쿠키는 없애지 못했고, 추적은 옮겨갔다

"구글이 서드파티 쿠키를 없앤다"는 얘기가 몇 년째 반복됐습니다. 2024년 1월에는 크롬 사용자 1%를 대상으로 제한 테스트까지 시작했고, 2025년 완전 폐지 일정도 나왔습니다.

그런데 실제로는 그 계획이 철회됐습니다. 이 과정이 기술보다 이해관계에 대해 더 많은 걸 말해주는 것 같아서 정리해봤습니다.

무엇이 문제였나

쿠키 자체는 문제가 아닙니다. 퍼스트파티 쿠키는 방문한 사이트가 발행해서 로그인 상태나 장바구니를 유지합니다. 이게 없으면 웹이 제대로 돌아가지 않습니다.

문제는 서드파티 쿠키입니다. 내가 방문한 사이트가 아니라 거기 삽입된 제3자 코드가 발행합니다. 같은 광고 네트워크 코드가 수천 개 사이트에 심겨 있으면, 그 네트워크는 내가 어느 사이트를 거쳐 어디로 갔는지 연결할 수 있습니다. 쇼핑몰에서 본 상품이 뉴스 사이트 배너에 뜨는 게 이 원리고요.

사파리와 파이어폭스는 이미 오래전부터 차단해왔습니다. 크롬만 남아 있었는데, 크롬이 점유율 대부분을 쥐고 있으니 실질적으로는 추적이 계속 가능했던 셈입니다.

왜 철회됐나

구글이 내놓은 대안은 프라이버시 샌드박스였습니다. 개별 사용자를 추적하는 대신 관심사 그룹 단위로 광고를 매칭하는 Topics API, 사용자 수준 추적 없이 전환을 측정하는 Attribution Reporting API 같은 것들이죠.

기술적으로는 진전이 있었는데, 여기서 경쟁 문제가 걸렸습니다. 영국 경쟁시장청(CMA)이 개입했는데, 논리는 이렇습니다. 구글이 서드파티 쿠키를 없애면 다른 광고 사업자는 추적 수단을 잃습니다. 반면 구글은 검색·유튜브·안드로이드에서 로그인 기반 퍼스트파티 데이터를 대량으로 갖고 있어서 타격이 적습니다. 게다가 대체 기술의 규격을 구글이 정하게 되고요.

개인정보 보호를 명분으로 한 조치가 결과적으로 시장 지배력을 강화할 수 있다는 지적이었습니다. 광고 업계 반발도 겹쳤고요.

구글 자신에게도 딜레마가 있었습니다. 애드센스와 구글 애널리틱스가 서드파티 쿠키 의존도가 높아서, 없애면 자사 제품 성능도 떨어집니다.

결국 방향이 바뀌었습니다. 일괄 폐지 대신 사용자에게 선택권을 주는 쪽으로요. 프라이버시 샌드박스 개발은 계속되지만 강제 전환은 아니게 됐습니다.

추적은 어디로 갔나

여기가 실질적으로 중요한 부분입니다. 쿠키 차단이 확산됐지만 추적이 줄었다고 보기는 어렵습니다. 수단이 옮겨갔을 뿐입니다.

로그인 기반 식별. 가장 확실한 방법입니다. 사용자가 로그인하면 쿠키가 없어도 동일인임을 압니다. 플랫폼들이 로그인을 유도하고 통합 계정을 미는 이유 중 하나입니다. 쿠키 규제가 오히려 로그인 벽을 높인 면이 있습니다.

퍼스트파티 데이터와 서버사이드 태깅. 추적 코드를 브라우저가 아니라 서버에서 돌리는 방식입니다. 브라우저의 차단 기능이 닿지 않고, 자사 도메인에서 발행하니 퍼스트파티로 취급됩니다.

핑거프린팅. 쿠키 없이 기기를 식별하는 기법입니다. 화면 해상도, 설치 폰트, 그래픽 렌더링 결과, 시간대, 언어 설정 같은 값을 조합하면 상당히 고유한 지문이 만들어집니다. 사용자가 지울 수도, 끌 수도 없다는 점에서 쿠키보다 성가신 기술입니다. 브라우저들이 이걸 막으려고 애쓰는 이유이기도 하고요.

데이터 클린룸. 여러 회사가 각자 데이터를 직접 공유하지 않고 집계 결과만 대조하는 방식입니다. 법적으로 깔끔해 보이지만 결과적으로는 여전히 매칭이 일어납니다.

만드는 쪽에서 볼 지점

서비스를 운영하거나 사이트를 가진 입장에서 실무적으로 정리하면 이렇습니다.

퍼스트파티 데이터가 자산이 됐습니다. 남의 데이터를 사서 쓰던 구조에서 직접 수집한 데이터로 중심이 옮겨갔습니다. 다만 수집 근거와 동의 절차를 제대로 갖추는 게 전제입니다.

측정이 부정확해진 걸 전제로 봐야 합니다. 15일차에 AI 검색으로 리퍼러가 사라지는 문제를 다뤘는데, 여기도 비슷합니다. 쿠키 차단과 추적 방지가 확산되면서 분석 도구의 숫자가 실제보다 적게 잡힙니다. 전환이 과소 집계되는 걸 모르고 캠페인을 줄이면 잘못된 판단이 됩니다.

문맥 광고가 재평가받고 있습니다. 누가 보는지가 아니라 무엇을 읽고 있는지에 맞추는 방식입니다. 추적 없이도 작동하고, 개인정보 논란에서 자유롭습니다. 오래된 방식인데 돌아온 셈이죠.

정리

서드파티 쿠키 폐지가 무산된 과정은 기술 표준이 순수하게 기술적으로 결정되지 않는다는 걸 보여줍니다. 33일차 매터 글에서 표준화가 정치 문제라고 썼는데, 여기서는 그게 더 분명하게 드러납니다.

사용자 입장에서 할 수 있는 건 있습니다. 브라우저에서 서드파티 쿠키를 차단하고, 광고 개인화를 끄고, 광고 ID를 주기적으로 초기화하는 것. 완전히 막지는 못하지만 대부분의 일상적 추적은 줄어듭니다.