기술2026년 7월 15일 | FlexyConsent

Amplitude 제품 분석 쿠키 동의 통합 가이드: 2026년 구현 플레이북

Amplitude는 현대 데이터 스택에서 독특한 위치를 차지합니다. 태그 매니저도 아니고, 고객 데이터 플랫폼도 아니며, 마케팅 분석 도구도 아닙니다. 사용자가 디지털 제품과 갖는 모든 상호작용을 캡처하고, 해당 이벤트를 세션과 사용자 여정으로 연결하며, 그 결과를 실험, 개인화, 수익 귀속에 다시 제공하도록 설계된 행동 분석 제품입니다. 이 풍부함이 제품을 가치 있게 만드는 원천입니다. 또한 그것이 동의를 배포 시 팀이 내릴 가장 중요한 통합 결정으로 만드는 이유이기도 합니다. 올바르게 구현하면 Amplitude는 수년간 방어 가능한 제품 인사이트를 제공합니다. 잘못 구현하면 동일한 SDK가 규제 당국의 집행 목록에서 가장 눈에 띄는 항목 중 하나가 됩니다. 동의 전에 실행되는 행동 분석 SDK는 EDPB 쿠키 배너 태스크포스, CNIL, ICO가 지난 3년간 집중적으로 타겟으로 삼아 온 바로 그 패턴이기 때문입니다.

Amplitude가 동의를 필요로 하는 이유

기본 Amplitude Browser SDK와 Amplitude 모바일 SDK는 페이지 조회를 기록하는 것 이상을 수행합니다. 초기화 시 퍼스트파티 스토리지에 기기 식별자를 설정하고, 세션 식별자를 생성하며, 리퍼러를 캡처하고, URL에서 UTM 및 클릭 식별자를 파싱하며, 자동 캡처 이벤트 큐잉을 시작합니다. 페이지 조회, 요소 클릭, 양식 상호작용, 파일 다운로드, 그리고 최신 릴리스에서는 세션 리플레이도 포함됩니다. IP 기반 지리적 위치, 사용자 에이전트 기반 기기 데이터, 그리고 구성 시 데이터 파트너로부터의 서드파티 강화로 이러한 이벤트를 보강합니다.

이러한 단계들은 각각 별도의 동의 법적 근거를 수반합니다. 기기 식별자 저장은 ePrivacy 지침 제5조(3)에 따른 저장-및-접근 작업으로, 유럽경제지역, 영국, 동일한 기준을 도입한 관할권에서는 사전의, 자유롭게 제공된, 구체적이고 정보에 입각한 명확한 동의가 필요합니다. 해당 식별자와 연관된 행동 이벤트 캡처는 GDPR에 따른 개인정보 처리입니다. 서드파티 데이터를 통한 강화는 두 번째 컨트롤러 관계를 도입합니다. CCPA와 CPRA는 퍼블리셔가 Amplitude와 적절한 범위의 서비스 제공자 계약을 보유하지 않는 한 동일한 처리를 판매 또는 공유로 분류합니다.

동의 전 Amplitude가 수집하는 것 — 무엇을 억제해야 하는가

가장 일반적인 구현 실수는 Amplitude를 쿠키 배너와 함께 실행할 수 있는 가벼운 분석 도구로 취급하는 것입니다. 그것은 불가능합니다. 기본 amplitude.init() 호출 시 SDK는 페이지의 첫 번째 페인트 내에 최소 하나의 쿠키 또는 로컬 스토리지 항목을 작성하고, identify 호출을 전송하며, 이벤트 버퍼링을 시작합니다. 사용자가 관련 동의 카테고리를 명시적으로 수락하기 전까지는 이 중 어떤 것도 허용되지 않습니다.

따라서 준수하는 통합은 CMP가 분석 동의 카테고리가 부여되었다고 신호를 보낼 때까지 amplitude.init()를 지연해야 합니다. SDK는 CMP가 노출하는 프레임워크에 따라 CMP의 목적 8(분석) 또는 목적 1(저장 및 접근) 신호에 의존하는 동의 게이트된 <script> 태그에서 전혀 로드되어서는 안 됩니다. SDK를 더 일찍 로드해야 하는 경우, 초기화 호출에 defaultTracking: false와 optOut: true를 전달하여 동의가 기록될 때까지 이벤트가 발생하지 않도록 하고, 지연된 opt-in 이벤트가 해당 플래그를 전환해야 합니다.

Amplitude가 작성하는 쿠키와 스토리지

Browser SDK 2.x는 기본적으로 AMP_{apiKey}라는 단일 퍼스트파티 쿠키를 1년 만료로 작성하며, 기기 식별자와 세션 메타데이터를 포함합니다. 이전 버전은 amplitude_id_{apiKey}도 작성했습니다. 모바일 SDK는 동일한 식별자를 앱의 샌드박스 스토리지 내에 유지합니다. 세션 리플레이는 두 번째 쿠키 AMP_MKTG_{apiKey}를 추가하며, 실험 타겟팅 또는 오디언스 모듈이 활성화된 경우 Amplitude의 강화 파트너가 추가 서드파티 쿠키를 설정할 수 있습니다. 이 모두는 비필수적이며 동의가 필요합니다.

Amplitude를 동의 프레임워크에 매핑하기

Amplitude는 Google Consent Mode v2, IAB TCF, IAB Global Privacy Platform을 기본적으로 구현하지 않습니다. 이것은 결함이 아닙니다. Amplitude는 광고 기술 벤더가 아닌 퍼스트파티 분석 플랫폼입니다. 하지만 통합 책임은 퍼블리셔에게 있습니다. 실제로 작동하는 패턴은 각 Amplitude 모듈을 별도의 동의 게이트로 취급하고 CMP가 이미 노출하는 특정 신호에 바인딩하는 것입니다.

작동하는 통합 패턴

규제 당국의 검토를 통과하는 참조 구현에는 네 가지 움직이는 부분이 있습니다. 사용자가 동의를 변경할 때 실시간 이벤트를 노출하는 CMP, 관련 카테고리에 대해 해당 이벤트가 발생한 후에만 Amplitude를 가져오는 지연 SDK 로더, 법률이 허용하는 경우 사용자의 이전 익명 기기 식별자를 잃지 않고 opt-out을 존중하는 세션 레벨 가드, 그리고 동의와 무관하게 실제로 수집이 필요한 이벤트(보안 텔레메트리나 사기 탐지 등)를 자체 법적 근거를 가진 별도 엔드포인트를 통해 라우팅하는 서버사이드 브릿지입니다.

웹 구현

웹에서 가장 깔끔한 패턴은 window.__cmp_consent 객체나 표준 __tcfapi 콜백을 통해 CMP의 동의 상태를 노출하고, 작은 부트스트랩 스크립트가 동의 변경을 구독하는 것입니다. 분석 동의가 false에서 true로 전환될 때 부트스트랩은 CMP 관리 CDN에서 Amplitude SDK를 가져와 amplitude.init(apiKey, undefined, { defaultTracking: true })를 호출하고, 동의 대기 중 메모리에 큐된 이벤트를 재생합니다. 동의가 다시 false로 전환될 때 부트스트랩은 amplitude.setOptOut(true)를 호출하고, document.cookie 만료를 통해 AMP_ 쿠키를 지우며, 메모리 내 상태를 제거합니다. 중요하게도 부트스트랩은 배너 렌더링과 동일한 요청 흐름에서 Amplitude를 지연 초기화해서는 절대 안 됩니다. SDK는 명시적 허가를 기다려야 합니다.

모바일 구현

iOS에서 동등한 것은 Amplitude 프레임워크를 임포트된 상태로 유지하되 인앱 동의 흐름이 긍정적인 분석 신호를 반환할 때까지 Amplitude.instance().initialize(apiKey: apiKey)를 지연하는 것입니다. ATT 프롬프트는 별개의 문제입니다. ATT는 IDFA를 관장하고, Amplitude의 식별자는 앱 샌드박스에 저장된 SDK 자체의 UUID입니다. 두 가지 모두 EEA에서 동의가 필요하지만 법적 근거와 프롬프트는 구분됩니다. Android에서는 SDK 버전에 따라 Amplitude.getInstance().initializeApolloClient() 또는 동등한 것으로 동일한 로직이 적용됩니다.

서버사이드 모드

Amplitude는 HTTP V2 API를 통한 서버사이드 수집을 지원합니다. 서버사이드 이벤트는 동의에서 면제되지 않습니다. 법적 근거는 전송이 아닌 데이터를 따릅니다. 하지만 서버사이드 수집은 퍼블리셔가 어떤 필드를 전송할지 완전히 제어할 수 있어 부분 동의를 존중하기가 더 쉽습니다. 일반적인 패턴은 정당한 이익 하에 서버사이드에서 최소한의 필수 이벤트 세트만 캡처하고, 클라이언트에서 사용자가 분석 동의를 부여한 후에만 해당 이벤트를 행동 세부 사항으로 강화하는 것입니다.

통합 검증

검증 단계는 퍼블리셔가 가장 자주 건너뛰고 규제 당국이 가장 자주 확인하는 단계입니다. 올바르게 통합된 Amplitude 배포는 네 가지 검사를 통과해야 합니다. 첫째, 동의 배너가 표시되었지만 아직 선택이 이루어지지 않은 브라우저는 api.amplitude.com 또는 api.eu.amplitude.com에 대한 요청이 0건이고 document.cookie에 AMP_ 쿠키가 0개여야 합니다. 둘째, 분석 카테고리를 거부하면 그 상태가 유지되어야 합니다. 이벤트 없음, 쿠키 없음, AMP_ 접두사가 있는 로컬 스토리지 항목 없음. 셋째, 분석을 수락하면 이벤트 트래픽에 앞서 단일 identify가 생성되고, AMP_ 쿠키는 퍼블리셔의 CMP 정책과 일치하는 SameSite 속성과 함께 나타나야 합니다. 넷째, 이후 동의를 철회하면 즉시 추가 이벤트가 중단되고 저장된 식별자가 지워져야 합니다. 지연된 정리는 발견사항입니다.

감사 추적은 별도로 중요합니다. EDPB의 2023년 쿠키 배너 가이드라인과 갱신된 2026년 태스크포스 우선순위에 따라 규제 당국은 퍼블리셔가 Amplitude 프로젝트의 모든 이벤트에 대해 해당 이벤트를 생성한 사용자가 캡처 시점에 유효한 동의를 제공했음을 증명할 수 있을 것으로 기대합니다. 이를 위해서는 CMP의 동의 로그가 기기 식별자 또는 세션 식별자로 쿼리 가능해야 하고, Amplitude 이벤트 페이로드에 해당 로그로 연결되는 동의 버전 필드가 포함되어야 합니다. 모든 이벤트에 동의 문자열을 사용자 정의 사용자 속성으로 저장하는 것이 해당 연결을 감사 가능하게 만드는 가장 간단한 방법입니다.

올바른 리전 및 데이터 거주지 선택

Amplitude는 미국(api.amplitude.com)과 EU(api.eu.amplitude.com)의 두 가지 프로덕션 리전을 운영합니다. EEA와 영국 트래픽의 경우 EU 리전이 올바른 기본값입니다. 데이터를 EEA 내에 유지하고 Schrems II 판결과 EU-US 데이터 프라이버시 프레임워크가 모든 분석 검토의 핵심으로 만든 전송 위험 표면을 줄입니다. 리전 전환은 소급 적용되지 않습니다. 기존 데이터는 처음 수집된 곳에 그대로 남습니다. CMP 롤아웃을 계획하는 퍼블리셔는 확장 전에 리전을 확인하고 개인정보 처리방침에 해당 선택을 문서화하여 수집부터 저장까지 법적 근거 체인이 명확하도록 하는 것이 좋습니다. 올바르게 선택된 리전과 올바르게 게이트된 SDK, 쿼리 가능한 동의 로그의 조합이 Amplitude 배포를 규제 위험에서 분석 스택의 방어 가능한 부분으로 전환시킵니다.

← 블로그 전체 읽기 →