EU에서 웹사이트를 운영하고 있다면, 사용 중인 CAPTCHA를 자세히 살펴볼 필요가 있습니다. 많은 경우 그것은 Google reCAPTCHA입니다. 여전히 봇 차단의 기본 선택지이며, 페이지에 Google 스크립트를 로드합니다. Google 자체 FAQ(docs.cloud.google.com/recaptcha/docs/faq)에 따르면 2026년 4월 2일부터 Google은 이와 관련해 처리자(processor)로서 활동합니다. 그럼에도 reCAPTCHA를 사용해도 되는지, 어떻게 사용해야 하는지는 여전히 법적 검토의 대상이며, 실제로 이 검토에서는 동의 문제가 자주 논의됩니다.
요약하면 reCAPTCHA를 검토 없이 페이지에 넣어서는 안 됩니다. 양식이 사업을 떠받치는 모든 곳에 해당하는 이야기입니다. SaaS 기업, 이커머스 상점, 리드 생성 퍼널, 그리고 공공 부문 사이트가 그렇습니다.
GDPR과 CAPTCHA가 충돌하는 이유
GDPR은 하나의 핵심 원칙 위에 서 있습니다. 데이터 수집을 최소화하고 사용자의 프라이버시를 보호한다는 것입니다. 많은 전통적인 CAPTCHA 시스템은 이 원칙과 긴장 관계에 있습니다. 서드파티 스크립트를 로드하고, 마우스 움직임과 클릭 같은 행동을 분석하며, 그 결과를 EU 역외 서버에서 처리하는 경우가 많습니다.
여기서 검토해야 할 여러 질문이 생깁니다. 동의 없이도 탄탄한 법적 근거가 있는지, EU 역외 이전이 Schrems II 판결 이후에도 안전장치를 갖추고 있는지, 그리고 처리가 투명하게 설명되어 있는지입니다. 많은 기업이 놓치는 점이 있습니다. 봇 차단 도구도 다른 수탁처리자와 마찬가지로 처리활동 기록에 포함된다는 사실입니다.
실제로 적용되는 규정
귀사의 CAPTCHA가 문제인지 여부는 규정의 세 부분이 결정하며, 적용 순서도 이 순서입니다.
제6조 — 법적 근거가 있는가. 방문자를 프로파일링하는 외부 스크립트를 불러오는 것은 처리에 해당합니다. 정당한 이익은 단순한 스팸 방어까지는 지탱하지만, 도구가 사이트를 넘나들며 행동 프로필을 쌓기 시작하면 더는 지탱하지 못합니다. 그때는 동의가 필요하고, 그 동의는 스크립트가 로드되기 전에 존재해야 합니다. 도입할 때 바로 이 점에 주의하셔야 합니다.
제28조 — 누가 수탁처리자인가. CAPTCHA 공급자는 귀사를 대신해 개인정보를 처리합니다. 따라서 수탁처리 계약이 필요하고, 그 도구는 처리활동 기록에 포함됩니다. 메일 서비스나 분석 도구와 똑같은 한 줄입니다.
제44조 이하 — 데이터는 어디로 가는가. EU 역외로의 모든 이전에는 법적 장치가 필요하며, Schrems II 판결 이후에는 장치만으로 충분하지 않습니다. 목적지 국가의 감시 법률이 그 장치를 무력화하지 않는지 추가로 평가해야 합니다. 공급사 자체가 EU에 소재하고 데이터를 EU 안에 보관한다면, 이 평가의 상당 부분이 사라집니다.
CAPTCHA를 GDPR 친화적으로 만드는 것은?
이 CAPTCHA가 외부 스크립트를 페이지에 불러옵니까?
- 예불러오기 전에 동의 필요
- 아니요요청 자체에는 동의가 필요 없음
쿠키나 기기 식별자를 저장하거나 읽습니까?
- 예동의 필요
- 아니요정당한 이익으로 충분할 수 있음
대안을 고르기 전에 ‘GDPR 친화적’이 실제로 무엇을 뜻하는지 알아 두면 도움이 됩니다. 다섯 가지 요건이 이를 가릅니다.
- 개인 데이터는 최소한으로, 평문으로는 아무것도 저장하지 않음
- EU 내 데이터 보관
- 추적 쿠키 없음, 사이트 간 프로필 없음
- 문서화할 수 있는 법적 근거
- 완전히 투명한 처리
여기에 두 가지가 더해져, 단순히 요건을 채운 것과 진짜 좋은 것을 갈라놓습니다. 방문자에게 아무것도 요구하지 않는 보이지 않는 흐름, 그리고 WCAG에 맞는 접근성입니다.
내 사이트를 십 분 만에 점검하기
첫 점검에 변호사는 필요 없습니다. 필요한 것은 네트워크 탭입니다.
- 양식이 있는 페이지를 열고 네트워크 트래픽을 기록하세요.
google.com/recaptcha,hcaptcha.com같은 호스트로 가는 요청이 있다면, 제3자가 귀사의 방문자를 보고 있다는 뜻입니다. - 언제 발생하는지 보세요. 방문자가 아무것도 수락하기 전에 로드된다면, 법적 근거로서의 동의는 이미 사라진 것입니다.
- 쿠키와 저장소를 찾아보세요.
_GRECAPTCHA같은 것은 눈에 보이는 부분일 뿐이고,localStorage의 항목도 똑같이 셉니다. - 자사 개인정보 처리방침을 읽어보세요. 그 도구가 거기 적혀 있지 않다면, 고지 없이 사용되고 있는 것입니다.
- 처리활동 기록을 확인하세요. 대부분은 분석과 메일을 적어 두고, 봇 차단만 완전히 잊습니다.
여기서 발견되는 것은 모두 고칠 수 있습니다. 고칠 수 없는 것은 아무도 찾아보지 않은 부분입니다.
대안들, 그리고 실제 비용
아래 정보는 2026년 10월 4일 각 공급사의 공식 페이지에서 확인한 것입니다. 정보는 바뀌며, 출처는 각 항목에 표시했습니다.
FriendlyCaptcha는 백그라운드에서 검사하는, 프라이버시를 중시하는 독일산 CAPTCHA입니다. Starter 요금제는 월 9유로, Advanced는 월 200유로이며, Enterprise는 문의 시 제공됩니다. 비상업적 프로젝트(도메인 1개, 월 1,000건 요청)와 오픈 소스 프로젝트(도메인 50개, 월 50,000건 요청)에는 무료입니다. 유료 요금제의 요청 한도는 공식 가격 페이지에서 확인할 수 없었습니다 — 공급업체에 직접 문의하시기 바랍니다. 출처: friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile은 검증 횟수 제한 없이 무료입니다. 체험 기간이 아니라 실제로 무료이며, 사이트가 Cloudflare를 거칠 필요도 없습니다. 무료 요금제가 제한하는 것은 분량이 아니라 기능입니다. 위젯 20개까지, 위젯당 호스트명 10개, 분석 7일치. Google 스크립트를 로드하지 않고 상호작용을 최소로 유지합니다. Managed 모드에서는 위험을 감지하면 체크박스를 표시하며, 해독해야 할 이미지나 텍스트는 없습니다. Invisible 모드는 "Turnstile Privacy Addendum"을 언급하는 안내 문구가 필요합니다. Cloudflare는 여전히 미국 기업입니다. 출처: developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA(현재 "Google Cloud Fraud Defense"의 일부)는 Essentials 단계에서 월 10,000건의 평가를 무료로 제공하며, 결제 수단을 등록해야 합니다. Premium 단계에서는 10,001건부터 100,000건까지 정액 8달러, 그 이상은 1,000건당 1달러이며, 그 위에 Enterprise가 있습니다. 이미지 과제는 모든 단계에서 제공됩니다. Google 자체 FAQ에 따르면 2026년 4월 2일부터 Google은 처리자(processor)로서 활동합니다. 여기서 쟁점은 가격이 아니라 Google로 향하는 데이터의 경로입니다. 출처: docs.cloud.google.com/recaptcha/docs/compare-tiers 및 /faq.
hCaptcha에는 무료 Basic 단계가 있습니다. Pro는 연간 결제 시 월 99달러, 월 결제 시 139달러이며, Enterprise는 문의 시 제공됩니다. 보이는 과제 없는 패시브 모드는 Pro와 Enterprise에서만 제공되며, Basic 단계에서는 보이는 검사가 남습니다. 출처: hcaptcha.com/pricing.
SilentShield는 독일에 있는 저희 서버에 데이터를 보관하는, 기본적으로 보이지 않는 프라이버시 우선 봇 차단입니다. 일반적인 경우 사용자 상호작용이 없고(결과가 불분명할 때만 짧은 계산 문제), 쿠키 없음, 사이트 간 추적 없음, 프로필 없음, 그리고 브라우저와 기기 특성을 완전히 제외하는 선택형 Zero-PII 모드를 제공합니다. 무료 요금제는 도메인 1개에서 월 500건을 다루고, Basic은 월 9유로에 5,000건, Pro는 월 29유로에 도메인 5개·25,000건, Enterprise는 개별 계약입니다.
빠른 비교
| 도구 | 시작 가격 | 포함 범위 | 방문자 조작 | 데이터 이전 |
|---|---|---|---|---|
| reCAPTCHA | 무료 | 평가 10,000건 | 이미지 과제 가능 | |
| hCaptcha | 무료 / 월 99달러(연간) | 확인되지 않음 | 퍼즐; 패시브는 Pro/Enterprise만 | 확인되지 않음 |
| Turnstile | 무료 | 검증 무제한 | 대부분 없음; 위험 시 체크박스 | Cloudflare(미국 기업) |
| FriendlyCaptcha | 월 9유로 | 확인되지 않음 | 백그라운드 검사 | 확인되지 않음 |
| SilentShield | 무료 / 월 9유로 | 요청 500 / 5,000건 | 기본적으로 없음; 불분명할 때 계산 문제 | 독일 서버; EU 엔드포인트 사용 시 CDN 없음 |
첫 번째 열은 정직하게 읽어 주십시오. 가격만 놓고 보면 Turnstile이 이깁니다. 무료이고, 분량 상한이 없으며, 준수 요구가 없는 소규모 사이트라면 이에 반박하기 어렵습니다.
SilentShield가 더 약한 선택인 지점
필자가 모든 줄에서 이기는 비교는 의심해 볼 만합니다. 우리가 이기지 못하는 세 줄은 이렇습니다.
저희 스크립트는 Turnstile보다 큽니다. SilentShield의 행동 분석 모듈은 압축 후 45.0 KB이고, 로더까지 더하면 48.9 KB입니다(2026년 9월 23일 재측정). 2026년 9월 4일 각 공급사가 실제로 전달하는 양을 브라우저에서 측정했습니다. Turnstile은 27.5 KB, reCAPTCHA는 423 KB, hCaptcha는 742 KB였습니다. 넷 중 가장 가벼운 것은 Turnstile이고 저희는 두 번째입니다. 렌더링 이후 비동기로 불러오므로 방문자가 기다리는 것을 막지는 않지만, 1킬로바이트를 다투는 페이지라면 이는 저희에게 불리한 진짜 논거입니다.
분량 면에서는 무료가 아닙니다. Turnstile은 어떤 분량에서도 비용이 들지 않습니다. 우리의 무료 요금제는 월 500건에서 끝납니다. 가격이 유일한 기준이라면 우리는 선택지가 아닙니다.
우리가 더 젊습니다. reCAPTCHA는 십 년 넘게 돌아가며 우리가 보지 못한 공격 양상을 봐 왔습니다. 작은 차이가 아니며, 어떤 포지셔닝으로도 달라지지 않습니다.
그 9유로로 얻는 것은 다른 거래입니다. Google 스크립트를 불러오지 않고, 쿠키를 심지 않으며, 방문자는 기본적으로 아무 과제도 보지 않습니다 — 결과가 불분명할 때만 짧은 계산 문제가 나옵니다 — 그리고 EU 엔드포인트를 사용하면 검사는 CDN 없이 독일에 있는 저희 서버에서 직접 실행됩니다. 그것이 무료보다 가치 있다면 우리가 더 나은 선택입니다. 그렇지 않다면 Turnstile을 선택하십시오. 그것은 충분히 옹호할 만한 결정이며, 이 글은 아닌 척하지 않겠습니다.
규정 준수인가 전환인가? 이제 선택하지 않아도 됩니다
대부분의 기업은 이를 법무 판단으로 여깁니다. 그렇지 않습니다. 이것은 성장에 관한 판단입니다. 전통적인 CAPTCHA는 전환을 떨어뜨리고 마찰을 더하며 모바일 경험을 해칩니다. 반면 프라이버시 친화적이고 보이지 않는 해법은 폼에서 그 마찰을 덜어 줍니다 — 다만 법적 검토까지 대신해 주지는 않습니다.
SilentShield는 둘 다를 목표로 합니다. 쿠키 없음, 사이트 간 추적 없음, 프로필 없음. IP 주소는 검사에만 사용되며 평문으로 저장되지 않습니다. 그리고 검사는 기본적으로 보이지 않으며, 결과가 불분명할 때만 짧은 계산 문제를 표시합니다. 현대적인 SaaS와 유럽 기업을 위해 만들어졌습니다.
봇 차단 업그레이드 — 프라이버시 친화적으로
GDPR 준수를 두고 도박할 필요도, 전환을 희생할 필요도 없습니다.