데이터와 식별자: 광고가 "나에게 맞는 광고"가 되는 원리

같은 시간에 같은 페이지를 두 사람이 열어도 보이는 광고는 다릅니다. 한 사람에게는 어제 장바구니에 넣었던 운동화가, 다른 사람에게는 최근 검색한 항공권이 나타납니다. 이 차이를 만드는 것이 데이터와 식별자입니다.

4편까지 다룬 실시간 경매(RTB, Real-Time Bidding) 메커니즘에서 수요측 플랫폼(DSP, Demand-Side Platform)이 특정 사용자에게 입찰하는 이유는, 그 사용자가 “누구인지”를 어떤 방식으로든 알기 때문입니다. 그리고 2025년 10월 17일, 서드파티 쿠키(Cookie)를 대체하겠다던 구글(Google)의 6년간의 시도, 프라이버시 샌드박스(Privacy Sandbox) 광고 관련 API가 공식적으로 폐기됩니다. 쿠키는 크롬(Chrome)에서 살아남았지만, 사파리(Safari)와 파이어폭스(Firefox)에서는 이미 수년째 차단 중입니다. 광고 산업은 쿠키가 있는 환경과 없는 환경을 동시에 다뤄야 하는 시대에 들어섰습니다.

이 글은 광고가 정밀해지는 메커니즘의 전체 그림을 다룹니다. 데이터의 종류부터 데이터 인프라(데이터 관리 플랫폼과 고객 데이터 플랫폼), 식별자의 역사와 종말, 모바일 식별 환경, 쿠키 대체재, 인접 기술(쿠키 싱크와 서버 사이드 트래킹), 법규의 영향, 동의 관리 플랫폼까지 아홉 개 섹션을 순서대로 짚겠습니다.

1편에서 4편까지 다룬 용어를 짧게 재설명하며 진행하기 때문에 이 글만 먼저 읽어도 따라올 수 있습니다. 다만 DSP, 공급측 플랫폼(SSP, Supply-Side Platform), RTB의 기본 개념이 익숙하면 흐름이 더 자연스럽습니다.

1. 데이터의 종류: 퍼스트파티, 세컨드파티, 서드파티, 제로파티

광고에 쓰이는 데이터는 모두 같은 데이터가 아닙니다. 누가 수집했는지, 누구의 데이터인지, 어떻게 공유되는지에 따라 네 가지로 갈립니다. 쿠키 차단이 확산된 이후 이 분류가 더 중요해졌습니다. 어떤 데이터를 갖고 있느냐가 곧 광고의 정밀도와 지속 가능성을 결정하기 때문입니다.

구분	수집 주체	대표 사례	정확도	법적 위험	쿠키 차단 영향
퍼스트파티	자사	CRM, 구매 이력, 앱 로그	높음	낮음 (직접 동의)	영향 적음, 오히려 가치 상승
세컨드파티	파트너사	항공사-호텔 데이터 교환, RMN	높음	중간 (계약 범위 의존)	영향 적음
서드파티	데이터 브로커	DMP 오디언스 세그먼트	낮음~중간	높음 (수집 경로 불투명)	직격탄
제로파티	사용자 본인	관심사 설문, 위시리스트	가장 높음	가장 낮음 (명시적 제공)	영향 없음, 가치 상승

퍼스트파티 데이터(1st-party Data)는 자사 사이트, 앱, CRM(Customer Relationship Management)에서 직접 수집한 데이터입니다. 구매 이력, 방문 기록, 앱 행동 데이터가 여기에 해당하며, 정확도가 높고 법적 안정성이 큽니다. 제 3자 쿠키를 차단하려는 움직임이 시작된 이후 가장 중요한 데이터 자산으로 자리잡았습니다.

세컨드파티 데이터(2nd-party Data)는 다른 회사의 퍼스트파티 데이터를 계약으로 공유받은 것입니다. 항공사와 호텔 간 데이터 교환이나 리테일 미디어 네트워크(RMN, Retail Media Network)의 구매 데이터 활용이 대표적이며, 자사에 없는 고객 신호를 확보할 수 있다는 점이 핵심입니다.

서드파티 데이터(3rd-party Data)는 데이터 브로커가 여러 출처에서 수집·가공한 데이터입니다. DMP(Data Management Platform)를 통해 오디언스 세그먼트로 활용됐지만, 쿠키 의존 구조 때문에 현재는 영향력이 크게 줄었습니다. 정확도와 신선도도 상대적으로 낮은 편입니다.

제로파티 데이터(Zero-party Data)는 사용자가 직접 제공한 데이터입니다. 관심사 선택, 설문, 위시리스트 등이 해당하며, 신뢰도가 가장 높습니다. 다만 사용자의 자발적 참여를 전제로 하기 때문에 수집 난이도가 있습니다.

2. 데이터 인프라: DMP와 CDP

이제 광고를 가능하게 하는 데이터 인프라를 살펴봅니다.

1) 데이터 관리 플랫폼(DMP, Data Management Platform)

다양한 출처의 데이터, 특히 서드파티 데이터를 묶어 오디언스 세그먼트를 만드는 플랫폼입니다. 쿠키 시대의 광고 타겟팅을 떠받치던 인프라입니다. “20대 여성 중 최근 3개월 안에 화장품을 검색한 이용자” 같은 세그먼트를 만들어 DSP에 공급하는 자리입니다.

DMP의 작동은 세 단계로 풀립니다. 첫째, 여러 매체사 사이트와 앱에 심긴 픽셀과 SDK를 통해 이용자의 행동 데이터를 익명 쿠키 ID 단위로 수집합니다. 둘째, 수집한 데이터를 카테고리·관심사·구매 의도 같은 축으로 분류해 세그먼트를 만듭니다. 셋째, 만들어진 세그먼트를 DSP에 공급해, 광고주가 캠페인 타겟팅에 그 세그먼트를 그대로 쓸 수 있게 합니다. 광고주가 DSP에서 “20대 여성, 최근 화장품 관심” 세그먼트를 선택하면, DMP가 미리 묶어둔 쿠키 ID 풀이 그 입찰 대상이 됩니다.

DMP가 다루는 데이터는 출처에 따라 세 종류로 나뉩니다.

데이터 종류	정의	예시	DMP에서의 비중
퍼스트파티(1st-party)	자사가 직접 수집한 데이터	자사 사이트 방문자, 회원 가입 이력	보조적
세컨드파티(2nd-party)	파트너로부터 받은 파트너의 퍼스트파티 데이터	제휴사가 공유한 회원 데이터	보조적
서드파티(3rd-party)	데이터 브로커에서 사들인 외부 데이터	액시엄(Acxiom), 익스피리언(Experian) 등의 데이터	핵심

DMP의 강점은 서드파티 데이터를 대규모로 묶어 익명·확률적 오디언스를 만드는 것이었습니다. 한 매체사 안에서는 모이지 않는 큰 풀의 오디언스를 만들 수 있다는 점이 DMP의 가치였고, 광고주가 자사 데이터가 부족해도 외부 세그먼트로 캠페인을 운영할 수 있게 해주었습니다. 대표 사업자로는 오라클 블루카이(Oracle BlueKai), 어도비 오디언스 매니저(Adobe Audience Manager), 세일즈포스 오디언스 스튜디오(Salesforce Audience Studio) 같은 이름이 있습니다.

흔들리는 DMP 시장

다만 DMP의 시장 위치는 2026년 시점에 흔들리고 있습니다. DMP의 작동 자체가 서드파티 쿠키와 모바일 광고 식별자(IDFA) 같은 매체·앱을 가로지르는 식별 인프라에 의존하기 때문입니다.

이 인프라는 이미 절반이 좁아진 상태입니다. 사파리(Safari)와 파이어폭스(Firefox)는 서드파티 쿠키를 차단했고, 애플은 2021년 IDFA 추적 제한으로 모바일 앱 환경의 식별자 기반 추적을 막았습니다. 시장 점유율 1위인 크롬(Chrome)에서 구글이 2024년 7월 쿠키 폐기 계획을 철회하고 2025년 10월에는 대안으로 추진하던 프라이버시 샌드박스(Privacy Sandbox) API 다수도 폐기하면서, 크롬 안의 서드파티 쿠키는 그대로 살아남았습니다. 다만 이것이 DMP의 부활을 의미하지는 않습니다. 이미 막힌 사파리·파이어폭스·모바일 앱 환경이 풀린 게 아니기 때문입니다.

DMP의 가치는 “여러 매체와 디바이스를 가로지르는 큰 익명 풀”을 만드는 것이었습니다. 그런데 디바이스·브라우저·앱 환경마다 식별 가능성이 다른 파편화된 상태가 고착되면, 그 풀의 크기와 신뢰도가 모두 약해집니다. 광고주 입장에서 DMP의 세그먼트에 의지할 이유가 줄어든 셈입니다. 시장의 반응도 이미 나오고 있습니다. 오라클은 2024년 광고 사업(블루카이 포함)에서 사실상 철수를 선언했고, DMP 카테고리 전반이 빠르게 위축되고 있습니다.

2) 고객 데이터 플랫폼(CDP, Customer Data Platform)

자사 퍼스트파티 데이터를 중심으로 식별 가능한 개인 단위 데이터를 모으는 플랫폼입니다. 회원 가입, 구매 이력, 앱 행동, 이메일 응답, 고객 지원 이력처럼 회사가 직접 수집한 데이터를 통합·관리합니다.

CDP의 작동은 DMP와 결이 다릅니다. 세 단계로 정리하면 다음과 같습니다.

단계	무엇을 하는가	예시
1. 통합	한 회사 안에 흩어져 있는 데이터를 한 사람 단위로 묶음	웹사이트, 앱, CRM, 매장 POS, 고객 지원 시스템
2. 식별	묶인 프로필을 영구 식별자에 연결	회원 ID, 이메일, 전화번호
3. 공급	이 프로필을 여러 마케팅 도구에 동시에 공급	광고(DSP), 마케팅 자동화(이메일·앱 푸시), 분석 도구, 개인화 엔진

DMP가 광고 타겟팅 한 자리에 데이터를 보내는 도구라면, CDP는 자사의 모든 마케팅 도구에 데이터를 보내는 허브에 가깝습니다.

CDP의 강점은 식별 가능성과 데이터 수명입니다. 쿠키처럼 만료되지 않고, 회원 ID 단위로 광고와 CRM과 분석을 한 사람에게 연결할 수 있습니다. 크롬에서 쿠키가 살아남았다고 해도 사파리·파이어폭스·모바일 앱 환경에서 식별이 어려워진 상황은 변하지 않았기 때문에, 광고주 입장에서 의지할 수 있는 데이터의 무게중심은 자사가 직접 통제하는 퍼스트파티 데이터로 옮겨가고 있습니다.

대표 사업자로는 세그먼트(Segment, Twilio 자회사), 엠파티클(mParticle), 어도비 리얼타임 CDP(Adobe Real-Time CDP), 세일즈포스 데이터 클라우드(Salesforce Data Cloud) 같은 이름이 있습니다. 글로벌 시장이 빠르게 자리잡고 있고, 한국에서도 카카오·네이버·삼성SDS 같은 사업자가 CDP 솔루션을 내놓으면서 시장이 형성되고 있습니다.

3) DMP와 CDP의 차이

비교 축	DMP	CDP
데이터 출처	서드파티 중심	퍼스트파티 중심
식별 단위	익명 쿠키 ID, 확률적 매칭	회원 ID, 이메일, 전화번호 등 영구 식별자
식별 가능성	익명, 확률적	식별 가능한 개인 단위
데이터 수명	짧음 (쿠키 만료, 30~90일)	길게 보존 가능 (회원 단위)
핵심 활용	광고 타겟팅	광고 + CRM + 분석 + 개인화
결합 도구	DSP	DSP, CRM, 마케팅 자동화, 분석 도구, 개인화 엔진
시장 흐름	식별 환경 파편화로 위축	퍼스트파티 데이터 중심으로 부상

DMP가 “여러 매체에서 모은 익명 풀”을 다루는 도구라면, CDP는 “내 고객 한 사람의 360도 프로필”을 다루는 도구입니다. 같은 데이터 인프라라는 단어 아래 작동 결이 다른 두 도구의 무게중심이 옮겨가고 있고, 그 동인은 단순한 “쿠키 종말”이 아니라 매체와 디바이스마다 식별 가능성이 다른 파편화된 환경의 고착입니다. 이 환경의 본격적인 메커니즘은 5편에서 다룹니다.

4) CDP, 픽셀, SDK, 제품 분석 도구의 차이

CDP를 처음 접하면 자주 떠오르는 질문이 있습니다. “페이스북 픽셀이나 앱스플라이어 SDK로도 이용자 행동 데이터는 모을 수 있고, 믹스패널(Mixpanel) 같은 제품 분석 도구로도 이용자 행동을 볼 수 있는데, CDP가 굳이 따로 필요한가?” 이 질문에 답하려면 세 도구가 푸는 문제가 다르다는 점을 짚어야 합니다.

먼저 픽셀과 SDK는 데이터 수집의 입구입니다. 픽셀은 웹페이지에 심는 작은 추적 코드(HTML 또는 JavaScript 스니펫)이고, SDK는 모바일 앱에 통합해 쓰는 라이브러리입니다. 이용자가 페이지를 열거나 버튼을 누르거나 결제를 완료할 때마다 그 이벤트를 정해진 서버로 전송하는 일을 합니다. 페이스북 픽셀, 구글 태그(gtag), 틱톡 픽셀이 웹의 대표 사례이고, 앱스플라이어(AppsFlyer) SDK, 애드저스트(Adjust) SDK, 페이스북 SDK가 모바일 앱의 대표 사례입니다. 이 도구들의 일은 “이벤트를 잡아서 정해진 서버로 보낸다”까지이고, 받은 데이터를 어디에 저장하고 어떻게 활용할지는 이 도구들의 일이 아닙니다.

다음으로 제품 분석 도구(Product Analytics)는 수집된 행동 데이터를 분석하는 도구입니다. 믹스패널, 앰플리튜드(Amplitude), 구글 애널리틱스 4(GA4) 같은 사업자가 여기에 속합니다. 이용자가 가입에서 결제까지 가는 경로(퍼널), 기능별 사용 빈도, 코호트 리텐션 같은 지표를 보여줍니다. 이 도구들의 목적은 “프로덕트가 잘 돌아가고 있는가”를 보는 것이지, 마케팅 도구에 데이터를 공급하는 것이 아닙니다.

CDP는 그 위 자리입니다. 픽셀·SDK가 모은 행동 데이터, 제품 분석 도구가 보고 있는 데이터, CRM에 들어 있는 회원 정보, 매장 POS의 구매 이력을 한 사람 단위로 묶고, 영구 식별자에 연결한 뒤, 광고 도구·이메일·앱 푸시·개인화 엔진에 동시에 공급하는 허브입니다. 데이터를 모으는 도구도 아니고, 데이터를 보는 도구도 아니고, 데이터를 활용 도구들 사이에 분배하는 도구입니다.

한 눈에 비교하기

비교 축	픽셀·SDK	제품 분석 도구	CDP
핵심 역할	데이터 수집	데이터 분석·시각화	데이터 통합·분배 허브
다루는 데이터	웹·앱 행동 이벤트	웹·앱 행동 이벤트	행동 + CRM + 거래 + 고객 지원 등 전 영역
식별 단위	익명 ID 또는 SDK 사용자 ID	익명 ID 또는 SDK 사용자 ID	영구 식별자 (회원 ID, 이메일 등)
목적	이벤트를 정해진 서버로 전송	프로덕트 사용성 분석	마케팅 도구 전반에 통합 프로필 공급
출력 대상	분석 도구, 광고 플랫폼, CDP	대시보드, 리포트	DSP, 이메일, 앱 푸시, CRM, 개인화 엔진
대표 사업자	페이스북 픽셀, 구글 태그, 앱스플라이어, 애드저스트	믹스패널, 앰플리튜드, GA4	세그먼트, 엠파티클, 어도비 리얼타임 CDP

세 도구는 경쟁 관계가 아니라 위계가 다른 도구입니다. 픽셀과 SDK가 데이터를 모으고, 제품 분석 도구가 그 데이터로 프로덕트를 본다면, CDP는 그 데이터(와 다른 출처의 데이터)를 모두 묶어 마케팅 도구에 흘려보냅니다. 실제 회사 환경에서는 세 도구가 함께 쓰이는 경우가 많습니다. 페이스북 픽셀로 광고 전환을 추적하고, 믹스패널로 프로덕트를 분석하고, 세그먼트(CDP)로 회원 한 명의 모든 데이터를 묶어 광고·이메일·앱 푸시에 동시에 활용하는 식입니다.

DMP가 위축되는 환경에서 CDP가 부상하는 이유도 이 자리의 차이에 있습니다. 픽셀과 제품 분석 도구만으로는 광고 타겟팅에 쓸 통합 프로필을 만들지 못하고, DMP는 서드파티 데이터 약화로 작동 기반을 잃었기 때문에, 자사가 직접 통제하는 데이터를 한 사람 단위로 묶어 여러 마케팅 도구에 공급하는 CDP의 자리가 비어 있는 것입니다.

3. 식별자의 역사: 쿠키의 등장과 한계

디지털 광고의 식별 인프라는 1994년 쿠키 발명에서 시작됩니다. 이후 30년 동안 광고가 정밀해진 모든 메커니즘은 결국 쿠키 위에 쌓였습니다. 그리고 2017년부터 그 토대가 점진적으로 무너지기 시작합니다.

1) 쿠키의 등장과 쿠키의 종류

1994년 넷스케이프(Netscape)의 엔지니어 루 몬툴리(Lou Montulli)가 쿠키를 발명했습니다. 원래 목적은 사용자 식별과 상태 유지였습니다. 장바구니에 넣은 상품을 페이지를 이동해도 기억하게 만드는 용도였습니다.

구분	퍼스트파티 쿠키(First-party Cookie)	서드파티 쿠키(Third-party Cookie)
발급 주체	사용자가 방문한 사이트	외부 도메인 (제3자)
목적	사용자 식별, 상태 유지	사용자 추적, 광고 타겟팅
대표 사례	로그인 유지, 장바구니, 언어 설정	광고 리타겟팅, 사용자 행동 추적
사용자 인식	비교적 자연스러움	프라이버시 이슈 발생 가능
쿠키 차단 영향	제한적	직접적인 영향 (차단 대상)

쿠키는 두 종류로 나뉩니다. 퍼스트파티 쿠키(First-party Cookie)는 사용자가 방문한 사이트가 직접 발급하는 쿠키입니다. 로그인 상태 유지, 언어 설정 저장 같은 기능에 쓰입니다. 서드파티 쿠키(Third-party Cookie)는 사용자가 방문한 사이트가 아닌 외부 도메인이 발급하는 쿠키입니다. 광고 추적에 쓰이는 쿠키가 바로 이것입니다.

2) 쿠키 기반 광고의 작동 원리

서드파티 쿠키 기반 광고의 작동 원리를 단계로 풀면 다음과 같습니다.

이 메커니즘이 크로스 사이트 추적(Cross-site Tracking)입니다. 사용자가 여러 사이트를 돌아다녀도 같은 쿠키로 행동을 연결할 수 있기 때문에, 리타게팅(Retargeting)과 오디언스 세그먼트 구축이 가능해졌습니다.

3) 쿠키의 한계

쿠키 기반 식별에는 구조적 한계가 있습니다.

한계 구분	내용	영향
디바이스 단위 식별	하나의 사용자가 여러 기기 사용 시 각각 다른 사용자로 인식	사용자 통합 분석 불가, 중복 타겟팅 발생
앱 환경 미지원	브라우저 기반이라 모바일 앱에서는 작동하지 않음	앱 트래픽 추적 어려움
데이터 지속성	사용자가 쿠키 삭제 시 식별 정보 초기화	사용자 이력 단절, 타겟팅 정확도 저하
크로스 사이트 추적	여러 사이트를 넘나드는 사용자 추적 가능	프라이버시 침해 논란 발생
브라우저 정책 의존	브라우저가 차단 정책을 적용하면 사용 불가	산업 전반에서 활용성 급격히 감소

디바이스 단위로 작동하기 때문에 한 사람이 노트북과 스마트폰을 쓰면 두 명으로 인식됩니다. 모바일 앱에서는 작동하지 않습니다. 앱은 브라우저가 아닌 별도 환경이기 때문입니다. 사용자가 쿠키를 삭제하면 식별이 끊어집니다. 그리고 가장 근본적인 문제로, 크로스 사이트 추적이 프라이버시 침해 논란의 중심에 서게 됩니다.

또한, 프라이버시 이슈가 커지면서 브라우저들이 서드파티 쿠키를 차단하는 움직임을 보이기도 합니다.

브라우저	차단 시작 시점	방식
사파리 (애플)	2017년 지능형 추적 방지(ITP, Intelligent Tracking Prevention) 도입, 2020년 완전 차단	ITP
파이어폭스 (모질라(Mozilla))	2019년 기본 활성화	강화된 추적 방지(ETP, Enhanced Tracking Protection)
크롬 (구글)	2020년 폐기 계획 발표, 2025년 계획 철회	프라이버시 샌드박스 추진 후 중단

4. 프라이버시 샌드박스의 부상과 종결: 2025년 10월에 무슨 일이 있었나

프라이버시 샌드박스는 구글이 서드파티 쿠키를 대체하겠다며 제시한 새로운 기술 표준이었습니다. 5년 넘게 광고 산업 전체가 이 표준을 따라갔습니다. 그런데 2024년 7월부터 세 번의 반전이 연달아 일어납니다.

1) 프라이버시 샌드박스의 등장과 산업의 대응

2019년, 구글은 크롬에서 서드파티 쿠키를 폐기하겠다고 발표하면서 대체 기술 묶음인 프라이버시 샌드박스를 제안합니다. 핵심 API는 다음과 같았습니다. 토픽스(Topics), 보호 오디언스(Protected Audience), 어트리뷰션 리포팅(Attribution Reporting), 비공개 집계(Private Aggregation), 공유 저장소(Shared Storage) 등 10여 개의 API가 개인 식별 없이 광고 핵심 기능을 수행하도록 설계되었습니다.

광고 산업은 이 표준에 맞춰 대규모 투자를 시작합니다. DSP, SSP, 애드 네트워크(Ad Network)가 프라이버시 샌드박스 통합 작업에 들어갔고, IAB(Interactive Advertising Bureau)와 Prebid 같은 산업 단체가 표준 정합에 나섰습니다. 막대한 개발 자원이 쿠키 대체 준비에 투입되었습니다.

2) 세 번의 반전

2024년 7월, 첫 번째 반전

구글이 쿠키 폐기 계획을 철회합니다. 쿠키를 없애는 대신 사용자가 직접 선택하게 하겠다는 방향으로 전환했습니다. 산업의 반응은 혼란이었습니다. 수년간 준비한 작업의 전제가 바뀐 것입니다.

2025년 4월, 두 번째 반전

사용자 선택 프롬프트(Choice Prompt) 계획마저 취소합니다. 크롬의 기존 쿠키 설정을 그대로 유지하겠다는 결정이었습니다. 사실상 크롬에서의 서드파티 쿠키 유지 선언입니다.

2025년 10월 17일, 결정적 종결

구글이 프라이버시 샌드박스의 광고 관련 API를 전부 폐기한다고 발표합니다. 크롬과 안드로이드(Android) 양쪽 모두에서 폐기 대상이 되었습니다. 낮은 채택률과 산업계의 부정적 피드백이 주된 이유였습니다. 6년간의 산업 표준 전환 시도가 공식적으로 끝났습니다.

폐기된 주요 API와 살아남은 기술을 정리하면 다음과 같습니다.

폐기된 API	원래 역할
토픽스(Topics)	관심사 기반 광고
보호 오디언스(Protected Audience)	리타게팅
어트리뷰션 리포팅(Attribution Reporting)	전환 측정
비공개 집계(Private Aggregation)	집계 데이터 분석
공유 저장소(Shared Storage)	크로스 사이트 데이터 공유
IP 보호(IP Protection)	IP 주소 마스킹
온디바이스 개인화(On-Device Personalization)	기기 내 개인화
보호 앱 시그널(Protected App Signals)	앱 신호 보호 (안드로이드)
관련 웹사이트 세트(Related Website Sets)	관련 사이트 묶음
펜스드 프레임(Fenced Frames)	격리된 광고 프레임

유지되는 기술도 있습니다.

유지되는 기술	역할
독립 파티션 쿠키(CHIPS, Cookies Having Independent Partitioned State)	파티션된 쿠키 (퍼스트파티 맥락 유지)
연합 인증 관리(FedCM, Federated Credential Management)	프라이버시 친화적 로그인
비공개 상태 토큰(Private State Tokens)	봇 탐지 (사기 방지)

3) 크롬에서 쿠키는 살아있다, 그러나

구글의 결정이 극적으로 보이지만, 실질적인 영향은 제한적입니다. 사파리와 파이어폭스에서 서드파티 쿠키는 이미 차단 중이었고, 이 두 브라우저의 사용자에게는 쿠키 기반 광고가 수년째 작동하지 않았습니다. 크롬에서는 2026년 5월 현재에도 서드파티 쿠키가 작동합니다. 구글이 폐기 계획을 철회했기 때문입니다.

결과적으로 “쿠키 종말”이라는 표현은 정확히 절반만 맞습니다. 크롬에서는 쿠키가 살아 있지만, 광고 산업이 쿠키에만 의존할 수 있는 시대는 끝났습니다. 사파리와 파이어폭스 사용자를 식별할 수 없는 상황에서 쿠키 기반 전략만으로는 전체 도달 범위를 커버할 수 없기 때문입니다. 광고 산업은 이미 쿠키가 있는 환경과 없는 환경을 동시에 운영하는 하이브리드 체제로 이동했습니다.

5. 모바일 식별 환경: 쿠키가 통하지 않는 세계

모바일 앱에서는 쿠키가 작동하지 않습니다. 앱은 브라우저 환경이 아니기 때문입니다. 그래서 모바일에는 별도의 식별자가 만들어졌습니다. MAID(Mobile Advertising ID, 모바일 광고 ID)입니다.

MAID는 운영체제별로 하나씩 존재합니다. iOS에서는 광고주용 식별자(IDFA, Identifier for Advertisers), 안드로이드에서는 구글 광고 ID(GAID, Google Advertising ID)입니다. 둘 다 디바이스 단위로 발급되며, 사용자가 원하면 리셋하거나 비활성화할 수 있습니다. 쿠키처럼 앱 간 사용자 추적에 쓰이되, 앱 환경에서 작동한다는 점이 다릅니다.

그런데 이 식별자도 2021년 iOS의 앱 추적 투명성(ATT, App Tracking Transparency) 도입으로 큰 타격을 받습니다.

프라이버시 보호를 위한 지각 변공

(1) ATT: 2021년의 충격

2021년 4월, 애플(Apple)이 iOS 14.5에 ATT를 도입합니다. 앱이 IDFA를 수집하려면 사용자에게 명시적 동의를 요청해야 합니다. “이 앱이 다른 회사의 앱 및 웹사이트에서 사용자의 활동을 추적하도록 허용하겠습니까?”라는 팝업이 뜹니다.

결과는 광고 산업에 충격이었습니다. ATT 도입 직후 IDFA 동의 비율은 측정 기관에 따라 차이가 있지만 글로벌 기준 약 15% 안팎(앱스플라이어 기준 2021년 5월 16%)에 머물렀고, 2024년 중반에는 약 14%까지 하락했습니다. 2025년에는 프리프롬프트(pre-prompt)를 적극적으로 설계한 앱들이 동의 비율을 끌어올리면서 글로벌 평균이 약 35~50% 수준으로 회복되는 추세입니다. 다만 양쪽 앱(광고 게재 앱과 광고 대상 앱) 모두에서 동의를 받아야 어트리뷰션(Attribution)에 쓸 수 있기 때문에 실질 활용 비율은 이보다 낮습니다.

메타(Meta)는 2022년 2월 2021년 4분기 실적 발표에서 애플의 프라이버시 변경으로 인한 2022년 매출 영향을 약 100억 달러로 추정한다고 밝혔습니다. 이 수치 하나가 ATT의 산업적 파급력을 보여줍니다.

(2) SKAN과 AAK: 애플이 제시한 대안

애플은 IDFA 없이 어트리뷰션을 측정할 수 있는 표준으로 SKAdNetwork(SKAN)를 제시합니다. 개인 식별 없이 집계 데이터만 제공하는 방식입니다. 2022년 6월 WWDC에서 발표되어 2022년 10월 iOS 16.1과 함께 출시된 SKAN 4.0이 복수 포스트백(Postback)과 세분화된 전환값을 도입하면서 정밀도가 향상되었습니다.

2024년 WWDC에서 애플은 SKAN의 후속 프레임워크인 광고 어트리뷰션 키트(AdAttributionKit, AAK)를 발표합니다. AAK는 SKAN의 프라이버시 모델을 유지하면서 리인게이지먼트(Re-engagement) 측정, 대안 앱스토어 지원, 구성 가능한 어트리뷰션 윈도우(Attribution Window) 같은 기능을 추가했습니다. 2025년 WWDC에서는 겹치는 리인게이지먼트 윈도우, 구성 가능한 어트리뷰션 쿨다운(Cooldown), 포스트백 내 국가 코드 포함 등 주요 업데이트가 있었습니다. 애플은 AAK와 SKAN이 완전 상호운용 가능하다고 명시하고 있으며, SKAN의 공식 폐기 일정은 아직 발표되지 않았습니다. 2026년 5월 현재 SKAN 4.0이 운영 기준이지만, AAK가 장기적 후속 프레임워크로 자리잡고 있습니다.

(3) 안드로이드의 식별 환경 움직임

안드로이드에서도 프라이버시 샌드박스를 모바일에 적용하려는 시도가 있었습니다. 토픽스 API, 어트리뷰션 리포팅 API의 안드로이드 버전이 개발되었으나, 2025년 10월 크롬용 프라이버시 샌드박스와 함께 폐기되었습니다. 결과적으로 안드로이드에서는 GAID 기반 모델이 유지되고 있습니다. 애플처럼 ATT 수준의 강제 동의 메커니즘을 도입하지는 않았기 때문에, 안드로이드의 식별 환경은 iOS에 비해 상대적으로 변화가 적습니다.

iOS와 안드로이드의 모바일 식별 환경을 비교하면 다음과 같습니다.

비교 축	iOS	안드로이드
광고 식별자	IDFA	GAID
동의 메커니즘	ATT (명시적 사전 동의 필수)	사용자 설정에서 사후 해제 가능 (강제 아님)
어트리뷰션 표준	SKAN 4.0 / AAK	구글 플레이 설치 리퍼러(Referrer) 기반 (프라이버시 샌드박스 폐기)
2026년 5월 상태	IDFA 실질 활용 제한적, SKAN/AAK 병행	GAID 유지, 프라이버시 샌드박스 폐기

6. 쿠키 대체재: 새로운 식별 인프라들

쿠키가 모든 브라우저에서 작동하지 않게 되었어도 광고 산업은 멈추지 않습니다. 빈자리를 채우는 새로운 식별 인프라들이 등장했습니다. 다만 어느 하나가 쿠키만큼 보편적이지는 않습니다. 각각 강점과 한계가 뚜렷하며, 여러 방식을 조합하는 것이 현실적인 접근입니다.

대체재	작동 원리	식별 정밀도	적용 범위	법적 위험
유니버설 ID (UID2 등)	이메일/전화번호 해시 기반	높음 (결정적)	로그인 트래픽만	낮음 (동의 기반)
아이덴티티 그래프	다중 식별자를 하나의 프로필로 통합	높음	광범위 (오프라인 포함)	중간
디바이스 핑거프린팅	디바이스 신호 조합	중간	로그인 불필요	높음 (GDPR, 애플 금지)
문맥 타겟팅	페이지 콘텐츠 분석	낮음 (개인 식별 없음)	모든 트래픽	가장 낮음
코호트 기반	관심사 군 단위 매칭	낮음~중간	구현 의존	낮음

1) 유니버설 ID(Universal ID): 이메일 기반 결정적 식별

서드파티 쿠키 대신 이메일이나 전화번호 같은 결정적 식별자를 해시(Hash) 처리해 광고 식별에 쓰는 방식입니다.

대표적인 솔루션은 통합 ID 2.0(UID2, Unified ID 2.0)입니다. 오픈 웹 광고 거래의 선두주자인 더 트레이드 데스크(The Trade Desk)가 주도하고 IAB 테크 랩(IAB Tech Lab)이 거버넌스를 맡는 오픈소스 프레임워크입니다. 사용자가 사이트에 로그인하면 이메일 주소를 해시화한 뒤 암호화된 광고 식별자로 변환합니다. 버즈피드(BuzzFeed), 워싱턴 포스트(The Washington Post), 워너브라더스 디스커버리(Warner Bros. Discovery) 같은 매체사와 주요 DSP, SSP가 UID2를 지원하고 있습니다. 특히 커넥티드 TV(CTV, Connected TV) 환경에서 로그인 기반 인벤토리(Inventory)가 많아 UID2의 적용 범위가 넓습니다.

램프ID(RampID)는 LiveRamp의 데이터 연결 인프라를 기반으로 한 ID 솔루션입니다. ID5는 유럽 시장을 중심으로 확산되고 있는 보편 식별자입니다.

유니버설 ID의 핵심 한계는 사용자가 로그인해야 작동한다는 점입니다. 로그아웃 상태의 트래픽에서는 식별이 불가능합니다.

2) 아이덴티티 그래프(Identity Graph): 다중 식별자 통합

사용자가 가진 여러 식별자(이메일, 전화번호, 디바이스 ID, 쿠키)를 하나의 프로필로 묶는 기술입니다. 한 사람이 노트북에서는 이메일로, 스마트폰에서는 GAID로, 태블릿에서는 다른 이메일로 접속해도 같은 사람으로 인식합니다. LiveRamp, Epsilon, Neustar 같은 사업자가 이 인프라를 제공합니다. 크로스 디바이스(Cross-Device) 식별의 핵심 기술입니다.

3) 디바이스 핑거프린팅(Device Fingerprinting): 행동 기반 식별

디바이스의 여러 신호(브라우저 종류, 운영체제, 화면 해상도, 설치된 폰트, 플러그인 목록 등)를 조합해 고유한 지문을 만드는 방식입니다. 쿠키나 로그인 없이도 식별이 가능하다는 강점이 있지만, 법적으로 회색 지대에 놓여 있습니다. GDPR에서는 사실상 추적으로 간주하며, 애플은 핑거프린팅을 명시적으로 금지하고 있습니다.

4) 문맥 타겟팅(Contextual Targeting)의 부활

사용자가 아닌 페이지 콘텐츠를 분석해 광고를 매칭하는 방식입니다. 쿠키 시대 이전의 방식이지만, 인공지능(Artificial Intelligence, AI)의 발전으로 정밀도가 비약적으로 향상되었습니다. 검검(GumGum), 피어39(Peer39), 시드태그(Seedtag), 퍼뮤티브(Permutive) 같은 사업자가 AI 기반 문맥 분석을 제공합니다. 개인 식별을 하지 않기 때문에 프라이버시 규제에서 가장 안전한 방식이며, 7편에서 다룰 광고 검증 인프라와도 자연스럽게 연결됩니다.

5) 코호트(Cohort) 기반 접근

개인이 아닌 관심사 군(코호트) 단위로 광고를 매칭하는 방식입니다. 프라이버시 샌드박스의 토픽스 API가 이 접근을 구현하려 했습니다. 프라이버시 샌드박스 자체는 폐기되었지만, 코호트 개념은 다른 솔루션에서 변형되어 살아있습니다.

7. 인접 기술: 쿠키 싱크와 서버 사이드 트래킹

식별자가 여러 종류 있으니 그 사이를 연결하는 기술도 필요합니다. 쿠키 싱크(Cookie Sync)는 쿠키 시대의 연결 기술이었고, 서버 사이드 트래킹(Server-side Tracking)은 그 후속입니다.

1) 쿠키 싱크: 쿠키 시대의 배관

쿠키 싱크는 DSP의 쿠키 ID와 SSP의 쿠키 ID를 서로 연결하는 작업입니다. 같은 사용자를 DSP와 SSP 양쪽에서 식별해야 RTB 입찰이 의미를 가지기 때문입니다.

작동 방식은 다음과 같습니다. 사용자가 매체사 페이지를 방문하면 SSP가 1×1 픽셀(Pixel) 이미지를 통해 DSP 서버를 호출합니다. 이 과정에서 SSP의 쿠키 ID와 DSP의 쿠키 ID가 교환되고, 양쪽 시스템이 “이 쿠키가 같은 사용자”라는 매핑(Mapping) 테이블을 만듭니다. 이 매핑이 있어야 DSP가 입찰 요청(Bid Request)에 들어온 사용자를 자기 데이터와 대조할 수 있습니다.

쿠키 싱크의 한계는 서드파티 쿠키 차단이 확산되면서 점점 작동하지 않는다는 점입니다. 사파리와 파이어폭스에서는 이미 작동하지 않습니다.

2) 서버 사이드 트래킹: 클라이언트에서 서버로

서버 사이드 트래킹은 사용자 브라우저(클라이언트)가 아닌 서버에서 추적과 데이터 전송을 처리하는 방식입니다.

클라이언트 사이드 트래킹은 브라우저에서 직접 데이터를 수집하는 방식이지만, 쿠키 차단과 광고 차단기, 브라우저 정책 변화의 영향을 크게 받습니다. 태그가 로딩되지 않거나 차단되면 데이터가 누락될 수 있고, 다수의 스크립트 실행으로 페이지 로딩 속도에도 영향을 줍니다.

강점	설명
쿠키 차단 및 광고 차단기 우회	데이터가 브라우저가 아닌 서버 간 통신으로 전달되기 때문에, 브라우저의 쿠키 제한이나 광고 차단기의 영향을 받지 않음
데이터 손실 감소	클라이언트 사이드에서 태그가 로딩되지 않거나 차단되는 문제가 없어 안정적으로 데이터 수집 가능
페이지 로딩 성능 개선	무거운 광고/추적 태그가 브라우저에서 실행되지 않아 페이지 로딩 속도에 영향을 주지 않음

서버 사이드 방식의 강점은 세 가지입니다. 첫째, 브라우저의 쿠키 차단과 광고 차단기를 우회합니다. 데이터가 서버 간 통신으로 전달되기 때문입니다. 둘째, 데이터 손실이 줄어듭니다. 클라이언트 사이드에서 태그가 로딩되지 않거나 차단되는 경우가 없습니다. 셋째, 페이지 로딩 속도에 영향을 주지 않습니다. 무거운 태그가 브라우저에서 실행되지 않기 때문입니다.

대표 도구는 구글 태그 관리자(GTM, Google Tag Manager) 서버 사이드 기능, 메타 전환 API(Meta Conversions API, CAPI), 구글 향상된 전환(Google Enhanced Conversions)입니다. 7편에서 다룰 어트리뷰션과 측정 인프라에서 서버 사이드 트래킹이 핵심 기반이 됩니다.

8. 법규의 영향: GDPR, CCPA, 한국 개인정보보호법

식별자 환경의 변화를 끌어온 것은 기술이 아닙니다. 법입니다. 일반 개인정보 보호 규정(General Data Protection Regulation, GDPR, 2018), 캘리포니아 소비자 프라이버시 법(California Consumer Privacy Act, CCPA, 2020), 한국 개인정보보호법이 데이터 수집과 식별의 모든 절차를 다시 짜게 만들었습니다.

비교 축	GDPR (EU)	CCPA/CPRA (캘리포니아)	한국 개인정보보호법(PIPA)
발효	2018년 5월	2020년 1월 / 2023년 1월	2011년 (2020년 개정)
적용 대상	EU 거주자 데이터를 다루는 모든 회사	매출, 데이터 처리량 기준 충족 영리 법인	규모 무관, 모든 회사
동의 방식	사전 동의(Opt-in)	사후 거부(Opt-out)	사전 동의(Opt-in)
핵심 권리	접근권, 삭제권, 이동권, 자동화 거부권	접근권, 삭제권, 판매 거부권	접근권, 삭제권, 처리정지권
위반 시 최대 제재	전 세계 연매출 4% 또는 2,000만 유로	고의 위반 건당 7,500달러	전체 매출 3% 이하 과징금
집행 기관	각국 데이터 보호 기관(DPA, Data Protection Authority)	캘리포니아 법무장관, 캘리포니아 프라이버시 보호 기관(CPPA, California Privacy Protection Agency)	개인정보보호위원회(PIPC)

1) GDPR: 명시적 동의의 시대를 연 법

일반 개인정보 보호 규정(General Data Protection Regulation, GDPR)은 2018년 5월 EU에서 발효된 데이터 프라이버시 법입니다. EU 거주자의 데이터를 처리하는 모든 회사에 적용되며, 회사의 소재지는 관계없습니다. 한국 회사가 EU 고객의 데이터를 다룬다면 GDPR을 준수해야 합니다.

GDPR이 광고 산업에 미친 가장 큰 영향은 명시적 사전 동의(Opt-in) 요구입니다. 사용자가 동의하기 전에는 추적 목적의 쿠키를 발급할 수 없습니다. 이 한 가지 요구사항이 유럽의 웹 경험을 바꿨습니다. 사이트 접속 시 쿠키 동의 배너가 뜨는 것이 일상이 된 것입니다. 위반 시 전 세계 연매출의 4% 또는 2,000만 유로 중 높은 쪽이 과징금으로 부과될 수 있습니다. 2023년 5월 아일랜드 데이터 보호 위원회가 메타에 부과한 12억 유로 과징금이 역대 최대 사례입니다.

2) CCPA/CPRA: 미국식 접근

캘리포니아 소비자 프라이버시 법(California Consumer Privacy Act, CCPA)은 2020년 1월 발효된 미국 캘리포니아주의 데이터 프라이버시 법입니다. 2023년 1월에는 강화된 법인 캘리포니아 프라이버시 권리법(California Privacy Rights Act, CPRA)이 발효되었습니다.

GDPR과의 핵심 차이는 동의 방식입니다. GDPR이 사전 동의(Opt-in)인 반면, CCPA/CPRA는 사후 거부(Opt-out) 모델입니다. 기업이 데이터를 수집하되, 소비자가 원하면 데이터 판매를 거부할 수 있습니다. 적용 대상도 다릅니다. 연매출 2,500만 달러 이상이거나 10만 명 이상의 소비자 데이터를 처리하는 영리 법인에 한정됩니다.

3) 한국 개인정보보호법(PIPA)

한국 개인정보보호법(PIPA, Personal Information Protection Act)은 2011년 제정된 한국의 데이터 프라이버시법입니다. 2020년 데이터 3법 개정에 이어 2023년 9월 전면 개정안이 시행되며 과징금 산정 기준이 “관련 매출 3%”에서 “전체 매출 3%(위반 무관 매출 제외)”로 강화되었습니다. 규모와 매출에 관계없이 모든 회사에 적용됩니다. 명시적 동의를 요구하며, 민감정보(건강, 사상, 신조 등) 처리 시 별도 동의가 필요합니다.

한국 광고 산업에서의 영향은 구체적입니다. 쿠키 수집 동의와 맞춤형 광고 동의가 별도 항목으로 구분되며, 개인정보보호위원회(PIPC, Personal Information Protection Commission)가 독립 기관으로 집행을 담당합니다.

이 밖에도 광고 산업에 영향을 주는 규제가 있습니다. EU 디지털 서비스법(DSA, Digital Services Act, 2024)은 플랫폼 광고 투명성을 강화합니다. EU 디지털 시장법(DMA, Digital Markets Act)은 게이트키퍼(Gatekeeper, 대형 플랫폼)에 대한 규제로, 월드 가든의 데이터 독점에 영향을 줍니다. 미국 아동 온라인 프라이버시 보호법(COPPA, Children’s Online Privacy Protection Act)은 13세 미만 아동 대상 데이터 수집을 규제합니다.

4) 이외에도 중요한 법들

이 밖에도 광고 산업에 직접적인 영향을 주는 규제가 있습니다.

규제	적용 지역	핵심 내용	광고 산업 영향
디지털 서비스법 (Digital Services Act, DSA)	EU	플랫폼 광고 투명성 강화, 미성년자 타겟팅 제한	광고 노출 이유 공개 의무, 정치·사회 광고 규제, 타겟팅 범위 축소
디지털 시장법 (Digital Markets Act, DMA)	EU	게이트키퍼 플랫폼의 데이터 결합 제한	플랫폼 내 데이터 통합 어려움, 타겟팅 정밀도 감소, 월드 가든 영향
아동 온라인 프라이버시 보호법 (Children’s Online Privacy Protection Act, COPPA)	미국	13세 미만 아동 데이터 수집 시 부모 동의 필수	아동 대상 행동 타겟팅 제한, 컨텍스트 광고 중심 전환

이 외에도 지역과 산업에 따라 다양한 데이터 보호 규제가 존재합니다. 각 법규는 적용 범위와 요구사항이 다르기 때문에, 서비스를 운영하는 지역과 광고 집행 방식에 맞춰 사전에 검토하고 대응해야 합니다. 특히 광고 상품 구조, 타겟팅 방식, 데이터 수집 경로에 따라 규제 영향이 달라지므로, 단일 기준이 아니라 개별 서비스 맥락에서 판단하는 것이 중요합니다.

9. 동의 관리 플랫폼: 동의를 관리하는 인프라

법규가 명시적 동의를 요구하면서 새로운 산업이 생겼습니다. 동의를 수집하고, 기록하고, 광고 인프라에 전달하는 동의 관리 플랫폼(CMP, Consent Management Platform)입니다.

CMP는 사용자의 데이터 처리 동의를 수집, 저장, 전달하는 플랫폼입니다.

CMP의 작동 흐름은 다음과 같습니다.

CMP가 광고 거래에 끼어드는 지점은 입찰 요청입니다. 4편에서 다룬 RTB 메커니즘에서, 입찰 요청에 동의 신호가 포함됩니다. 동의가 없는 사용자에게는 DSP가 타겟팅 광고 입찰을 하지 않습니다. 이 과정을 표준화한 것이 IAB의 투명성 및 동의 프레임워크(TCF, Transparency and Consent Framework)와 글로벌 프라이버시 플랫폼(GPP, Global Privacy Platform)입니다.

2026년 5월 현재 주요 CMP 사업자는 OneTrust, Cookiebot(Usercentrics), Sourcepoint, TrustArc 등이 있습니다. 한국에서도 개인정보보호법 준수와 글로벌 시장 대응을 위해 CMP 도입이 증가하고 있습니다.

CMP는 단순한 동의 배너 도구가 아닙니다. 법규와 광고 인프라를 연결하는 필수 인프라입니다. GDPR이 동의 없는 추적을 금지하고, RTB가 동의 신호에 따라 입찰 여부를 결정하는 구조에서, CMP는 그 사이를 연결하는 배관 역할을 합니다.

2026년 5월 현재 이 구조의 가장 큰 특징은 단일 식별자의 시대가 끝났다는 점입니다. 쿠키가 모든 것을 해결하던 시대는 지나갔고, 유니버설 ID, 문맥 타겟팅, 퍼스트파티 데이터를 조합하는 하이브리드 체제가 현실입니다. 이 조합의 중심에 CDP가 서 있고, 법규와 CMP가 그 경계를 규정합니다.

데이터와 식별자가 준비되었으니, 다음 편에서는 광고주가 이 인프라 위에서 무엇을 만들고 어떻게 캠페인을 운영하는지를 다룹니다. 크리에이티브 자동화, 타겟팅 전략, 입찰 최적화, 캠페인 구조까지 광고주의 실행 영역입니다.

프로그래매틱 광고 시리즈

(1) 광고 거래의 진화와 주요 플레이어

(2) 광고가 거래되는 시장: 오픈 웹, 월드 가든, 리테일 미디어

(3) 광고로 거래되는 상품: 인벤토리와 콘텐츠

(4) RTB와 헤더 비딩의 메커니즘: 100ms 안의 경매

(5) 데이터와 식별자: 광고가 “나에게 맞는 광고”가 되는 원리

(6) 크리에이티브와 캠페인 운영: 광고를 만들고 올리기

(7)-① 측정·어트리뷰션·검증: 광고비와 성과 측정의 기본

(7)-② 측정·어트리뷰션·검증: 쿠키 논란 이후의 광고 측정 인프라

(7)-③ 측정·어트리뷰션·검증: 측정의 외부 검증과 매체 간 결합

[프로그래매틱 광고] (5) 데이터와 식별자: 광고가 “나에게 맞는 광고”가 되는 원리