병원 캠페인 주소에 환자 이름을 넣지 않고도 링크를 구분할 수 있습니다

특정 환자에게 보낸 링크를 구별하려고 캠페인명에 이름이나 전화번호를 넣으면 그 값이 브라우저 주소, 분석 도구, 서버 기록, 공유 화면에 남을 수 있습니다. 운영자가 알아보기 쉽다는 이유로 공개 URL을 환자 식별 대장처럼 사용해서는 안 됩니다. 캠페인은 비식별 코드로 구분하고 개인별 업무 기록은 적절한 권한의 시스템에 둡니다.

URL은 여러 위치에 복제될 수 있습니다

UTM 값은 링크 자체에 포함됩니다. 사용자가 주소를 복사하거나 화면을 캡처할 수 있고, 분석 및 광고 도구가 페이지 위치를 수집할 수도 있습니다. 링크가 외부 메신저나 협력사 문서로 전달되면 처음 예상한 범위 밖에 남을 가능성도 있습니다.

Google Analytics 정책 안내는 이름, 이메일 주소처럼 개인을 식별할 수 있는 정보를 수집하도록 허용하지 않으며 URL과 페이지 제목 등에도 이런 정보가 포함되지 않도록 주의하라고 설명합니다. 개인 식별 정보 방지 안내 설정 화면뿐 아니라 실제 전송 값을 점검해야 합니다.

환자 이름을 암호처럼 줄이거나 전화번호 일부만 쓰는 방식도 안전한 비식별화라고 임의로 판단하지 않습니다. 다른 정보와 결합해 개인을 알아볼 수 있다면 여전히 문제가 될 수 있습니다.

캠페인과 배포 단위만 식별합니다

캠페인 ID는 마케팅 활동을 구분하는 코드로 만들고, 배포 ID는 문자·블로그·광고 등 실제 링크가 놓인 위치를 구분합니다. 예를 들어 `cmp_202610_a`와 `msg_01`처럼 업무 의미를 제한할 수 있습니다. 코드만으로 환자의 상태나 예약 내용을 추측할 수 없어야 합니다.

가정으로 검진 안내 문자 500건을 보낸다고 해도 환자별 UTM 500개가 필요한 것은 아닙니다. 동일한 목적과 배포 조건이라면 하나의 비식별 배포 링크를 쓸 수 있습니다. 개별 발송 성공 여부는 접근 통제가 된 문자 발송 시스템에서 확인합니다. 숫자는 운영 구조를 설명하는 예시입니다.

내부 대장에는 코드의 목적, 담당자, 사용 기간, 최종 페이지를 기록합니다. 개인별 상담 기록과 마케팅 링크 대장을 한 파일로 합치지 않고 필요한 사람만 접근하도록 구분합니다.

링크 생성과 실제 전송을 검사합니다

폼 입력값을 쿼리 문자열이나 페이지 제목에 자동으로 붙이는 기능이 없는지 확인합니다. 제출 뒤 이동하는 완료 URL, 오류 로그, 분석의 페이지 위치 차원도 표본으로 봅니다. 개발 환경에서는 가상 데이터만 사용하고 실제 환자 정보를 시험값으로 복사하지 않습니다.

광고나 문자 도구가 동적 변수를 주소에 치환한다면 어떤 값이 들어가는지 문서로 확인합니다. `{name}` 같은 변수가 캠페인명에 남아 있거나 실제 이름으로 바뀌지 않는지 시험 발송으로 검수합니다. 단축 주소를 쓰더라도 최종 목적지에 개인정보가 포함되면 문제가 사라지지 않습니다.

이미 개인정보가 들어간 링크를 발견하면 배포 위치, 접근 범위, 수집된 시스템을 확인하고 조직의 개인정보 처리 절차에 따라 대응합니다. 단순히 새 링크를 만드는 것만으로 기존 기록과 공유본이 모두 삭제됐다고 단정하지 않습니다.

보고서에도 최소한의 값만 남깁니다

분석 보고에는 캠페인과 매체를 판단하는 데 필요한 코드만 사용합니다. 원장이나 담당자가 알아보기 어렵다면 별도의 표시 이름을 대장에서 연결하되 환자 목록을 분석 화면에 가져오지 않습니다. 데이터 내보내기 파일과 공유 링크의 접근 권한도 확인합니다.

업무 종료 뒤 코드의 보존 기간과 링크의 동작을 검토합니다. 오래된 개인별 링크가 계속 열리는 구조를 피하고, 종료된 캠페인에는 현재 이용 가능한 일반 안내로 연결할지 결정합니다.

출처 확인일: 2026-10-26. 코드 예시는 실제 캠페인이나 환자 자료가 아닙니다. 본문은 분석 링크 설계의 일반 운영 원칙이며 구체적인 개인정보 법률 판단은 조직의 담당자와 별도로 검토해야 합니다.