지난 11월 3일 치러진 선거로 캘리포니아 주의 법 일부가 변경되었다. 캘리포니아 주에서는 직접 민주주의의 일환인 ‘캘리포니아 주민 발의안(California Ballot Proposition) 제도’를 통해 주 헌법 또는 주 법에 대한 수정 제안이 진행된 바 있는데, 이러한 제안 사항들이 선거에서 법적 요구 건수 이상의 찬성표를 얻어 통과되었기 때문이다. 이번 11월 선거에는 총 12개의 주민 발의안이 투표에 부쳐졌으며, 그 중 5개 안이 통과되었다. 이 중 기업 활동에 영향을 미칠 수 있는 ‘Proposition 22’와 ‘Proposition 24’의 내용을 살펴보고자 한다.
캘리포니아 노동법 AB 5에 의한 직원의 범위를 축소하는 Proposition 22
Proposition 22는 작년 9월 제정된 Assembly Bill 5(“AB 5”)의 내용을 변경하므로, 우선 AB 5의 내용부터 짚어본다. AB 5는 기업이 고용한 ‘피고용인’이 어떤 경우에 ‘직원(Employee)’으로 판단되는지에 대한 기준을 마련한 법이다. 이는 작년 4월 캘리포니아 대법원이 소위 Dynamex 사건에서 도입한 ABC Test를 입법화한 것이다. 이는 직원 판단의 기준이 되는 ABC Test 요건을 모두 충족한다는 것을 기업이 입증하지 못하는 한, 대가를 받고 노동을 제공하는 자는 모두 “직원”으로 간주해야 한다는 내용이다. ABC Test를 통과하여 직원이 아닌 ‘개별도급자(혹은 독립계약자, Independent Contractor)’임을 주장하려면, 기업은 노동을 제공하는 자가 A) 고용주로부터 관리(control) 및 지시(direction)를 받지 않고, B) 수행하는 업무가 고용주의 주된 영업활동 범위에 속하지 않으며, C) 독립적으로 설립된 거래, 직업 또는 영업에 종사하고 있음을 증명하여야 한다.
Proposition 22는 AB 5에 예외 규정을 만들어, 앱에 기반하는 운전사(App-based drivers)를 개별도급자로 간주하도록 한다. 앱에 기반하는 운전사란 (a) 기업의 온라인 애플리케이션이나 플랫폼을 통해 배달 서비스를 제공하거나, (b) 기업의 온라인 애플리케이션이나 플랫폼을 통해 개인 차량을 사용하여 운송 서비스를 제공하는 자를 의미한다. Proposition 22가 통과된 덕분에 Uber, Lyft, Doordash와 같은 기업들은 고용하는 운전사를 개별도급자로 간주할 수 있게 된 것이다. 실제로 Uber, Lyft, Doordash에 노동을 제공하는 운전사들 중 상당수가 주 20시간 미만으로 노동을 제공한다는 점 등을 생각해 볼 때, 이들을 개별도급자로 간주하는 Proposition 22가 적절했다는 의견도 있다. 하지만, Proposition 22는 온라인 운송 기업에만 적용되기에 AB 5로 큰 타격을 받은 다른 업계 기업들에는 아무런 영향도 미치지 못해 한계가 있다는 평가를 받는다. 트럭 운전사를 고용하여 운송 서비스를 제공하는 운송 업계나 작가 및 스태프를 고용하여 영화 등의 영상물을 제작하는 영화 업계 또한 AB 5로 인한 리스크가 증가했기 때문이다.
캘리포니아에 진출하는 한국 기업들을 자문하면서, 기업들이 가장 까다롭게 느끼는 법 분야 중 하나가 노동법이 아닐까 싶다. 캘리포니아에는 노동자를 보호하는 법규가 많고 또 계속 변경되고 있어, 준수 내용을 잘 확인해야 할 뿐 아니라 직원들의 기업 대상 소송 제기 또한 활발하기 때문이다. 따라서 AB 5와 이번에 통과된 Proposition 22로 인해 달라지는 직원의 범위를 고려하여, 기업이 앞으로 고용할 그리고 이미 고용한 개별도급자에 대한 개별적인 재평가가 필요해 보인다.
캘리포니아의 소비자 정보 보호법(California Consumer Privacy Act, “CCPA”)이 발효된 지 1년도 채 되지 않았음에도 Proposition 24가 통과됨에 따라 해당 법이 캘리포니아 정보보호권법(California Privacy Rights Act, “CPRA”)으로 개정될 예정이다. CPRA는 미국 내 정보보호 관련 주법 중 소비자의 개인정보를 가장 강하게 보호하는 것으로 알려진 기존의 CCPA보다도 그 보호 수준을 강화하고 있어, 캘리포니아 소비자들을 대상으로 영업을 하는 기업이라면 더욱 세심한 주의가 필요할 것으로 보인다. 비록 CPRA는 2022년 1월부터 수집되는 정보에 적용되며 2023년 1월부터 발효될 예정이지만, 미리 대비하는 차원에서 CPRA의 주요 내용을 살펴보도록 한다.
우선 CPRA는 법의 적용을 받는 기업의 범위를 일부 확대하고 있다. 기존의 CCPA는 캘리포니아 주민의 개인 정보를 수집하고 그에 대한 처리를 결정하는 기업 중 1) 매출이 2500만 달러 이상이거나, 2) 매년 5만 명 이상의 소비자 또는 기기의 개인 정보를 상업적 목적으로 매매하거나, 3) 기업의 총 수익 중 50% 이상을 소비자 개인 정보 판매를 통해 창출하는 기업에 적용되었다. CPRA는 2)의 5만 명을 10만 명으로 변경하고 “기기(devices)”를 삭제하여, 10만 명 이상의 소비자 개인 정보를 매매 또는 공유하는 기업에 적용되도록 변경함으로써 일부 중소기업(Small business)을 그 적용대상에서 제외한 측면도 있다. 그러나 3)의 경우에는 소비자 개인 정보의 판매 또는 “공유”를 통해 총 수익 중 50% 이상을 창출하는 기업에 적용되도록 수정하여 그 범위를 확대하였다. 또한, 상기 1), 2), 3)에 해당하는 기업의 지분을 50% 이상 보유한 자회사 및 모회사 또한 적용 대상으로 포함시키는 CCPA에서 한발 더 나아가, CPRA는 해당 기업이 40% 이상의 지분을 갖는 Joint venture 및 파트너십까지도 포함시켰다. 예를 들어, 한국에 소재한 매출 2500만 달러 이상의 회사가 온라인 웹사이트 등을 통해 캘리포니아 주민의 개인 정보를 수집하는 경우 그 회사가 CCPA/CPRA의 적용을 받을 뿐만 아니라, 해당 회사의 지분 50% 이상을 보유한 자회사 및 모회사 그리고 지분 40% 이상을 보유한 Joint venture 및 파트너십까지도 CPRA의 내용을 준수해야 하는 것이다. 이에 한국 회사가 미국 내 영업활동을 위해 현지 회사와 Joint venture 및 파트너십을 설립하는 경우 그 법인의 CPRA 준수 여부까지도 관리해야 하는 것이다.
CPRA는 ‘민감 개인 정보(Sensitive Personal Information)’라는 새로운 개인 정보 카테고리를 만들어 그에 대한 보호 수준을 강화하였다. 민감 개인 정보란 소비자의 신원 확인 정보(예를 들어, Social Security number, 운전면허증 번호 등), 금융 정보, 계정 로그인 정보, 정확한 위치 지정학적 정보, 인종 관련(Racial or ethnic) 정보, 개인적인 의사소통 내용, 유전적 정보, 건강 및 생체 정보, 성적 생활 및 취향 정보 등이 포함된다. CPRA는 기업이 민감 개인 정보를 소비자가 요청한 상품 또는 서비스를 수행하기 위해 필요한 경우와 그 소비자가 합리적으로 예상하는 범위 내에서만 사용하도록 그 사용 범위를 제한하였다. 또한, 기업은 소비자에게 자신의 민감 개인 정보 사용을 제한하는 경로(Link)를 제공하여 소비자가 기업의 민감 개인 정보 공유 및 매매를 쉽게 제한할 수 있도록 해야 한다.
또한, CPRA는 소비자에게 자신의 부정확한 개인정보를 수정할 권리를 부여하고 있다. 기업은 소비자에게 이 권리가 있음을 통보하고, 소비자 요청 시 그 개인정보를 수정하기 위해 ‘상업적으로 합리적인 노력(Commercially reasonable efforts)’을 해야 한다. 그리고 기존의 CCPA에서는 기업이 소비자의 개인 정보를 “판매”할 경우에만 그에 대한 제외(Opt-out) 신청 권리를 부여했는데, CRPA는 기업이 소비자의 개인정보를 광고 목적(Cross-text behavioral advertising)으로 “공유”할 때에도 해당 권리를 부여하도록 확대하였다. 이외에도 소비자의 개인 정보 수집 시 통보해야 하는 내용이 추가되고, 기업이 서비스 제공자(Service providers) 또는 도급 업체(Contractors)와 소비자 개인 정보를 공유할 때 준수해야 하는 사항 등을 추가하는 등 기업의 준수 사항을 대폭 확대하였다.
마지막으로 CPRA는 미국 사상 최초로 ‘정보 보호를 위한 주 정부 기관’을 설립한다. 설립될 예정인 캘리포니아 개인 정보 보호청(California Privacy Protection Agency, “CalPPA”)은 CPRA 준수 여부를 감독하고, 그에 따른 조사 권한 및 증거제출명령(Subpoena)을 내릴 권한이 있다. 그리고 CPRA 위반사항에 대해 행정적 벌금을 부과하고 CPRA관련 규칙 등을 제정할 수 있다. 이와 같은 CalPPA의 설립은 캘리포니아 정보 보호 관련 법규 준수 여부에 대한 관리 감독이 강화될 것임을 의미하는바, 정보 보호와 관련된 기업들의 위기 및 관리 의식도 함께 높아져야 할 것이다.
※ 이 원고는 외부 글로벌 지역전문가가 작성한 정보로 KOTRA의 공식 의견이 아님을 알려드립니다.
