구글 크롬의 개인정보 보호 정책 '프라이버시 샌드박스(Privacy Sandbox)'의 핵심 취지와 디지털 광고 생태계 구도 변화

프라이버시 샌드박스는 구글이 크롬에서 서드파티 쿠키(다른 도메인이 심어 유저를 사이트 간에 추적하는 쿠키)를 없애되, 그 쿠키에 의존하던 광고 타겟팅·리마케팅·기여도 측정 기능을 브라우저 자체가 대신 제공하도록 설계한 6년짜리 프로젝트였습니다. 핵심 발상은 "개별 유저를 서버로 넘기지 말고, 브라우저 내부에서 익명화·집계된 신호만 광고주에게 전달하자"는 것이었고, 이를 위해 Topics API(관심사 그룹), Protected Audience API(구 FLEDGE, 리마케팅), Attribution Reporting API(기여도 측정) 등 여러 API가 함께 설계됐습니다.

구글은 2024년 7월 22일 공식 발표로 서드파티 쿠키를 강제로 전면 폐지하는 계획을 접었습니다. 대신 유저가 서드파티 쿠키 허용 여부를 직접 고르는 '선택 프롬프트'를 크롬에 새로 넣겠다고 밝혔습니다. 그런데 이 선택 프롬프트조차 2025년 4월 최종적으로 백지화됐습니다. 구글은 새 선택 화면을 띄우지 않고, 기존 개인정보·보안 설정의 쿠키 제어 방식을 그대로 유지하기로 확정했습니다. 즉 지금 크롬에서 서드파티 쿠키는 별도 동의 절차 없이 계속 작동하며, 폐지를 위한 구체적 시한도 없습니다.

쿠키가 유지되면서 업계가 굳이 새 API로 이전할 유인이 약해졌습니다. 여기에 낮은 채택률과 다른 브라우저 엔진의 미온적 반응까지 겹치자, 구글은 2025년 10월 Topics·Protected Audience·Attribution Reporting을 포함한 API 10종의 단계적 폐기를 발표했습니다. 크롬 144(2026년 1월경)부터 비활성화가 시작됐고, 완전 제거는 크롬 150 전후를 목표로 진행 중입니다(정확한 최종 버전은 자료마다 조금씩 다르게 보도돼 실무에서는 developer.chrome.com에서 최신 버전을 직접 확인해야 합니다).

정리하면 서드파티 쿠키는 남았고, 그걸 대체하려던 광고 타겟팅·기여도 측정용 API는 사라지는 중입니다. 다만 프라이버시 샌드박스 산하 기술 전부가 없어지는 건 아닙니다. CHIPS(파티션된 퍼스트파티 쿠키), FedCM(연합 로그인), Private State Tokens(부정 트래픽 판별)은 폐기 대상에서 제외돼 계속 유지됩니다. 이 셋은 광고 타겟팅용이 아니라 로그인·보안 인프라라는 점을 구분해야 합니다.

2년 전까지 업계는 "쿠키가 사라지니 대체 API에 맞춰 새 타겟팅·측정 체계를 다시 짜야 한다"는 전제로 움직였습니다. 지금은 그 전제 자체가 사라졌습니다. 서드파티 쿠키 기반 리타게팅·기여도 측정은 당분간 계속 쓸 수 있고, 오히려 프라이버시 샌드박스 API에 맞춰 미리 투자했던 팀들은 폐기되는 스펙에 맞춘 엔지니어링 자원을 되돌려야 하는 상황에 놓였습니다. 이 과목의 뒤 레슨들은 각 API의 원래 설계 원리를 개념 학습용으로 다루되, 실무 판단 기준은 "지금 살아있는 것"과 "역사적으로 이해해야 할 것"을 명확히 구분해서 안내합니다.

이 반전은 구글만의 문제가 아니라 업계 전체 신뢰의 문제로도 번졌습니다. 광고주·매체사는 한 브라우저 회사의 로드맵을 기준으로 수년간 엔지니어링 투자 방향을 잡았는데, 그 로드맵이 두 번 방향을 바꾼 셈입니다. 그래서 실무에서는 앞으로도 "특정 벤더가 발표한 단일 스펙"에 조직의 측정 인프라 전체를 종속시키는 결정을 신중하게 다뤄야 한다는 교훈이 남습니다. 서드파티 쿠키·퍼스트파티 데이터·서버사이드 태깅·컨텍스추얼 타겟팅처럼 서로 다른 여러 수단을 병행해두는 편이, 특정 API 하나의 생사에 사업 전체가 흔들리지 않는 안전판이 됩니다. 이 관점은 이후 레슨(특히 6강 실패 사례, 8강 데이터 요건 전환)에서 구체적으로 다시 다룹니다.