두 가지 법적 근거, 하나의 배너

IAB TCF 동의 문자열의 모든 벤더는 목적별로 동의와 정당한 이익 중 어느 법적 근거에 의존하는지 선언합니다. 둘 다 GDPR 제6조에 따른 적법한 근거이지만, 배너와 TC string, 그리고 광고 스택에서 전혀 다르게 작동합니다. 둘을 서로 바꿔 쓸 수 있다고 생각하는 퍼블리셔는 대개 쓴맛을 보고 나서야 차이를 깨닫습니다. 입찰을 멈추는 벤더가 생기거나, 사용자가 거부했다고 생각한 목적에 대해 민원이 들어오는 식입니다.

이 글에서는 두 근거를 목적별로 나란히 비교하여, CMP를 어떻게 구성하고 수요 파트너에게 무엇을 기대해야 할지 판단할 수 있도록 돕습니다.

각 근거의 작동 방식

동의는 옵트인입니다. 사용자가 명확한 긍정적 행동을 해야 하며, 그 전에는 벤더가 해당 목적으로 데이터를 처리할 수 없습니다. 동의 철회는 동의를 부여하는 것만큼 쉬워야 합니다. TC string에서 동의는 목적 동의 및 벤더 동의 섹션에 기록됩니다.

정당한 이익은 사실상 옵트아웃입니다. 벤더(또는 퍼블리셔)가 균형 테스트를 거쳐, 사용자의 권리에 의해 우선되지 않는 정당한 이익이 있다고 주장합니다. 사용자에게는 정보가 제공되어야 하고 이의를 제기할 방법이 주어져야 합니다. TC string에서는 목적 정당한 이익 및 벤더 정당한 이익 섹션에 기록되며, 이의를 제기하면 해당 비트가 지워집니다.

한눈에 보는 비교

• 기본 상태 — 동의: 사용자가 동의할 때까지 꺼짐. 정당한 이익: 사용자가 이의를 제기할 때까지 켜짐.
• 필요한 사용자 행동 — 동의: 명시적 선택. 정당한 이익: 없음. 다만 이의 제기가 가능해야 함.
• 표시 위치 — 동의는 보통 첫 번째 레이어에서 눈에 띄게 표시됩니다. 정당한 이익은 일반적으로 두 번째 레이어에서 설명되고 이의 제기가 가능합니다.
• 문서화 — 동의는 동의가 부여되었다는 증거가 필요하고, 정당한 이익은 서면 균형 테스트(정당한 이익 평가)가 필요합니다.
• 기기 저장소 — 쿠키와 유사한 식별자를 읽거나 쓰는 것은 ePrivacy 규칙의 적용을 받으며, 예외가 적용되지 않는 한 동의가 필요합니다. 정당한 이익은 이를 대체할 수 없습니다.

어떤 목적에 어떤 근거가 허용되는가

TCF는 벤더가 모든 목적에 대해 근거를 자유롭게 선택하도록 허용하지 않습니다. 알아야 할 중요한 규칙은 다음과 같습니다.

• 목적 1(기기에 정보를 저장 및/또는 접근)은 동의 전용입니다. 이는 기기 저장소에 대한 ePrivacy 요건을 반영합니다.
• 목적 3~6(맞춤 광고와 맞춤 콘텐츠를 위한 프로필 생성 및 사용)은 TCF v2.2에서 정당한 이익 옵션이 제거된 이후 동의 전용입니다.
• 목적 2(광고 선택을 위한 제한된 데이터), 7(광고 성과 측정), 8, 9, 10 등은 원하는 벤더가 여전히 정당한 이익으로 선언할 수 있으며, 많은 애드테크 벤더가 측정과 기본적인 광고 선택에 대해 그렇게 하고 있습니다.
• 특별 목적(보안 및 사기 방지, 기술적인 광고 전달 등)은 정당한 이익에 따라 처리되며 사용자는 배너에서 이에 대해 이의를 제기할 수 없습니다. 다만 공개는 여전히 해야 합니다.

각 벤더가 글로벌 벤더 목록에서 자체 근거를 선언하므로, 같은 일을 하는 두 벤더가 서로 다른 근거에 놓일 수 있습니다. CMP는 이러한 선언을 읽어올 뿐이며, 벤더를 대신해 설정하는 것이 아닙니다.

퍼블리셔에게 미치는 실질적 영향

수익

정당한 이익은 배너와 상호작용하지 않는 사용자에 대해서도 일부 측정과 기본적인 광고 선택을 계속 가능하게 할 수 있습니다. 그러나 맞춤 광고는 목적 1, 3, 4에 대한 동의에 의존하므로, 정당한 이익은 건강한 동의율의 대체물이 아닙니다. 이를 기준으로 수익을 계획하지 마십시오.

자체 처리

TCF는 퍼블리셔가 자체 목적과 법적 근거를 선언하는 것도 허용합니다. 자체 분석이나 콘텐츠 측정에 정당한 이익을 근거로 한다면, 벤더와 동일한 균형 테스트와 이의 제기 메커니즘이 필요합니다. 해당 목적에 쿠키가 포함된다면 기기 저장소에 대한 동의 요건이 여전히 적용됩니다.

규제 당국의 감독

감독 기관과 법원은 온라인 광고에서 정당한 이익이 어떻게 사용되는지 반복적으로 검토해 왔습니다. 2024년 3월 EU 사법재판소는 TCF와 관련된 사건에서, TC string이 식별자와 연결될 수 있는 경우 개인정보가 될 수 있음을 확인했습니다. 스택에 있는 모든 정당한 이익 주장은 설명해야 할 수 있는 사항으로 간주하십시오.

CMP 구성 방법

1. 벤더 목록을 검토하고 어떤 벤더가 어떤 목적에 대해 정당한 이익을 선언했는지 확인합니다. 실제로 거래하지 않는 벤더는 제거합니다.
2. 이의 제기를 쉽게 만드십시오. 두 번째 레이어에서는 정당한 이익 목적을 명확히 보여 주고, 목적별 및 벤더별로 작동하는 이의 제기 토글을 제공해야 합니다.
3. 자체 목적을 결정하십시오. 특정 퍼블리셔 목적에 대해 법무팀이 정당한 이익을 받아들이기 어렵다면 동의를 사용하거나 해당 목적을 포기합니다.
4. 문자열을 확인하십시오. 이의 제기 후 TC string을 디코딩하여 정당한 이익 비트가 실제로 지워졌는지 확인합니다.
5. 파트너에게 동작 방식을 문의하십시오. 정당한 이익에 대한 이의가 제기되거나 동의가 없을 때 어떻게 동작하는지 물어, 수익 변화에 놀라지 않도록 합니다.

FlexyConsent의 역할

FlexyConsent는 Google 인증 CMP이며 IAB Europe 및 IAB Canada의 인증을 받았고 IAB TCF 2.4를 지원합니다. 글로벌 벤더 목록에서 각 벤더가 선언한 법적 근거를 읽어 오고, 두 번째 레이어에서 이의 제기 컨트롤과 함께 정당한 이익 목적을 표시하며, 동의와 이의 제기를 모두 파트너가 받는 TC string에 인코딩합니다.

핵심 요약

• 동의는 옵트인이고, 정당한 이익은 이의 제기권이 필수인 옵트아웃입니다.
• TCF에서 목적 1과 프로파일링 목적인 3~6은 동의 전용입니다.
• 정당한 이익은 쿠키나 맞춤 광고에 대한 동의를 결코 대체하지 않습니다.
• 벤더는 글로벌 벤더 목록에서 자체 근거를 선택하며, CMP는 이를 표시하고 준수해야 합니다.
• 이의 제기는 토글을 믿지 말고 TC string을 디코딩하여 테스트하십시오.