주요 웹 브라우저 대부분은 '추적 금지(Do Not Track)' 기능을 제공합니다. 이 기능을 켜면 방문하는 웹사이트에 "나는 추적되고 싶지 않다"는 의사를 전달할 수 있습니다. 아이디어 자체는 훌륭해 보이지만, 과연 실제로 개인정보를 지켜 줄 수 있을까요?
관련 사실과 근거를 하나씩 살펴보고, 직접 판단해 보도록 하겠습니다.
'추적 금지(DNT)'란 무엇인가?
DoNotTrack.us의 설명에 따르면 다음과 같습니다.
"추적 금지(Do Not Track)는 사용자가 직접 방문하지 않은 웹사이트, 분석 서비스, 광고 네트워크, 소셜 플랫폼 등에 의한 추적에서 벗어날 수 있도록 해 주는 기술 및 정책 제안이다."
브라우저 설정에서 '추적 금지' 옵션에 체크하면, 브라우저는 모든 웹 트래픽에 특수한 HTTP 헤더를 추가합니다. 이 헤더를 통해 웹사이트는 "이 사용자를 추적하지 말 것"이라는 요청을 받게 됩니다. 즉, 분석 서비스나 광고 네트워크가 심는 추적 쿠키를 원하지 않으며, 자신의 검색 활동 정보가 소셜 네트워크로 전달되는 것도 원하지 않는다는 의사 표시입니다.
이상적인 상황이라면 리타게팅 광고용 쿠키나 검색 습관에 대한 대규모 데이터 수집이 이루어지지 않아야 합니다. 하지만 안타깝게도 예상하시겠지만, 이 HTTP 헤더는 이론상 웹사이트가 무시할 수 있습니다. 정중하게 요청한 뒤에도 조직이 사용자를 추적하는 것을 막는 장치는 아무것도 없습니다.
그렇다면 기업들이 사용자의 추적 거부 요청을 무시해도 되는 것일까요? 이제 그 문제를 살펴보겠습니다.
'추적 금지'는 법적으로 강제력이 있는가?
이상적인 세계라면 추적 금지 헤더가 담긴 트래픽을 받은 모든 웹사이트는 요청대로 사용자를 추적하지 않아야 합니다. 이를 법적 구속력이 있는 의무로 만들자는 제안이 미국 연방거래위원회(FTC)에 여러 차례 접수되기도 했습니다.
그러나 FTC는 사용자 프라이버시 문제에 공식적으로 개입하기보다는, 추적 금지 기술의 세부 사항을 정리하는 일을 W3C(World Wide Web Consortium)에 맡겼습니다. 문제는 W3C에 Adobe, Facebook, Google, eBay, Netflix, PayPal, Twitter, Yahoo! 등 수백 개 조직이 참여하고 있다는 점입니다. 이들 중 상당수는 사용자 데이터 수집에 큰 관심을 가진 기업들입니다.
결국 '추적 금지'를 법적 의무로 만들려는 논의는 흐지부지 끝났습니다. 기업들은 법적 처벌에 대한 두려움 없이 추적 금지 설정을 마음대로 무시할 수 있게 되었고, 이를 존중할지 여부 역시 각자 선택할 수 있게 된 것입니다.
'추적 금지'는 실제로 작동하는가?
요즘 추적 금지 요청을 존중하는 웹사이트는 극소수에 불과합니다. 나머지 대부분은 요청을 무시하며, 어떤 사이트는 "프라이버시에 관심이 있을 것"이라고 가정하고 오히려 프라이버시 관련 광고를 보여주기까지 합니다.
이러한 현실 속에서 IT 업계의 추적 금지에 대한 신뢰는 점차 약화되고 있습니다. Internet Explorer 10 출시 당시 마이크로소프트는 이 기능을 브라우저에서 기본으로 활성화했습니다. "광고주와 정보를 공유할지 여부는 사용자가 스스로 결정해야 하며, 그 반대가 되어서는 안 된다"는 입장이었습니다.
그러나 디지털 광고 연합(Digital Advertising Alliance)이 강하게 반발했고, 결국 마이크로소프트는 요구를 받아들였습니다. Windows 10부터는 사용자가 직접 이 기능을 켜야 하며, 현재 마이크로소프트의 개인정보 처리방침에는 다음과 같이 명시되어 있습니다.
"[추적 금지] 신호를 해석하는 방식에 대한 공통된 이해가 아직 없기 때문에, 마이크로소프트 서비스는 현재 브라우저의 [추적 금지] 신호에 응답하지 않습니다."
온라인 서비스 제공업체들은 이러한 논리를 추적 금지 설정을 무시하는 핑계로 삼아 왔습니다. 추적 금지를 뒷받침하는 표준도 법률도 없으니, 누구도 이를 따를 유인이 없는 것입니다.
Twitter, Medium, Reddit, Pinterest 등 일부 기업은 사용자의 추적 금지 요청을 존중하겠다고 약속했습니다. 하지만 대부분의 광고주는 "실행 가능한 표준이 없다"는 이유로 이를 무시하면서도, 정작 표준을 만드는 데에는 노력을 기울이지 않고 있습니다.
결론적으로 브라우저의 '추적 금지' 옵션은 큰 효과가 없습니다. 일부 기업이 이를 존중하기는 하지만, 이를 강제하는 법적 구속력이 없기 때문입니다. 사용자를 추적하려는 기업은 언제든 이 신호를 무시하고 정보를 수집할 수 있으며, 실제로 그렇게 하는 경우가 많습니다.
브라우저 개인정보를 보호하는 실질적인 방법
추적 금지는 훌륭한 아이디어였지만, 확실한 규칙의 부재와 업계 전반의 무시라는 선택이 함께 작용해 실패로 돌아갔습니다. 그래도 개인정보를 보호하기 위해 활용할 수 있는 다른 방법들은 충분히 있습니다.
타사 쿠키를 차단하도록 브라우저 설정하기
퍼스트파티 쿠키는 내가 방문한 웹사이트가 발행하는 것으로, 로그인 유지 등 유용한 기능에 쓰입니다. 반면 타사 쿠키는 광고주와 소셜 네트워크가 심는 것으로, 인터넷 곳곳에서 사용자를 추적하는 데 사용됩니다. 브라우저 설정에서 타사 쿠키를 차단하면 상당 부분의 추적을 막을 수 있습니다.
가능한 한 많은 추적 서비스에서 탈퇴(옵트아웃)하기
추적 서비스는 매우 많고, 옵트아웃 기능을 제공하지 않는 곳도 적지 않습니다. 그래도 Facebook, Google 같은 주요 서비스는 탈퇴 절차를 제공하므로 먼저 처리해 두는 것이 좋습니다. NetworkAdvertising.org/choices에서 광고 네트워크 단위로 옵트아웃할 수도 있지만, 그 실효성은 다소 의문스럽다는 점을 감안해야 합니다.
추적 차단 브라우저 확장 프로그램 활용하기
타사 추적으로부터 사용자를 보호해 주는 브라우저 확장 프로그램이 여럿 존재합니다. Disconnect.me가 가장 널리 알려진 선택지이며, uBlock Origin이나 Privacy Badger 같은 대안도 찾아볼 수 있습니다.
프라이버시 중심 브라우저 사용하기
Epic이나 Dragon처럼 프라이버시 보호를 핵심 가치로 내세우는 브라우저도 있습니다. 익명성을 극대화하는 데 초점을 맞춘 Tor 브라우저는 더욱 강력한 선택지가 될 수 있습니다.
인터넷 감시를 피하는 방법에 대한 더 자세한 내용이 필요하다면, 초급·중급 프라이버시 사용자에게 필요한 모든 것을 담은 종합 가이드를 참고해 보는 것도 좋습니다.
온라인 개인정보는 스스로 지켜야 한다
추적 금지는 훌륭한 개념이지만, 결국 실행력이 없는 기술입니다. 기업들은 이를 무시해도 아무런 불이익을 받지 않으며, 실제로 대부분 무시합니다.
그럼에도 불구하고 이 설정을 켜 두는 것은 의미가 있습니다. 이를 존중하는 소수의 사이트에서는 실제로 도움이 되기 때문입니다. 다만 인터넷 전반에서 기업의 추적을 막고 싶다면, 정중한 요청 한 번으로는 부족합니다. 쿠키 차단, 추적 차단 확장 프로그램, 프라이버시 중심 브라우저, VPN 사용 등 더 직접적인 조치를 통해 개인정보를 스스로 지켜 나가야 합니다.
개인정보 통제권을 되찾을 준비가 되셨나요? 평판 좋은 VPN 서비스를 구독하는 것부터 시작해 보는 것도 좋은 방법입니다.