쿠키, 트래킹 및 개인정보 규정 준수은(는) 무엇을 하나요?

이 스킬은 웹사이트를 "쿠키 배너가 있는 것 같다"에서 "방문자에게 합법적으로 작동한다는 증거가 있다" 상태로 만듭니다. 작업은 범위 설정, 감사, 구현, 검증의 네 단계로 진행됩니다. 요청에 따라 일부 단계만 필요할 수 있지만(감사 전용 계약은 보고서 작성 후 종료), 각 단계는 이전 단계에 의존하므로 항상 이 순서로 실행됩니다.

여기에는 세 가지 핵심 원칙이 있습니다.

행동이 중요하며, 측정되어야 합니다. 규제 기관과 원고는 브라우저가 실제로 무엇을 하는지 테스트합니다. 선택 전, 거부 후, 철회 후에 어떤 쿠키가 존재하고 어떤 타사에 접촉하는지 확인합니다. 배너 하나로는 아무것도 증명되지 않습니다. 대부분의 실제 발견 사항은 배너가 존재하고 정상적으로 보이지만 태그가 여전히 실행되는 경우입니다. 따라서 동의 도구, 플러그인 설정 또는 코드 한 줄의 존재 여부로 결론을 내리지 말고 스캔 결과로 결론을 내리십시오.

규칙은 방문자가 누구인지에 따라 다릅니다. 유럽은 옵트인(동의 전에 필수적이지 않은 것은 없음)입니다. 미국은 옵트아웃이며, 옵트인 영역과 대규모 소송 위험이 있습니다. 기타 대부분의 지역은 그 사이에 있습니다. 동일한 사이트가 한 관객에게는 괜찮고 다른 관객에게는 불법일 수 있으므로, 범위 설정이 먼저 이루어져야 하며 모든 발견 사항은 명명된 규정 체계에 대해 명시되어야 합니다.

거짓말하는 배너는 배너가 없는 것보다 더 나쁩니다. 태그를 차단하지 않는 "거부" 버튼은 규정 준수 격차를 기만 주장으로 바꿉니다(거의 모든 캘리포니아 집행 조치의 사실 패턴입니다). 장식용 배너를 절대 출시하거나 그대로 두지 마십시오. 아직 게이트할 수 없는 것이 있으면 그렇게 말하고 약속을 제거하십시오.

귀하는 사용자의 변호사가 아닙니다. 명확하고 실용적인 발견 사항과 각각의 근거 규칙을 제시하고, 법률이 불확실하거나 사실에 대한 법적 판단이 필요한 부분을 표시하며, 보고서에 그렇게 명시하십시오. 또한 면책 조항 뒤에 숨지 마십시오. 사용자는 무엇을 수정해야 하는지 알고 싶어합니다.

참조 파일

필요한 내용만 읽으십시오.

파일	읽을 시기
`references/jurisdictions.md`	항상, 범위 설정 중. 사이트 방문자를 동의 체계에 매핑하고 열어야 할 법률 파일을 알려줍니다.
`references/law-europe.md`	모든 EU/EEA, 영국 또는 스위스 방문자 대상. 국가별 차이점, 배너 디자인 규칙, 분석 면제, 집행.
`references/law-us.md`	모든 미국 방문자 대상. 주별 법률 임계값, GPC, 캘리포니아 세부 사항, 도청 소송, 건강/어린이/금융.
`references/law-rest-of-world.md`	캐나다, 라틴 아메리카, 아시아 태평양, 중동, 아프리카.
`references/audit-playbook.md`	감사 실행: 스캐너 사용법, 결과 해석, 코드 및 구성 검사, 기존 동의 도구 진단.
`references/failure-patterns.md`	스캔 결과 해석. 대부분의 발견 사항을 설명하는 27가지 패턴.
`references/implementation.md`	수정 계획 및 실행: 동의 도구 선택 또는 수리, 출시 순서, 정책, GPC.
`references/consent-signals.md`	특정 벤더 연결: Google 동의 모드 v2, Meta, Microsoft, TikTok, TCF/GPP, Shopify, WP Consent API.
`references/consent-tools.md`	동의 도구 선택, 또는 도구의 쿠키 이름, 마크업 및 JS API 찾기.
`references/script-blocking.md`	태그, 임베드, 폰트 또는 서버 측 이벤트 게이트; WordPress, Shopify, Next.js 및 SPA 관련 세부 사항.
`references/testing-tools.md`	검증: 전체 테스트 매트릭스, 접근성 및 성능 검사, 지리적 시뮬레이션.
`references/report-template.md`	감사 보고서 또는 검증 보고서 작성.

법률 파일은 2026-11-11에 검증되었으며 모든 주장에 신뢰도 태그가 표시되어 있습니다. 개인정보 보호법은 매월 변경됩니다. 권장 사항이 불확실함으로 표시되거나 "변동 사항" 아래에 나열되거나 몇 개월 이상 된 세부 사항에 의존하는 경우, 신뢰하기 전에 현재 출처에서 확인하고 사용자에게 재확인한 사항을 알리십시오.

1단계: 범위 설정

스캔 전에 다음을 설정하십시오. 스스로 찾을 수 있는 정보(사이트, 바닥글, 정책, 코드베이스)는 찾고, 찾을 수 없는 것만 사용자에게 물어보십시오. 질문은 한 차례로 유지하십시오.

사이트 및 호스트. 메인 도메인, 서브도메인, 별도의 체크아웃 또는 앱 도메인, 스테이징.
방문자 위치. 실제 방문자를 묻고 증거(언어, 통화, 배송 국가, 접근 가능한 분석 지리)와 대조하십시오. 전 세계로 배송하는 영어 스토어의 "미국 전용"은 미국 전용이 아닙니다. 사업장 위치와 관계없이 해당 국가의 사람들을 대상으로 하거나 서비스를 제공할 때 법의 적용을 받습니다.
사이트가 데이터로 하는 일. 광고 및 리마케팅, 분석, 이메일 마케팅, 계정, 전자상거래, 임베디드 미디어, 채팅, 세션 리플레이. 그리고 이 중 어떤 것이 민감한 영역(건강, 어린이/청소년, 금융, 정확한 위치, 보호 대상 특성을 드러내는 모든 것)에 해당하는지. 민감한 영역은 모든 관할권에서 답이 달라집니다.
미국 법률을 위한 규모. 대략적인 연간 수익과 주별 방문자 수는 어떤 주법이 적용되는지 결정합니다. 광고 쿠키가 있는 고유 방문자는 "소비자"로 간주되므로, 사이트 소유자가 예상하는 것보다 빨리 임계값에 도달합니다.
접근 권한. 읽기 전용 공개 사이트, 관리자 로그인, 코드 저장소, 호스팅 또는 SSH, 태그 관리자, 동의 도구 대시보드, 광고 플랫폼 계정. 이는 감사의 깊이와 구현 가능 여부를 결정합니다.
사용자가 원하는 결과. 감사 보고서만, 또는 수정 및 검증까지. 잃을 수 없는 측정 항목. 유료 도구 예산.

아직 스캔할 사이트가 없는 경우(사용자가 URL 없이 계획, 견적 또는 조언을 요청하거나 기억에 의존하여 사이트를 설명하는 경우): 측정을 건너뛰지 말고 연기하십시오. 사용자가 알려준 내용을 가설로 처리하고, 이에 대한 계획을 작성한 후 계획의 첫 번째 단계로 "각 대상 지역에서 스캔하여 시작점 확인"을 추가하고 스캐너 명령을 채워 넣으십시오. 관찰하지 않은 사실에 의존하는 계획 부분을 명시하십시오.

그런 다음 references/jurisdictions.md를 열고 대상 체계를 기록하십시오. 각 방문자 그룹에 대해 적용되는 체계와 발견 사항을 이끌 두세 가지 규칙을 명시하십시오. 감사 전에 몇 줄로 사용자에게 알리십시오. 방문자를 알 수 없거나 전 세계인 경우, 기본값은 모든 사람에게 엄격한 옵트인이지만, 법이 확립된 일부 국가는 완화됩니다.

2단계: 감사

references/audit-playbook.md를 따르십시오. 개요는 다음과 같습니다.

라이브 사이트를 스캔합니다(번들 스캐너 사용). 스캐너는 깨끗한 브라우저에서 별도 시나리오(상호 작용 없음, 거부, 수락, Global Privacy Control, 선택적 철회)로 사이트를 로드하고 각 단계에서 쿠키, 웹 저장소, 타사 요청 및 Google 동의 신호를 기록합니다.
```
# 일회성 설정
npm install --prefix <skill-dir>/scripts && npx --prefix <skill-dir>/scripts playwright install chromium

node <skill-dir>/scripts/scan.mjs https://example.com --out ./scan-quick                # 빠른 확인: 시작 페이지 + 몇 개 링크
node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --out ./scan-us    # 감사: 사이트맵의 모든 페이지 유형
node <skill-dir>/scripts/scan.mjs https://example.com --coverage all --out ./scan-full    # 모든 사이트맵 URL (느림)
node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --scenarios baseline,reject,accept,withdraw \
     --proxy http://user:pass@de-proxy:8080 --locale de-DE --timezone Europe/Berlin --out ./scan-de
```
보고서가 될 모든 작업에는 --coverage types를 사용하십시오. 페이지 템플릿은 서로 다릅니다(기사는 비디오 임베드, 제품 페이지는 위젯 로드, 문의 페이지는 캡차 로드). 첫 페이지 스캔만으로는 대부분을 놓칩니다. 장바구니, 체크아웃 및 감사 페이지는 사이트맵에 없으므로 수동으로 추가하십시오.

먼저 summary.md 상단의 "사실" 표를 읽고, 그 다음 스크린샷을, 그 다음 필요한 시나리오별 세부 정보를 읽으십시오(광고가 많은 사이트의 경우 세부 정보가 길 수 있으므로 모두 읽지 말고 검색하십시오). 스캐너는 실행된 위치를 보고합니다. 동의 도구는 방문자 국가에 따라 동작을 변경하므로 스캔은 해당 국가만 설명합니다. 각 대상 체계에서(프록시 또는 VPN을 통해) 스캔하거나 보고서에서 관찰되지 않은 체계를 명확히 명시하십시오. 미국 IP 스캔을 EU 방문자에 대한 증거로 제시하지 마십시오.
브라우저 뒤를 살펴봅니다. 접근 권한이 허용하는 한: 각 태그가 삽입된 위치(테마, 플러그인, 태그 관리자, 하드코딩, 엣지), 동의 도구 구성 방식, 브라우저 스캔이 볼 수 없는 서버 측 추적, 항목을 재정렬하는 캐싱 및 스크립트 최적화 계층.

두 가지 사이트 유형은 기본 실행보다 더 많은 작업이 필요하며, 플레이북에서 모두 다룹니다. 스크립트를 첫 마우스 움직임이나 유휴 타이머까지 보류하는 최적화 도구를 사용하는 사이트(이러한 사이트의 빠른 스캔은 실제로는 깨끗하지 않지만 깨끗해 보임) 및 거부 버튼이 없는 미국 스타일 옵트아웃 사이트(옵트아웃과 GPC가 전체 광고 스택에 도달하는지 여부가 문제). 스캐너가 계약에 중요한 질문에 답할 수 없는 경우, 동일한 브라우저 라이브러리를 사용하여 짧은 프로브를 작성하고 증거와 함께 보관하십시오.
이미 설치된 동의 도구를 진단합니다. 일반적으로 하나가 설치되어 있고 절반만 설정되어 있습니다. 정확히 왜 실패하는지 파악하십시오(플레이북에 결정 순서가 있음). 수정은 교체보다 수리인 경우가 훨씬 많습니다.
서류 측면을 확인합니다. 개인정보 보호정책, 쿠키 정책, 필수 링크 및 문구, 양식 및 동의 언어, 권리 요청 경로, 동의 기록.
대상 체계에 대한 발견 사항을 작성합니다. 각 발견 사항: 관찰된 내용(스캔 증거 포함), 어떤 규칙을 위반하는지, 심각도, 수정 방법. references/report-template.md를 사용하십시오. 보고서에는 두 가지 계층이 있습니다. 사이트 소유자가 실행할 수 있는 일반 언어 요약과 구현자를 위한 기술적 세부 정보입니다.

감사 전용 계약인 경우 여기서 중단하십시오. 감사 중에는 사이트의 어떤 것도 변경하지 마십시오.

3단계: 구현

references/implementation.md를 따르십시오. 핵심 사항은 다음과 같습니다.

먼저 계획에 동의하십시오. 변경될 사항, 잃거나 유지할 측정 항목, 필요한 유료 플랜을 사용자에게 보여주고 승인을 받으십시오. 트래커를 제거하거나 게이트하면 누군가의 보고 및 광고 성과가 변경됩니다. 이는 귀하의 결정이 아니라 사용자의 결정입니다.
안전한 곳에서 작업하십시오. 스테이징이 있으면 스테이징에서. 프로덕션에서는 먼저 백업하고, 한 번에 하나씩 변경하며, 롤백 방법을 알고, 배너가 약속하는 것을 태그가 수행하지 않는 상태로 사이트를 절대 방치하지 마십시오.
종속성 순서로 수정하십시오. 사용하지 않는 항목 제거, 하나의 동의 도구를 유일한 동의 소유자로 설정, 모든 태그가 로드되기 전에 동의 기본값 설정, 모든 태그 및 임베드를 이를 통해 게이트, 벤더 신호 연결(동의 모드 등), GPC 및 미국 옵트아웃 링크 처리, 철회가 작동하도록 만들기, 그런 다음 사이트가 현재 수행하는 작업과 일치하도록 정책 업데이트.
변경 후 모든 캐시 계층을 비우십시오(페이지 캐시, CDN, 축소/결합 번들). 그렇지 않으면 어제의 사이트를 테스트하게 됩니다.

4단계: 검증

새로운 스캔이 보여줄 때까지 아무것도 수정된 것이 아닙니다. 감사와 동일한 시나리오 및 관점으로 스캐너를 다시 실행하고 감사 실행과 비교하십시오. references/testing-tools.md에 전체 매트릭스가 있습니다. 승인을 위한 최소 기준은 다음과 같습니다.

옵트인 대상: 선택 전 및 거부 후(실제 마우스 및 스크롤 입력 포함) 필수적이지 않은 쿠키 및 트래커 요청 0개; 첫 번째 레이어에서 동등한 중요도로 거부; 수락이 실제로 태그를 로드함; 철회가 태그를 중단하고 자사 트래커 쿠키를 제거함; 선택이 페이지 전체에서 유지되고 다시 묻지 않음.
옵트아웃 대상: 옵트아웃 링크와 GPC가 각각 추가 클릭 없이 판매/공유/타겟 광고 태그를 중단함; 캘리포니아 방문자는 신호가 적용되었음을 확인하는 메시지를 봄; 민감한 데이터를 다루는 페이지에서는 동의 전에 아무것도 실행되지 않음.
모든 곳: 나가는 Google 히트의 동의 신호가 방문자가 선택한 상태와 일치함; 캐시된 로드와 캐시되지 않은 로드, 모바일 및 중요한 페이지 유형(제품, 체크아웃, 감사, 양식)에서 결과가 동일함; 쿠키 정책에 스캔에서 찾은 내용이 나열됨.

통과한 항목, 실패한 항목 및 테스트할 수 없었던 항목(예: 관점이 없는 지역 또는 접근할 수 없는 서버 측 이벤트)을 보고하십시오. 테스트되지 않은 검사는 테스트되지 않음으로 보고되며, 통과로 보고되지 않습니다.

작업 노트

증거가 주장보다 우선합니다. 쿠키 이름, 요청 호스트, 동의 매개변수, 스크린샷을 인용하십시오. 증거 없는 발견은 의견일 뿐입니다.
알 수 없는 쿠키와 호스트는 해결해야 할 발견 사항이며, 무시하고 넘어갈 사항이 아닙니다. 식별하거나(누가 설정하는지, 용도) 해결되지 않은 상태로 나열하십시오.
심각도는 실제 노출을 따릅니다. 방문자가 누구인지, 관련된 데이터가 무엇인지, 실패가 얼마나 눈에 띄는지, 해당 규칙이 얼마나 적극적으로 집행되거나 소송 대상이 되는지. 프랑스 방문자 또는 미국 건강 페이지에서 동의 전에 광고 픽셀이 실행되는 것은 심각합니다. 누락된 각인 링크는 그렇지 않습니다.
법이 허용하는 곳에서 사용자의 측정을 유지하십시오. 규정 준수가 분석을 삭제하는 것을 의미하지는 않습니다. 규칙을 만족시키고 가장 유용한 데이터를 유지하는 옵션을 선호하십시오. 동의 게이트 태그, 동의 모드, 쿠키리스 또는 면제 구성 분석, 지역별 동작. 절충점을 설명하고 사용자가 선택하도록 하십시오.
확인하지 않은 것을 말하십시오. 모바일 앱, 이메일 추적 픽셀, 오프라인 데이터 공유, 벤더 계약 및 국제 전송 문서는 개인정보 규정 준수의 일부이며 대부분 웹사이트 스캔 범위를 벗어납니다. 관련성이 있어 보이는 항목을 언급하여 완료된 것으로 간주되지 않도록 하십시오.

쿠키, 트래킹 및 개인정보 규정 준수