인터넷을 사용해 온 지난 몇 년간, 쿠키 사용에 동의하라는 알림 창을 공격적으로 띄우는 사이트가 눈에 띄게 늘어난 것을 경험했을 겁니다. 대부분의 사용자라면 눈에 잘 띄게 강조된 버튼을 그냥 클릭하거나, 이용약관을 읽었다고 말하면서도 실제로는 넘기듯 자동으로 무시하고 지나치곤 하죠.
눈썰미가 좋은 분들은 이미 알아차렸겠지만, 대부분의 알림에는 애초에 다른 선택지가 없습니다. 쿠키 없이 이용할 수 있는 버전이나 항목별로 선호도를 조정할 수 있는 메뉴가 제공되는 경우는 드물습니다. 한마디로, 단순한 '쿠키 고지' 창을 클릭하는 행위는 실질적인 효과가 거의 없다는 뜻입니다. 다만 이 상황은 앞으로 달라질 수 있습니다. 실질적인 기능을 갖춘 '쿠키 동의' 양식이 현재 EU의 법적 표준으로 자리 잡고 있기 때문입니다.
쿠키란 무엇이고, 왜 걱정해야 할까?
브라우저 쿠키는 웹사이트를 방문할 때 브라우저에 저장되는 단순한 텍스트 파일로, 사이트가 방문자가 페이지를 이동하는 동안의 활동을 추적할 수 있게 해주는 역할을 합니다. 물론 먹는 쿠키만큼 재미있지는 않죠.
일부 쿠키는 '기술적 쿠키(technical cookies)'라고 불리며, 대부분의 현대 웹사이트에 필수적입니다. 이 쿠키가 없다면 장바구니 저장, 페이지 간 로그인 상태 유지, 사용자 환경설정 기억 같은 기능을 구현하기가 상당히 어려워집니다. 이런 쿠키를 '초코칩 쿠키'라고 부른다면, 사실상 모든 사람이 원하는 쿠키라고 안심해도 됩니다. EU의 데이터 법규 역시 이런 쿠키는 규제하지 않습니다.
반면 분석·추적 쿠키는 '오트밀 레이즌 쿠키'에 가깝습니다. 선택권이 있다면 굳이 먹고 싶지 않지만, 만드는 쪽에서는 너무나 좋아해서 여러분이 가져가도록 갖은 방법으로 유혹하죠. 이러한 쿠키는 사용자에 대한 데이터를 수집해 관심 있는 당사자에게 전달하는 역할을 합니다. 수집 주체는 사이트 자체일 수도 있고, Google, Facebook, Disqus처럼 사용자와 그 행동 패턴에 대해 더 알고 싶어 하는 광고주 등 제3자일 수도 있습니다. EU가 규제 대상으로 삼는 바로 이 종류의 쿠키입니다.
이 쿠키들은 사이트 기능에는 필수적이지 않지만, 사용자가 제품·서비스·사이트 요소와 어떻게 상호작용하는지 모니터링하는 데 중요한 정보를 제공합니다. 특히 '고객에게 무엇을 어떻게 팔지' 아는 것이 곧 수익인 기업들, 즉 광고 산업에게 추적 쿠키는 매우 중요한데, 바로 이 점이 프라이버시를 중시하는 수많은 사용자들의 마음에 걸리는 부분입니다.
쿠키 동의 창은 나에게 어떤 효과가 있을까?
유럽 개인정보 보호법(GDPR, ePrivacy 등)에 따르면, 필수적이지 않은 쿠키를 브라우저에 저장하려는 사이트는 원칙적으로 사전에 사용자의 동의를 받아야 합니다. 일부 쿠키 동의 창은 실제로 이렇게 작동하지만, 현재 대부분은 허락 없이 쿠키를 먼저 로드한 뒤에야 그 존재를 알려줍니다. 실질적인 기능을 가진 쿠키 동의 버튼은 오히려 예외적인 경우입니다.
실제로 2019년 독일 루르대학교 보훔(Ruhr University Bochum)과 미국 미시간대학교(University of Michigan) 공동 연구팀의 조사에 따르면, 조사 대상 사이트의 86%가 사이트의 쿠키에 전혀 영향을 주지 않는 확인 버튼('수락' 등) 외에는 어떤 선택지도 제공하지 않았습니다. 또한 대부분의 사이트가 사용자를 동의 쪽으로 유도하려 했으며, 사이트를 완전히 떠나는 것 외에 거부할 방법을 제공한 곳은 극소수에 불과했습니다.
요컨대, 현재 시점에서 대부분의 쿠키 동의 창은 사이트가 쿠키로 여러분을 추적하는 것을 막아주지 못합니다. 쿠키 환경설정을 직접 조절할 수 있는 인터페이스를 제공한다면 GDPR 준수 가능성이 높지만, 강조된 '수락' 버튼 하나만 달린 창이라면 브라우저 확장 프로그램을 설치하거나 사이트를 떠나지 않는 한 쿠키를 피하기 어렵습니다.
쿠키 동의 양식은 어디서 시작됐을까?
관련 법규는 다소 복잡하지만, 큰 흐름만 정리하면 다음과 같습니다.
2002년: ePrivacy 지침이 EU 소재 사이트에 쿠키 제공 전 사용자 동의를 요구했습니다. 이것이 발전해 오늘날 우리 모두에게 익숙한 "쿠키를 사용합니다" 배너와 팝업이 탄생합니다.
2018년: GDPR이 발효되며 미준수에 대한 처벌이 시작됩니다. 사이트들은 단순히 경고만 하는 것이 아니라 사용자의 적극적인 동의를 얻어야 한다는 압박을 훨씬 크게 받게 됩니다.
2019년: 유럽 최고 법원이 쿠키 동의 양식에서 미리 체크된 박스는 유효한 동의로 인정되지 않는다고 판결했습니다. 즉, 사이트는 이제 법적으로 사용자가 속임수 없이 쿠키 사용에 적극 동의하도록 해야 합니다. 아이러니하게도 당시 그 법원 자체 웹사이트조차 이 규정을 준수하지 않았는데, 현장 이행 실태를 짐작할 수 있는 대목입니다.
앞으로 쿠키 동의는 진짜 의미를 가질까?
법적으로는 이 판결들을 준수하지 않는 사이트들이 최대한 빨리 기준에 맞춰야 합니다. 하지만 현실적으로 이러한 요구는 사이트에 추가 부담을 주며, 과거의 이행률을 감안하면 빠른 적용으로 이어지기는 어려워 보입니다.
그 이유는 아마도 쿠키가 사용자가 사이트와 어떻게 상호작용하는지 파악하는 탁월한 수단이기 때문일 겁니다. 이는 더 나은 사이트와 더 높은 수익으로 직결되죠. 지나치게 엄격한 규제가 사이트 운영에 큰 부담이 되고 사용자 경험에도 부정적 영향을 줄 수 있다는 우려도 상당합니다. 그래서 브라우저 자체에 설정을 두고 사이트가 이를 감지해 자동으로 조정하는 방안에 대한 논의가 나오고 있는데, 이것이 훨씬 간소화된 해결책이 될 수 있습니다.
그러나 궁극적으로는 쿠키를 둘러싼 논쟁 자체가 무의미해질 수도 있습니다. 쿠키가 더 이상 실행 가능한 추적 수단이 되지 못하면, 브라우저 핑거프린팅(browser fingerprinting)처럼 차단하기 더 어려운 방법이 확산되기 시작할지 모릅니다. 더 나은 해결책이 없으면 우회 기술과 혁신이 표준으로 자리 잡는 경우가 많고, 쿠키와 사용자 추적도 예외는 아닐 것입니다.