워크스페이스 열기

가이드 · 영국 규정

어려운 법률 용어 없이 알아보는 UK GDPR과 영국 쿠키 규정

브렉시트 이후 영국은 자체 개인정보 보호 및 쿠키 규정을 갖게 되었습니다. 2026년에 다시 바뀌었습니다. 동의의 예외가 생기고, 쿠키 과태료가 올랐으며, 규제 기관의 이름도 바뀌었습니다. 이 가이드는 영국 방문자가 오는 AdSense 또는 Ad Manager 사이트에 지금 무엇이 적용되는지 설명합니다.

내 영국 트래픽 감사하기가이드 읽기
  • ✓영국 법률과 규제 기관의 공식 안내 기준
  • ✓브라질 사이트를 포함한 광고 사이트의 사례
  • ✓사이트를 변경하지 않는 읽기
£1,750만UK GDPR의 가장 중대한 과태료 상한
4%전 세계 연간 매출의 해당 비율이며, 이 금액이 고정 상한보다 클 경우에 적용
52026년 공식 안내에 규정된 쿠키 동의 예외의 수
72 h사람들에게 위험이 될 수 있는 데이터 유출을 규제 기관에 알려야 하는 기한

정의

함께 작동하는 세 가지 규칙

영국은 유럽 연합을 떠날 때 유럽 GDPR을 자국 법에 복사했습니다. 2021년 1월 1일부터 시행된 이 복사본을 UK GDPR이라고 합니다. 이는 본문을 보완하고 조정하는 영국 법인 Data Protection Act 2018, 그리고 쿠키, 이메일 마케팅, 전자 통신을 다루는 2003년 규정인 PECR과 함께 작동합니다.

실제로 UK GDPR은 무엇이 개인 데이터인지, 언제 사용할 수 있는지, 사람들에게 어떤 권리가 있는지를 정합니다. PECR은 더 구체적인 질문에 답합니다. 사이트가 방문자의 기기에 정보를 저장하거나 읽을 수 있는 때는 언제인가입니다. 쿠키, 픽셀, 브라우저의 로컬 저장소, 기기 핑거프린팅, 추적 스크립트가 모두 이 규칙에 해당합니다.

이 법은 영국에 설립된 기업뿐 아니라, 영국 내 사람들에게 제품이나 서비스를 제공하거나 그들의 행동을 모니터링하는 해외 기업에도 적용됩니다. 광고 쿠키로 영국 방문자의 프로필을 만드는 브라질 사이트는 런던에 사무실이 없어도 행동을 모니터링하고 있는 것입니다.

2025년에 Data (Use and Access) Act 2025가 세 규범을 모두 바꾸었습니다. 변경 사항 대부분은 2026년 2월 5일부터 적용되었습니다. 그리고 2026년 9월 30일에 규제 기관인 ICO가 Information Commission으로 바뀌어, 같은 기능과 권한을 이어받았습니다.

체크리스트

꼭 지켜야 할 것

영국 규제 기관과 Google이 영국 방문자가 있는 광고 사이트에 요구하는 항목입니다.

  1. Google 인증 CMP를 사용하세요

    2024년 1월 16일부터 Google은 영국에서 맞춤 광고를 게재하려면 Google 인증을 받고 IAB TCF와 연동된 CMP를 요구합니다. CMP가 없으면 해당 트래픽에는 비맞춤 광고나 제한된 광고만 게재할 수 있습니다.

    예시

    개인정보 보호 및 메시지에서 EEA, 영국, 스위스에 적용되는 유럽 규정 메시지를 만드세요.

  2. 모든 광고 쿠키에 동의를 받으세요

    공식 지침은 온라인 광고가 동의 요건에서 제외된 적이 없다고 말합니다. 광고 쿠키와 픽셀은 유효한 동의를 받은 뒤에만 저장할 수 있습니다.

    예시

    리마케팅 픽셀은 동의를 클릭한 뒤에만 로드됩니다.

  3. 거부를 수락만큼 쉽게 만드세요

    규제 기관은 거부가 수락만큼 간단하기를 기대합니다. 침묵이나 응답 없음은 동의로 인정되지 않습니다.

    예시

    동의와 동의 안함이 첫 화면에 같은 크기로 함께 표시됩니다.

  4. 모든 것을 끈 상태로 시작하세요

    동의가 필요한 기술의 옵션은 기본적으로 꺼져 있어야 합니다. 방문자가 직접 선택해야만 켤 수 있습니다.

    예시

    환경설정 화면에서 광고와 광고 측정 버튼이 꺼짐 위치로 시작합니다.

  5. 제3자가 누구인지 알려 주세요

    동의가 유효하려면 사이트가 데이터를 받는 제3자의 신원을 알려야 합니다.

    예시

    배너에 Google과 사이트의 각 광고 네트워크가 포함된 파트너 목록 링크가 있습니다.

  6. 언제든 동의를 철회할 수 있게 하세요

    법은 방문자가 원할 때 언제든 동의를 철회할 수 있어야 한다고 요구합니다. Google 정책도 이를 위한 명확한 안내를 요구합니다.

    예시

    푸터의 고정 링크인 개인정보 설정이 배너를 다시 엽니다.

  7. 예외는 고지와 간단한 거부가 있을 때만 사용하세요

    통계 쿠키와 외관 쿠키는 동의가 필요 없을 수 있지만, 사이트가 목적을 설명하고 간단하고 무료인 거부 방법을 제공해야 합니다. 이 예외는 광고에는 적용되지 않습니다.

    예시

    쿠키 페이지에: 사이트 개선을 위해 통계 쿠키를 사용하며, 이 버튼으로 끌 수 있습니다.

  8. 규제 기관에 수수료를 내야 하는지 확인하세요

    개인 데이터를 사용하는 조직은 면제되지 않는 한 데이터 보호 수수료를 내야 합니다. 해당되는지 규제 기관 사이트에서 확인하세요.

실제 사례

옳은 예와 틀린 예

공식 도구

인증 CMP와 공식 링크

영국에서 맞춤 광고를 쓰려면 Google은 인증받은 CMP를 요구합니다. 아래는 CMP를 고르고 설정하는 공식 페이지입니다.

용어

어디서나 나오는 용어

유럽 GDPR과 같은 개념이며, 2025년 개정으로 일부 새 이름이 생겼습니다.

개인정보

식별되었거나 식별 가능한 사람과 연결된 모든 정보입니다. 쿠키, 광고 ID, IP 주소 같은 온라인 식별자는 보통 개인 데이터로 봅니다.

컨트롤러와 처리자

컨트롤러는 사이트 운영자처럼 데이터를 왜, 어떻게 쓸지 결정합니다. 프로세서는 호스팅이나 이메일 업체처럼 컨트롤러를 대신해 데이터를 처리합니다.

저장 및 접근 기술

규제 기관이 쿠키와 같은 역할을 하는 모든 것을 가리키려고 쓰기 시작한 이름입니다. 픽셀, 웹 스토리지, 핑거프린팅, 기기의 데이터를 읽는 스크립트가 포함됩니다.

동의

수락 클릭처럼 분명한 행동으로 이루어지는 자유롭고 구체적이며 충분한 정보에 기반한 선택입니다. 침묵, 미리 체크된 상자, 계속 탐색하는 것은 동의로 인정되지 않습니다.

법적 근거와 동의

허락을 구해야 하는 때

UK GDPR은 개인 데이터를 사용할 때마다 법적 근거를 요구합니다. 가장 흔한 것은 동의, 계약 이행, 법적 의무, 정당한 이익입니다. 2025년 개정으로 범죄 예방이나 긴급 상황처럼 균형 테스트가 필요 없는 인정된 정당한 이익의 목록이 생겼습니다. 광고는 이 목록에 없습니다.

쿠키는 PECR이 우선합니다. 일반 규칙은 그대로입니다. 방문자의 기기에 무언가를 저장하거나 읽으려면 동의가 필요하며, 예외에 해당하는 경우는 제외됩니다. 동의의 기준은 UK GDPR의 기준이며, 규제 기관은 거부가 수락만큼 쉽기를 기대합니다.

2026년 2월 5일부터 다섯 가지 예외가 있습니다. 통신 전송, 반드시 필요한 서비스, 서비스 개선을 위한 통계, 사용자가 선택한 모양이나 기능, 긴급 지원입니다. 통계와 모양 예외에서는 사이트가 분명하게 알리고 간단하고 무료로 거부할 방법을 제공해야 합니다.

공식 안내는 분명합니다. 어떤 예외도 온라인 광고에는 적용되지 않습니다. 맞춤 광고 쿠키와 픽셀, 광고 측정, 리마케팅은 계속 동의가 필요합니다. 2026년 5월에 규제 기관은 정부에 저위험 광고에 대한 예외를 검토하도록 제안했지만, 지금까지 법은 바뀌지 않았습니다.

개인의 권리

방문자가 내 사이트에 요청할 수 있는 것

영국의 누구나 이 권리를 행사할 수 있습니다. 사이트는 요청을 받는 채널을 두고 기한 내에 답해야 합니다.

알고 접근하기

데이터 사용에 대한 명확한 정보와 사이트가 보관하는 데이터 사본을 받습니다. 원칙적으로 한 달 이내입니다.

정정 및 삭제

잘못된 데이터의 정정을 요청하고, 보관할 이유가 더 이상 없을 때 삭제를 요청합니다. 예를 들어 동의를 철회한 뒤입니다.

마케팅에 반대하기

언제든 직접 마케팅을 위한 데이터 사용을 거부합니다. 이 경우 반대는 절대적이며 사이트는 중단해야 합니다.

동의 철회

쿠키에 대해 수락했을 때만큼 쉽게 마음을 바꿉니다. 환경설정을 다시 여는 고정 링크가 있으면 해결됩니다.

자동화된 결정

중요한 결정이 시스템만으로 내려지는 경우, 알림을 받고 이의를 제기하며 사람의 검토를 요청합니다.

컨트롤러에 불만 제기

2026년 6월 19일부터 데이터를 처리하는 쪽은 불만 처리 절차를 갖추고 30일 이내에 접수를 확인해야 합니다.

의무

영국 방문자가 있는 사이트가 해야 할 일

  1. 완전한 개인정보 고지 게시하기사이트 운영자가 누구인지, 어떤 데이터를 수집하는지, 무엇을 위해서인지, 어떤 법적 근거인지, 누구와 공유하는지, 얼마나 보관하는지, 권리를 어떻게 행사하는지 밝히세요. 광고 파트너와 국외 데이터 전송도 언급하세요.
  2. 실질적인 선택이 있는 배너 보여 주기광고 쿠키나 광고 측정 쿠키보다 먼저 동의를 요청하세요. 수락과 거부는 시각적 비중이 같아야 하고 같은 화면에 있어야 합니다.
  3. 동의가 필요한 것 차단하기픽셀, 리마케팅, 맞춤 광고는 수락한 뒤에만 실행되어야 합니다. 응답이 없으면 사이트는 거부로 처리합니다.
  4. 예외를 투명하게 사용하기동의 없이 통계나 환경설정 쿠키를 쓴다면 쿠키 페이지에 설명하고 간단히 끌 수 있는 방법을 제공하세요.
  5. 보안과 유출 관리하기데이터를 보호하고, 유출로 사람들이 위험해질 수 있으면 72시간 이내에 규제 기관에 알리세요. 위험이 높다면 영향을 받은 사람들에게도 알리세요.
  6. 기본을 갖추기데이터를 처리하는 공급업체와 계약을 맺고, 고위험 사용에는 영향 평가를 하고, 회사가 규제 기관에 연회비를 내야 하는지 확인하세요.

집행과 과태료

잘못했을 때 드는 비용

규제 기관은 보통 경고와 시정 명령으로 시작하지만 최대 과태료는 높으며, 2025년 개정으로 쿠키에 대한 권한도 강화되었습니다.

UK GDPR의 가장 높은 상한

법적 근거 없이 데이터를 처리하는 것처럼 가장 중대한 위반에는 1,750만 파운드 또는 전 세계 연간 매출의 4% 중 큰 금액까지입니다.

표준 상한

불완전한 기록이나 부적절한 보안 같은 위반에는 870만 파운드 또는 전 세계 연간 매출의 2% 중 큰 금액까지입니다.

쿠키에 대한 더 큰 권한

2025년 개정으로 PECR에 대한 규제 기관의 감독 및 과태료 부과 권한이 확대되었습니다. 새 규정은 2026년 2월 5일 이후의 행위에 적용됩니다.

적극적인 집행

2025년 1월 규제 기관은 방문자가 가장 많은 사이트 1,000곳의 배너를 검토한다고 발표했습니다. 2026년 4월에는 그중 99%가 이미 기준을 지키고 있다고 밝혔습니다.

타임라인

규정이 지금까지 오게 된 과정

영국 방문자가 있는 사이트에 가장 중요한 날짜입니다.

  1. 2003

    PECR의 탄생

    영국 전자 통신 규정이 쿠키와 전자 마케팅을 다루기 시작합니다.

  2. 2018년 5월 25일

    GDPR과 Data Protection Act 2018

    유럽 GDPR이 새로운 영국 데이터 보호법과 함께 영국에서 시행됩니다.

  3. 2021년 1월 1일

    UK GDPR 시작

    브렉시트 전환기가 끝나고 영국은 자체 GDPR 버전을 갖게 됩니다.

  4. 2024년 1월 16일

    Google 광고를 위한 인증된 CMP

    영국의 맞춤 광고에는 AdSense와 Ad Manager가 IAB TCF와 통합된 인증 CMP를 요구하기 시작합니다.

  5. 2025년 6월 19일

    Data (Use and Access) Act 2025

    UK GDPR, Data Protection Act, PECR을 개정하는 법이 국왕의 재가를 받습니다.

  6. 2026년 2월 5일

    새로운 예외와 더 큰 권한

    쿠키의 새로운 예외, 인정된 정당한 이익, PECR에 대한 규제 기관의 새로운 집행 권한이 시행됩니다.

  7. 2026년 4월 29일

    쿠키 최종 안내

    규제 기관이 저장 및 접근 기술에 대한 안내의 최종본을 공개합니다.

  8. 2026년 9월 30일

    Information Commission

    ICO가 같은 기능과 권한을 가진 합의제 기관인 Information Commission으로 대체됩니다.

AdSense나 Ad Manager를 쓰는 사람에게

수익에 실제로 달라지는 점

Google은 영국을 유럽 경제 지역과 똑같이 처리합니다. 영국 방문자에게 맞춤 광고를 보여 주려면 사이트에 Google 인증을 받고 IAB TCF와 통합된 CMP가 있어야 합니다. 없으면 이 트래픽은 맞춤 설정이 아닌 광고나 제한된 광고만 받으며, 수익이 훨씬 낮은 경우가 많습니다.

CMP는 방문자의 선택을 TC string에 저장하고 Consent Mode 신호를 Google 태그에 전달합니다. 사이트가 Google Analytics나 Google Ads도 쓴다면, Consent Mode의 네 가지 신호가 배너에서 선택한 내용을 반영해야 합니다.

영국 방문자가 일부 있고 그중 상당수가 영국에 사는 브라질 사람인 브라질 레시피 포털을 생각해 보세요. 브라질 방문자에게는 LGPD가, 영국 방문자에게는 UK GDPR과 PECR이 적용됩니다. 올바른 설정은 영국, EEA, 스위스에 있는 사람에게만 TCF 메시지를 보여 주고 브라질 방문자에게는 방해가 되지 않게 하는 것입니다.

AdSense와 Ad Manager의 개인 정보 보호 메시지는 인증을 받았으며 이미 영국을 포함합니다. 다른 CMP를 쓴다면 Google 목록에 있는지, 설정된 지역에 영국이 있는지 확인해야 합니다.

실제 사례

영국에서 해도 되는 것과 안 되는 것

영국 방문자가 오는 뉴스, 레시피, 금융, 구인 사이트의 흔한 예시입니다.

허용

  • 안내하고 간단히 거부할 방법을 제공한다면, 동의 없이 통계 쿠키를 사용해 사이트 자체를 개선하기
  • 외관 예외에 따라 방문자의 언어나 다크 모드 환경설정 저장하기
  • 영국, EEA, 스위스 방문자에게만 TCF 메시지 보여 주기
  • 거부한 방문자에게 비맞춤 광고 표시하기
  • 이미 인증된 AdSense 또는 Ad Manager의 개인정보 보호 및 메시지 사용하기

허용 안 됨

  • 수락을 클릭하기 전에 리마케팅 픽셀이나 광고 쿠키 로드하기
  • 광고 측정을 통계 예외에 끼워 넣기
  • 첫 화면에는 수락 버튼만 두고 거부는 메뉴 안에 숨기기
  • 영국 트래픽에 Google 목록에 없는 일반 쿠키 플러그인 사용하기
  • 계속 탐색하는 것을 동의로 취급하기

흔한 오류

사이트들이 가장 많이 실수하는 부분

영국 트래픽이 있는 사이트를 감사하면 자주 나타나는 실수입니다.

브렉시트로 영국이 규정에서 빠졌다고 생각하기

많은 사람이 CMP를 유럽 연합에만 설정합니다. 영국 방문자는 메시지를 못 보고, Google은 제한된 광고를 게재하게 됩니다.

2025년 개정을 전면 허용으로 읽기

새 예외는 통계, 환경설정, 긴급 상황을 위한 것입니다. 광고에는 여전히 동의가 필요합니다.

장식에 불과한 배너

배너는 나타나지만 광고 쿠키가 응답 전에 이미 저장됩니다. 규제 기관에게 이는 동의를 요청하지 않은 것과 같습니다.

수락보다 어려운 거부

클릭 한 번으로 수락하고 다섯 번으로 거부하는 것은 규제 기관이 대형 사이트에 문제 삼아 온 설계입니다.

일반적인 개인정보 처리방침

다른 사이트에서 복사한 문구로, Google, 광고 파트너, 국제 전송, 요청 채널이 언급되지 않습니다.

거부 옵션이 없는 예외

동의 없이 통계나 외관 쿠키를 쓰면서 간단히 끌 방법을 제공하지 않으면 예외 자체의 조건을 어기게 됩니다.

ConsentMode에서

영국에 대해 감사에서 확인하는 항목

  • 영국 방문자와 그 밖의 방문자로 사이트에 접속해서 배너가 어디에 나타나는지, 어떤 버튼을 제공하는지 기록합니다.
  • 페이지 코드로 CMP를 식별하고, Google 인증 CMP 목록에 있는지 알려 줍니다.
  • TC string과 Consent Mode 신호를 읽고 방문자가 선택한 내용과 비교합니다.
  • 수락 전후의 쿠키와 네트워크 요청을 나열하고, 제때가 아닌데 실행되는 것을 알려 줍니다.
  • 개인정보 보호 페이지에 광고 파트너, 법적 근거, 권리, 연락 채널이 언급되어 있는지 확인합니다.
감사 실행하기확인하는 항목 모두 보기

자주 묻는 질문

제 사이트는 브라질 사이트이고 영국에 회사가 없습니다. 이 법이 저에게 적용되나요?

맞춤 광고 쿠키처럼 사이트가 영국에 있는 방문자의 행동을 모니터링한다면 그 방문자에게 적용됩니다. 그리고 법과 별개로 Google은 이 방문자에게 맞춤 광고를 보여 주려면 인증된 CMP를 요구합니다.

Google Analytics 쿠키에도 여전히 동의가 필요한가요?

사용 방식에 따라 다릅니다. 통계 예외는 데이터가 사이트 자체를 측정하고 개선하는 데만 쓰이고, 분명한 안내와 간단한 거부 옵션이 있을 때 적용됩니다. 도구가 데이터를 광고나 공급업체 자신의 목적에 쓴다면 예외가 적용되지 않습니다.

ICO가 없어졌나요? 이제 누가 집행하나요?

2026년 9월 30일부터 ICO의 기능은 Information Commission으로 넘어갔습니다. 규제 기관의 역할과 권한은 바뀌지 않았고 일상 업무도 계속됩니다. 바뀐 것은 지휘 체계로, 이제 합의제입니다.

2025년 개정으로 영국이 유럽 연합보다 더 유연해졌나요?

통계와 환경설정에 대한 새 예외처럼 일부 부분에서는 그렇습니다. 맞춤 광고에서는 실제 결과가 같습니다. 기기에 무엇이든 저장하거나 읽기 전에 동의를 받아야 합니다.

영국용 CMP와 유럽용 CMP를 따로 써도 되나요?

가능하지만 그럴 만한 가치가 있는 경우는 드뭅니다. 인증된 CMP 대부분은 같은 설정으로 지역별로 EEA, 영국, 스위스를 모두 처리합니다.

방문자가 거부하면 수익은 어떻게 되나요?

Google은 그 방문자에게 맞춤 설정이 아닌 광고나 제한된 광고를 계속 게재할 수 있습니다. 방문당 수익은 보통 낮아지지만, 규정을 어기지 않고 계속 수익을 낼 수 있습니다.

자료실

공식 출처

이 가이드는 아래 공식 페이지를 바탕으로 작성했어요. 출처에서 직접 읽어 보세요:

영국 방문자에게 내 사이트가 어떻게 보이는지 확인해 보세요

감사는 영국에서 사이트에 접속해 배너와 쿠키를 기록하고, 아무것도 바꾸지 않고 무엇을 고쳐야 하는지 보여 줍니다.

감사 시작하기