쿠키 이후 시대의 디바이스 핑거프린팅: 2026년 규제 및 기술 지형도

"쿠키 이후 시대"라는 표현은 매우 다른 두 이야기를 하나로 뭉뚱그리며, 바로 이 혼동이 2026년에도 디바이스 핑거프린팅이 여전히 유효한지를 둘러싼 대부분의 혼란을 일으킨다. 한 이야기는 기술적이다. 브라우저는 서드파티 쿠키를 제한했다가 결국 제거했고, 대체 메커니즘을 구축했다. 다른 이야기는 법적이다. 규제 당국은 핑거프린팅이 쿠키와 동일한 규칙의 적용을 받는다는 점을 명확히 했다. 두 이야기 모두 실재하고, 모두 중요하며, 그리고 둘 다 흔히 "핑거프린팅은 죽었다"라고 오독되지만 실제로 이들이 확립한 사실은 훨씬 더 구체적이다.

이 글은 두 이야기를 모두 정리한다. 브라우저에서 무엇이 바뀌었는지, 법은 무엇을 말하는지, 그리고 이 둘이 어떻게 맞물리는지를 하나의 일관된 축으로 관통한다. 즉, 기술적 유효성과 법적 정당성을 모두 결정하는 것은 식별의 메커니즘이 아니라 목적이라는 점이다. 이 글의 독자는 디바이스 인텔리전스를 도입할지, 어떻게 도입할지를 결정하는 프라이버시·법무·엔지니어링 이해관계자다.

"쿠키 이후 시대"가 실제로 제거한 것

쿠키 이후로의 전환은 사이트 간 추적 메커니즘인 서드파티 쿠키를 제거하는 한편, 퍼스트파티 상태와 퍼스트파티 디바이스 식별은 그대로 남겨두었다. 이 구분은 핑거프린팅을 평가하는 데 있어 가장 중요한 단 하나의 사실이며, 동시에 가장 자주 놓치는 사실이다.

서드파티 쿠키는 주소창에 표시된 도메인이 아닌 다른 도메인이 설정하며, 그 서드파티가 자신의 코드가 실행되는 모든 무관한 사이트에서 사용자를 알아볼 수 있게 한다. 이것이 사이트 간 행동 기반 광고의 엔진이며, 브라우저가 해체한 대상이다. 반면 퍼스트파티 쿠키, 즉 실제로 방문 중인 사이트가 설정하고 그 사이트만 읽을 수 있는 쿠키는 애초에 표적이 아니었고 계속 작동한다.

브라우저들은 서로 다른 일정과 메커니즘으로 움직였지만 방향은 한결같았다. 사이트 간 서드파티 상태는 없애고, 퍼스트파티 관계는 보존한다는 것이다.

Safari(Intelligent Tracking Prevention). Apple의 ITP는 2020년부터 서드파티 쿠키를 기본적으로 차단했고, 추적 우회를 막기 위해 스크립트가 설정한 상태의 퍼스트파티 저장 수명을 점진적으로 단축해 왔다. ITP는 사이트 간 추적이라는 활용 사례를 특정해 겨냥한다.

Firefox(Enhanced Tracking Protection / Total Cookie Protection). Firefox는 서드파티 추적 쿠키를 기본적으로 차단하고 저장소를 사이트별로 분리한다. 그래서 서드파티는 모든 사이트에 걸친 하나의 공유 신원 대신 사이트마다 별도의 쿠키 저장소를 갖게 된다. 여기서도 표적은 사이트 간 연결이다.

Chrome(Privacy Sandbox). Chrome의 경로는 더 길고 더 논쟁적이었다. Google은 단순히 서드파티 쿠키를 차단하는 대신 Privacy Sandbox를 구축했다. 이는 사이트 간 식별자 없이 광고 성과를 내기 위한 목적 범위로 제한된 API 집합(관심 신호용 Topics, 리마케팅용 Protected Audience, 전환 측정용 Attribution Reporting)이다. 롤아웃, 지원 중단 일정, 사용자 대면 선택권의 정확한 상태는 2024~2026년에 걸쳐 여러 차례 바뀌었지만, 아키텍처의 의도는 유지되었다. 사이트 간 식별자를 집계되고 프라이버시 범위로 제한된 메커니즘으로 대체한다는 것이다. 핑거프린팅에 미치는 구체적인 영향은 Privacy Sandbox의 영향에서 다룬다.

이들 모두가 겨냥하는 것은 동일하다. 서드파티가 자신이 소유하지 않은 사이트에서 사용자를 알아보는 것이다. 그 어느 것도, 웹을 망가뜨리지 않고서는, 사이트가 자신의 페이지에서 자신의 방문자를 알아보는 것을 겨냥하지 않으며 겨냥할 수도 없다. 바로 그 틈새에 사기 핑거프린팅이 자리한다.

퍼스트파티 사기 핑거프린팅은 다른 활용 사례다

사기 방지를 위한 핑거프린팅은 본질적으로 퍼스트파티이자 단일 사이트에 국한된다. 플랫폼이 자신의 페이지에서 자신의 방문자를 식별해 보안 판단을 내리는 것이다. 이는 브라우저가 해체한 사이트 간 광고 활용 사례와 범주 자체가 다르며, 브라우저 메커니즘은 이를 제한하지 않는다. 왜냐하면 모든 사이트가 의존하는 필수 기능을 망가뜨리지 않고서는 제한할 수 없기 때문이다.

퍼스트파티 디바이스 식별을 막으려면 브라우저가 무엇을 망가뜨려야 할지 생각해 보라. 사이트가 자신의 페이지를 렌더링하는 브라우저의 특성, 즉 화면 크기, 언어, 사이트가 작동하는 데 필요한 타이밍과 렌더링 동작, 이미 통신 중인 네트워크 스택을 읽지 못하게 해야 한다. 이것들은 추적 훅이 아니라 웹 애플리케이션이 돌아가는 기본 표면이다. 이를 제한하면 정당한 기능이 망가지므로, 브라우저는 이 신호들의 퍼스트파티 관찰이 아니라 그 사이트 간 결합과 악용을 제한한다.

이것이 디바이스 대 쿠키 구분이 중요한 이유다. 단일 플랫폼에서 재방문하는 디바이스를 식별하는 사기 시스템은 서드파티 쿠키를 재구성하는 것이 아니다. 그것은 서드파티 쿠키가 애초에 잘 해내지 못했던 일을 하는 것이다. 즉, 사이트 자신의 보안 목적을 위해, 삭제에 저항하는 안정적인 신원을 만들어 낸다. 그것도 쿠키를 전혀 사용하지 않고 해내며, 이는 쿠키 지원 중단 문제 전체를 비켜간다.

따라서 기술적 유효성에 대한 결론은 간단하다. 쿠키 이후의 브라우저 변화는 사이트 간 핑거프린팅을 줄이고(더 어렵고 더 제한적으로 만들고) 퍼스트파티 사기 핑거프린팅은 사실상 그대로 남겨둔다. 사이트 간 신호 공유에 의존하던 사기 시스템은 곤경에 처하겠지만, 퍼스트파티 디바이스 신원을 중심으로 구축된 시스템은 그렇지 않다.

GDPR과 ePrivacy가 핑거프린팅에 대해 실제로 말하는 것

유럽 법은 디바이스 핑거프린팅을 쿠키와 동일하게 취급한다. 특정 기술이 아니라 목적과 사용자 디바이스에 대한 접근 을 기준으로 규율한다. 핑거프린팅은 쿠키가 아니라는 이유로 규칙을 피해 가지 못하며, 그렇다고 자동으로 규칙의 적용을 받는 것도 아니다. 분석의 관건은 무슨 목적으로 하느냐다.

두 개의 법령이 적용되며, 이들은 순차적으로 작동한다.

ePrivacy 지침(제5조 3항) 은 사용자의 단말 장비에 정보를 저장하거나, 이미 저장된 정보에 접근하는 행위를 규율한다. 이것이 이른바 "쿠키법"이지만 그 조문은 기술 중립적이다. "정보"와 "접근"을 다루며, 규제 당국(그리고 유럽 데이터 보호 이사회의 지침)은 이를 디바이스 특성에 접근하는 핑거프린팅 기법을 포함하는 것으로 일관되게 해석해 왔다. 따라서 디바이스에서 신호를 읽는 것은 쿠키가 관여하든 아니든 ePrivacy의 적용 범위 안에 놓인다.

결정적으로 제5조 3항에는 면제 조항이 있다. 통신을 전송하거나 사용자가 명시적으로 요청한 서비스를 제공하는 데 접근이 엄격히 필요한 경우에는 동의가 필요하지 않다. 사용자가 요청한 서비스가 실제로 의존하는 보안 및 사기 방지는 엄격히 필요함(strictly-necessary) 면제에 대한 실질적 근거를 갖는다. 이 점은 아래에서 다시 다룬다.

GDPR 은 그 결과로 발생하는 모든 개인정보의 처리를 규율한다. 개인을 특정할 수 있는 디바이스 핑거프린트는 개인정보이므로, 그 처리에는 제6조에 따른 적법 근거가 필요하다. 사기 방지 작업에 해당하는 근거는 정당한 이익(제6조 1항 (f))으로, GDPR의 전문(recital)은 사기 방지를 정당한 이익으로 명시적으로 지목하며, 경우에 따라 법적 의무도 근거가 된다. 목적 제한, 데이터 최소화, 투명성, 보관 기한, 그리고 문서화된 정당한 이익 평가 등 세부적인 컴플라이언스 실무가 바로 여기에 자리한다. 컴플라이언스를 준수하는 구축의 실질적 형태는 GDPR을 준수하는 디바이스 핑거프린팅에 정리되어 있다.

두 법령은 층을 이룬다. ePrivacy는 디바이스에 접근하기 위해 동의가 필요한지를 결정하고, GDPR은 얻어낸 것을 처리할 적법 근거가 있는지를 결정한다. 사기 방지에서 개연성 있는 경로는 ePrivacy의 엄격히 필요함 면제에 GDPR의 정당한 이익을 더하는 것이다. 다만 그 경로에는 조건이 있으며, 자동으로 성립하지 않는다.

사기 핑거프린팅에는 동의가 필요한가?

목적에 달려 있으며, 그 구분은 뚜렷하다. 광고, 분석, 또는 사이트 간 추적을 위한 핑거프린팅에는 동의가 필요하다. 반면 사용자가 요청한 사기 방지 서비스에 엄격히 필요한 핑거프린팅은 동일한 옵트인 없이도 운영할 수 있는 진정한 근거를 갖는다. 두 경우 모두 메커니즘은 동일하지만, 법적 취급은 왜 하느냐에 따라 전적으로 갈린다.

광고와 분석 목적의 경우 진지하게 다툴 여지가 없다. 이것이야말로 ePrivacy의 동의 요건이 쓰인 바로 그 상황이고, 사용자가 요청한 어떤 서비스에도 엄격히 필요하지 않으며, 여느 추적 쿠키와 마찬가지로 사전 고지에 입각한 동의가 필요하다.

사기 방지의 경우, 엄격히 필요함 면제에 대한 논거는 실재하지만 조건부다. 다음의 경우에 가장 강력하게 성립한다.

• 핑거프린팅이 사용자가 요청한 서비스, 즉 로그인 보호, 결제 보호, 계정 탈취 방지를 제공하는 데 진정으로 필요할 때. 보안은 사용자가 그 서비스를 이용할 때 요청하는 것의 일부다.
• 처리가 보안 목적에 국한되고, 마케팅이나 프로파일링, 또는 사용자가 요청하지 않은 어떤 것에도 전용되지 않을 때. 목적 제한이 여기서 실질적인 역할을 한다. 동일한 핑거프린트가 광고에 투입되는 순간, 면제 논거는 무너진다.
• 데이터 수집이 보안 목적에 필요한 만큼으로 최소화되고, 보관 기간이 한정되며, 처리가 문서화되고 투명할 때(동의가 근거가 아니더라도 개인정보 처리방침에 공개될 때).

이는 허점이 아니며 허점으로 취급되어서도 안 된다. 이는 목적이 한정된 상태로 유지되는 한에서만 유효한, 목적에 결부된 면제다. 자신의 신호를 조용히 광고 그래프에 공유하는 사기 시스템은 더 이상 엄격히 필요한 보안 처리를 하는 것이 아니며, 면제를 잃는다. 지속 가능한 입지는 스스로 표방하는 그대로, 즉 퍼스트파티이고, 보안을 목적으로 하며, 최소화되고, 마케팅과 분리된 상태를 유지하는 사기 방지 구축이다.

이 중 어떤 것도 법률 자문이 아니며, 정확한 적용은 관할권, 각국의 ePrivacy 이행 방식, 업종별 규칙, 그리고 귀사의 구체적인 처리에 달려 있다. 여기서 다룬 것은 일반적인 규제의 윤곽이며, 실제 구축에는 그 자체의 정당한 이익 평가와 법률 검토가 필요하다.

지속 가능한 아키텍처

기술적 전환과 법적 전환 양쪽에서 살아남는 아키텍처는 사기 방지 중심 핑거프린팅이 이미 수렴하고 있던 바로 그것이다. 퍼스트파티이고, 서버 사이드 신호에 무게를 두며, 보안으로 목적이 제한되고, 사이트 간 메커니즘에 독립적인 아키텍처다.

위의 지형도에서 세 가지 설계 원칙이 따라 나온다.

퍼스트파티 및 서버 사이드 신호에 기댄다. 브라우저 변화는 사이트 간 클라이언트 사이드 탐침을 가장 강하게 제한한다. 네트워크 스택 핑거프린트, TLS 특성, 연결 동작 같은 서버 사이드 신호는 사용자가 서비스에 접속할 때 자신의 인프라에서 관찰되고, 본질적으로 퍼스트파티이며, 브라우저가 조이고 있는 클라이언트 사이드 제한의 대상이 아니다. 이런 신호에 무게를 둔 시스템은 축소될 수 있는 클라이언트 사이드 탐침 위에 구축된 시스템보다 더 오래 견딘다.

목적을 한정하고 눈에 보이게 유지한다. 법적 유효성은 전적으로 보안 목적 안에 머무는 데 달려 있다. 이는 사기 신호를 마케팅에 전용하지 않고, 사이트 간 그래프를 구축하지 않으며, 개인정보 처리방침에 처리를 공개하고, 수집을 최소화하며, 보관 기간을 한정하는 것을 뜻한다. 이것들은 나중에 덧붙이는 컴플라이언스 부담이 아니라, 접근법 전체가 적법해지는 조건이다.

핵심 판단을 사이트 간 신호 공유에 의존하지 않는다. 익명화되고 집계된 고객 간 인텔리전스는 탐지를 강화할 수 있지만, 기본 디바이스 신원은 퍼스트파티 신호만으로 성립해야 한다. 그래야 시스템이 기술적으로 제한되고 법적으로 동의를 요구하는 사이트 간 메커니즘에 기대지 않는다.

이렇게 구축된 사기 핑거프린팅 시스템은 진정으로 쿠키 이후의 것이다. 쿠키를 사용하지 않고, 필요로 하지도 않으며, 서드파티 상태에 의존하지 않고, 다음 추적 방지 기능이 출시되어도 무너지지 않는다. 애초에 사이트 간 추적을 한 적이 없기 때문이다.

Tracio는 정확히 이런 형태 위에 구축되었다. 그 신원은 퍼스트파티이자 쿠키리스이고, 서버 사이드 네트워크 신호와 클라이언트 사이드 디바이스 신호에 걸쳐 가중되며, 보안과 사기 판단으로 목적이 제한되고, 광고 그래프에 투입되지 않는다. 이는 브라우저 프라이버시 변화를 관통해 안정적으로 유지되도록 설계되었는데, 그러한 변화가 겨냥하는 사이트 간 메커니즘에 의존하지 않기 때문이다. 세부적인 컴플라이언스 실무는 GDPR 구축 가이드를 참고하라. 용어집은 기저 개념을 다룬다.

퍼스트파티이자 보안을 목적으로 하는 디바이스 신원이 귀사의 프라이버시 및 컴플라이언스 태세에 어떻게 들어맞는지 확인하고 싶은가?

무료 체험 시작하기 — 2,500회 검증 무료, 신용카드 불필요. 아키텍처와 데이터 처리 방식을 저희 팀과 함께 검토하려면 데모 예약하기.