쿠키 배너를 죽여라 — 20년 만에 동의 연극을 끝내려는 EU의 실험
쿠키 배너를 죽여라 — 20년 만에 동의 연극을 끝내려는 EU의 실험
하루에도 수십 번 누르는 “모두 동의” 버튼은 법이 의도한 정보에 입각한 동의인가, 아니면 웹 전체가 공모한 동의 연극인가. 그리고 이 연극을 끝낼 수 있는 것은 왜 규제가 아니라 브라우저인가.
도입
7월 26일, killthecookiebanner.eu라는 직설적인 도메인의 캠페인 사이트가 Hacker News 1면을 점령했다. 1,121포인트, 574개 댓글 — 기술 규제 관련 게시물로는 이례적인 폭발력이다. 캠페인의 주체는 가볍지 않다. Max Schrems의 noyb, 유럽 디지털 권리 연합 EDRi, 미국의 EFF, 유럽 소비자기구 BEUC, 아일랜드 시민자유위원회 ICCL 등 디지털 권리 진영의 주요 조직이 연합했다.
요구는 명쾌하다. EU 집행위원회가 Digital Omnibus 개혁안의 일부로 제안한 자동화된 프라이버시 신호(automated privacy preference signals) — 사용자가 브라우저에서 추적 허용 여부를 한 번 설정하면, 브라우저가 모든 웹사이트에 그 선택을 기계적으로 전달하고 사이트는 이에 법적으로 구속되는 방식 — 를 지지하고, 이를 통해 쿠키 배너라는 제도적 기형물을 제거하자는 것이다. 캠페인이 내세우는 숫자가 문제의 본질을 요약한다. 배너 앞에서 최대 90%의 사람들이 “동의”를 누르지만, 실제로 온라인 추적을 원하는 사람은 약 3%에 불과하다.
87%포인트의 간극. 이것이 20년간 유럽 웹을 뒤덮은 동의 인프라의 성적표다. 법이 보장하려던 것과 실제로 작동하는 것 사이의 이 간극은 어디서 왔고, 브라우저 신호는 정말 이것을 메울 수 있는가.
동의 연극의 해부
쿠키 배너의 법적 뿌리는 2002년 ePrivacy 지침(2009년 개정)과 2018년 GDPR이다. 법의 원칙 자체는 캠페인 사이트가 강조하듯 단순하다 — 온라인 추적은 기본적으로 금지이며, 예외적으로 명시적 동의가 있을 때만 허용된다. 문제는 이 원칙이 “동의를 어떻게 받을 것인가”의 구현 단계에서 완전히 전복되었다는 점이다.
추적 기반 광고 산업은 동의율을 극대화하는 방향으로 배너를 설계했다. 다크 패턴의 전시장이다. “모두 동의”는 크고 밝은 버튼, “거부”는 회색 링크 뒤에 숨긴 2단계 메뉴. “정당한 이익(legitimate interest)“이라는 이름으로 동의 없이 켜지는 수백 개의 토글. 캠페인은 이 배너들이 “의도적으로 오도하도록” 설계되어 사용자가 권리를 포기하게 만든다고 지적한다. 90% 동의율은 설득의 결과가 아니라 마모의 결과다 — 콘텐츠에 도달하려면 클릭해야 하고, 가장 빠른 클릭이 “동의”이도록 설계되어 있다.
HN 스레드에서 가장 많은 지지를 받은 논점이 이것을 정확히 겨냥한다. 한 코멘터의 주장 — 요지를 옮기면 — 은 배너 클릭이 “정보에 입각한 동의”를 구성할 수 없다고 법적으로 선언하는 것이 또 하나의 해법이라는 것이다. 아무도 그 내용을 읽지 않는다는 것은 주지의 사실이고, 축소포장 라이선스(shrink-wrap license)가 여러 법역에서 무력화된 것과 같은 논리로, 합리적인 사용자가 기대할 수 없는 조항은 집행 불가능하다고 봐야 한다는 것이다 (HN 코멘트 요지 발췌).
비용의 관점에서 보면 배너 체계는 모두가 지는 게임이었다. 사용자는 하루 수십 번의 무의미한 클릭과 인지 부하를 지불하고, 사이트 운영자는 CMP 구독료와 전환율 하락을 지불하며, 규제 당국은 집행 불가능한 규칙의 신뢰 비용을 지불한다. 유일한 수혜자는 동의 인프라를 팔거나, 동의율 90%라는 숫자를 방패로 추적을 계속하는 쪽이다. 제도가 20년간 유지된 이유는 그것이 작동해서가 아니라, 실패의 비용이 분산되어 있고 성공의 이익이 집중되어 있었기 때문이다.
또 하나 자주 오해되는 사실도 스레드에서 반복 지적되었다. 쿠키 배너는 법이 요구한 적이 없다. 기능적으로 필요한 쿠키 — 로그인 세션, 장바구니 — 에는 동의가 필요 없다. 여러 회사의 데이터 관리 책임자라고 밝힌 코멘터는 자신이 운영하는 사이트에는 배너가 하나도 없다며, 배너가 있다는 것은 그 사이트가 추적을 하고 있다는 자백이거나 법을 읽지 않았다는 증거라고 지적했다 (HN 코멘트 요지 발췌). 배너는 법의 요구가 아니라, 추적을 유지하면서 법을 형식적으로 만족시키려는 산업의 선택이다.
DNT의 유령 — 왜 이번에는 다른가
“브라우저에서 한 번 설정”이라는 아이디어를 들은 고참 웹 개발자의 첫 반응은 냉소일 것이다. HN에서도 어김없이 나왔다 — Do Not Track이라는 게 있지 않았느냐는 것이다 (HN 코멘트 요지 발췌). 정당한 냉소다. DNT는 2009년 제안되어 모든 주요 브라우저에 탑재되었지만, 법적 구속력이 없어 광고 업계가 무시해도 아무 일도 일어나지 않았다. Microsoft가 IE10에서 DNT를 기본 켜짐으로 설정하자 광고 업계는 “사용자의 능동적 선택이 아니다”라는 명분으로 DNT 신호 전체를 무시하는 것을 정당화했고, DNT는 그렇게 죽었다. 2019년 W3C 워킹그룹은 공식 해산했다.
이번 제안이 DNT와 다른 지점은 단 하나, 법적 구속력이다. DNT는 신사협정이었지만, Digital Omnibus의 프라이버시 신호는 ePrivacy 체계 안에서 사이트가 준수해야 할 의무가 된다. 신호를 무시하면 GDPR 위반과 같은 제재 대상이 된다. 미국에서 이미 축소판 실험이 진행됐다. 캘리포니아 CCPA 체계의 Global Privacy Control(GPC)은 법적 구속력을 인정받았고, 2022년 Sephora가 GPC 신호를 무시했다가 120만 달러의 합의금을 냈다. 신호 자체는 DNT와 기술적으로 대동소이하다. 달라진 것은 무시했을 때의 결과다.
물론 반론도 만만치 않다. HN 스레드의 실질적 우려는 두 갈래다. 첫째, 전부 아니면 전무의 문제. 한 코멘터는 낯선 뉴스 사이트의 추적은 거부하고 싶지만 단골 쇼핑몰의 추천은 받고 싶다며, 전역 신호가 사이트별 선호를 뭉갤 수 있다고 지적했다 (HN 코멘트 요지 발췌). 제안 자체는 사이트별 예외 설정을 허용하는 방향이지만, 기본값 설계에 따라 체감이 크게 달라질 것이다. 둘째, 로비의 힘. 캠페인 측은 추적 산업이 이 제안을 무산시키기 위해 로비 중이며 Google이 그 선두에 있다고 주장한다. 배너 체계는 역설적으로 대형 플랫폼에 유리하다 — 자체 로그인 기반 1차 데이터를 가진 Google과 Meta는 배너 피로의 영향을 덜 받고, 동의 관리 플랫폼(CMP)이라는 파생 산업까지 생겼다. 현상 유지의 수혜자들이 현상을 지키려는 구도다.
셋째 우려는 스레드보다 한 걸음 더 나아간 것인데, 게이트키퍼의 이동이다. 동의의 집행 지점이 사이트에서 브라우저로 옮겨가면, 브라우저 벤더가 프라이버시 인프라의 관문이 된다. 그런데 세계 브라우저 시장의 3분의 2는 Chrome이고, Chrome의 소유주는 추적 광고로 수익의 대부분을 버는 Google이다. 신호의 기본값을 어떻게 설정할지, 설정 UI를 얼마나 깊숙이 묻을지가 모두 브라우저 벤더의 재량이 되는 구조에서, 이해상충은 배너 시대보다 오히려 집중된다. IE10의 DNT 기본값 논쟁이 보여줬듯, “기본값을 누가 정하는가”는 이 체계의 실질을 결정하는 변수이고, 입법 과정에서 가장 치열한 전장이 될 것이다.
캠페인 진영의 입장에도 긴장이 있다는 점은 짚어야 한다. Digital Omnibus는 GDPR 일부 완화를 포함한 패키지이고, noyb를 포함한 같은 단체들이 다른 조항들에 대해서는 “권리를 약화시킨다”며 반대하고 있다. 즉 이 캠페인은 옴니버스 전체에 대한 지지가 아니라, 그 안의 한 조각 — 브라우저 신호 — 만을 골라 지지하는 정밀한 포지셔닝이다.
웹 개발자에게 오는 것
이 제안이 통과된다면 실무 지형은 어떻게 바뀌는가.
CMP 산업의 붕괴 혹은 변태. OneTrust, Cookiebot, Didomi 같은 동의 관리 플랫폼은 배너라는 제도가 만든 산업이다. 브라우저 신호가 배너를 대체하면 이들의 핵심 상품은 증발한다. 다만 사이트별 예외 관리, 신호 준수 감사, 비EU 지역 대응이라는 틈새는 남을 것이다.
프론트엔드에서 프로토콜로. 개발자 입장에서 동의 처리는 UI 문제에서 HTTP 헤더 처리 문제로 바뀐다. GPC가 이미 보여준 형태다 — Sec-GPC: 1 헤더를 읽고 추적 스크립트 로드를 분기하는 서버/엣지 로직. 동의 상태의 진실 원천이 쿠키에 저장된 CMP 상태에서 요청 헤더로 이동하면, 캐싱 전략과 A/B 테스트 인프라도 재설계 대상이 된다.
동의 상태의 테스트 매트릭스화. 신호 존중이 법적 의무가 되면, “신호 켜짐/꺼짐 × 사이트별 예외”의 조합이 QA 대상이 된다. 배너 시대에는 CMP가 흡수하던 복잡성이 각 서비스의 통합 테스트로 내려온다는 뜻이다.
추적 없는 계측의 부상. 배너 없이 합법적으로 운영하고 싶은 사이트를 위한 서버사이드·무쿠키 분석 — Plausible, Fathom 류 — 은 이미 성장 궤도에 있고, 이 제안은 그 흐름을 가속할 것이다. HN의 한 코멘터가 물었듯, 애초에 사용자를 위한다는 사이트가 왜 제3자 스크립트를 덕지덕지 얹는가라는 질문 (HN 코멘트 요지 발췌) 이 기본값이 되는 방향이다.
유럽 밖의 실무자에게도 남의 일이 아니다. GDPR이 그랬듯, EU의 프라이버시 제도는 글로벌 서비스의 사실상 표준이 되는 브뤼셀 효과를 낸다. 한국의 개인정보보호법도, 일본의 개인정보보호법(APPI)도 개정 때마다 EU 체계를 참조해 왔다. 브라우저 신호가 EU에서 법적 지위를 얻으면, 글로벌 트래픽을 받는 서비스는 지역 판별 후 분기하는 비용보다 신호를 전역으로 존중하는 쪽이 싸다는 계산에 도달할 가능성이 높다 — GDPR 이후 많은 서비스가 전 세계에 같은 개인정보 처리 방침을 적용하게 된 것과 같은 경로다.
시나리오를 나누면, 낙관적으로는 2027년 입법 완료와 함께 유럽 웹에서 배너가 단계적으로 사라지고 GPC류 신호가 사실상의 글로벌 표준이 된다. 비관적으로는 로비가 성공해 신호의 구속력이 “고려 의무” 수준으로 희석되고, DNT의 재판이 된다. 현실적 중간값은 아마도 — 구속력 있는 신호가 도입되되 “정당한 이익” 같은 우회로가 함께 살아남아, 배너가 사라지는 대신 보이지 않는 곳에서의 법적 공방이 늘어나는 미래일 것이다.
결론
리드 질문으로 돌아가자. 90%가 누르는 “동의”가 연극이라는 데에는 이제 규제 당국도 산업도 사실상 이견이 없다. 20년이 걸린 것은 진단이 아니라 처방이었다 — 그리고 처방이 늦어진 이유는 기술이 없어서가 아니었다. DNT가 증명했듯 기술은 15년 전부터 있었다. 없었던 것은 신호를 무시하면 처벌받는다는 한 줄의 법이었고, 그 한 줄을 막는 로비였다.
HN의 한 코멘터가 남긴 촌철이 이 사건의 아이러니를 요약한다 — 요지를 옮기면, 결국 입법자들도 기기 설정 기반의 법적 구속력 있는 의사표시를 만드는 방법을 알고 있었다는 것 아니냐는 것이다 (HN 코멘트 요지 발췌). 알고 있었다. 다만 그 지식이 산업의 이해와 충돌하지 않는 순간까지 20년을 기다렸을 뿐이다. 쿠키 배너의 사망 기사가 언제 나올지는 아직 모른다. 그러나 당신이 오늘도 반사적으로 누른 “모두 동의” 버튼이 법적으로는 아무것도 동의하지 않은 것과 같다는 인식이 주류가 된 이상, 이 연극의 막은 내려가기 시작했다. 당신의 서비스는 배너 없는 웹에 준비되어 있는가.
출처: