쿠키 동의 배너와 측정 공백

영국에서 쿠키와 이와 유사한 기술은 「2003년 개인정보 및 전자통신(EC 지침) 규정」(PECR) 제6조의 적용을 받습니다. 「2025년 데이터(이용 및 접근)법」은 2026년 2월 5일부터 제6조를 새 조문으로 대체했습니다. 일반 원칙은 그대로입니다. 부칙 A1에 따른 경우를 제외하고, 누구도 가입자나 이용자의 단말기에 정보를 저장하거나 그 단말기에 저장된 정보에 접근해서는 안 됩니다. 새 조문은 저장이나 접근을 유발하는 행위도 여기에 포함되며, 접근에는 기기가 자동으로 내보내는 정보를 수집하는 행위도 포함된다고 덧붙입니다.

영국 정보위원회(ICO)는 2026년 4월 29일 저장·접근 기술에 관한 지침을 확정했습니다. 지침은 쿠키, 추적 픽셀, 링크 데코레이션, 로컬 스토리지, 기기 핑거프린팅, 스크립트, 태그를 다룹니다. 또한 동의 요건에 대한 다섯 가지 예외를 제시하는데, 통신, 엄격히 필요한 경우, 통계 목적, 화면 표시 설정, 긴급 지원이 그것입니다.

경영 보고 측면에서 가장 중요한 것은 통계 목적 예외입니다. ICO 지침에 따르면, 조직은 자사 서비스의 이용 방식에 관한 통계 정보를 수집해 서비스를 개선하는 것이 유일한 목적일 경우 동의 없이 분석을 실행할 수 있습니다. 이렇게 얻은 정보는 집계 형태여야 하고, 방문자에게 명확하고 충분한 정보를 제공해야 하며, 간단하고 무료로 거부할 수 있는 수단이 있어야 합니다. 제3자 분석 제공업체의 도움을 받을 수는 있지만, 그 업체는 처리자로서 행동해야 하며 데이터를 다른 출처의 정보와 결합해서는 안 됩니다.

이 예외의 경계는 분명합니다. ICO는 온라인 광고 목적은 ‘PECR의 동의 요건에서 면제되지 않으며, 면제된 적도 없다’고 밝히고, 광고 측정과 성과 분석을 그 예로 듭니다. 전환 데이터를 광고 파트너와 공유하기 위해 방문자 ID를 구매와 연결하는 행위에는 여전히 동의가 필요합니다.

「데이터(이용 및 접근)법」은 영국 법만 바꿉니다. EU 방문자가 있는 조직은 해당 방문자가 있는 지역에 적용되는 규정에 따라 별도로 검토해야 합니다.

Google 태그를 쓰는 웹사이트는 Google 동의 모드를 통해 방문자의 동의 선택을 태그에 전달합니다. Google 개발자 문서는 두 가지 구현 방식을 설명하며, 어느 쪽을 택하느냐에 따라 기업이 볼 수 있는 데이터가 달라집니다.

기본 동의 모드에서는 방문자가 배너와 상호작용하기 전까지 Google 태그가 차단됩니다. 방문자가 거부하면 동의 상태조차 포함해 어떤 데이터도 Google에 전송되지 않습니다. 이 경우 Google Ads의 전환 모델링은 일반 모델로 대체됩니다.

고급 동의 모드에서는 동의 기본값을 ‘거부’로 둔 상태로 태그가 로드됩니다. 동의가 거부된 동안에는 쿠키 없이 측정 데이터를 보내고, 방문자가 동의한 뒤에야 전체 측정이 시작됩니다. Google은 이 방식이 일반 모델이 아니라 광고주별 모델을 지원한다고 밝힙니다.

동의 유형마다 효과가 다릅니다. analytics_storage가 거부되면 Google Analytics는 자사 퍼스트파티 쿠키를 읽거나 쓰지 않습니다. ad_storage가 거부되면 새 광고 쿠키가 기록되지 않고 IP 주소는 수집 단계에서 일부가 잘립니다. ad_user_data가 거부되면 향상된 전환에 쓰이는 해시 처리된 퍼스트파티 데이터가 전송되지 않습니다. 어느 경우든 관찰할 수 있고, 한 세션 안에서나 재방문 시 개별 방문자와 연결할 수 있는 활동의 비중이 줄어듭니다.

Google Analytics 4는 행동 모델링으로 공백의 일부를 메웁니다. 이는 분석 쿠키를 거부한 방문자의 행동을, 동의한 유사 방문자의 행동을 바탕으로 추정하는 방식입니다. Google 고객센터는 그 조건을 명시합니다. 모든 페이지에 고급 구현 방식의 동의 모드가 적용되어 있어야 합니다. 속성은 최소 7일 동안 analytics_storage가 거부된 이벤트를 하루 1,000건 이상 수집해야 합니다. 또한 지난 28일 중 최소 7일 동안 analytics_storage가 허용된 상태로 이벤트를 보내는 일일 사용자가 1,000명 이상이어야 합니다. 이 기준을 충족해도 자격이 보장되지는 않습니다.

트래픽이 많지 않은 속성은 이 기준에 못 미칠 수 있으며, Google은 그 결과를 분명히 밝힙니다. 모델을 학습시킬 만큼 동의한 트래픽이 충분하지 않으면, 동의를 거부한 방문자의 이벤트는 보고되지 않습니다.

모델링이 실행되더라도 일부 기능에는 적용되지 않습니다. Google은 잠재고객, 사용자 탐색기, 동질 집단 탐색과 사용자 전체 기간 탐색, 시퀀스 세그먼트, 유지 보고서, 예측 측정항목, 그리고 BigQuery 내보내기를 포함한 데이터 내보내기를 지원 대상에서 제외한다고 밝힙니다. 따라서 BigQuery 내보내기로 채우는 데이터 웨어하우스에는 관찰된 데이터만 담기고, 혼합 보고 ID를 적용한 GA4 화면에는 관찰 데이터와 모델링 데이터가 함께 표시됩니다. 같은 주의 사용자 수가 웨어하우스 대시보드와 GA4 화면에서 다르게 나온다면, 가장 먼저 확인해야 할 문서화된 원인 중 하나가 바로 이것입니다.

2026년 예외에 따라 조건을 충족하는 분석은 동의 없이 실행할 수 있지만, 광고 측정은 여전히 동의에 의존합니다. 분석을 이 예외로 옮긴 조직은 분석 보고서의 세션과 사용자 수가 늘어나는데도 광고 플랫폼이 보고하는 전환은 그대로인 상황을 볼 수 있습니다. 이 차이는 각 시스템이 관찰하도록 허용된 범위에서 생기는 것이며, 그 뒤에 수요의 변화는 없습니다.

동의 설정을 변경한 날짜는 시계열이 끊어지는 시점으로 다뤄야 합니다. 이를 보고 일정표에 기록하고, 변경 전후의 추세선을 따로 유지하며, 명시적인 보정 없이 그 시점을 사이에 두고 전환율을 비교하지 않습니다. 기준 시계열로는 커머스 플랫폼이나 ERP의 주문 건수를 씁니다. 브라우저에 아무것도 저장할 필요가 없고 배너 디자인을 바꿔도 달라지지 않기 때문입니다.

CTO는 어떤 동의 관리 플랫폼을 쓰는지, Google 동의 모드를 기본 방식과 고급 방식 중 어느 쪽으로 구현했는지, 다른 공급업체의 태그를 포함해 사이트의 모든 태그가 방문자의 선택을 따르는지 알고 있어야 합니다.

데이터 보호 책임자는 광고 외 목적의 각 기술이 어떤 PECR 예외에 근거하는지, 방문자가 간단히 거부할 수 있는 수단이 어디에 있는지, 분석 제공업체와의 계약상 그 업체가 처리자 지위에 있는지 말할 수 있어야 합니다.

CMO와 CFO는 이사회 지표 가운데 어느 것이 관찰 데이터이고 어느 것이 모델링 데이터를 포함하는지, GA4 속성이 행동 모델링 기준을 충족하는지, 시스템끼리 수치가 다를 때 어느 시계열을 기준으로 삼는지 알고 있어야 합니다. 각 답변에는 지정된 책임자가 있어야 하며, 배너, 동의 플랫폼, 태그 구성이 바뀔 때마다 다시 검토해야 합니다.