(3) 법적 제재
□ 사업자가 합리적인 보안절차를 이행하지 않아 암호화되지 않거나 삭제되지 않은 민감정보가 무단으로 접근·추출·도난·공개되는 경우 해당 소비자는 법정손해배상을 청구할 수 있음
○ 배상액은 각 소비자에 대한 위반 건당 100~750달러의 법정손해배상액과 실제 손해배상액 중 높은 금액을 청구할 수 있음
- 집단소송의 형태로 상당한 금액의 손해배상청구가 가능하여 사업자에게 부담이 될 수 있음
○ 법정손해배상을 구하는 소는 30일 전에 사업자에게 서면으로 통지해야 하고, 사업자가 30일 내에 법 위반 사항을 치유하면 법정손해배상은 불가하나 실제 손해에 대한 배상청구는 가능함
○ 한편, CCPA는 우리나라 ｢개인정보 보호법｣이나 EU GDPR과는 달리 사업자가 개인정보를 처리함에 있어 기술적·관리적 조치의무를 부여하는 규정을 명시적으로 두고 있지는 않음