서드파티 쿠키 종료 이후 자사 데이터(퍼스트파티) 수집을 강화하는 CRM 전략

"서드파티 쿠키 종료"라는 전제부터 정확히 볼 필요가 있습니다. 구글은 2020년 크롬에서 제3자 쿠키를 단계적으로 폐지하겠다고 발표했으나 2024년 7월 22일 이 계획을 공식 철회했고, 크롬은 제3자 쿠키 지원을 계속 유지하기로 했습니다. 나아가 대체 기술로 개발하던 Privacy Sandbox API 10종은 2025년 10월 종료됐습니다.

그렇다고 아무 일도 없었던 것은 아닙니다. 애플 사파리와 모질라 파이어폭스는 크롬과 별개로 이미 수년간 기본값으로 제3자 추적 쿠키를 차단해 왔습니다. 사파리 트래픽 비중이 높은 국내 모바일 환경에서는 이미 진행 중인 현실입니다. 여기에 규제 강화가 별도로 퍼스트파티 데이터의 필요성을 높이고 있습니다.

쿠키가 아니라 식별과 동의입니다. 자사 채널에서도 로그인하지 않은 방문자는 익명으로 남고, 로그인해도 마케팅 활용 동의가 없으면 CRM 대상이 되지 않습니다. 게다가 브라우저 쪽에서는 자바스크립트로 생성한 퍼스트파티 쿠키의 수명이 최대 7일로 제한되고, 광고 클릭 파라미터가 붙어 유입된 세션의 쿠키는 24시간으로 더 짧게 제한됩니다.

그래서 CRM 관점의 과제는 "쿠키를 대체할 기술"이 아니라 "익명 방문을 식별 고객으로 바꾸는 비율"이 됩니다. 자사 식별자를 분석 도구에 연결하는 기능도 로그인 시점부터만 연결되고 로그인 전 익명 행동이 자동으로 소급되지는 않으므로, 로그인 트리거를 정확히 심는 작업이 선행돼야 합니다.

데이터 계층은 실무에서 네 단계로 구분됩니다. 제로파티는 고객이 자발적으로 제공하는 선호도나 구매 의도이고, 퍼스트파티는 자사 채널에서 직접 수집하는 데이터, 세컨드파티는 제휴로 공유받는 파트너의 퍼스트파티 데이터, 서드파티는 직접 관계가 없는 사업자로부터 구매하는 데이터입니다.

CRM에서 우선순위는 명확합니다. 거래 이력처럼 이미 확보한 퍼스트파티 데이터를 제대로 통합하는 것이 첫째이고, 그다음이 제로파티 확보입니다. 제로파티는 설문이나 취향 선택처럼 고객이 직접 알려주는 값이라 정확도가 높고 동의 근거가 명확하다는 장점이 있습니다. 다만 이 구분은 마테크 업계의 실무 분류이지 법률 용어가 아니므로, 개인정보 보호법상 개념과 혼동하지 않아야 합니다.

항목을 늘릴수록 관리 부담이 늘어납니다. 개인정보 보호법 제15조는 수집·이용에 명시적 동의를 요구하고, 제22조는 처리 목적별로 구분해 동의를 받도록 규정합니다. 수집 항목마다 어떤 목적으로 쓸지를 먼저 정하고 그 목적을 고지해야 하므로, "일단 모아 두자"는 접근은 나중에 쓸 수 없는 데이터를 쌓게 됩니다.

동의의 자유로움도 확인 대상입니다. 선택 동의를 거부했을 때 서비스 이용이 막히는 구조는 위반으로 판단되며, 실제로 그런 설계로 과징금이 부과된 사례가 있습니다. 수집 강화를 위해 동의를 사실상 강제하는 UI를 만들면 확보한 데이터 전체가 위험해집니다.

퍼스트파티 데이터를 광고에 쓰는 경로는 해시 매칭입니다. 광고주와 매체가 각자 같은 알고리즘으로 데이터를 해싱한 뒤 해시값끼리만 비교해 일치를 확인하는 방식이라, 매체가 원본 개인정보를 보유하지 않고도 매칭이 가능합니다. 구글은 업로드 전 앞뒤 공백 제거, 소문자 변환, 전화번호 국제 표준 형식 정규화 같은 규칙을 요구하고, 메타도 단방향 해싱을 쓴다고 안내합니다.

다만 해시 매칭이 완전 익명화를 뜻하지는 않습니다. 원본 식별자를 해시로 바꿔 전달하는 것 자체가 제3자 제공에 해당할 수 있어 별도의 제3자 제공 동의가 여전히 필요합니다. 매체별 정규화 세부 규칙도 완전히 같지 않으므로 한 매체용 파이프라인을 다른 매체에 그대로 재사용하면 매칭률이 떨어집니다.