데이터 프라이버시2026년 10월 31일 | FlexyConsent

쿠키리스 분석: 그래도 동의가 필요할까?

“배너 불필요”라는 약속

프라이버시에 중점을 둔 분석 도구는 흔히 쿠키리스를 내세우며, 일부는 더 나아가 더 이상 동의 배너가 필요 없다고까지 암시합니다. 스택을 가볍게 유지하려는 퍼블리셔에게는 매력적인 생각입니다. 그러나 현실은 더 미묘합니다. 동의가 필요한지는 도구가 기기에서 실제로 무엇을 하는지, 어떤 데이터를 처리하는지, 사용자가 어디에 있는지, 그리고 페이지에서 그 밖에 무엇이 실행되는지에 달려 있습니다.

이 글에서는 동의 설정에서 분석을 제거하기 전에 던져야 할 질문을 설명합니다. 일반적인 안내이며 법률 자문이 아닙니다.

쿠키만이 기준은 아닙니다

EU에서 기기에 대한 동의 규칙은 ePrivacy 지침 제5조(3)에서 나옵니다. 이는 쿠키뿐 아니라 사용자 기기에 정보를 저장하거나 기기에서 정보에 접근하는 것을 포괄합니다. 로컬 스토리지, 세션 스토리지, 정보를 읽게 하는 픽셀, 기기 특성에서 식별자를 도출하는 기법도 모두 여기에 해당할 수 있습니다. 유럽정보보호이사회는 제5조(3)의 기술적 범위에 관한 가이드라인 2/2023에서 이러한 폭넓은 해석을 제시했습니다.

따라서 “우리는 쿠키를 설정하지 않습니다”는 분석의 끝이 아니라 시작입니다. 도구가 기기에 무언가를 저장하거나 읽는지를 알아야 합니다.

모든 분석 도구에 대해 던져야 할 네 가지 질문

1. 기기에 무언가를 저장하거나 읽는가?

페이지를 로드한 뒤 브라우저의 저장소 패널을 확인하십시오. 쿠키, 로컬 스토리지, 세션 스토리지, IndexedDB입니다. 스크립트에 식별자를 만들기 위해 기기 특성을 수집하는 코드가 있는지도 확인하십시오. 분석 목적으로 무언가가 저장되거나 읽힌다면, 예외가 적용되지 않는 한 ePrivacy 규칙이 적용됩니다.

2. 개인정보를 처리하는가?

기기 저장소가 없어도 분석은 보통 IP 주소, 사용자 에이전트, 페이지 URL을 처리합니다. GDPR에서 이들은 개인정보일 수 있습니다. 이를 위해서는 법적 근거가 필요하며(동의가 아니라 정당한 이익일 수도 있음), 개인정보 처리방침에서의 투명성, 데이터 최소화, 적절한 보존 기간이 필요합니다. “배너 없음”은 결코 “의무 없음”을 뜻하지 않습니다.

3. 사용자가 있는 국가에서 예외가 적용되는가?

일부 규제 당국은 엄격한 조건을 충족하면 제한적인 오디언스 측정이 동의 면제 대상이 될 수 있다고 인정합니다. 프랑스의 CNIL은 오디언스 측정 트래커를 면제하기 위한 조건을 발표했으며, 이를 충족하도록 구성할 수 있는 도구를 식별하는 프로그램을 운영합니다. 조건에는 보통 엄격한 퍼스트파티 사용, 집계된 통계만 사용, 사이트 간 추적 없음, 제한된 보존 기간이 포함됩니다. 영국의 2025년 데이터(사용 및 접근)법은 일부 통계 목적을 포함해 PECR 동의 요건에 대한 새로운 예외를 도입했으며, 명확한 정보 제공과 이의 제기 수단 같은 조건이 붙습니다. 모든 나라가 같은 견해를 취하는 것은 아니므로, 서비스하는 각 시장의 입장과 어떤 조항이 시행 중인지 확인하십시오.

4. 데이터가 다른 누군가와 공유되는가?

도구가 데이터를 자체 목적으로 사용하거나 고객 간에 결합하는 벤더에게 보낸다면, 예외는 일반적으로 사라집니다. 마케팅 페이지만이 아니라 처리 약관을 읽으십시오.

보통 여전히 동의가 필요한 것

광고 기반 사이트 대부분에서는 광고 스택 때문에 어쨌든 배너가 필요합니다. 진짜 질문은 분석이 게이팅되는 범주 중 하나여야 하는지, 아니면 좁은 예외 아래에서 독립적으로 실행될 수 있는지입니다.

결정을 위한 실용적인 방법

  1. 모든 분석 스크립트와 그것이 저장하고, 읽고, 전송하는 것을 나열합니다.
  2. 사용자 대부분이 있는 국가를 파악합니다.
  3. 각 도구에 대해 그 구성이 해당 국가에서 인정되는 예외를 충족하는지 확인합니다.
  4. 필요한 가장 엄격한 버전으로 도구를 구성합니다. IP 절단, 영구 ID 없음, 짧은 보존 기간, 데이터 공유 없음.
  5. 근거를 문서화하고, 어느 쪽이든 분석 도구를 쿠키 정책과 개인정보 처리방침에 기재해 둡니다.
  6. 벤더가 제품을 변경하거나 시장이 바뀔 때 다시 확인합니다.

CMP와 함께 면제 대상 분석 운영하기

도구가 요건을 충족한다고 판단했다면 CMP에서 엄격히 필요한 항목 또는 면제 항목으로 나열하여 공개되지만 게이팅되지는 않도록 하고, 그 구성이 예외의 범위 안에 머물도록 하십시오. 많은 퍼블리셔는 더 풍부한 측정을 위해 동의에 의존하는 분석 설정도 함께 유지하며, Google Consent Mode v2 또는 유사한 신호를 사용해 사용자의 선택에 따라 이를 조정합니다. FlexyConsent는 IAB TCF 2.4 및 IAB GPP v1.1과 함께 Google Consent Mode v2를 지원합니다.

핵심 요약

← 블로그 전체 읽기 →