쿠키 배너가 필요할까? 지역별 쿠키 동의 규정

새 시크릿 창에서 브라우저 개발자 도구를 열어 두고 다음 단계를 진행하세요.

1. 아무것도 클릭하기 전에 사이트가 설정하는 모든 쿠키와 저장 항목, 그리고 사이트가 보내는 모든 서드파티 요청을 목록으로 만드세요.
2. 각 항목을 분류하세요: 엄격히 필요, 환경설정, 애널리틱스, 광고, 임베드 콘텐츠.
3. 방문자가 어디에 있는지 확인하세요. EU나 영국 방문자가 있다면 면제되지 않는 항목에 동의 규정이 적용됩니다. 미국만 대상으로 한다면 옵트아웃 권리와 고지에 집중하세요.
4. 면제 사유를 정직하게 적용하세요. 영국에서는 통계 및 화면 표시 예외의 조건을 확인하세요. EU 국가에서는 애널리틱스에 관한 각국 지침을 확인하세요.
5. 결정하세요. EU나 영국 방문자에 대해 면제되지 않는 항목이 하나라도 남아 있다면, 사람들이 동의할 때까지 이를 차단하는 동의 배너가 필요합니다.
6. 쿠키, 동의 동작, 선택 변경 방법을 설명하도록 개인정보처리방침을 업데이트하세요.

목록이 짧다면 배너를 추가하기보다 도구를 제거하는 방안을 고려하세요. 폰트를 직접 호스팅하고, 클릭해야 로드되는 임베드를 쓰고, 사용하지 않는 픽셀을 없애면 필수 쿠키만 남길 수 있습니다. 방침 자체에 대해서는 웹사이트 개인정보처리방침 만드는 방법을 참고하세요.

엄격히 필요한 쿠키의 면제 범위는 많은 배너가 주장하는 것보다 좁습니다. 사업자가 아니라 사용자의 관점에서, 그 쿠키가 없으면 사용자가 요청한 서비스가 작동하지 않는지 따져 보세요.

대개 면제되는 쿠키:

• 로그인 상태를 유지하거나 장바구니를 기억하는 세션 쿠키.
• 사기를 방지하거나 로그인 양식을 보호하는 보안 쿠키.
• 요청을 분산하는 로드 밸런싱 쿠키.
• 방문자의 동의 선택을 기억하는 쿠키.
• 일부 감독기관의 해석에 따르면, 언어처럼 사용자가 현재 서비스에서 직접 설정한 환경설정.

대개 면제되지 않는 쿠키:

• 광고, 리타기팅, 소셜 미디어 픽셀.
• 대부분의 서드파티 애널리틱스.
• 자체 쿠키를 설정하는 임베드 동영상과 소셜 게시물.
• A/B 테스트 및 개인화 도구.

일부 감독기관은 좁은 중간 영역을 인정합니다. 예를 들어 프랑스 CNIL은 방문자 측정이 게시자를 위한 사이트 측정에 엄격히 한정되고, 익명 통계를 생성하며, 여러 사이트에 걸쳐 사람을 추적하지 않는 경우 쿠키 유효 기간과 데이터 보관에 관한 조건을 충족하면 면제될 수 있다고 봅니다. 이러한 면제에 의존하기 전에 대상으로 하는 각 국가의 지침을 확인하세요.

동의가 필요하다면 배너가 동의를 제대로 받아야 합니다. 유럽 감독기관들은 흔한 실패 사례를 분명히 밝혀 왔습니다. 유럽 데이터 보호 이사회(EDPB) 쿠키 배너 태스크포스 보고서에 따르면, 대부분의 감독기관은 수락 옵션과 같은 단계에 거부 옵션이 없는 배너를 위반으로 보며, 보고서는 기만적인 버튼 디자인과 필수 쿠키로 잘못 분류된 쿠키도 비판했습니다.

실무 체크리스트:

• 동의 전 차단: 방문자가 동의하기 전까지 필수가 아닌 쿠키와 스크립트가 로드되면 안 됩니다.
• 수락만큼 쉬운 거부: 첫 화면에서 수락 버튼 옆에 거부 버튼을 제공하세요.
• 미리 체크된 항목 금지: 모든 카테고리는 꺼진 상태로 시작해야 합니다.
• 세분화된 선택: 광고는 거부하고 애널리틱스만 수락할 수 있게 하세요.
• 명확한 정보: 목적과 관련 서드파티를 밝히고 개인정보처리방침으로 연결하세요.
• 손쉬운 철회: 쿠키 설정 같은 상시 링크를 두어 동의할 때만큼 쉽게 선택을 바꿀 수 있게 하세요.
• 기록: 동의에 근거하는 경우 동의 증거를 보관하세요.

유럽 지침은 또한 수락하지 않으면 접근을 막는 쿠키 월(cookie wall)으로는 일반적으로 유효한 동의를 얻을 수 없다고 말합니다. 「이 사이트를 이용하면 쿠키에 동의하는 것으로 간주합니다」라고만 표시하는 배너는 이 목록의 거의 모든 항목을 충족하지 못합니다.

EU 쿠키 규정은 GDPR 자체가 아니라 ePrivacy 지침 제5조 제3항에서 나옵니다. 이 조항은 사용자의 기기에 정보를 저장하거나 이미 저장된 정보에 접근하는 것은 사용자가 명확하고 포괄적인 정보를 받은 뒤 동의한 경우에만 허용된다고 규정합니다. EU 각국은 이 지침을 자국 법으로 시행하므로 세부 사항은 나라마다 조금씩 다릅니다.

면제 사유는 두 가지입니다.

1. 네트워크를 통한 통신의 전송을 수행하는 것만을 목적으로 하는 저장 또는 접근.
2. 사용자가 명시적으로 요청한 서비스를 제공자가 제공하는 데 엄격히 필요한 저장 또는 접근.

많은 사이트 운영자가 놀라는 점이 세 가지 있습니다.

• 쿠키만 해당하는 것이 아닙니다. 로컬 스토리지, 픽셀, SDK, 기기 핑거프린팅 기법도 모두 이 규정의 적용을 받을 수 있습니다.
• 데이터가 개인정보인지와 관계없이 적용됩니다. 기준은 기기에 접근하는지 여부입니다.
• 동의는 GDPR 기준을 따릅니다. 동의는 자유롭게 제공되고, 구체적이며, 충분한 정보에 기반하고, 모호하지 않아야 하며, 명확한 적극적 행위로 이루어져야 합니다. Planet49 사건에서 EU 사법재판소는 미리 체크된 체크박스로는 유효한 동의가 성립하지 않는다고 판단했습니다.

대부분 그렇지만, 영국 규정은 바뀌었습니다. ePrivacy 규정에 해당하는 영국 규정은 Privacy and Electronic Communications Regulations 제6조입니다. Data (Use and Access) Act 2025가 이를 개정했으며, 관련 조항은 2026년 2월 5일에 시행되었습니다.

현재 ICO 지침은 동의 요건에 대한 다섯 가지 예외를 설명합니다.

1. 통신: 통신을 전송하는 목적만을 위한 경우.
2. 엄격히 필요: 사용자가 요청한 서비스를 제공하는 데 필수적인 경우.
3. 통계 목적: 서비스 개선을 위해 서비스 이용 방식에 관한 통계 정보를 수집하는 목적만을 위한 경우.
4. 화면 표시: 서비스의 외관이나 기능을 사용자의 선호에 맞게 조정하는 목적만을 위한 경우.
5. 긴급 지원: 긴급 지원을 제공하기 위해 기기의 위치를 파악하는 목적만을 위한 경우.

통계 예외와 화면 표시 예외에는 조건이 붙습니다. 명확하고 포괄적인 정보를 제공하고, 간단하고 무료로 거부할 수 있는 방법을 마련해야 합니다. 애널리틱스의 경우 ICO는 데이터가 집계되어야 하고, 사람을 추적하거나 프로파일링하거나 광고에 사용해서는 안 되며, 서드파티 제공자는 오직 귀하를 대신해서만 행동하고 데이터를 자체 목적으로 사용해서는 안 된다고 설명합니다. 온라인 광고는 결코 예외에 해당하지 않습니다. 따라서 퍼스트파티 집계 애널리틱스만 사용하는 영국 사이트는 동의 요청을 생략할 수 있지만, 대부분의 광고 설정에는 여전히 동의가 필요합니다.

미국에는 쿠키를 설정하기 전에 옵트인 동의를 요구하는 일반적인 법률이 없습니다. 미국 모델은 고지와 옵트아웃에 초점을 맞추므로 유럽식 배너가 법적으로 요구되지 않는 경우가 많지만, 많은 미국 기업이 선택을 관리하기 위해 배너를 사용합니다.

미국 법이 실제로 요구하는 것:

• 캘리포니아 CCPA: 기준을 충족하고 교차 맥락 행동 광고를 포함해 개인정보를 판매하거나 공유하는 사업자는 옵트아웃 수단, 일반적으로 Do Not Sell or Share My Personal Information 링크를 제공해야 하며, Global Privacy Control 같은 옵트아웃 선호 신호를 존중해야 합니다.
• 기타 주 개인정보 보호법: 많은 주가 소비자에게 타깃 광고를 거부할 권리를 부여하고, 여러 주가 범용 옵트아웃 메커니즘을 존중하도록 요구합니다. 일부 주는 민감한 데이터에 대해 옵트인 동의를 요구합니다.
• CalOPPA: 개인정보처리방침에 Do Not Track 신호에 어떻게 대응하는지, 그리고 서드파티가 시간에 걸쳐 여러 사이트에서 방문자의 온라인 활동 정보를 수집할 수 있는지를 밝히도록 요구합니다.
• COPPA: 13세 미만 아동을 대상으로 하는 사이트는 일반적으로 행동 광고를 위한 지속 식별자를 수집하기 전에 검증 가능한 부모 동의를 받아야 합니다.

어떤 주가 적용되는지, 주마다 옵트아웃 규정이 어떻게 다른지는 미국 주별 개인정보 보호법 개요를 참고하세요.

Google은 법률 위에 계약상 요건을 추가합니다. Google의 EU 사용자 동의 정책은 유럽경제지역(EEA), 영국, 스위스의 최종 사용자에게 적용됩니다. Google 애널리틱스, Google Ads, AdSense 같은 Google 제품을 사용한다면, 법률이 요구하는 경우 쿠키나 기타 로컬 저장소에 대해, 그리고 광고 개인화를 위한 개인정보의 수집, 공유, 사용에 대해 법적으로 유효한 동의를 받아야 합니다. 또한 동의 기록을 보관하고, 동의를 철회하는 방법을 명확히 안내하며, 개인정보를 수집, 수령, 사용할 수 있는 각 당사자를 밝혀야 합니다.

실무상 두 가지 결과가 따릅니다.

• 게시자: Google은 EEA와 영국 사용자에게 광고를 게재할 때 AdSense, Ad Manager, AdMob을 사용하는 게시자에게 Google 인증 동의 관리 플랫폼(CMP)을 사용하도록 요구합니다.
• 광고주와 애널리틱스 사용자: Google의 동의 모드를 사용하면 배너가 저장, 광고 사용자 데이터, 광고 개인화에 대한 동의 상태를 Google 태그에 전달하고, 태그는 그에 따라 동작을 조정합니다.

무엇을 구현하든 개인정보처리방침에 설명하세요. 관련 방침 문구는 Google 애널리틱스 개인정보처리방침 가이드와 애널리틱스 개인정보 고지에서 설명합니다.

대부분의 경우 그렇습니다. 둘은 하는 일이 다르기 때문입니다. 배너는 방문자가 도착한 순간 선택을 받거나 기록합니다. 개인정보처리방침은 각 도구가 무엇을 왜 수집하는지, 누가 받는지, 얼마나 보관하는지, 사람들이 어떻게 선택을 바꿀 수 있는지 등 처리 전반을 설명합니다.

두 가지는 서로 일치해야 합니다. 방침에서 애널리틱스가 동의 후에만 실행된다고 했다면, 배너는 그때까지 실제로 애널리틱스를 차단해야 합니다. 선택 전에 태그가 실행된다면 방침에서 다르게 주장해서는 안 됩니다.

Legal Policy Generator는 배너가 아니라 방침 쪽을 작성합니다. 쿠키 배너나 동의 관리 도구는 제공하지 않습니다. 설문에서는 어떤 추적 기술을 사용하는지, 필수가 아닌 추적이 동의 후에만 시작되는지 아니면 옵트아웃과 함께 동의 전에 시작되는지, 사람들이 선호를 어떻게 바꿀 수 있는지 묻고, 서비스 대상 지역에 맞는 조항을 선택합니다. 개인정보처리방침 생성기로 시작하고, 결과물을 원하는 동의 도구와 함께 사용하세요.

별도의 쿠키 문서도 필요하다면 개인정보처리방침과 쿠키 정책의 차이를 읽고 사이트에 도움이 되는지 판단해 보세요.