쿠키 동의와 쿠키 정책: 무엇이 다른가요

사람들은 두 용어를 자주 혼용하지만, 둘은 서로 다른 문제를 해결합니다. 쿠키 정책은 문서화이고, 쿠키 동의는 집행입니다. 하나는 방문자에게 무엇을 하는지 알려 주고, 다른 하나는 방문자가 동의한 뒤에만 그 일을 하도록 보장하며 그렇게 했다는 기록을 남깁니다.

이 구분을 정확히 아는 것이 중요한 이유는, 쿠키 정책을 아무리 잘 써 두었더라도 페이지 로드 시점에 트래커가 실행된다면 컴플라이언스 실패이며, 어떤 정책으로도 연결되지 않는 매끄러운 동의 배너 역시 마찬가지이기 때문입니다.

쿠키 정책은 사이트가 어떤 쿠키와 유사 기술을 설정하는지, 누가 그것을 배치하는지, 무슨 일을 하는지, 얼마나 오래 유지되는지, 방문자가 어떻게 제어할 수 있는지를 쉬운 말로 설명하는 정적인 페이지 또는 섹션입니다. 보통 개인정보 처리방침 옆이나 그 안에 위치하며, 푸터와 동의 배너 자체에서 링크됩니다.

그 역할은 투명성입니다. 사람들이 진짜 선택을 할 수 있도록 필요한 세부 정보를 제공함으로써 고지에 입각한 동의에서 고지 부분을 충족합니다. 좋은 쿠키 정책은 모호한 상용구를 늘어놓는 대신 쿠키를 카테고리별로 나열하고 관련된 제3자의 이름을 밝힙니다.

쿠키 동의는 방문자의 브라우저에서 실행되는 상호작용 시스템입니다. 방문자가 결정할 때까지 비필수 쿠키를 차단하고, 선택지를 제시하며, 트래커를 허용하거나 계속 차단하는 방식으로 그 결정을 적용하고, 무엇을 언제 선택했는지에 대한 기록을 저장합니다.

정책이 페이지 위의 문장이라면, 동의는 실시간으로 이뤄지는 동작입니다. 방문자가 동의하기 전에 트래커가 쿠키를 설정하지 못하도록 실제로 막아 주는 부분이자, 규제기관에 제시하게 될 증거를 만들어 내는 부분입니다.

두 가지는 서로를 보강하도록 설계되어 있습니다. 동의 배너는 쿠키 정책으로 연결되어 방문자가 선택하기 전에 세부 내용을 읽을 수 있게 합니다. 정책은 동의 배너에서 켜고 끌 수 있는 카테고리를 설명합니다. 트래커를 추가하거나 제거할 때는 정책 문구와 배너의 카테고리 매핑을 함께 업데이트합니다.

많은 사이트가 어긋나기 시작하는 지점이 바로 이 둘을 동기화하는 부분입니다. 마케팅 도구를 통해 트래커가 추가되었는데 배너는 이를 차단하도록 업데이트되지 않고, 정책에는 언급조차 되지 않습니다. 이제 세 계층이 모두 서로 다른 이야기를 합니다. 모든 쿠키를 찾아내어 배너와 정책에 함께 반영하는 탐지 스캔이 이들을 일치시켜 줍니다.

대부분의 관할권에서는 그렇습니다. GDPR과 ePrivacy 규칙은 고지에 입각한 동의를 요구하며 이는 쿠키 정책이 제공하는 공개를 필요로 하고, 또한 사전 동의를 요구하며 이는 동의 메커니즘을 필요로 합니다. 인도의 DPDPA는 항목별 고지와 검증 가능한 동의를 요구하는데 이 역시 두 개의 계층입니다. 캘리포니아처럼 옵트아웃 방식의 제도조차 명확한 프라이버시 공개와 실제로 작동하는 옵트아웃 메커니즘을 모두 요구합니다.

실무적인 답은, 동의 없는 정책은 트래커가 위법하게 계속 실행되도록 내버려 두고 정책 없는 동의는 방문자가 아무것도 모르는 상태로 남게 한다는 것입니다. 문서와 메커니즘이 모두 필요하며, 둘은 서로 일치하도록 유지되어야 합니다.