GDPR 쿠키 동의 체크리스트

GDPR은 각 EU 국가가 자국법으로 옮겨 놓은 ePrivacy 규칙과 함께 읽을 때 쿠키에 대해 높은 기준을 세웁니다. 동의는 자유롭게 주어지고, 구체적이며, 충분한 정보에 기반하고, 명백해야 하며, 트래커가 실행되기 전에 이뤄져야 합니다. 단순히 쿠키 사용을 알리기만 하거나 애널리틱스가 페이지 로드 시점에 실행되도록 두는 배너는 아무리 세련되어 보여도 이 기준을 통과하지 못합니다.

이 체크리스트는 구체적인 요구사항을 하나씩 짚어 봅니다. 각 항목을 한 번 켜 두고 잊어버리는 설정이 아니라 브라우저나 기록에서 직접 확인할 수 있는 것으로 다루십시오.

사전 차단이 기본입니다. 방문자가 옵트인하기 전까지 애널리틱스, 광고 픽셀, 소셜 임베드, 히트맵, 채팅 위젯 등 모든 비필수 스크립트는 작동하지 않아야 합니다. 페이지를 전달하거나 세션을 유지하는 데 필요한, 엄격히 필수적인 쿠키만 동의 없이 실행될 수 있습니다.

시크릿 창에서 사이트를 열고 아무것도 클릭하기 전에 네트워크 탭을 지켜보며 이를 확인하십시오. 동의 전에 트래킹 도메인 호출이 보인다면, 배너에 무엇이 쓰여 있든 규정을 지키고 있지 않은 것입니다.

독일, 프랑스를 비롯한 EU 전역의 규제기관은 거부가 수락보다 어려워서는 안 된다는 점을 분명히 밝혀 왔습니다. 이는 배너의 첫 화면에 수락 버튼과 거부 버튼이 같은 단계에, 같은 시각적 비중으로 있어야 한다는 뜻입니다. 수락은 클릭 한 번인데 거부는 설정 관리 화면 뒤에 숨기는 것은 널리 알려진 다크 패턴입니다.

특히 프랑스의 CNIL은 바로 이런 불균형을 이유로 대형 사이트에 과징금을 부과했습니다. 디자인상 거절하는 것이 수락하는 것보다 느리거나 덜 분명하다면 그것부터 고치십시오.

동의는 구체적이어야 하므로 트래커를 애널리틱스, 마케팅, 개인화처럼 명확한 카테고리로 묶고 방문자가 카테고리별로 선택하게 하십시오. 어떤 항목도 미리 체크되거나 미리 활성화되어 있어서는 안 됩니다. 전체 거부 버튼 하나가 똑같이 제공되고 원하는 사람을 위한 세분화된 설정이 있다면, 전체 수락 버튼 하나를 두는 것은 문제가 없습니다.

미리 선택된 체크박스는 EU 사법재판소에서 무효로 판단되었으므로, 체크되지 않은 기본값은 선택 사항이 아닙니다.

철회할 수 없는 동의는 자유롭게 주어진 동의가 아닙니다. 방문자에게는 작은 플로팅 컨트롤이나 선호 설정 센터를 다시 여는 링크처럼, 나중에 마음을 바꿀 수 있는 상시적이고 눈에 잘 띄는 방법이 필요합니다. 철회는 처음 동의만큼 쉬워야 하며, 철회된 뒤에는 트래커가 중단되어야 합니다.

흔한 빈틈은 깊숙이 묻힌 프라이버시 페이지에서만 철회를 제공하는 것입니다. 다시 여는 버튼은 모든 페이지에서 보이도록 유지하십시오.

규제기관이 묻는다면 특정 방문자가 무엇에 언제 동의했는지 보여 줄 수 있어야 합니다. 이는 선택 내용, 타임스탬프, 그리고 가능하다면 방문자가 본 고지의 정확한 버전까지 담은 동의 이벤트별 기록이 필요하다는 뜻입니다. 정책 버전과 해시를 각 기록에 묶는 위변조 확인이 가능한 영수증은 이를 주장에서 증거로 바꿔 줍니다.

기록이 없으면 규제기관이 여러분의 말을 그대로 믿어 주기를 바라는 수밖에 없는데, 이는 감사 상황에서 결코 놓이고 싶지 않은 처지입니다.

독일은 GDPR과 함께 연방 BDSG, 그리고 ePrivacy 저장 규정을 국내법으로 옮긴 TDDDG를 적용하며, 독일 감독기관은 계속 탐색하는 행위를 동의로 인정하지 않습니다. 프랑스는 CNIL을 통해 집행하는데, CNIL은 배너 디자인에 관한 상세한 지침을 발표하고 전체 거부의 불균형과 불명확한 선택지에 대해 조치를 취해 왔습니다.

EU 전역에서 사업을 운영한다면 가장 엄격한 해석에 맞춰 설계하십시오. 독일과 프랑스 규제기관을 만족시키는 배너라면 대체로 나머지 EU 국가도 만족시킬 것입니다.