웹사이트에 구글 애널리틱스 4, 즉 GA4를 설치했다면 개인정보 처리방침에도 실제 데이터 수집 구조를 반영해야 합니다. 단순히 “Google Analytics를 사용합니다”라는 한 문장을 추가하는 것으로 끝내기보다 어떤 목적으로 이용하는지, 어떤 정보가 자동으로 수집되는지, 쿠키를 사용하는지, 이용자가 어떻게 수집을 거부할 수 있는지, Google Ads와 연결해 광고 기능까지 사용하는지, 개인정보의 국외이전이 발생하는지를 확인해야 합니다.
특히 중요한 점은 다른 사이트의 개인정보 처리방침 문구를 그대로 복사하지 않는 것입니다. 사이트마다 GA4 설정, Google Ads 연결 여부, Consent Mode 사용 여부, 데이터 보관 설정, 이용 중인 광고 기능이 다르기 때문입니다. 개인정보 처리방침 전체를 처음부터 점검해야 한다면 개인정보 처리방침 작성 방법과 필수 확인사항을 먼저 정리한 뒤 분석도구 부분을 추가하는 편이 안전합니다.
2026년 10월 기준 대한민국 개인정보 보호법 제30조는 개인정보 처리방침에 처리 목적, 처리 및 보유기간, 파기절차와 방법, 해당하는 경우 제3자 제공·위탁·자동수집 장치의 설치 및 운영과 거부 방법 등을 포함하도록 정하고 있습니다. 따라서 GA4처럼 이용자의 사이트 방문 과정에서 데이터가 자동으로 생성되고 외부 사업자의 시스템으로 전달되는 도구를 사용한다면 실제 기술 구조를 먼저 확인해야 합니다.
Table of Contents
GA4를 설치했다면 가장 먼저 확인할 7가지
| 확인 항목 | 처리방침에서 확인할 내용 |
|---|---|
| 서비스 | Google Analytics 4 사용 여부와 제공자 |
| 이용 목적 | 방문자 통계, 페이지 이용 분석, 서비스 개선 등 실제 목적 |
| 자동수집 정보 | 쿠키 식별자, 기기·브라우저 관련 정보, 방문 및 상호작용 정보 등 실제 설정 |
| 쿠키 | GA4 쿠키 사용 여부와 주요 쿠키, 거부 방법 |
| 광고 기능 | Google Signals, 리마케팅, 광고 개인 최적화, Google Ads 연결 여부 |
| 보관 | GA4 속성에서 설정한 데이터 보관기간과 쿠키 만료 설정 |
| 외부 이전 | Google로 전달되는 데이터의 위탁·제공·국외이전 해당 여부와 공개사항 |
여기서 가장 흔한 실수는 GA4 설치 여부만 확인하고 Google Ads 연결 여부를 보지 않는 것입니다. 기본적인 방문 통계 측정과 광고 개인 최적화·리마케팅까지 사용하는 구성은 개인정보 처리방침에 필요한 설명의 범위가 달라질 수 있습니다.
구글 애널리틱스가 수집하는 정보부터 확인하세요
Google은 GA4가 웹사이트 이용자의 상호작용을 측정하기 위해 퍼스트 파티 쿠키와 기기·브라우저 관련 데이터, 사이트 또는 앱에서의 활동 등을 사용할 수 있다고 안내합니다. 또한 IP 주소는 데이터 수집 과정에서 대략적인 위치 정보를 산출하는 데 사용될 수 있지만, Google은 Google Analytics에서 IP 주소를 로깅하거나 저장하지 않는다고 설명하고 있습니다.
따라서 개인정보 처리방침에 무조건 “Google Analytics가 IP 주소를 2년간 저장합니다”처럼 작성해서는 안 됩니다. IP 주소 처리와 쿠키 보관기간, GA4 사용자·이벤트 데이터 보관기간은 서로 다른 개념입니다. 실제 설정과 Google의 현재 데이터 처리 구조를 구분해서 작성해야 합니다.
GA4에서 사용하는 대표적인 쿠키
Google 공식 안내 기준으로 GA4 JavaScript는 대표적으로 _ga와 _ga_<container-id> 쿠키를 사용할 수 있습니다. 기본 만료시간은 각각 2년으로 안내되지만 사이트 운영자가 쿠키 설정을 변경할 수 있고 브라우저 자체 정책에 따라 실제 유지기간이 더 짧아질 수도 있습니다.
| 쿠키 | 기본 목적 | Google 기본 만료시간 |
|---|---|---|
| _ga | 사용자를 구분하는 데 사용 | 2년 |
| _ga_<container-id> | 세션 상태 유지 | 2년 |
단, 이 표를 자신의 개인정보 처리방침에 그대로 넣기 전에 실제 웹사이트에서 해당 쿠키가 생성되는지 확인하는 것이 좋습니다. Google Tag Manager나 Consent Mode 설정, 다른 분석 플러그인, 광고 태그 구성에 따라 브라우저에 생성되는 쿠키가 달라질 수 있습니다.
개인정보 처리방침에는 무엇을 적어야 할까
1. Google Analytics를 사용하는 목적
“통계 분석”이라는 짧은 표현보다 실제 목적을 이용자가 이해할 수 있게 쓰는 편이 좋습니다. 예를 들어 방문자 수 측정, 인기 콘텐츠 확인, 유입 경로 분석, 페이지 이용 패턴 분석, 사이트 성능 및 콘텐츠 개선 등이 실제 목적이라면 그 범위에서 설명할 수 있습니다.
반대로 GA4 데이터를 Google Ads와 연결해 리마케팅이나 광고 개인 최적화에 사용한다면 단순한 “서비스 개선”이라고만 적어서는 실제 처리 목적을 충분히 설명하기 어렵습니다.
2. 자동으로 생성되거나 수집되는 정보
회원가입이나 문의폼에서 이용자가 직접 입력한 정보만 개인정보 처리방침에 적는 것은 충분하지 않을 수 있습니다. 사이트 방문 과정에서 쿠키 식별자, 브라우저 및 기기 관련 정보, 방문 페이지, 이용자의 사이트 내 상호작용과 같은 정보가 자동으로 생성될 수 있기 때문입니다.
다만 “GA4는 모든 이용자의 이름, 이메일, 전화번호를 수집한다”는 식의 문구는 피해야 합니다. Google은 고객이 개인을 직접 식별할 수 있는 정보를 Google Analytics로 전송하는 것을 금지하고 있으므로 URL, 이벤트명, User-ID, 맞춤 측정기준 등에 이메일 주소나 전화번호 같은 정보가 실수로 들어가지 않는지도 함께 점검해야 합니다.
3. 자동수집 장치와 쿠키 거부 방법
개인정보 보호법 제30조는 해당하는 경우 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항을 개인정보 처리방침에서 다루도록 하고 있습니다. GA4에서 쿠키를 사용한다면 쿠키의 목적과 이용자가 이를 제한할 수 있는 방법을 실제 사이트 환경에 맞춰 안내할 필요가 있습니다.
예를 들어 주요 브라우저의 쿠키 차단 기능을 안내할 수 있고, Google이 제공하는 Google 애널리틱스 차단 브라우저 부가기능을 함께 안내하는 방법도 있습니다.
사이트 자체에 쿠키 설정 또는 동의관리 화면을 제공한다면 “화면 하단 쿠키 설정에서 분석 쿠키를 거부할 수 있습니다”처럼 실제 메뉴 위치도 함께 적는 것이 이용자에게 더 유용합니다.
4. 데이터 보관기간
GA4의 쿠키 만료시간과 Google Analytics 서버에서 관리되는 사용자 수준·이벤트 수준 데이터 보관기간은 같은 항목이 아닙니다. Google Analytics에는 사용자·이벤트 데이터의 보관기간을 관리하는 별도의 설정이 있으므로 개인정보 처리방침을 작성할 때 실제 GA4 속성의 데이터 보관 설정을 확인해야 합니다.
따라서 “Google Analytics 데이터는 모두 2년간 보관된다”는 문구를 쿠키 만료시간만 보고 작성하면 실제 설정과 다를 수 있습니다. 처리방침에는 필요하다면 쿠키의 유지기간과 분석 데이터 보관 설정을 구분해서 설명하세요.
5. Google Ads와 광고 기능을 사용하는지
GA4를 단순한 방문 통계 도구로 사용하는 사이트와 Google Ads, Google Signals, 리마케팅, 인구통계·관심분야 보고서 등의 광고 기능을 사용하는 사이트는 구분해야 합니다.
Google은 Google Analytics 광고 기능을 사용하는 경우 개인정보 처리방침에서 구현한 광고 기능, 퍼스트 파티 쿠키와 Google 광고 쿠키 등 식별자를 함께 사용하는 방식, 이용자가 광고 기능을 선택 해제할 수 있는 방법 등을 안내하도록 정책상 요구하고 있습니다.
따라서 GA4 관리화면에서 Google Ads 제품 연결, Google Signals, 광고 개인 최적화 설정을 먼저 확인한 뒤 처리방침을 수정해야 합니다. 단순히 GA4 측정 ID가 설치돼 있다는 사실만으로 광고 기능까지 사용한다고 적을 필요는 없습니다.
6. Google을 수탁자 또는 제3자로 어떻게 표시할지
Google Analytics를 사용한다고 해서 Google을 무조건 “개인정보 처리 수탁자” 또는 “개인정보 제3자 제공 대상” 가운데 하나로 정해 적는 것은 주의해야 합니다. 판단에는 계약관계, 서비스 이용 목적, 데이터 처리 방식, Google이 해당 정보를 어떤 지위에서 처리하는지 등이 함께 고려돼야 합니다.
처리위탁과 제3자 제공을 구분하는 기본 원리가 필요하다면 개인정보 제3자 제공과 처리 위탁의 차이에서 먼저 구조를 정리할 수 있습니다.
실제 구조가 처리위탁에 해당한다고 판단한 경우에는 단순히 처리방침 표에 업체명을 넣는 것만으로 끝나는 것이 아니라 계약과 관리·감독 등 다른 의무도 함께 검토해야 합니다. 이 부분은 개인정보 위탁계약서 작성 방법과 확인사항도 함께 참고할 수 있습니다.
7. 개인정보 국외이전 여부
해외 사업자의 분석 서비스를 사용할 때는 회사의 국적만 보고 판단하기보다 실제 데이터가 어디로 전송·저장되는지, 국외에서 접근되는지 등을 확인해야 합니다.
2026년 9월 11일 시행 개인정보 보호법 제28조의8은 개인정보의 국외 제공뿐 아니라 국외 처리위탁·보관과 국외에서 조회되는 경우도 국외이전 범위에 포함하고 있습니다. 적용되는 이전 근거에 따라 공개 또는 고지·동의 요건이 달라질 수 있으므로 Google Analytics를 사용하는 경우에도 실제 계약과 데이터 흐름을 확인한 뒤 처리방침을 작성해야 합니다.
국외이전에 관한 별도 동의를 근거로 처리한다면 법에서는 이전되는 개인정보 항목, 이전 국가·시기·방법, 이전받는 자와 연락처, 이용 목적과 보유·이용기간, 이전을 거부하는 방법·절차와 거부 효과 등을 미리 알리도록 규정하고 있습니다.
따라서 다른 사이트에서 “이전 국가: 미국, 보유기간: 26개월” 같은 문구를 발견했다고 그대로 복사해서는 안 됩니다. 자신의 Google 계약, 관리자 설정, 사용하는 기능 및 적용되는 국외이전 근거를 확인한 뒤 실제 값으로 채워야 합니다.
복사해서 수정할 수 있는 기본 GA4 처리방침 문구
아래 예시는 GA4를 기본적인 사이트 이용 통계 분석에 사용하는 경우 작성 구조를 잡기 위한 초안입니다. 대괄호 부분은 반드시 자신의 실제 설정을 확인해 교체해야 합니다.
Google Analytics 이용
당사는 웹사이트 이용 현황 분석 및 서비스 개선을 위하여 Google LLC가 제공하는 Google Analytics 4를 이용하고 있습니다. Google Analytics는 웹사이트 방문 과정에서 쿠키 및 이와 유사한 기술을 이용하여 이용자의 사이트 이용에 관한 정보를 처리할 수 있습니다.
처리될 수 있는 정보에는 쿠키 또는 온라인 식별자, 기기 및 브라우저 관련 정보, 방문한 페이지와 사이트 이용 기록 등이 포함될 수 있습니다. 구체적인 처리 항목은 당사의 Google Analytics 설정 및 이용 기능에 따라 달라질 수 있습니다.
Google Analytics에서 사용하는 대표적인 쿠키에는 사용자를 구분하기 위한 _ga와 세션 상태 유지에 사용되는 _ga_<container-id> 등이 있으며, Google이 안내하는 기본 만료시간은 2년입니다. 실제 쿠키 유지기간은 당사 설정 및 이용자의 브라우저 정책에 따라 달라질 수 있습니다.
이용자는 웹브라우저의 쿠키 설정을 변경하거나 Google이 제공하는 Google Analytics 차단 브라우저 부가기능 등을 이용하여 Google Analytics의 데이터 이용을 제한할 수 있습니다.
[국외이전 또는 위탁 등에 해당하는 경우 실제 처리 구조에 맞는 내용을 별도로 기재합니다.]
이 문구를 그대로 게시하기 전에 최소한 사용 중인 GA4 속성, Google Ads 연결 여부, Google Signals, Consent Mode, 데이터 보관기간, 쿠키 설정, 국외이전 구조를 확인해야 합니다.
광고 기능까지 사용한다면 문구를 추가해야 합니다
Google Ads와 GA4를 연결해 리마케팅이나 광고 개인 최적화 기능을 사용한다면 기본 분석용 문구만으로는 부족할 수 있습니다.
Google Analytics 광고 기능
당사는 [실제로 사용하는 광고 기능 기재]를 위하여 Google Analytics의 광고 기능을 사용하고 있습니다. 이 과정에서 당사의 퍼스트 파티 쿠키 또는 식별자와 Google 등 제3자 사업자가 제공하는 광고 쿠키 또는 식별자가 함께 이용될 수 있습니다.
이용자는 Google의 광고 설정 및 당사가 제공하는 쿠키 설정 기능 등을 통해 광고 개인 최적화 또는 관련 데이터 이용을 제한할 수 있습니다.
여기서 “[실제로 사용하는 광고 기능]”을 그대로 남기면 안 됩니다. 리마케팅을 쓰지 않는데 “리마케팅을 사용한다”고 적는 것도 문제이고, 실제로 Google Signals와 광고 개인 최적화를 사용하면서 단순 방문 통계만 수집한다고 적는 것도 실제 운영과 문서가 어긋나는 결과를 만듭니다.
쿠키 동의 배너는 무조건 설치해야 할까
GA4를 사용한다는 이유 하나만으로 모든 대한민국 웹사이트에 동일한 형태의 유럽식 쿠키 동의 배너가 자동으로 필요하다고 단정하기는 어렵습니다. 어떤 개인정보를 어떤 법적 근거로 처리하는지, 광고 기능을 사용하는지, 제3자 행태정보 처리 구조가 있는지, 국외 이용자를 대상으로 하는지 등에 따라 검토사항이 달라집니다.
중요한 것은 개인정보 처리방침 공개와 개인정보 처리 동의를 같은 것으로 보지 않는 것입니다. 처리방침을 게시했다고 해서 동의가 필요한 처리가 자동으로 허용되는 것은 아니며, 반대로 필요한 동의를 받았다고 해서 개인정보 처리방침 공개 의무가 사라지는 것도 아닙니다. 두 절차의 차이는 개인정보 수집·이용 동의서와 처리방침의 차이에서 구체적으로 확인할 수 있습니다.
EEA 등 별도의 동의 규제가 적용되는 이용자를 대상으로 서비스를 제공하거나 Google 광고 제품을 사용하는 경우에는 해당 지역 법률과 Google의 사용자 동의 정책도 따로 확인해야 합니다. Google은 Consent Mode를 통해 이용자의 동의 상태에 따라 Google 태그의 동작을 조정하는 기능을 제공하고 있습니다.
GA4 설정 화면에서 처리방침 작성 전에 확인할 것
- 현재 웹사이트에 설치된 GA4 측정 ID와 Google 태그를 확인합니다.
- Google Tag Manager에 다른 광고·분석 태그가 함께 설치되어 있는지 확인합니다.
- Google Ads 계정과 GA4가 연결되어 있는지 확인합니다.
- Google Signals 사용 여부를 확인합니다.
- 광고 개인 최적화가 활성화되어 있는지 확인합니다.
- 사용자·이벤트 데이터 보관기간을 확인합니다.
- 쿠키 만료기간을 별도로 변경했는지 확인합니다.
- Consent Mode 또는 별도의 CMP를 사용하고 있는지 확인합니다.
- User-ID를 사용하는지 확인합니다.
- 이벤트명, 이벤트 매개변수, 맞춤 측정기준에 이메일·전화번호 같은 직접 식별정보가 들어가지 않는지 확인합니다.
- Google Analytics 외에 AdSense, Meta Pixel, Microsoft Advertising, Hotjar 등 다른 도구가 설치돼 있는지도 함께 확인합니다.
이 작업을 먼저 하면 개인정보 처리방침이 훨씬 짧고 정확해집니다. 반대로 설정을 확인하지 않고 문구부터 만들면 사용하지 않는 기능까지 기재하거나 실제로 작동 중인 광고 태그를 빠뜨리는 일이 생기기 쉽습니다.
Google Analytics 처리방침 작성 시 자주 하는 실수
“Google Analytics를 사용합니다”라고만 적는다
이용자가 어떤 정보가 어떤 목적으로 처리되는지 알기 어렵습니다. 적어도 이용 목적, 자동수집 정보, 쿠키와 거부 방법, 광고 기능 여부를 실제 운영에 맞게 확인하는 편이 좋습니다.
쿠키 만료시간과 데이터 보관기간을 같은 것으로 본다
GA4 쿠키의 만료 설정과 Analytics 서버에서 사용자·이벤트 데이터를 얼마나 보관하는지는 서로 다른 설정입니다. 두 값을 하나의 “보관기간”으로 뭉뚱그리지 않는 것이 좋습니다.
Google Ads를 연결했는데 광고 기능을 설명하지 않는다
Google Ads 연결 여부만으로 모든 광고 기능이 자동으로 동일하게 활성화되는 것은 아니지만, 광고 쿠키나 식별자를 이용하는 기능을 실제로 사용한다면 Google의 광고 기능 정책에 따른 공개사항을 추가로 확인해야 합니다.
국외이전 국가와 보관기간을 다른 사이트에서 복사한다
Google과 같은 글로벌 서비스는 계약 주체와 처리 구조가 복잡할 수 있습니다. 국외이전 내용을 작성하려면 자신의 계약 및 Google의 현재 데이터 처리 문서에서 실제 수신자, 국가, 이전 방법, 보관기간 등을 확인해야 합니다.
개인정보 처리방침으로 동의를 대신하려 한다
개인정보 처리방침은 개인정보가 어떻게 처리되는지를 공개하는 문서이고, 개인정보 처리에 대한 동의가 법적 근거로 필요한 경우에는 별도의 적절한 동의 절차가 필요할 수 있습니다. 두 기능을 하나의 체크박스로 무조건 합치는 방식은 실제 처리 근거를 불명확하게 만들 수 있습니다.
GA4를 제거하면 처리방침에서도 바로 삭제해도 될까
웹사이트에서 GA4 태그를 제거했다고 해서 과거 처리 사실까지 사라지는 것은 아닙니다. 먼저 기존 Analytics 속성에 남아 있는 데이터와 데이터 보관 설정, 삭제 요청 필요 여부, Google Ads 등 연결 제품, 브라우저에 남은 쿠키의 처리 상황을 확인하는 편이 좋습니다.
그다음 GA4를 더 이상 사용하지 않는 시점에 맞춰 개인정보 처리방침을 개정하고, 이전 개인정보 처리방침도 이용자가 확인할 수 있도록 관리하는 방법을 고려할 수 있습니다.
개인정보 처리방침에 넣기 전 마지막 점검
구글 애널리틱스 관련 문구를 잘 쓰는 것보다 더 중요한 것은 처리방침과 실제 사이트의 데이터 흐름을 일치시키는 것입니다.
GA4만 설치돼 있는지, Google Ads·AdSense·Meta Pixel 등 다른 태그도 함께 있는지부터 확인하세요. 그다음 Analytics에서 어떤 기능을 켰는지, 어떤 데이터를 얼마나 보관하는지, 이용자가 거부할 수 있는 방법이 실제로 작동하는지 확인합니다.
개인정보 처리방침은 한 번 작성하고 끝나는 문서가 아닙니다. 새 분석도구나 광고 픽셀을 설치하거나 Consent Mode를 도입하고 광고 기능을 변경했다면 개인정보 처리방침도 함께 점검하는 것이 좋습니다.
최종적으로는 개인정보보호위원회의 2026년 개인정보 처리방침 작성지침과 개인정보 보호법 제30조, 그리고 Google의 현재 Analytics 개인정보 보호 및 쿠키 관련 문서를 함께 대조하는 것이 좋습니다.