GDPR을 준수하는 Google Analytics 도입

Google Analytics 4는 쿠키를 설정하거나 기기에서 식별자를 읽어들여 이용 데이터를 Google(미국)에 전송합니다. 이는 기술적으로 필요한 절차가 아닙니다.

실제로는 다음을 의미합니다. Google Analytics 태그는 방문자의 능동적인 동의 후에만 실행할 수 있습니다. GA가 이미 백그라운드에서 로드되는 동안 배너를 표시하기만 하는 것은 TDDDG 제25조 제1항의 요건을 충족하지 않습니다. 결정적인 것은 동의 전에 googletagmanager.com 또는 google-analytics.com의 스크립트가 로드되지 않고 식별자가 설정되지 않는 것입니다.

작동하는 동의가 있어도 미국으로의 이전은 별도의 확인 지점입니다. EU–미국 데이터 프라이버시 프레임워크(2023년 7월 10일 적정성 결정) 이후, Google이 프레임워크에서 인증되어 있는 한 Google LLC로의 이전은 원칙적으로 보장됩니다. 그럼에도 개인정보 처리방침에는 수신자, 목적, 법적 근거(동의), 보관 기간, 이전 근거를 명시해야 합니다.

Google Consent Mode v2를 사용하는 경우 “basic”과 “advanced”의 차이를 알아야 합니다. advanced 모드에서는 GA가 동의 전에도 익명의 쿠키 없는 핑을 보냅니다. 이것이 TDDDG 제25조와 양립하는지는 전문가들 사이에서 평가가 갈리며, basic 모드(동의 전 어떤 통신도 하지 않음)가 더 신중한 선택입니다.

이것은 위험한가요?

분석 목적의 기기 접근은 TDDDG 제25조 제1항에 따라 사전 동의가 있는 경우에만 허용되며, 이후의 처리는 GDPR 제6조 제1항 a호에 근거합니다. 실제로 작동하는 동의(거부해도 도구가 로드되거나 배너 자체가 없는 경우)가 없으면 법적 근거가 결여됩니다. 감독기관은 동의 없는 Analytics 통합에 대해 여러 차례 이의를 제기했습니다.

할 수 있는 조치

• Analytics 태그를 능동적 동의 이후에만 실행하는 동의 관리 도구를 사용하세요(단순히 배너만 표시하는 것으로는 부족합니다).
• GA4를 IP 익명화 및 Google 신호 비활성화 상태로 운영하고, 데이터 보관을 최소한으로 설정하세요.
• 개인정보처리방침에 Google을 수신자로, 목적(도달률 측정), 법적 근거(동의), 보관 기간, 미국으로의 이전을 명시하세요.
• 시크릿 창에서 개발자 도구의 「네트워크」 탭을 통해 「동의」 클릭 전에 GA가 로드되는지 확인하세요.

자주 묻는 질문

IP 익명화가 적용된 Google Analytics는 쿠키 배너 없이 충분한가요?

아니요. GA4는 기본적으로 IP 주소를 익명화하지만 여전히 기기에 식별자를 설정하거나 읽습니다. 이는 IP 단축과 무관하게 TDDDG 제25조 제1항에 따라 동의가 필요합니다.

Data Privacy Framework 덕분에 Google Analytics 4는 다시 문제가 없나요?

미국으로의 이전은 Google이 인증을 유지하는 한 원칙적으로 DPF로 보장됩니다. 기기 접근에 대한 동의 의무는 이와 무관하게 존속합니다.

GA가 동의 전에 로드되는지 어떻게 확인하나요?

비공개 창에서 페이지를 열고 개발자 도구의 “네트워크” 탭에서 “google”로 필터링한 후 배너를 확인하지 않고 페이지를 로드합니다. google-analytics.com 또는 googletagmanager.com에 대한 요청이 나타나면 태그가 너무 일찍 실행되는 것입니다.

위반 시 어떻게 되나요?

감독 기관은 처리를 금지하고 과징금을 부과할 수 있습니다. 정보주체는 GDPR 제82조에 따라 손해배상을 청구할 수 있습니다. 실무에서는 먼저 민원과 당국의 요구가 전면에 나옵니다.

consentglass가 도와드리는 방법

무료 검사는 제공된 HTML을 분석하여 어떤 서비스가 내장되어 있는지, 쿠키 배너가 감지되는지, 개인정보처리방침 및 사업자 정보 링크가 있는지 각 발견 사항에 대한 분류와 함께 보여줍니다. 법률 자문을 대체하지 않습니다.