EU에서 웹사이트를 운영하고 있다면 이미 GDPR을 위반하고 있을 가능성이 큽니다. 본인도 모르는 사이에 말입니다. 이유는 Google reCAPTCHA입니다. 여전히 봇 차단의 기본 선택지이지만, 이면에서는 사용자 데이터를 미국으로 전송하고 추적을 위해 행동 데이터를 수집하며 많은 경우 동의를 요구하고, 여러 유럽 감독기관으로부터 지적을 받아 왔습니다.
요약하면 reCAPTCHA는 기본 설정에서 GDPR을 충족하지 않습니다. 양식이 사업을 떠받치는 모든 곳에 문제가 됩니다. SaaS 기업, 이커머스 상점, 리드 생성 퍼널, 그리고 공공 부문 사이트가 그렇습니다.
GDPR과 CAPTCHA가 충돌하는 이유
GDPR은 하나의 핵심 원칙 위에 서 있습니다. 데이터 수집을 최소화하고 사용자의 프라이버시를 보호한다는 것입니다. 전통적인 CAPTCHA는 정확히 그 반대로 움직입니다. 사이트를 넘나들며 사용자를 추적하고, 마우스 움직임과 클릭 같은 행동을 분석하며, 그 결과를 제3국으로 보냅니다.
여기서 여러 법적 위험이 한꺼번에 발생합니다. 명시적 동의 없이는 유효한 법적 근거가 없고, EU 역외 이전은 Schrems II 판결과 충돌하며, 투명성이 부족하고, 과징금이 뒤따를 수 있습니다. 많은 기업이 놓치는 점이 있습니다. 봇 차단 도구도 다른 수탁처리자와 마찬가지로 처리활동 기록에 포함된다는 사실입니다.
실제로 적용되는 규정
귀사의 CAPTCHA가 문제인지 여부는 규정의 세 부분이 결정하며, 적용 순서도 이 순서입니다.
제6조 — 법적 근거가 있는가. 방문자를 프로파일링하는 외부 스크립트를 불러오는 것은 처리에 해당합니다. 정당한 이익은 단순한 스팸 방어까지는 지탱하지만, 도구가 사이트를 넘나들며 행동 프로필을 쌓기 시작하면 더는 지탱하지 못합니다. 그때는 동의가 필요하고, 그 동의는 스크립트가 로드되기 전에 존재해야 합니다. 대부분의 구현이 걸려 넘어지는 지점이 바로 여기입니다.
제28조 — 누가 수탁처리자인가. CAPTCHA 공급자는 귀사를 대신해 개인정보를 처리합니다. 따라서 수탁처리 계약이 필요하고, 그 도구는 처리활동 기록에 포함됩니다. 메일 서비스나 분석 도구와 똑같은 한 줄입니다.
제44조 이하 — 데이터는 어디로 가는가. EU 역외로의 모든 이전에는 법적 장치가 필요하며, Schrems II 판결 이후에는 장치만으로 충분하지 않습니다. 목적지 국가의 감시 법률이 그 장치를 무력화하지 않는지 추가로 평가해야 합니다. 데이터가 EU를 한 번도 떠나지 않는다면, 이 평가는 통째로 사라집니다.
CAPTCHA를 GDPR 친화적으로 만드는 것은?
이 CAPTCHA가 외부 스크립트를 페이지에 불러옵니까?
- 예불러오기 전에 동의 필요
- 아니요요청 자체에는 동의가 필요 없음
쿠키나 기기 식별자를 저장하거나 읽습니까?
- 예동의 필요
- 아니요정당한 이익으로 충분할 수 있음
대안을 고르기 전에 ‘GDPR 친화적’이 실제로 무엇을 뜻하는지 알아 두면 도움이 됩니다. 다섯 가지 요건이 이를 가릅니다.
- 개인 데이터 수집 없음
- 국경 간 데이터 전송 없음
- 추적이나 핑거프린팅 없음
- 동의 배너 없이 작동
- 완전히 투명한 처리
여기에 두 가지가 더해져, 단순히 요건을 채운 것과 진짜 좋은 것을 갈라놓습니다. 방문자에게 아무것도 요구하지 않는 보이지 않는 흐름, 그리고 WCAG에 맞는 접근성입니다.
내 사이트를 십 분 만에 점검하기
첫 점검에 변호사는 필요 없습니다. 필요한 것은 네트워크 탭입니다.
- 양식이 있는 페이지를 열고 네트워크 트래픽을 기록하세요.
google.com/recaptcha,hcaptcha.com같은 호스트로 가는 요청이 있다면, 제3자가 귀사의 방문자를 보고 있다는 뜻입니다. - 언제 발생하는지 보세요. 방문자가 아무것도 수락하기 전에 로드된다면, 법적 근거로서의 동의는 이미 사라진 것입니다.
- 쿠키와 저장소를 찾아보세요.
_GRECAPTCHA같은 것은 눈에 보이는 부분일 뿐이고, 로컬 저장소의 항목도 똑같이 셉니다. - 자사 개인정보 처리방침을 읽어보세요. 그 도구가 거기 적혀 있지 않다면, 고지 없이 사용되고 있는 것입니다.
- 처리활동 기록을 확인하세요. 대부분은 분석과 메일을 적어 두고, 봇 차단만 완전히 잊습니다.
여기서 발견되는 것은 모두 고칠 수 있습니다. 고칠 수 없는 것은 아무도 찾아보지 않은 부분입니다.
대안들, 그리고 실제 비용
아래 가격은 2026년 9월 3일 각 공급사 페이지에서 확인한 것입니다. 가격은 바뀌며, 출처는 각 항목에 표시했습니다.
FriendlyCaptcha는 프라이버시를 중시하는 독일산 CAPTCHA입니다. 추적 쿠키를 심지 않고, WCAG 2.2 AA와 ISO 27001을 내세우며, 구조는 GDPR을 염두에 두고 설계되었습니다. 가격은 도메인 1개·월 1,000건에 월 9유로부터, 도메인 5개·5,000건에 39유로, 도메인 50개·50,000건에 200유로입니다. 비영리 사이트에는 월 1,000건까지 무료 요금제가 있습니다. EU 구매자에게 중요한 세부가 하나 있습니다. 유럽 전용 데이터센터는 200유로 단계부터이며 그 아래에는 없습니다. 그리고 방문자는 여전히 퍼즐을 풀어야 하므로, 모든 전환 경로에 마찰이 더해집니다.
Cloudflare Turnstile은 무료이며 공개된 요청 상한도 없습니다. 체험 기간이 아니라 실제로 무료입니다. 무료 요금제가 제한하는 것은 분량이 아니라 기능입니다. 위젯 20개까지, 위젯당 호스트명 10개, 분석 7일치, 가용성 약속 없음, 엔드포인트별 정책 없음. 구글 추적을 걷어내고 상호작용을 최소로 유지합니다. 다만 미국 기업이라는 점은 그대로이고, 모든 경우에 완전히 보이지 않는 것도 아니며, 탐지 방식에 대해서는 거의 말하지 않습니다.
Google reCAPTCHA는 Essentials 단계에서 월 10,000건의 평가를 무료로 제공합니다. 그 이상은 Standard가 100,000건까지 정액 8달러, 더 넘어가면 Enterprise로 이동해 평가 1건당 0.001달러입니다. 여기서 문제는 가격이 아니라 데이터의 경로입니다.
hCaptcha에는 영구 무료인 Basic 단계가 있습니다. Pro는 연간 결제 시 월 99달러, 월 결제 시 139달러이며 100,000건의 평가를 포함하고 초과분은 1,000건당 0.99달러입니다. 프라이버시 측면의 위치는 구글보다 낫지만, 방문자는 여전히 이미지 과제를 풉니다.
SilentShield는 보이지 않는, 프라이버시 친화적 봇 차단입니다. 상호작용 없음, 추적 없음, 핑거프린팅 없음, 개인정보 수집 없음, 동의 배너 없음. 무료 요금제는 도메인 1개에서 월 500건을 다루고, Basic은 월 9유로에 5,000건, Pro는 월 29유로에 도메인 5개·25,000건, Enterprise는 전용 EU 데이터센터가 포함된 개별 계약입니다.
빠른 비교
| 도구 | 시작 가격 | 포함 범위 | 방문자 조작 | 데이터 이전 |
|---|---|---|---|---|
| reCAPTCHA | 무료 | 평가 10,000건 | 퍼즐 | 미국 |
| hCaptcha | 무료 / 월 99달러 | 평가 100,000건(Pro) | 퍼즐 | 혼재 |
| Turnstile | 무료 | 공개된 상한 없음 | 대부분 없음 | 미국 |
| FriendlyCaptcha | 월 9유로 | 요청 1,000건 | 퍼즐 | 200유로 단계부터 EU |
| SilentShield | 무료 / 월 9유로 | 요청 500 / 5,000건 | 없음 | EU |
첫 번째 열은 정직하게 읽어 주십시오. 가격만 놓고 보면 Turnstile이 이깁니다. 무료이고, 분량 상한이 없으며, 준수 요구가 없는 소규모 사이트라면 이에 반박하기 어렵습니다.
SilentShield가 더 약한 선택인 지점
필자가 모든 줄에서 이기는 비교는 의심해 볼 만합니다. 우리가 이기지 못하는 세 줄은 이렇습니다.
저희 스크립트는 Turnstile보다 큽니다. SilentShield의 행동 분석 모듈은 압축 후 43.6 KB이고, 로더까지 더하면 약 47 KB입니다. 2026년 9월 4일 각 공급사가 실제로 전달하는 양을 브라우저에서 측정했습니다. Turnstile은 27.5 KB, reCAPTCHA는 423 KB, hCaptcha는 742 KB였습니다. 넷 중 가장 가벼운 것은 Turnstile이고 저희는 두 번째입니다. 렌더링 이후 비동기로 불러오므로 방문자가 기다리는 것을 막지는 않지만, 1킬로바이트를 다투는 페이지라면 이는 저희에게 불리한 진짜 논거입니다.
분량 면에서는 무료가 아닙니다. Turnstile은 어떤 분량에서도 비용이 들지 않습니다. 우리의 무료 요금제는 월 500건에서 끝납니다. 가격이 유일한 기준이라면 우리는 선택지가 아닙니다.
우리가 더 젊습니다. reCAPTCHA는 십 년 넘게 돌아가며 우리가 보지 못한 공격 양상을 봐 왔습니다. 작은 차이가 아니며, 어떤 포지셔닝으로도 달라지지 않습니다.
그 9유로로 얻는 것은 다른 거래입니다. 미국 공급자로부터 아무것도 불러오지 않고, 쿠키를 심지 않으며, 어떤 방문자도 무언가를 증명할 필요가 없고, 판정은 EU 안에 머무릅니다. 그것이 무료보다 가치 있다면 우리가 더 나은 선택입니다. 그렇지 않다면 Turnstile을 선택하십시오. 그것은 충분히 옹호할 만한 결정이며, 이 글은 아닌 척하지 않겠습니다.
규정 준수인가 전환인가? 이제 선택하지 않아도 됩니다
대부분의 기업은 이를 법무 판단으로 여깁니다. 그렇지 않습니다. 이것은 성장에 관한 판단입니다. 전통적인 CAPTCHA는 전환율을 무너뜨리고 마찰을 더하며 모바일 경험을 해칩니다. 반면 GDPR에 부합하면서 보이지 않는 해법은 더 많은 전환과 더 나은 경험, 그리고 법적 위험이 없는 상태를 가져다줍니다.
FriendlyCaptcha는 프라이버시를 해결합니다. Turnstile은 경험을 조금 개선합니다. 어느 쪽도 둘 다를 완전히 해결하지는 못합니다. SilentShield는 해냅니다. 프라이버시 우선 구조, 방문자가 결코 보지 못하는 검증, 그리고 현대적인 SaaS와 유럽 기업을 위해 만들어진 제품입니다.
봇 차단 업그레이드 (법적 리스크 없이)
GDPR 준수를 두고 도박할 필요도, 전환을 희생할 필요도 없습니다.