□ 소비자는 본인에 관한 개인정보를 제3자에게 판매하는 사업자에게 본인의 개인정보를 판매하지 말도록 지시할 권리(right to opt out)를 가지며, 사업자는 소비자에게 이러한 권리가 있음을 고지해야 함
○ 사업자는 소비자가 개인정보 판매 거부권을 행사할 수 있도록 자신의 인터넷 홈페이지에 “Do Not Sell My Personal Information”이라는 제목의 링크를 소비자에게 합리적으로 접근할 수 있는 방식으로 눈에 잘 띄게 게시해야 함
○ 사업자는 소비자의 판매 거부 후 최소 12개월 간 해당 소비자에게 판매 허락을 다시 요청할 수 없음
○ 소비자가 사업자로부터 개인정보의 제3자 판매에 대한 명백한 고지를 받지 않았고 개인정보 판매 거부권을 행사할 기회를 제공받지 않았다면, 사업자로부터 소비자의 개인정보를 구매한 제3자는 소비자의 개인정보를 판매할 수 없음
○ 16세 미만 소비자에 대해서는 사전동의가 있어야만 판매가 허용되며(right to opt-in), 사업자가 소비자가 16세 미만이라는 점을 실제로 알고 있는 경우 명확한 승인 없이는 개인정보를 판매할 수 없음
- 해당 소비자가 13세 이상 16세 미만 미성년자의 경우에는 해당 미성년자의, 13세 미만의 미성년자의 경우에는 그 부모나 보호자의 명확한 승인이 있어야 개인정보 판매가 가능함
- 사업자가 의도적으로 소비자의 나이를 무시하는 경우, 나이를 알고 있었던 것으로 간주됨
○ 소비자의 동의·지시가 있거나 회사가 인수·합병·파산 등을 하여 개인정보가 이전된 경우, 사업자가 상업적 목적이 아닌 사업적 목적으로 공개하는 경우 소비자의 판매 거부권이 제한될 수 있음
- ‘사업적 목적’이란 사업체 운영을 위해 합리적으로 필요하거나 비례적인 이용에 해당하는 경우(광고 노출 산정, 보안사고 탐지, 서비스 이행·제공, 기술개발·실증을 위한 내부연구 등)를 말함
○ 이러한 소비자의 권리는 다른 국가 법률에 비하여 제한적인 것으로 평가될 수 있음
- 우리나라 ｢개인정보 보호법｣과 EU GDPR상에서는 사업자가 개인정보를 ‘수집·이용’함에 있어 정보주체의 사전동의를 받거나 가명처리 등을 한 후에 가능한데, CCPA상에서 소비자는 사업자의 개인정보 ‘판매’에 대하여만 사후적인 거부권을 가지며 16세 미만의 경우에만 사전동의를 요구하고 있음