배너는 동의가 아니다
배너는 화면일 뿐입니다. 동의는 그 뒤에 있는 기록이며, 자유롭게 제공되고 목적이 특정되며 충분한 설명을 거쳐 언제든 철회할 수 있어야 합니다. 잘 만든 쿠키 배너를 띄우고도 유효한 동의를 전혀 보유하지 못한 사이트가 있습니다. “쿠키 배너를 달았다”가 “규정을 지키고 있다”의 답이 되지 못하는 이유입니다.
그 기록은 네 가지를 입증해야 합니다. 누가 동의했는지, 무엇에 동의했는지, 언제 했는지, 그리고 쿠키 목록의 어느 버전에 대해 했는지입니다. 특정 방문자에 대해 이를 제시할 수 없다면 배너만 있을 뿐 그 뒤에는 아무것도 없는 것입니다.
점검 목록
다섯 항목이며, 모두 코드를 열지 않고 바깥에서 5분 정도면 확인할 수 있습니다.
비필수 요소가 먼저 실행되지 않는다. 분석, 광고, 서드파티 임베드는 선택이 이루어지기 전에는 로드되면 안 됩니다. 대부분의 사이트가 걸리는 지점입니다. 배너보다 태그를 먼저 넣었기 때문입니다.
거부가 수락과 똑같이 쉽다. 같은 화면, 같은 클릭 수, 비슷한 시각적 비중이어야 합니다. 눈에 띄는 “모두 수락” 옆에 흐릿한 “설정 관리”를 두는 구성이 전형적인 실패입니다.
항목이 세분화되어 있고 미리 선택된 것이 없다. 분석, 기능, 마케팅은 서로 다른 판단이며 비필수 항목은 모두 꺼진 상태로 시작합니다.
철회가 동의만큼 쉽다. 선택을 다시 열 수 있는 상시 진입점이 필요합니다. 이메일 주소나 문의 양식이 아닙니다.
선택이 저장되고 버전으로 관리된다. 쿠키 목록이 실질적으로 바뀌면 이전 목록에 대해 받은 동의는 새로운 목적을 포괄하지 못합니다.
수집한 동의를 무효로 만드는 다크 패턴
규제 기관의 지적은 짧은 목록으로 수렴했고, 각 항목은 받아 둔 “예”를 동의 없음으로 바꿔 놓습니다.
대비가 낮거나 숨겨진 거부 버튼. 기본으로 체크된 상자, 기본값이 켜짐인 정당한 이익 토글 포함. 동등한 대안 없이 거부하면 이용할 수 없게 만드는 쿠키 월. 방문자가 포기할 때까지 페이지를 넘길 때마다 다시 묻는 방식. 그리고 약관 동의에 끼워 넣어, 제품을 쓰겠다는 동의가 추적에 대한 동의가 되도록 만드는 설계입니다.
이 모두를 관통하는 기준은 한 문장입니다. 인터페이스가 ‘아니오’를 ‘예’보다 비싸게 만든다면, 그 ‘예’는 자유롭게 주어진 것이 아닙니다.
거부했을 때 분석 데이터는 어떻게 되나
여기서는 서로 다른 두 가지가 같은 이름으로 불립니다. 동의 모드처럼 동의 신호를 보내는 방식은 태그를 페이지에 그대로 둔 채 동의가 거부되었음을 알리고, 쿠키 없는 핑을 보내면 공급자가 그 공백을 모델링합니다. 수집하지 않기는 요청 자체가 발생하지 않는 것입니다.
둘 다 근거가 있지만 같은 것은 아니며, 그 차이는 숫자에 드러납니다. 모델링된 트래픽은 측정값의 얼굴을 한 추정값이고, 동의가 거부된 세션에서는 아주 적은 단서로 지어 올린 추정입니다. 완전해 보이는 숫자보다 판단에 쓸 수 있는 숫자를 원한다면, 애초에 동의가 필요 없는 측정 — 집계 기반, 쿠키 없음, 사이트 간 식별자 없음 — 을 택하고 거부된 세션은 정직하게 비워 두는 편이 낫습니다.
GDPR과 CCPA는 같은 요구가 아니다
GDPR은 옵트인입니다. 동의 전에는 비필수 쿠키를 둘 수 없고 침묵은 거부로 간주됩니다. CCPA와 CPRA는 옵트아웃에 가깝습니다. 수집을 시작하는 것 자체는 가능하지만 방문자에게 고지해야 하고, 데이터의 판매나 공유를 중단시킬 수 있어야 합니다. 실무적으로는 광고 연동 대부분이 여기에 걸립니다.
캘리포니아만 염두에 둔 배너는 유럽에서 통하지 않습니다. GDPR에 맞춰 만든 배너는 대체로 양쪽을 모두 충족하므로, 둘 이상의 지역에서 트래픽을 받는 사이트라면 이를 기준으로 삼는 것이 합리적입니다.
5분 만에 우리 배너 점검하기
시크릿 창으로 사이트를 열고 개발자 도구의 네트워크 탭을 켭니다. 저장소를 비우고 페이지를 불러온 뒤 아무것도 하지 않습니다. 클릭하기 전에 나타나는 서드파티 요청은 모두 정당화할 수 없는 요청입니다. 그다음 거부를 선택하고 새로고침해서, 목록이 계속 비어 있는지와 선택이 새로고침 후에도 유지되는지 확인합니다.
처음부터 요건을 갖춘 상태로 시작하고 싶다면 무료 쿠키 동의 배너 생성기가 거부 경로, 세분화된 항목, 버전 관리되는 기록을 이미 갖춘 배너를 만들어 줍니다.