쿠키 배너를 없애라

 (killthecookiebanner.eu)
1P by GN⁺ | ★ favorite | 댓글 1개
  • EU 집행위원회는 2025년 가을, 브라우저에서 한 번 정한 개인정보 선호 설정을 웹사이트와 앱에 자동으로 전달해 반복적인 쿠키 배너를 없애는 방안을 제안함
  • 온라인 추적은 EU 개인정보보호법상 기본적으로 금지되지만, 쿠키 배너는 이용자가 권리를 포기하도록 유도해 최대 90%의 동의율을 끌어냄
  • 실제로 온라인 추적을 원하는 사람은 약 3% 에 불과해, 배너로 얻은 동의와 이용자의 실제 선호 사이에 큰 차이가 있음
  • Google과 추적 업계의 로비 이후 일부 EU 회원국이 제안을 막고 있으며, 업계 단체도 유럽의회의 거부를 요구하고 있음
  • 회원국과 유럽의회의 입장이 아직 확정되지 않아, 시민이 유럽의회 의원이나 자국 정부 대표에게 직접 의견을 전달하는 것이 제안의 향방에 영향을 줄 수 있음

브라우저가 개인정보 선호를 자동 전달하는 방식

  • 브라우저에서 추적의 허용·거부·제한 여부를 한 번 선택하면, 자동 신호가 해당 선호를 웹사이트나 앱에 전달함
  • 브라우저는 선호 언어 같은 정보를 웹사이트에 이미 자동으로 보내고 있어 기술적으로 새롭거나 복잡한 개념이 아니며, 미국 일부 주에서는 개인정보 선호 신호가 법적으로 지원됨
  • 쿠키 배너는 온라인 추적에 필요한 동의를 얻기 위해 만들어졌으며, 이용자를 오도하거나 동의를 거부하기 번거롭게 설계되는 경우가 있음

법률 개혁을 둘러싼 로비와 행동 요청

  • 추적 업계는 개인정보 선호를 효율적으로 전달하면 추적 동의율이 낮아질 수 있어 제안에 반대함
    • 일부 EU 회원국이 EU 집행위원회의 제안을 막고 있음
    • 업계 단체도 유럽의회가 제안을 거부하도록 로비하고 있음
  • 개인정보 신호 제안은 Digital Omnibus라는 EU 법률 개혁의 일부임
    • 캠페인 측은 개인정보 신호에는 찬성하지만, 시민의 권리를 약화할 수 있는 개혁안의 다른 대부분 조항은 지지하지 않음
  • Take Action에서 유럽의회 또는 자국 정부의 관련 대표에게 쿠키 배너에 대한 불만을 전달할 수 있음
  • 유럽 전역의 시민사회단체들이 캠페인을 이끌고 있으며, 다른 단체도 참여 방법을 확인할 수 있음

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 쿠키 배너를 없애려면 체크박스나 버튼 클릭만으로는 충분한 설명에 근거한 동의가 성립하지 않는다고 규정하면 됨. 실제로 거의 아무도 내용을 읽지 않고 치우려 할 뿐이며, 일부 지역에서 포장 개봉형 약관이나 단순 계약도 합리적으로 예상할 수 있는 조항만 집행하도록 제한된 전례가 있음
    호주 빅토리아주는 임대 시 표준 계약서를 의무화하며, 주택 매매도 사실상 표준 계약서를 사용하는 것으로 보임. 다만 생계가 이해하지 않는 데 달린 사람을 설득하기란 불가능함

    • 다른 사람이 쿠키 배너 내용을 읽지도 않고 곧바로 “동의”를 누르는 모습을 볼 때마다 놀라움. IT 종사자라 데이터 수집·프로파일링·개인정보 문제를 더 의식하는 편이지만, 많은 경우 거부 버튼만 눌러도 배너는 사라짐
      쿠키는 처음부터 브라우저 설정으로 관리하는 것이 유일하게 합리적인 방식이었음
    • 쿠키 제어권은 항상 브라우저에 있어야 했음. 법은 합리적인 기본값을 브라우저에 넣도록 강제하고, 브라우저가 선언한 설정을 지문 채취 등으로 우회하지 못하게 했어야 함
      권한 상승 요청을 팝업이나 도구 모음 아이콘으로 허용하더라도 항상 같은 위치에 표시하고 페이지를 가리지 않아야 함
    • 계약서나 권리 포기서에 실제로 서명자가 읽지 않았다면 법적 강제력을 인정하지 말아야 함. 상대가 읽지 않을 것에 기대어 원하는 의무를 무엇이든 지울 수 있는 구조는 악용 가능성이 너무 큼
    • 규제가 만든 문제를 더 많은 규제로 해결하려는 셈임. 앞선 여러 번은 부작용을 예상하지 못했지만 이번만큼은 예상 밖 결과가 절대 없을 것이라는 냉소가 듦
    • “읽지 않았다”는 이유로 계약의 구속력을 피하게 하면 제도가 유지될 수 없음. 계약의 혜택을 누리고도 조항을 어긴 모든 당사자가 반박 불가능한 방어 수단으로 이를 내세울 수 있음
      소비자 공정성도 중요하지만, 그 과정에서 가치를 생산할 유인까지 없애지 않도록 균형을 세심하게 잡아야 함

  • 기기 설정만으로 법적 효력이 있는 개인정보 선호를 전달할 수 있다면, 부모가 해당 기기를 아이가 사용한다고 표시하게 해 Online Safety Act 같은 제도를 없앨 수도 있을 것임

    • 정부가 악의적으로 행동할 때 반복해서 내세우는 “우리는 그저 무능했다”는 선전에 속아서는 안 됨. 브라우저에는 이미 쿠키 삭제 기능이 있었으며, 배너는 소규모 경쟁자를 밀어내고 운영체제에서 직접 데이터를 빼낼 수 있는 과점 기업에 권력을 집중했을 뿐임
      ISP에 요청 시 IP를 바꾸는 기능까지 의무화했다면 일종의 가벼운 Tor 수준 개인정보 보호가 가능했을 것임. 전면 감시라는 상충 목표만 없다면 정부가 강력한 개인정보 보호를 구현하기는 어렵지 않음
    • 부모가 설정 방법을 모르거나 신경 쓰지 않을 가능성이 큼. 사용자 친화적인 휴대전화조차 제대로 다루지 못하는 사람이 많아 계정 관리까지 기대하기 어려움
      온라인 안전법과 EU의 유사 법률은 위험하지만, 제대로 된 대안인 소셜 미디어 전면 금지나 최소한 단기적으로 스마트폰 금지를 거론하려 하지 않음. 결국 돈이 걸려 있기 때문임
    • California Digital Age Assurance Act가 정확히 그렇게 하지만 이 법도 좋은 반응을 얻지는 못했음
    • 부모가 기기를 자녀 모드로 잠그면 user is child 헤더를 보내고 웹사이트가 접근을 차단하도록 하면 됨. 영향 범위가 사실상 없고 감시 국가식 해법도 피할 수 있음
      브라우저가 우선 구현하면 운영체제 업체도 연동할 수 있으니 Firefox가 주도해야 함. 명세 홍보 사이트를 만들고 GitHub 및 RFC 절차를 시작할 생각까지 듦

  • 사람들을 감시하지 않으면 됨. 기능상 꼭 필요한 쿠키에는 쿠키 배너가 필요하지 않음

    • 사실상 정적 콘텐츠뿐인 EU 공식 웹사이트도 추적이 꼭 필요한 모양임. EU 공식 웹사이트가 쿠키 배너 없이 작동하기 전까지는 “내가 시키는 대로만 하라”는 태도로 보임

  • 위치나 마이크 접근 권한을 묻듯이 브라우저가 쿠키 권한을 처리하도록 왜 처음부터 강제하지 않았는지 이해하기 어려움

  • 논의만 하지 말고 California처럼 실제로 시행해야 함. 2027년 1월부터 브라우저의 개인정보 설정 하나로 웹사이트에 선호를 자동 전달해 검색 기록·위치·구매 내역·관심사 등이 데이터 중개업체나 제3자에게 판매되지 않도록 보호할 예정임
    관련 발표

  • 마침내 웹 사용성을 크게 개선할 변화로 보임. 사이트마다 같은 선호를 적용하고 싶지는 않을 수 있으므로 전역 기본값과 사이트별 설정을 함께 제공하는 절충안이 적합함

    • 자동화된 신호이기만 하면 User-Agent가 원하는 논리로 전송할 수 있어 구체적인 전송 방식까지 법으로 정할 필요는 없음. Firefox의 Tracking Protection도 전역 기본값과 사이트별 예외를 지원하므로 이 기능도 같은 구조를 쓰거나 기존 기능과 통합할 가능성이 큼
    • 어떤 상황에서 사용자가 검색 기록을 수십·수백 개의 제3자 추적 업체에 보내는 데 명시적으로 동의하고 싶을지 의문임
    • 기존 선호와 무관하게 추적하려는 사이트들은 계속 물어볼 가능성이 큼

  • 선의로 운영되는 TFL(Transport for London)조차 쿠키 경고가 실제 웹사이트 접근을 방해함. 버스 시간을 확인하려는데 전체 화면 동의창이 뜨고 수락 버튼은 화면 밖에 그려짐

    • 사용자의 모든 행동을 끝없이 추적한다면 선의로 운영된다고 보기 어려움

  • 필수적이지 않은 쿠키를 모두 불법으로 만드는 편이 더 간단할 수 있음. 저항이 가장 적은 경로를 택하는 것 외에는 합리적인 사람이 이를 받아들일 이유를 상상하기 어려움

  • 자동 신호가 기본 선호뿐 아니라 불편하게 중첩된 UI 속에 숨겨진 정당한 이익 명목까지 포함해야 함. “추적당하고 싶지 않다는 선호는 알지만 그래도 추적할 테니, 모든 협력사마다 다시 거부를 눌러라”라는 식이기 때문임

  • 개인정보 보호 법률은 “나쁜 기업”을 겨냥한다면서 결국 모든 관리 책임을 개인에게 떠넘기는 경우가 너무 많음. 웹사이트를 방문할 때마다 법적 계약을 맺고 싶지는 않음
    소셜 미디어가 아이들에게 해롭다는 이유로 모든 방문자에게 입구에서 신분증을 내라는 방식도 마찬가지임

답변달기