12CODE

라이브러리 › 114

프라이버시·퍼스트파티 데이터 전략: 쿠키리스 대응

114 · 수집일 2026-08-29 · 팩트 11건

핵심 팩트

11건
확실 후기
구글은 제3자 쿠키 대체 기술로 개발하던 Privacy Sandbox API 10종(Attribution Reporting, Topics, Protected Audience 등)을 2025년 10월 17일 종료했으며, 크롬 144(2026년 1월)부터 단계적 폐지를 시작해 크롬 150(2026년 7월) 시점 완전 제거를 목표로 한다.
주의이 API 종료는 '제3자 쿠키 제거'가 아니라 그 대체 기술의 폐기다. 정확한 버전 번호·일정은 구글 공식 발표문으로 재확인이 필요하며, 계정별로 롤아웃 시점이 다를 수 있다. (업계 매체 보도 기준, 구글 1차 공지 원문 미확인)
출처: 업계 매체(Usercentrics, Segwise) — Google Privacy Sandbox shutdown 보도, Privacy Sandbox 공식 블로그 정책 철회 발표 근거
확실 후기
제로파티 데이터(0th-party)는 고객이 자발적으로 브랜드에 직접 제공하는 정보(선호도·구매의도 등)다. 퍼스트파티 데이터(1st-party)는 자사 채널(웹사이트·앱)에서 자사가 직접 수집하는 데이터다. 세컨드파티 데이터(2nd-party)는 파트너사의 퍼스트파티 데이터를 제휴로 공유받는 것이다. 서드파티 데이터(3rd-party)는 직접 관계가 없는 데이터 애그리게이터로부터 구매하는 데이터다.
주의이 4단계 구분은 법률 용어가 아니라 마테크 업계에서 통용되는 실무 분류다. 개인정보보호법상 '개인정보'·'가명정보' 구분과는 별개 축이므로 혼동하지 않아야 한다. (복수 업계 매체 교차 확인)
출처: Epsilon / Amplitude / Tealium / Zuora — 마테크 업계 공통 정의(Forrester 제로파티 데이터 개념 최초 제시 기준)
확실 공식
구글 고객 매치(Customer Match)에 업로드하는 이메일·전화번호·이름 데이터는 SHA256(Hex 인코딩) 방식으로 해싱해야 하며, 해싱 전에 앞뒤 공백 제거, 소문자 변환, 전화번호는 E.164 형식 정규화, gmail.com/googlemail.com 이메일의 '.' 제거 처리가 필요하다. 국가·우편번호는 해싱하지 않는다.
주의정규화 규칙을 하나라도 어기면(예: 대문자 이메일 그대로 해싱) 매칭률이 급격히 떨어진다 — 업로드 전 반드시 정규화 파이프라인을 점검해야 한다. 모바일 광고 ID는 해싱하지 않고 원문 그대로 사용한다. (Google Ads Help)
출처: Google Ads Help — About the customer matching process
확실 공식
메타 맞춤 타겟(Custom Audiences)에 업로드하는 고객 식별자는 SHA-256으로 해싱되며, 이는 단방향(비가역) 암호화다. 메타는 업로드된 해시값을 자사 보유 해시값과 비교해 매칭하고, 매칭·비매칭 여부와 무관하게 처리 완료 후 해시 데이터를 삭제한다.
주의구글과 메타의 정규화 세부 규칙(소문자 변환, 공백 제거 등)이 완전히 동일하지 않을 수 있으므로, 매체별 공식 가이드를 각각 따라야 한다 — 한 매체용으로 만든 해시 파이프라인을 다른 매체에 그대로 재사용하면 매칭률이 떨어질 수 있다. (Meta Business Help Center)
출처: Meta Business Help Center — About Hashing Customer Information
확실 공식
GDPR은 위반 수준에 따라 2단계 과징금 구조를 둔다: 경미한 위반은 최대 1,000만 유로 또는 전 세계 연간 매출액의 2% 중 더 큰 금액, 중대한 위반(핵심 데이터 처리 원칙·정보주체 권리 침해 등)은 최대 2,000만 유로 또는 전 세계 연간 매출액의 4% 중 더 큰 금액이 상한이다.
주의실제 부과액은 이 상한선이 아니라 위반의 심각성·의도성·지속기간·협조 여부 등을 종합해 개별 산정된다 — '무조건 4%'로 단정하면 안 된다. 개별 기업의 정확한 과징금 사례는 이번 조사에서 확정 인용하지 않았다. (GDPR Art. 83 일반 원칙)
출처: GDPR 원문(Art. 83) 기반 정리 — gdpr-info.eu
확실 공식
캘리포니아 소비자프라이버시법(CCPA/CPRA)은 위반 1건·소비자 1인당 과태료를 규정한다(캘리포니아 민법 §1798.155). 법정 기본 금액은 비의도적 위반 2,500달러, 고의적 위반(또는 미성년자 정보 관련 위반) 7,500달러이며, 캘리포니아 개인정보보호청(CPPA)이 격년(홀수 연도 1월) 물가 조정을 해 2025년 기준 비의도적 2,663달러·고의적 7,988달러로 상향됐다.
주의이 금액은 '건당·소비자 1인당'이라 대규모 데이터 유출 시 총액이 매우 커질 수 있다. 2026년 이후 추가 조정 여부는 CPPA 공식 발표로 재확인이 필요하다 — 이 조사 시점(2026-08) 이후 새 공지가 있었을 수 있다. (CPPA 공식 발표(2024-12-17 시점 기준))
출처: California Privacy Protection Agency(CPPA) — 2025 Increases for CCPA Fines and Penalties 공지
논쟁 일반지식
한국 개인정보보호법은 2020년 데이터3법 개정으로 가명정보 처리에 관한 특례 조항을 신설해, 통계작성·과학적 연구·공익적 기록보존 등 목적에는 정보주체 동의 없이 가명정보를 처리할 수 있도록 하는 예외를 두고 있다는 것이 통설이다.
주의마케팅 목적 활용이 이 특례의 '동의 없는 처리' 범위에 자동으로 포함된다고 단정할 근거가 없다 — 통계·연구·공익 기록보존 목적으로 좁게 해석되는 경향이 있다는 게 통설이나, 정확한 조문 번호·2026년 현재 유효 범위는 이번 조사로 확정하지 못했다. 레슨 집필 시 '미확인, 개인정보보호위원회·국가법령정보센터에서 최신 조문 확인 필요'로 안내할 것. (미확인 — 국가법령정보센터 원문 직접 대조 필요)
출처: 2020년 데이터3법 개정 관련 업계·법조계 통설(이번 세션 내 국가법령정보센터 원문 재검색은 하지 않음)
확실 공식
해시 매칭 기반 리타게팅은 원본 개인정보(이메일·전화번호)를 매체사에 평문으로 전달하지 않고, 광고주와 매체사 양쪽이 동일한 해시 알고리즘으로 각자 데이터를 해싱한 뒤 그 해시값끼리만 비교해 일치 여부를 확인하는 방식이다. 이를 통해 매체사는 원본 개인정보를 보유하지 않고도 광고주의 고객 리스트와 자사 로그인 사용자를 매칭할 수 있다.
주의해시 매칭이 '완전 익명화'를 의미하지는 않는다 — 원본 식별자를 해시로 변환해 전달하는 것 자체가 개인정보보호법상 '제3자 제공'에 해당할 수 있어, 별도의 제3자 제공 동의가 여전히 필요하다(third-party-provision-consent-separate 참고). (PIPA 제17조 원칙과의 교차 해석, 12code 자체 정리)
출처: Google Ads Help(Customer Match) / Meta Business Help Center(Custom Audiences) 공통 원리 정리
확실 공식
구글 고객 매치의 매칭률(match rate)은 업로드한 리스트가 실제 구글 로그인 사용자와 얼마나 일치하는지를 나타내며, 데이터 최신성·정규화 정확도·식별자 종류(이메일 vs 전화번호 vs 이름+주소 조합) 등에 따라 달라진다.
주의매칭률이 낮으면 업로드한 오디언스 규모 자체가 작아져 캠페인 도달·최적화 신호가 부족해진다 — 원본 데이터 품질(오탈자, 오래된 이메일)부터 먼저 점검해야 한다. (Google Ads Help)
출처: Google Ads Help — About Customer Match match rates