대부분의 동의 배너는 해당 주에 CMP 로그인 권한을 가진 사람이 한 번 만들고 나면 다시는 감사를 받지 않습니다. 이로 인해 두 가지 문제가 발생합니다. 첫째, 이미 규정을 준수하는 배너의 형태를 공개한 규제 기관에 노출될 위험이 커지고, 둘째, 분석 데이터가 부족해집니다. Google은 이 부분에 대해 엄격한 기준을 적용합니다. GA4 속성이 행동 모델링 대상이 되려면 반드시 데이터를 수집해야 합니다. 하루에 최소 1,000건의 이벤트가 있습니다. analytics_storage='denied' 최소 7일 동안또한 지난 28일 중 7일 동안 일일 동의 사용자 수가 1,000명에 달했습니다. 그 이하의 트래픽은 거부된 트래픽이 모두 삭제됩니다.
이 문서는 배너 담당자(성장 책임자, 분석 담당자 또는 배너를 인계받은 개발자)를 위한 재구축 플레이북입니다. 순서대로 진행되는 6단계의 과정으로 구성되어 있으며, 각 단계마다 의사 결정 지점이 있습니다. 마지막에는 현재 배너를 평가할 수 있는 14가지 항목의 체크리스트가 제공됩니다. 이 플레이북은 EU, 영국 및 터키 시장에 제품을 판매하는 사이트에 적용됩니다.
배너가 두 관할 구역 모두에서 해야 할 일은 무엇인가?
두 개의 감독 기관이 디자인 규칙을 문서화했으므로 이는 취향의 문제가 아닙니다. 유럽 데이터 보호 위원회(EDPB)의 쿠키 배너 태스크포스 보고서 (2023년 1월 17일) 및 기만적인 디자인 패턴에 관한 가이드라인 03/2022 (v2.0, 2023년 2월 14일)은 EU의 기준선을 설정했습니다. 터키의 KVKK는 2022년에 쿠키 가이드라인을 발표했고, 2025년 중반에 업데이트된 버전을 발표했습니다.
| 요구 사항 | EU/영국 (ePrivacy + GDPR) | 터키(KVKK) |
|---|---|---|
| 첫 번째 층에서 거부됨 | 어느 계층에서든 거부 옵션이 없는 것은 저작권 침해입니다. | "모두 거부"는 "모두 수용"과 동일한 시각적 무게감을 가져야 합니다. |
| 미리 선택된 카테고리 | 침묵과 미리 선택된 체크박스는 동의를 의미하지 않습니다. | 필수적이지 않은 범주는 기본적으로 비활성화되어 있습니다. |
| 동의 없이 분석 | 대부분의 회원국에서 면제되지 않음 | 예외 사항 외에는 분석 및 측정은 별도의 범주를 형성합니다. |
| 쿠키 벽 | 개별 사례별로, 높은 기준 | 모든 쿠키를 수락해야만 콘텐츠에 접근할 수 있도록 설정하는 것은 허용되지 않습니다. |
| 취소 | 동의하는 것만큼 쉬워야 합니다 | 모든 페이지에서 설정에 접근할 수 있습니다. |
시행 신호는 실질적입니다. 2025년 9월 1일, 프랑스 데이터 보호 위원회(CNIL)는 구글, 3억 2500만 유로 벌금형 선고"개인 맞춤형 광고와 연결된 쿠키를 거부하는 것이 수락하는 것보다 더 어려웠기 때문에 동의가 자유롭게 이루어진 것이 아니다"라는 결론이 나왔습니다. 버튼 비대칭은 단순히 외관상의 문제가 아닙니다.
1단계 - 모든 태그를 목록화하고 각 필수 태그의 이유를 설명합니다.
깨끗한 브라우저 프로필에서 해당 사이트를 열고 모든 쿠키를 거부한 다음, 여전히 저장소에 쿠키를 설정하는 항목을 기록합니다. 그런 다음 모든 쿠키를 허용하고 차이점을 기록합니다. 각 쿠키 또는 저장소 키별로 한 줄씩 작성합니다. 이름, 설정자, 목적, 범주, 그리고 규제 기관에 설명할 내용을 적어주세요.
핵심 결정 사항은 필수성 여부이며, 그 책임은 데이터 관리자에게 있습니다. 유럽 데이터 보호 위원회(EDPB) 태스크포스는 필수성 평가의 현실적인 어려움을 인정하면서도, 데이터 관리자가 필수적이라고 분류한 항목의 필수성을 입증해야 한다는 점을 분명히 했습니다. 세션 인증, 장바구니 내용, 사기 방지 토큰은 필수 데이터 관리자의 통제를 받지만, 히트맵 도구, 테스트 라이브러리, 마케팅 픽셀은 그렇지 않습니다.
터키 전자상거래 결제 과정을 예로 들어 설명하자면, 세션 쿠키, 장바구니 토큰, 봇 방지 토큰은 필수적입니다. GA4, 메타픽셀, 리마케팅 광고, 세션 재생, 채팅 위젯 모두 동의가 필요합니다. 8개 중 6개가 동의를 받아야 하는데, 이는 대부분의 팀이 기록해 본 적 없는 비율입니다.
2단계 — 첫 번째 레이어의 접근성을 포함하여 수정합니다.
첫 번째 단계에는 누가 무엇을 왜 처리하는지에 대한 명확한 설명, 동일한 스타일의 "모두 수락" 및 "모두 거부" 옵션, 세부 설정에 대한 경로, 그리고 사전 선택된 항목이 없어야 합니다. 동등한 중요도는 측정 가능하게 만들면 더 쉽게 정당화할 수 있습니다.
- 두 개의 주요 버튼은 크기, 무게 및 처리 방식이 동일합니다. 하나가 채워진 버튼이면 다른 하나도 마찬가지입니다.
- 텍스트 대비는 최소 4.5:1, 버튼 테두리 및 기타 텍스트 이외의 UI 요소는 최소 3:1이어야 합니다. WCAG 2.2 기준 1.4.3 및 1.4.11. 태스크포스는 "텍스트와 버튼 배경 간의 대비가 너무 미미하여 텍스트를 읽을 수 없는" 배너를 표시했습니다.
- '거부' 버튼은 반드시 있어야 합니다. 태스크포스는 시각적 지원이 충분하지 않은 "'거부'와 같은 문구 뒤에 링크를 넣는" 방식의 거부 옵션을 거부했습니다.
- 키보드는 적절한 순서로 배치되어 있어 포커스를 방해하는 요소가 없습니다(WCAG 2.1.2). WCAG 감사 도구 대비 및 초점 순서 오류를 포착합니다.
그런 다음 작성한 내용을 EDPB의 6가지 패턴 유형(과부하, 건너뛰기, 자극, 방해, 변덕, 정보 차단)과 비교해 보세요. "자극"은 "사용자의 감정에 호소하거나 시각적 힌트를 사용하여 사용자의 선택에 영향을 미치는" 디자인을 의미하며, "최상의 경험을 위해 수용"이 바로 이러한 유형입니다.
3단계 — 두 번째 레이어와 출금 경로를 구축합니다.
두 번째 단계는 카테고리별 토글 설정으로, 기본적으로 모두 꺼져 있으며, 각 설정에는 목적 설명과 보존 기간이 있고, 각각 독립적으로 저장할 수 있습니다.
동의 철회는 구현상의 실패 지점입니다. 동의를 부여하는 것만큼 쉬워야 하며, KVKK 가이드에서는 모든 페이지에서 설정에 접근할 수 있어야 한다고 명시하고 있습니다. 바닥글에 고정된 링크나 작은 플로팅 컨트롤이 효과적이지만, 개인정보 처리방침에 한 줄만 추가하는 것은 적절하지 않습니다. 제품 페이지에서 두 번의 클릭만으로 동의를 철회할 수 있도록 테스트해 보세요.
4단계 — 거부 여부를 측정할 수 있도록 동의를 전송합니다.
이 단계에서 규정 준수로 인해 분석 데이터에 불이익을 받을지 여부가 결정됩니다. Google의 동의 모드 두 가지 모양이 있습니다:
- 기본 : 태그는 사용자가 상호 작용할 때까지 로드되지 않습니다. 사전에는 아무것도 전송되지 않으며, "기본 동의 상태조차도" 전송되지 않습니다. 이렇게 하면 방어하기는 쉽지만, 거부하는 사용자로부터의 모든 신호를 잃게 됩니다.
- 많은: 태그는 동의가 기본적으로 거부된 상태로 로드되고 쿠키 없는 핑을 전송합니다. 거부된 트래픽의 형태를 유지하면 모델링 자격을 얻게 됩니다.
고급 과정이 유일한 길입니다. 행동 모델링이는 "태그가 동의 대화 상자가 나타나기 전에 로드되어야 하며, Google 태그는 사용자가 동의하는 경우뿐만 아니라 모든 경우에 로드되어야 한다"는 것을 의미합니다. 적격성 평가는 모델링과는 다르다는 점에 유의하세요. Google은 공개된 기준을 충족한다고 해서 "적격성이 보장되는 것은 아니다"라고 명시하고 있습니다. 모델링된 수치는 참고 자료로만 활용하고, 실험의 최종 결과를 결정하는 지표로 절대 간주하지 마세요.
결정 지점: EEA, 영국 및 터키 트래픽을 모두 합쳐 하루 1,000건의 거부 이벤트를 처리할 수 없다면, 모델링에 기반한 측정 계획을 아예 세우지 마십시오. 서버 측 변환 데이터와 자체 주문 테이블을 신뢰할 수 있는 데이터 소스로 사용하십시오.
5단계 — 배너 자체를 악기로 만드세요
배너는 일종의 깔때기 단계이며, 거의 아무도 이를 측정하지 않습니다. 동의가 필요 없는 메커니즘을 통해 개인 데이터 없이 네 가지 이벤트를 기록합니다. 배너 표시(분모), 선택, 선택 내용, 두 번째 레이어 열기, 그리고 아무런 상호 작용 없음입니다.
네 가지 모두를 국가 및 기기별로 분류하세요. 모바일에서 상호작용이 일어나지 않는 비율은 예상치 못한 경우가 많지만, 선택 아키텍처를 건드리지 않고도 개선할 수 있는 부분입니다. 예를 들어 배너 높이, 주요 CTA를 가리는지 여부, 경로 변경 시마다 다시 나타나는지 여부 등을 조정할 수 있습니다.
6단계 - 테스트가 허용된 항목만 테스트하세요
공정하게 평가할 수 있는 요소는 배너 높이, 위치, 문구 명확성, 카테고리 이름, 레이어 2 레이아웃, 배너가 콘텐츠를 가리는지 여부입니다. 공정하게 평가할 수 없는 요소는 버튼 비대칭, 미리 선택된 체크박스, 숨겨진 거부 경로, 거부 과정에서 추가되는 단계입니다. 이러한 요소들은 실패한 변형이 아니라 발견된 사항입니다.
흔히 인용되는 자료에도 회의적인 태도를 가지세요. 첫 페이지의 동의 거부 문구를 삭제하면 "동의율이 22~23%포인트 증가한다"는 주장은 다음 출처에서 나온 것입니다. Nouwens 외, CHI 2020수천 개의 사이트를 대상으로 데이터를 수집했지만, 인과 관계 실험은 다음과 같이 진행되었습니다. 40 참가자방향성은 타당하지만, 그 규모를 벤치마크로 삼아서는 안 되며, 같은 논문에서 제시된 세부적인 1차 계층 제어에 대한 8~20점이라는 수치에도 동일한 주의 사항이 적용됩니다. 공급업체의 "평균 동의율" 수치는 더욱 신뢰할 수 없습니다. 이는 고객들이 자발적으로 선택한 결과이며, 독립적으로 검증할 수 없기 때문입니다.
현재 배너 점수: 14점
각각 1점씩. 12점 미만이면 검사 비용을 지출하기 전에 먼저 문제를 해결하세요.
| # | 체크 | 통과 임계값 |
|---|---|---|
| 1 | 첫 번째 레이어의 거부 옵션 | 버튼 형태로 제시합니다. |
| 2 | 시각적 동등성 수락/거부 | 크기, 무게, 내용물이 동일합니다. |
| 3 | 버튼 텍스트 대비 | ≥4.5 : 1 |
| 4 | 텍스트 이외의 UI 대비 | ≥3 : 1 |
| 5 | 미리 선택된 필수적이지 않은 카테고리 | 없음 |
| 6 | 쿠키 재고 목록이 문서화되었습니다. | 모든 열쇠에는 용도가 명시되어 있습니다. |
| 7 | 필수성 정당화 문서 | 필수 쿠키당 한 문장씩 |
| 8 | 선택 전에 태그가 실행되지 않습니다. | 깨끗한 프로필에서 검증됨 |
| 9 | 어떤 페이지에서든 탈퇴하기 | 2회 이하 클릭 |
| 10 | 키보드 조작 가능, 초점 걸림 없음 | WCAG 2.1.2 충족 |
| 11 | 감정적 자극을 주지 않는 광고 | "최고의 경험"이라는 틀은 없다 |
| 12 | 쿠키 없음 | 거부 후에도 접근 가능한 콘텐츠 |
| 13 | 동의 상태 기록됨 | 선택 항목별 기록이 보관됩니다. |
| 14 | 배너 깔때기 계측 | 네 가지 이벤트 모두 발사됨 |
이것이 무너지는 지점은 어디일까요?
이것은 인터페이스 및 측정 플레이북이지 법률 의견이 아니며, 네 가지 사항은 이와 무관합니다.
ePrivacy는 지침이므로 분석 면제 조항은 회원국마다 다르게 해석되며, 한 기관의 기준을 충족하는 설계가 다른 기관의 기준을 충족하지 못할 수도 있습니다. 법률 또한 변화하고 있습니다. 유럽 위원회의 디지털 옴니버스 제안이 그 예입니다. COM(2025) 837 최종본 (2025년 11월 19일)쿠키 규칙을 GDPR에 포함시키고 집계된 자사 사용자 측정 데이터는 제외하는 내용의 법안이 발의되었지만, 유럽 의회의 입법 기록을 보면 아직 초기 단계에 머물러 있으며, 2026년 3월 18일 유럽경제사회위원회(EESC)의 의견만 발표되었을 뿐 위원회 표결이나 이사회 입장은 공개되지 않았습니다. 3자 회담 개최 및 확정된 일정 발표 게시물이 해당 법안보다 앞서 게시되었습니다. 최신 규정에 맞춰 디자인하고, 재고를 신속하게 재분류할 수 있는 형태로 유지하세요.
또한, ATT와 안드로이드 동의 인터페이스가 자체적인 메커니즘을 사용하는 모바일 앱은 제외하고, 하나의 CMP를 가정합니다. 하나의 태그 컨테이너에 여러 브랜드가 있는 경우 도메인별로 동의 상태 범위를 지정해야 합니다. [내부 데이터 필요: Switas 배너 재구축 후 익명화된 동의율(전후) 및 모바일 비상호작용률(이상적으로는 EU 및 터키 웹사이트 각각 하나씩)을 이 기사에서 의도적으로 인용하지 않은 공급업체 벤치마크 데이터 대신 제공해야 합니다.]
자주하는 질문
"모두 거절" 버튼이 전환율을 낮추나요?
이는 동의율을 낮추는 것인데, 동의율과 온사이트 전환율은 전혀 다른 문제입니다. 온사이트 전환은 사용자가 광고 쿠키를 수락했는지 여부와 무관하며, 달라지는 것은 광고 플랫폼에서 전환을 측정하는 능력입니다. 수익 감소가 아닌, 측정 정확도 저하를 감안하여 예산을 책정해야 합니다.
구글 애널리틱스를 필수 분석 도구로 간주해도 될까요?
터키에서는 그렇지 않습니다. 개정된 KVKK 지침에 따르면 분석 및 측정은 기술적 전송 및 명시적으로 요청된 서비스에 대한 예외 조항에서 제외된 별도의 범주로 분류됩니다. EU에서는 회원국마다 입장이 다르지만, 일반적으로는 동의가 필요합니다.
기본 동의 모드 또는 고급 동의 모드?
법률팀에서 선택 전에 쿠키 없는 핑에 대해 명시적으로 이의를 제기하지 않는 한 고급 옵션을 선택하는 것이 좋습니다. 기본 옵션은 방어하기는 더 쉽지만 모델링 적격성을 포함하여 거부된 트래픽에 대한 모든 정보를 볼 수 없습니다.
거절당한 후 언제 다시 요청할 수 있나요?
현재 EU나 터키 규정에는 정해진 기간이 없습니다. 다만, 반복적인 안내가 방해 행위로 간주되어서는 안 된다는 요건이 있습니다. 디지털 옴니버스 법안은 목적별로 최소 6개월의 보관 기간을 추가하지만, 이는 아직 법으로 제정된 것은 아닙니다. 따라서 현재로서는 거부 기록을 6개월 동안 보관하고 재안내하지 않는 것이 타당한 정책입니다.
터키용 배너를 따로 만들어야 하나요?
일반적으로 별도의 배너는 필요하지 않지만, 국가별 카테고리 로직과 동일한 버튼 호환성을 갖춘 터키어 텍스트가 필요합니다. KVKK 규정은 EDPB 기준과 매우 유사하므로, 텍스트와 카테고리가 현지화되면 잘 만들어진 배너 하나로 두 가지 모두를 처리할 수 있습니다.
쿠키로 가득 찬 벽이 과연 용납될 수 있을까요?
해당 서비스는 이용할 수 없는 것으로 간주하십시오. KVKK 지침은 모든 쿠키 수락을 조건으로 콘텐츠 접근을 제한하는 것을 허용하지 않으며, EU의 기준은 매우 높습니다. 뉴스 사이트에서의 "동의 또는 유료" 방식은 별개의 논쟁적인 문제이며, 전자상거래의 표준 모델이 아닙니다.
이 감사는 얼마나 자주 재검토해야 합니까?
14가지 항목에 대한 평가를 분기별로, 그리고 태그 관리자 변경이나 새로운 공급업체 통합 직후에 실시하십시오. 대부분의 회귀 문제는 배너 디자인 변경이 아닌 새로운 픽셀 추가 형태로 나타납니다.
직접 배너를 제작하시거나, 저희에게 제출해 주세요.
이번 주에 실제 배너에 대한 14가지 검사를 실행하세요. 깨끗한 브라우저 프로필과 대비 검사 도구를 사용하면 1시간 이내에 완료됩니다. 인터페이스, 태그 레이어 및 동의 기록을 함께 감사하고 점수 대신 우선순위가 지정된 수정 목록을 받으려면 다음을 참조하세요. 접근성 및 규정 준수 감사에 대해 상담해 보세요..
지우면 좋을거같음 . SM
- EDPB, 쿠키 배너 태스크포스 보고서2023년 1월 17일 채택됨
- 유럽 데이터 보호 위원회(EDPB), 기만적인 디자인 패턴에 관한 가이드라인 03/2022버전 2.0은 2023년 2월 14일에 채택되었습니다.
- KVKK, Çerez Uygulamaları Hakkında Rehber (2025년 개정판)
- CNIL, Google에 3억 2,500만 유로의 벌금 부과, 1 9 월 2025
- 구글, 동의 모드 개요
- 구글, GA4 동의 모드 행동 모델링
- 구글, EU 사용자 동의 정책
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, GDPR 이후의 어두운 패턴, CHI 2020
- 유럽 의회 입법 열차, 디지털 옴니버스 규정 제안, COM(2025) 837 최종
