Google Analytics(GA)는 _ga 및 _gid와 같은 쿠키를 사용하여 도메인에서 개별 사용자를 구별합니다. 이러한 쿠키는 반드시 필요한 것으로 분류되지 않으므로, 배포 전에 명시적인 사용자 동의를 요구하는 일반 개인정보 보호법(GDPR) 및 ePrivacy 지침에 명시된 요건을 충족해야 합니다. 이는 반드시 필요한 쿠키만 동의 의무에서 면제된다는 원칙과 일치합니다(European Parliament and Council, 2016).
EU 내 관할권에 따라 동의 요건이 다릅니다. 이는 데이터 보호 당국(DPA)의 다양한 해석과 집행에서 나타납니다.
- 영국 정보위원회(ICO)는 분석 쿠키를 비필수적인 것으로 분류하여 GA 쿠키를 활성화하기 전에 명시적인 사용자 동의를 요구합니다(ICO, 2020).
- 독일의 DPA는 데이터가 제3자에게 전송되는 경우에만 분석 쿠키에 대한 명시적인 동의를 요구하며, 이는 보다 조건부적인 접근 방식을 반영합니다(BfDI, 2021).
- 오스트리아 DPA, 프랑스 CNIL, 이탈리아 Garante와 같은 당국은 Google Analytics가 GDPR을 위반한다는 판결을 내렸으며, 이는 주로 데이터 전송 문제와 불충분한 안전 조치 때문입니다(CNIL, 2022; Garante, 2023).
이러한 판결은 다음에 중점을 둡니다.
- 제3국으로의 데이터 전송, 특히 GDPR에 따른 적정성 결정이 부족한 미국으로의 전송.
- Google 서버로 전송되는 개인 데이터의 불충분한 익명화 또는 가명화.
- 명시적 동의 없이 GA를 통해 개인 데이터를 처리하기 위한 유효한 법적 근거의 부재.
웹사이트 운영자에게 미치는 영향은 상당합니다:
- GA 쿠키를 배포하기 전에 명시적이고 정보에 입각한 동의를 얻어야 합니다.
- GA 사용이 관할권별 DPA 가이드라인을 준수하는지 평가해야 합니다.
- 규정 준수를 보장하기 위해 대안 또는 추가 조치(예: 서버 측 추적, 강화된 익명화)가 필요할 수 있습니다.
요약하자면, GDPR 하에서 Google Analytics 사용은 동의 요건에서 면제되지 않으며, 여러 DPA에서 쿠키 사용 및 국경 간 데이터 전송과 관련된 개인 정보 보호 위험으로 인해 명시적 동의를 강조하는 강력한 규제 신호를 보내고 있습니다. 규정을 준수하지 않을 경우 벌금을 포함한 규제 조치가 취해질 수 있습니다.
