유럽 시장 GDPR 쿠키 동의 배너(Consent Mode v2) 미적용 시 구글 광고 계정 패널티 수위

구글 애즈 고객센터의 EEA 트래픽 동의 모드 문서는 광고주가 EEA에 있는 최종 사용자로부터 개인 데이터 사용 동의를 수집하고 그 신호를 구글에 공유해야 측정과 광고 개인화 기능을 계속 사용할 수 있다고 안내합니다. 이 문서에는 위반 시 부과되는 금액도, 며칠간 어떤 상태가 된다는 단계표도 적혀 있지 않습니다. 2026년 9월 1일 기준으로 원문을 확인한 결과 제재 수치 자체가 기재돼 있지 않았습니다.

그래서 "패널티 수위"를 숫자로 답하는 자료를 만나면 출처를 먼저 봐야 합니다. 업계 블로그가 널리 인용하는 특정 집행 개시일이나 계정 정지 서술은 구글 공식 문서에서 같은 표현으로 확인되지 않습니다. 광고주가 실제로 잃는 것은 처분이 아니라 기능입니다. 동의 신호가 없는 EEA 트래픽은 리마케팅 목록과 맞춤 오디언스에 쌓이지 않고, 전환 측정도 온전하지 않게 됩니다.

구글이 EEA 트래픽에 대해 추가로 요구하는 파라미터는 두 개입니다. ad_user_data는 광고 목적으로 사용자 데이터를 구글에 전송하는 데 대한 동의를 설정하고, ad_personalization은 개인 맞춤 광고에 대한 동의를 설정합니다. 기존에 쓰던 ad_storage·analytics_storage와는 별개로 추가된 항목입니다.

주의할 구현 실수가 하나 있습니다. 동의를 아직 받지 않았다는 이유로 구글 태그 자체를 로딩하지 않는 구성입니다. 구글은 이 경우 사용자의 동의 선택을 확인할 수 없어 데이터 손실로 이어질 수 있다고 명시합니다. 태그는 로딩하되 기본 상태를 거부(denied)로 두고, 배너에서 선택이 이뤄지면 상태를 갱신하는 순서가 맞습니다.

동의 모드와 별개로, 구글 애즈에는 정책 위반에 대한 일반 제재 경로가 따로 문서화돼 있습니다. 구글은 계정의 정책 준수 여부를 계속 모니터링하며 추가 위반이 확인되면 개별 광고뿐 아니라 계정 전체를 사용중지할 수 있다고 안내합니다. 일시 정지의 경우 광고주가 경고를 확인하고 위반을 해결하면 1차 경고 발행일로부터 3일, 2차 경고 발행일로부터 7일이 지나야 해제되고, 이의신청이 승인되면 즉시 해제됩니다.

이 경로는 동의 모드 미적용을 직접 겨냥한 것이 아니라 정책 위반 전반에 적용되는 틀입니다. 두 층위를 섞어서 "동의 모드를 안 쓰면 3일 정지된다"처럼 정리하면 사실과 다릅니다. 계정 처분 가능성이 궁금하다면 동의 모드 문서가 아니라 정책 위반 결과·계정 정지 문서를 근거로 확인해야 합니다.

금전적 위험의 본체는 감독기구입니다. GDPR은 2단계 과징금 구조를 두어, 경미한 위반은 최대 1,000만 유로 또는 전 세계 연매출 2%, 중대한 위반은 최대 2,000만 유로 또는 전 세계 연매출 4% 중 더 큰 금액을 상한으로 삼습니다. 다만 이는 상한이지 표준 부과율이 아닙니다. 실제 금액은 위반의 심각성·의도성·지속기간·협조 여부를 종합해 개별 산정되므로, 상한만 보고 위험을 크게도 작게도 판단하기 어렵습니다.

국내 기준과 비교해 두면 감이 잡힙니다. 한국 개인정보 보호법은 제64조의2에서 전체 매출액의 100분의 3을 초과하지 않는 범위에서 과징금을 부과할 수 있도록 규정하며, 산정 시 위반행위와 관련 없는 매출액은 제외합니다. 유럽 쪽 숫자가 더 크게 보이지만 산정 방식과 관할이 다르므로 단순 비교는 피하는 편이 좋습니다.

가장 먼저 볼 것은 태그가 로딩되는 시점과 기본 동의 상태입니다. 동의관리 도구가 붙어 있어도 태그를 나중에 띄우는 구성이면 신호가 전달되지 않습니다. 그다음으로 두 파라미터가 실제로 전송되는지, 거부 상태와 허용 상태가 각각 다르게 기록되는지 확인합니다.

EEA 지역만 배너를 띄우는 구성이라면 지역 판정 로직도 함께 봐야 합니다. 국가 판정이 어긋나 배너가 뜨지 않은 트래픽은 동의 신호 없이 집계됩니다. 확인이 끝나지 않은 상태에서는 EEA 타겟 캠페인의 리마케팅 의존도를 일시적으로 낮추고, 지역별 성과를 유럽과 비유럽으로 나눠 보면 신호 손실 구간을 눈으로 잡아낼 수 있습니다.