CipherCue가 2026년 10월 23~26일 웹사이트 13,712곳을 조사한 결과, 쿠키 동의 배너가 표시된 6,955곳 가운데 1,662곳(23.9%)에서 방문자가 아무것도 누르기 전에 광고 추적이 확인됐다. 이 중 1,512곳은 광고 요청에 응답을 받았고, 150곳은 광고 식별 쿠키만 저장했다.

조사는 새 Chrome 프로필로 홈페이지를 열고 10초 동안 클릭이나 스크롤 없이 네트워크 요청과 쿠키를 기록했다. 광고 스크립트를 내려받은 것만으로는 추적에 포함하지 않았으며, 동의 거부를 표시한 Google 요청도 제외했다. 결과의 95% 신뢰구간은 22.9~24.9%다.

배너에 거부 또는 설정 버튼이 있는 사이트에서도 5,364곳 중 1,247곳(23.2%)에서 추적이 활성화됐다. ‘확인’이나 ‘동의’만 제공한 사이트는 1,336곳 중 366곳(27.4%)이었다. 이는 사이트 집단 간 비교이며, 거부 버튼이 추적 여부를 바꾼다는 뜻은 아니다. 첫 광고 요청은 페이지를 요청한 뒤 중앙값 1.8초 만에 나갔지만, 배너가 화면에 나타난 시점은 측정하지 않아 추적 요청과 배너 표시 중 무엇이 먼저였는지는 알 수 없다.

광고 요청 또는 식별 쿠키가 동의 전에 확인된 사이트는 Meta가 827곳, Google Ads가 741곳, LinkedIn이 208곳, TikTok이 207곳이었다. Cookiebot 배너가 보인 815곳 중 260곳(32%)에서는 Cookiebot이 마케팅 동의를 거부 상태로 기록했는데도 광고 추적이 활성화됐다. 이는 동의 플랫폼 자체가 고장 났다는 뜻은 아니다. 조사로는 태그가 플랫폼을 우회해 설치됐는지 등 원인을 확인할 수 없으며, 개별 사이트의 위법 여부도 판단하지 않는다.

자사 사이트를 점검하려면 Chrome 시크릿 창에서 광고 차단기를 끄고 개발자 도구의 Network 탭에서 기록을 유지한 채 홈페이지를 10초간 연다. 배너를 누르기 전 facebook.com/tr, pagead, ccm/collect, tiktok 등의 요청을 살펴보고, Application 탭의 Cookies에서 _fbp, _gcl_au, _ttp 같은 식별 쿠키가 있는지 확인할 수 있다. 스크립트 파일 다운로드는 광고 이벤트 요청과 다르며, Google은 동의가 거부된 경우 쿠키 없는 요청을 보낼 수 있으므로 요청만으로 위반이라고 단정해서는 안 된다.

EU의 ePrivacy Directive와 영국의 PECR은 일반적으로 필수적이지 않은 쿠키나 유사 식별자를 저장하거나 읽기 전에 동의를 요구한다. 다만 이번 조사는 독일의 IP에서 사이트별 홈페이지를 한 번씩 확인한 결과이며, 위치나 페이지에 따라 배너와 태그 동작이 달라질 수 있다. CipherCue는 전체 106,821곳 조사를 11월에 마치면 수치를 갱신할 예정이라고 밝혔다.

유럽연합 이사회는 2026년 10월 21일 협상 입장에서 브라우저에 저장한 동의 선택을 웹사이트가 따르도록 하는 조항을 제외했다. 이는 협상 입장이지 법률이 확정된 것은 아니며, 유럽의회가 자체 입장을 채택한 뒤 협상이 시작된다. 이사회 발표 · 협상 문안