필수 쿠키와 비필수 쿠키: 기업이 알아야 할 사항

들어가며

쿠키를 사용하는 모든 웹사이트는 쿠키의 다양한 유형과 각각의 역할을 알고 있어야 합니다. 필수 쿠키는 웹사이트가 작동하도록 돕는 반면, 다른 쿠키는 방문자를 추적하고 개인정보를 수집합니다. 필수 쿠키와 비필수 쿠키의 차이는 대부분의 웹사이트 운영자가 생각하는 것보다 더 복잡할 수 있습니다.

쿠키 동의와 관련해서는 필수 쿠키를 비필수 쿠키와 분리해야 합니다. GDPR이 적용되는 국가들, 캘리포니아, DPDPA가 시행되는 인도처럼 많은 국가가 쿠키 동의를 요구하고 있으므로, 이 정보는 단지 참고할 만한 것이 아니라 법적으로 요구되는 사항입니다.

대부분의 기업은 쿠키 배너만 신경 쓰고 할 일을 다 했다고 여기지만, 실제로는 필수 쿠키와 비필수 쿠키를 구분해야 합니다. 쿠키 배너가 있더라도 규제 당국은 비필수 추적 쿠키의 분리를 더 중요하게 봅니다. 이유는 간단합니다. 규제 당국은 쿠키 배너가 닫힌 뒤에도 비필수 추적 쿠키가 오랫동안 계속 실행되는지 확인할 수 있기 때문입니다.

올바른 쿠키 배너는 어떤 모습이어야 하나요?

쿠키 배너는 도메인을 방문하는 모든 사용자와의 첫 번째 상호작용입니다. 배너는 한눈에 훑어볼 수 있고, 읽기 쉬우며, 이해하기 쉬워야 합니다. 문제는 많은 기업이 쿠키 배너의 디자인 패턴을 악용하고, 이런 다크 패턴을 사용해 사용자가 모든 쿠키를 허용하도록 속이거나 강요한다는 점입니다. 이러한 관행은 이제 규제 당국의 엄격한 통제를 받고 있으며, 이런 배너는 의심스러운 것으로 간주됩니다.

최적의 해결책은 사용자에게 선택지를 제공하고, 숨겨진 메시지나 전제 없이 최대한 간단명료해야 합니다. 가장 흔한 실수로는 “모든 쿠키 허용” 버튼을 “비필수 쿠키 거부” 옵션보다 더 눈에 띄게 만드는 것과 혼란스러운 표현을 사용하는 것이 있습니다.

쿠키 배너는 다음과 같은 모습이어야 합니다.

• 배너의 기본 기능은 방문자가 비필수 쿠키를 거부할 수 있게 하는 것입니다. 따라서 모든 쿠키를 거부하고 허용하는 버튼이 눈에 잘 띄고 커야 합니다. “모든 쿠키 허용”이 배너 하단에 작은 글씨로 배치되어서는 안 됩니다.
• 배너는 간단하고 명료한 언어를 사용해야 합니다. 웹사이트에서 쿠키가 어떤 용도로 사용되는지를 법률 문서처럼 설명하는 것은 피하십시오. 대신 평이한 문장으로 이 데이터의 목적과 수집에 대해 설명하십시오.
• “비필수” 카테고리 옆의 체크박스는 기본적으로 선택되어 있어서는 안 됩니다. 기본 설정은 언제나 방문자의 선택이 아니라 웹사이트 운영자의 선호를 반영한다는 점을 기억하십시오. 이것 역시 배너에서 사용되는 다크 패턴의 한 예입니다.
• 쿠키 배너는 사용자가 빠르게 결정을 내릴 수 있도록 하면서도 쿠키를 세부적으로 제어할 수 있게 해야 합니다. 따라서 배너에는 웹사이트의 쿠키와 그 사용에 관한 정보가 담긴 페이지로 연결되는 링크가 추가로 있어야 합니다. 이렇게 하면 사용자는 언제든지 자신의 설정을 검토하고 맞춤 설정할 수 있습니다.

쿠키 배너를 웹사이트에 단순히 표시하는 것만으로는 충분하지 않습니다. 배너는 사용자가 배너와 상호작용할 때까지 어떤 스크립트도 실행되지 않도록 막아야 합니다. 사소한 부분처럼 보일 수 있지만, 실제로는 쿠키 배너에서 가장 흔한 실수 중 하나입니다. 배너는 사용자에게 정보를 제공할 뿐이라는 점을 기억하십시오. 실제로 쿠키를 관리하려면 별도의 도구를 사용해야 합니다. 예를 들어 ConsentX는 사용자가 직접 수락할 때까지 기본적으로 모든 스크립트를 차단합니다.

더 알아보기: 쿠키 동의 배너란 무엇입니까? 작동 방식과 중요한 이유

쿠키의 세 가지 주요 유형은 무엇인가요?

필수 쿠키와 비필수 쿠키를 논하기에 앞서, 대부분의 웹사이트가 일반적으로 사용하는 주요 카테고리를 정의하는 것이 중요합니다. 일반적으로 대다수 사이트에서 사용하는 쿠키는 크게 세 가지 유형으로 나뉩니다.

첫 번째 카테고리는 엄격히 필요한 쿠키로, 웹사이트가 제대로 작동하도록 하는 데 항상 필요합니다. 기능 쿠키와 성능 쿠키는 비필수 쿠키에 속하지만, 이 분류는 각 웹사이트와 그 요구 사항에 따라 달라질 수 있습니다. 따라서 필수 쿠키와 비필수 쿠키의 지위를 판단할 때는 사례별로 따로 검토해야 합니다.

일부 기업에서는 분석 쿠키가 안전하며 사용자의 추가 동의가 필요하지 않다고 흔히 여깁니다. 그러나 이는 잘못된 인식입니다. 대부분의 개인정보 보호법에 따르면, 이러한 쿠키도 웹사이트 작동에 필요한 것으로 분류되지 않는다면 동의 기반 규제의 적용을 받아야 하기 때문입니다.

어떤 쿠키가 엄격히 필요한 쿠키인가요?

엄격히 필요한 쿠키는 웹사이트가 핵심 기능을 수행하는 데 필요한 쿠키입니다. 이러한 쿠키는 방문자가 요청한 사이트의 기본 작동을 가능하게 하므로 사용자의 동의가 필요하지 않습니다.

대표적인 예로는 세션, 장바구니, 로드 밸런싱, 보안, 동의 기억 쿠키가 있습니다. 아래 표는 각 쿠키의 설명과 목적을 보여 줍니다.

설명에서 알 수 있듯이, 동의 배너가 사용하는 쿠키조차 엄격히 필요한 쿠키입니다. 이 쿠키를 제거하면 배너가 쓸모없어져 사용자가 동의를 하거나 철회할 수 없기 때문입니다.

쿠키가 엄격히 필요한지 판단하는 기준은 그 쿠키가 없을 때 웹사이트의 핵심 기능이 작동을 멈추는지 여부입니다. 쿠키가 있을 때만 기능이 작동한다면 엄격히 필요한 쿠키에 해당합니다. 그렇지 않다면 비필수 쿠키로 간주됩니다.

필수 쿠키와 비필수 쿠키: 차이점은 무엇인가요?

이제 모든 내용을 정리해 보겠습니다. 필수 쿠키와 비필수 쿠키의 비교는 목적, 동의 요건, 사용 가능성의 차이에서 찾을 수 있습니다.

필수 쿠키는 모든 웹사이트의 기본 기능이므로 자동으로 적용되는 반면, 비필수 쿠키는 활성화되려면 사용자의 동의가 필요합니다.

필수 쿠키와 비필수 쿠키의 차이는 엄격한 데이터 보호법이 적용되는 웹사이트에 특히 중요합니다. 비필수 쿠키를 사용하는 기업이 사용자의 기기에 쿠키를 저장하기 전에 사용자의 허락을 받지 않으면 처벌을 받을 수 있습니다. 이는 사이트가 나중에 비필수 쿠키 저장에 대한 동의를 요청하면서 허락을 받더라도 마찬가지입니다. 기업은 필수 쿠키와 비필수 쿠키가 비즈니스에 각기 다른 방식으로 영향을 줄 수 있으므로 두 가지 모두를 알고 있어야 합니다. 거슬리는 쿠키 배너로 잠재 고객을 떠나게 만들 수도 있고, 개인정보 보호법 위반으로 규제 당국의 표적이 될 수도 있습니다.

사용자가 동의할 때까지 쿠키를 차단하는 방법

쿠키 배너를 표시하는 것만으로는 규정 준수가 보장되지 않습니다. 사용자가 동의하기 전에 페이지 조회 시 스크립트가 기본적으로 로드된다면, 쿠키 관련 법을 준수하지 못하고 있는 것입니다. 쿠키 배너는 그저 팝업일 뿐입니다.

규정 준수를 보장하는 올바른 방법은 “사전 스크립트 차단”입니다. 다시 말해, 동의 전에는 어떤 비필수 쿠키나 추적기도 로드되지 않도록 해야 합니다. 이는 추적 쿠키를 기본적으로 차단하고 사용자의 동의가 있은 후에만 로드되도록 허용하는 방식입니다. 이는 의심할 여지 없이 쿠키 컴플라이언스에서 가장 덜 논의되는 요소 중 하나입니다.

대부분의 기업이 쿠키 관련 법을 준수하려 할 때 저지르는 실수는 다음과 같습니다.

• 먼저 쿠키를 파악해야 합니다. 무엇이 있는지 모르면 차단할 수 없습니다. 사이트의 쿠키 및 추적기 스캔을 통해 웹사이트에서 로드되는 모든 것을 파악할 수 있습니다.
• 쿠키를 카테고리별로 정리해야 합니다. 각 쿠키나 추적기를 필수, 기능, 또는 광고나 분석 관련으로 분류해야 합니다.
• 동의 기술(또는 다른 차단 계층)을 사용해 비필수 스크립트가 기본적으로 차단되도록 해야 합니다. 이는 보통 동의 전에 스크립트가 실행되지 않도록 막는 JavaScript로 이루어집니다.
• 모든 추적기가 기본적으로 차단되는지 확인하기 위해 사이트를 지속적으로 테스트해야 합니다. 새로운 플러그인과 추적기가 사이트에 추가될 수 있으므로, 완전한 규정 준수를 보장하려면 정기적인 스캔이 매우 중요합니다.
• 쿠키 동의 솔루션이 일부 브라우저에 내장된 Global Privacy Controls(GPC)를 존중하는지 확인해야 합니다.

ConsentX 같은 솔루션은 바로 이런 방식으로 쿠키 컴플라이언스를 보장합니다. 단순히 쿠키 배너를 사용하는 데 그치지 않고, 동의가 주어진 뒤에만 쿠키가 로드되도록 해야 합니다.

비필수 쿠키를 관리하는 방법

비필수 쿠키 관리는 한 번의 설정으로 끝나는 일이 아니라 지속적인 과정입니다. 기업이 이를 통제하는 방법은 다음과 같습니다.

명확한 분류부터 시작하십시오. 비필수 쿠키를 분석, 광고, 소셜 미디어 같은 카테고리로 묶어, 방문자가 전부 허용하거나 전부 거부하는 결정 대신 허용할 쿠키를 선택할 수 있게 하십시오.

쿠키 정책을 최신 상태로 유지하십시오. 새로운 도구, 플러그인, 광고 네트워크를 추가할 때마다 쿠키 목록이 바뀝니다. 개인정보 처리방침은 1년에 한 번이 아니라 실시간으로 이를 반영해야 합니다.

지역별 차이를 존중하십시오. EU의 방문자에게는 GDPR에 따라 더 엄격한 옵트인 경험이 필요할 수 있고, 캘리포니아의 방문자는 CCPA에 따른 옵트아웃 모델을 기대할 수 있습니다. 지역 인식 규칙 엔진을 사용하면 지역마다 배너를 다시 만들 필요 없이, 방문자의 위치에 따라 알맞은 동의 경험을 자동으로 적용할 수 있습니다.

모든 동의 결정을 기록으로 남기십시오. 규제 당국이 방문자가 동의했다는 증거를 요구하면, 배너에 예전에 어떤 문구가 있었는지에 대한 기억이 아니라 타임스탬프가 찍히고 변조 여부를 확인할 수 있는 기록이 필요합니다. 정책 버전, 타임스탬프, 방문자의 결정을 기록하는 동의 영수증이 있으면 감사 과정이 훨씬 쉬워집니다.

필요할 때 동의를 다시 요청하십시오. 쿠키 정책이 크게 바뀌었거나 충분한 시간이 지났다면 방문자에게 다시 물어보십시오. 이전의 동의가 새로운 추적 행위까지 항상 포함하는 것은 아닙니다.

옵트아웃을 제대로 처리하십시오. 방문자가 동의를 철회하면, 이미 저장된 비필수 쿠키는 그때부터 데이터 수집을 멈춰야 합니다. 이는 수동이 아니라 자동으로 적용되어야 합니다.

필수 쿠키와 비필수 쿠키를 잘 관리한다는 것은 법적 체크박스에 표시하는 일이 아닙니다. 웹사이트와 운영 지역, 규정이 변화함에 따라 함께 확장되는 동의 프로세스를 구축하는 일입니다.

결론

필수 쿠키와 비필수 쿠키에 관한 현재의 지침은 더 이상 웹사이트 운영자에게 선택 사항이 아닙니다. 이 지침은 사용자의 개인정보 설정, 웹사이트 운영자의 책임, 방문자의 신뢰 수준에 직접적인 영향을 미칩니다. 필수 쿠키는 웹사이트가 올바르게 작동하도록 하는 반면, 비필수 쿠키는 기기에 저장되기 전에 방문자의 동의가 필요합니다.

따라서 이 권고에 따라 조치를 취하는 것은 웹사이트에 매우 중요합니다. 이는 허락 없이 서드파티 쿠키를 사용하지 않도록 하고, 현지 법규를 준수하며, 방문자의 동의 증거를 입증하는 데에도 도움이 됩니다. 이 모든 일은 복잡하고 시간이 많이 들며, 특히 여러 관할권을 상대해야 할 때 더욱 그렇습니다.

ConsentX로 규정에 맞는 쿠키 동의를 확보하십시오. 권한을 관리하고, 비필수 쿠키를 차단하며, 명확한 동의 기록을 유지하십시오.

자주 묻는 질문

필수 쿠키와 비필수 쿠키의 차이는 무엇인가요?

필수 쿠키는 로그인 세션, 장바구니, 보안 토큰처럼 웹사이트가 작동하는 데 꼭 필요한 쿠키로, 사용자 동의가 필요하지 않습니다. 비필수 쿠키는 추적, 맞춤화 또는 마케팅에 사용되며, 방문자의 기기에 저장되려면 웹사이트 방문자의 동의가 필요합니다.

필수 쿠키에도 GDPR이나 CCPA에 따른 사용자 동의가 필요한가요?

아니요. 엄격히 필요한 쿠키는 동의 대상이 아닙니다. 이 쿠키가 없으면 웹사이트가 작동하지 않기 때문입니다. 반면 비필수 쿠키는 웹사이트에서 실행되기 전에 명시적(또는 추정적) 동의(또는 그 부재)가 필요합니다.

웹사이트가 동의를 받기 전에 비필수 쿠키를 로드하면 어떻게 되나요?

이는 흔한 규제 요건입니다. 규제 당국은 사용자가 쿠키 동의 배너와 상호작용하기 전에 사용자의 기기에 추적 쿠키를 저장한 조직을 처벌할 수 있으며, 이는 “수락”을 클릭하는 등 사후에 동의를 받더라도 조직을 법적 위험에 노출시킵니다. 조직은 웹사이트가 사용자로부터 스크립트 실행에 대한 동의를 받을 때까지 비필수 스크립트가 실행되지 않도록 막는 “사전 스크립트 차단” 방식을 도입해야 합니다.

쿠키가 엄격히 필요한 쿠키인지 어떻게 알 수 있나요?

기준은 해당 쿠키가 없을 때 웹사이트의 핵심 기능이 작동을 멈추는지 여부입니다. 작동을 멈춘다면 필수 쿠키이고, 그렇지 않다면 비필수 쿠키입니다.

Google Analytics 같은 분석 쿠키는 필수 쿠키로 간주되나요?

아니요, 이는 흔한 오해입니다. 대부분의 규제 체계는 분석 쿠키를 비필수 쿠키로 분류하며, 웹사이트 방문자의 기기에 저장되기 전에 사용자 동의를 받도록 요구합니다. 많은 조직이 동의가 필요하지 않다고 잘못 알고 있습니다.