무엇이 실제로 바뀌었고, 무엇은 안 바뀌었나

전제를 정확히 잡아야 로드맵의 우선순위가 흔들리지 않습니다. 구글은 2020년 크롬 제3자 쿠키 폐지를 발표했으나 2024년 7월 22일 이 계획을 공식 철회하고 지원을 계속 유지하기로 했습니다. 강제 삭제가 아니라 이용자 선택권을 넓히는 방향으로 전환한 것입니다. 나아가 대체 기술로 개발하던 Privacy Sandbox API 10종(Attribution Reporting, Topics, Protected Audience 등)은 2025년 10월 17일 종료됐고, 크롬 144(2026년 1월)부터 단계적 폐지를 시작해 크롬 150(2026년 7월) 완전 제거를 목표로 한다고 알려졌습니다(정확한 버전·일정은 구글 공식 발표문으로 재확인 필요). 반면 애플 사파리(ITP)와 모질라 파이어폭스(ETP)는 이미 수년간 기본값으로 제3자 추적 쿠키를 차단해왔고, 사파리는 자바스크립트로 생성한 퍼스트파티 쿠키 수명까지 최대 7일로 제한합니다. 대체 기술은 사라졌고 브라우저 차단은 그대로이므로, 기댈 곳은 결국 광고주가 보유한 데이터뿐입니다.

1단계 — 우리가 가진 데이터를 계층으로 나눈다

로드맵의 첫 작업은 도구 구매가 아니라 분류입니다. 업계에서는 데이터를 네 계층으로 나눕니다. 제로파티 데이터는 고객이 자발적으로 브랜드에 직접 제공하는 정보(선호도·구매의도 등)이고, 퍼스트파티 데이터는 자사 채널(웹사이트·앱)에서 자사가 직접 수집하는 데이터이며, 세컨드파티 데이터는 파트너사의 퍼스트파티 데이터를 제휴로 공유받는 것이고, 서드파티 데이터는 직접 관계가 없는 애그리게이터로부터 구매하는 데이터입니다. 이 구분은 법률 용어가 아니라 마테크 업계의 실무 분류이며, 개인정보보호법상 개인정보·가명정보 구분과는 별개 축입니다. 실무에서는 표 한 장을 만들어 데이터 항목별로 ①계층 ②수집 위치 ③동의 범위 ④보관 위치와 담당자 ⑤광고 활용 가능 여부를 채워보십시오. 대개 '동의 범위를 확인할 수 없어 광고에 못 쓰는 데이터'가 상당량 발견되는데, 그것이 다음 분기의 과제 목록이 됩니다.

2단계 — 자사 채널의 식별자 수집 지점을 설계한다

퍼스트파티 데이터 전략의 실체는 '로그인·회원가입·주문 과정에서 식별자를 어디서 어떻게 받을 것인가'입니다. GA4의 User-ID는 광고주가 부여한 식별자(예: 회원번호)를 전송해 같은 사용자의 행동을 여러 세션·기기·플랫폼에 걸쳐 연결하지만, 로그인 시점부터만 연결되고 익명 행동까지 소급되지는 않습니다. 그래서 로그인 트리거를 정확히 심는 것이 기술 과제의 핵심입니다. GA4의 보고 ID '블렌드' 옵션은 User-ID가 있으면 우선 쓰고 없으면 기기 ID로, 그마저 없으면 모델링으로 폴백하므로, 연동이 부실하면 같은 사람이 여러 명으로 중복 집계됩니다. 2단계 산출물은 '식별자 수집 지점 목록'과 '지점별 발화 검증 결과'입니다.

3단계 — 매체 연동의 매칭률을 규격에서 확보한다

퍼스트파티 데이터를 광고에 쓰려면 해싱 매칭 규격을 정확히 지켜야 합니다. 구글 고객 매치에 올리는 이메일·전화번호·이름은 SHA256(Hex)으로 해싱하며, 해싱 전에 앞뒤 공백 제거, 소문자 변환, 전화번호 E.164 정규화, gmail.com·googlemail.com 이메일의 '.' 제거가 필요합니다. 국가·우편번호와 모바일 광고 ID는 해싱하지 않고 원문 그대로 씁니다. 메타 맞춤 타겟도 SHA-256 단방향 해싱을 쓰지만 정규화 세부 규칙이 구글과 동일하지 않을 수 있어, 한 매체용 파이프라인을 그대로 재사용하면 매칭률이 떨어집니다. 매칭률은 데이터 최신성·정규화 정확도·식별자 종류에 따라 달라지며, 낮으면 오디언스 규모가 작아져 도달과 최적화 신호가 함께 부족해집니다. 업로드 전 정규화 점검을 정기 루틴으로 넣고, 매체별 규격은 각각의 공식 문서로 확인하십시오.

4단계 — 법적 근거와 계약을 같은 속도로 정리한다

기술이 앞서고 근거가 뒤처지면 결국 되돌리게 됩니다. 해시 매칭은 원본을 평문으로 넘기지 않고 양측이 각자 해싱한 값만 비교하는 방식이지만 완전 익명화를 뜻하지는 않습니다. 해시로 변환해 전달하는 것 자체가 개인정보보호법상 제3자 제공에 해당할 수 있어 별도 동의가 여전히 필요할 수 있습니다. 국내 가명정보 특례에 대해서는 더 조심해야 합니다. 2020년 데이터3법 개정으로 통계작성·과학적 연구·공익적 기록보존에는 동의 없이 가명정보를 처리할 수 있는 예외가 생겼다는 것이 통설이나, 마케팅 활용이 이 범위에 포함된다고 단정할 근거는 없습니다. 정확한 조문 번호와 2026년 현재 유효 범위는 개인정보보호위원회와 국가법령정보센터에서 직접 확인하고, 확인 전에는 제안서에 근거로 쓰지 마십시오.

5단계 — 매체 밖에서 성과를 검증할 수단을 만든다

마지막 단계는 사용자 단위 추적에 의존하지 않는 측정 수단을 갖추는 것입니다. 하나는 MMM입니다. 쿠키·기기 추적 없이 매출·매체별 지출·외부 변수 같은 집계 데이터로 채널 기여를 추정하므로 쿠키 규제나 iOS 추적 제한과 무관하게 작동합니다. 다른 하나는 데이터 클린룸입니다. 둘 이상의 당사자가 원본 데이터를 서로에게 노출하지 않고 정해진 보안 환경 안에서만 결합·쿼리해 집계 결과만 반출하는 인프라로, 매체마다 구현 방식과 임계값이 달라 이름만 같다고 기능이 같다고 가정하면 안 됩니다. 둘 다 준비 기간이 길어, 로드맵 마지막 칸이 아니라 1단계와 병렬로 착수 시점을 잡는 편이 현실적입니다.