 스크래핑에서 맥락 기반의 맞춤형 소통으로 전환합니다.

Ember 환경에서 잠재고객 발굴 작업은 명확한 운영 통제 하에 실행됩니다. 초안으로 생성된 모든 이메일이나 LinkedIn 메시지는 발송 전 사람의 검토와 명시적인 일정 예약을 거쳐야 하며, 잠재고객이 수신 거부를 표시하는 즉시 연동된 모든 메일함과 프로필 전반에서 진행 중인 시퀀스를 즉시 중단하는 수신 거부(Do-Not-Contact) 메커니즘을 적용합니다. 지속 가능한 수익 창출 구조를 확장하려는 팀이라면 영업 관련 Knowledge 가이드를 통해 아웃바운드 영업의 속도와 신뢰할 수 있는 데이터 거버넌스의 균형을 맞추는 실무적인 프레임워크를 확인해 보실 수 있습니다.