웹사이트를 열 때마다 만나는 쿠키 배너는 개인정보보호 규제가 남긴 가장 눈에 띄는 흔적이다. 그래서 불편한 배너 자체를 GDPR의 실패로 보는 반응도 많다. 그러나 배너가 묻는 것은 버튼 하나가 아니다. 유럽연합의 일반개인정보보호규정(GDPR)은 개인이 자신의 데이터가 왜 수집되고, 어디에 쓰이고, 언제 멈출 수 있는지를 기업에 질문할 수 있게 만든 규칙이다.
Matt Duggan은 GDPR을 비판하는 기술 업계의 목소리가 큰 이유를 이 통제권에서 찾는다. 동의를 자유롭게 거부할 수 있고, 수집 목적과 보관 기간, 공유 상대를 따질 수 있다면 데이터 기반 광고와 추적 사업은 예전처럼 사용자의 무지를 전제로 움직이기 어렵다. PM과 제품 운영자는 배너 전환율보다 어떤 데이터 처리가 서비스 제공에 필요한지, 어떤 처리가 별도 동의를 요구하는지부터 분리해 볼 필요가 있다.
쿠키 배너는 무엇을 드러내는가
원문에 실린 구글의 동의 화면은 이 구분을 비교적 선명하게 보여 준다. 기본 화면은 서비스 제공, 장애·스팸 방지, 이용 통계 측정을 설명한다. 전체 동의를 선택하면 새 서비스 개발, 광고 효과 측정, 개인화 콘텐츠와 광고 표시가 추가 목적에 들어간다. 거부를 선택했을 때 이 추가 목적을 위해 쿠키나 IP 주소를 쓰지 않는다는 문구도 있다. 동의 화면이 길고 피로한 이유에는 이런 처리 목적이 한꺼번에 나타난다는 현실이 있다.
물론 잘 만든 동의 화면과 실제 통제권은 다르다. 거부는 숨기고 수락만 크게 보이게 하거나, 여러 단계를 거쳐야 거부할 수 있게 설계하면 선택은 형식이 된다. 유럽 개인정보보호위원회(EDPB)는 동의가 유효하려면 당사자가 실질적인 선택을 하고 불이익 없이 거부하거나 철회할 수 있어야 한다고 설명한다. 배너의 모양보다 거부와 철회의 경로가 수락만큼 직접적인지가 제품 설계의 기준이 된다.
동의 다음에도 데이터 처리는 계속된다
GDPR의 핵심을 배너로 축소하면 중요한 흐름을 놓친다. 동의는 수집의 출발점일 수 있지만, 그 뒤에는 목적별 처리, 보관, 제3자 공유가 이어진다. 사용자는 열람·정정·삭제·처리 제한·반대 같은 권리로 이 흐름에 다시 개입할 수 있다. 기업 입장에서는 한 번 받은 동의 기록만 보관하는 일이 아니라, 데이터 항목과 목적, 수탁사·광고 파트너, 보관 기간을 연결해 설명할 수 있어야 한다는 뜻이다.
이 관점은 기능을 기획할 때 질문 순서도 바꾼다. “동의 팝업을 넣었는가”가 아니라 “이 기능은 어떤 데이터를 어떤 목적에 쓰는가”, “목적이 바뀌면 사용자가 이를 알 수 있는가”, “삭제나 반대 요청이 복제본과 외부 파트너까지 전달되는가”를 묻게 된다. 쿠키가 아닌 계정 정보, 위치, 기기 식별자, 행동 기록에도 같은 질문이 적용된다.
개인이 쓸 수 있는 권리가 기업의 설계를 바꾼다
EDPB와 유럽연합 집행위원회가 정리한 GDPR의 정보주체 권리에는 열람, 정정, 삭제, 처리 제한, 데이터 이동, 반대가 포함된다. 이 가운데 모든 요청이 언제나 즉시 처리되는 것은 아니며, 적용 조건은 권리와 처리 근거에 따라 다르다. 다만 데이터가 기업 안에서 어떻게 흘러가는지 전혀 볼 수 없던 개인이, 적어도 무엇을 보유하고 어떤 목적으로 쓰는지 묻고 수정·삭제·반대를 요구할 경로를 갖게 된다는 점은 분명하다.
이 권리들이 기업에 비용과 운영 부담을 만든다는 지적은 맞다. 그러나 그 부담은 데이터가 쌓인 뒤에도 목적과 책임 소재를 설명할 수 있게 하는 장치이기도 하다. Duggan의 글이 쿠키 배너 너머를 보자고 한 이유도 여기에 있다. 불편한 화면을 없애는 것만으로는 해결되지 않는다. 데이터가 개인의 선택과 무관하게 수집·공유되는 구조를 줄이는 일이 규제와 제품 설계가 함께 다뤄야 할 문제다.
출처: Matt Duggan, You Know GDPR Is Good Based on Who Hates It. 규정 적용일과 권리 범위는 European Commission, EDPB에서 확인했다.