쿠키 배너 없는 인터넷을 만들자 — 유럽에서 시작된 '브라우저 동의 의무화' 서명 운동

매일 누르는 '모두 동의', 이제 그만하자는 움직임

유럽 사이트에 들어갈 때마다 뜨는 쿠키 동의 배너, 다들 지긋지긋하시죠. 이 배너를 아예 법으로 없애자는 유럽 시민 발의(European Citizens' Initiative, ECI)가 시작됐어요. 'Kill the Cookie Banner'라는 이름의 캠페인인데요. 흥미로운 건 '프라이버시 보호를 포기하자'가 아니라 '더 제대로 보호하기 위해 배너를 없애자'는 방향이라는 점이에요.

배경을 짚어보면요. 2002년 ePrivacy 지침과 2018년 GDPR(유럽 개인정보보호법)은 사용자가 모르는 사이에 추적당하지 않도록 보호하려는 법이었어요. 그런데 현실은 어떻게 됐냐면, 지난 10년간 유럽 사람들은 다크 패턴(사용자를 특정 선택으로 유도하는 UI 설계)으로 가득한 팝업을 보며 '모두 동의'를 최대한 빨리 누르는 훈련만 받았다는 거예요. 추적은 그대로인데 클릭 노동만 늘어난 셈이죠. 캠페인은 이걸 '유럽에서 가장 눈에 잘 띄는 디자인 실패'라고 불러요.

구체적으로 뭘 요구하냐면요

요구는 네 가지예요. 첫째, 브라우저 수준 동의 의무화. 브라우저에서 한 번만 '추적 거부' 신호를 켜면 모든 사이트가 그 기계 판독 가능한 신호(예: Global Privacy Control)를 법적으로 따라야 한다는 거예요. 사이트마다 배너를 띄울 필요가 영영 없어지죠. 둘째, 침묵은 거부. 지금은 신호가 없으면 배너를 띄우는데, 이 제안에서는 아무 신호가 없으면 '동의 안 함'이 기본값이 돼요. 셋째, 동의 장벽 금지. '돈을 내거나 추적을 허용하거나(Pay or OK)' 식으로 전면 동의 화면을 세워 기본권을 통행료처럼 만드는 걸 막자는 거고요. 넷째, 재요청은 1년에 한 번만. 방문할 때마다, 서브도메인마다 다시 묻는 걸 금지하자는 거예요.

ECI가 뭐냐면, 최소 7개 회원국에서 100만 명의 검증된 서명을 모으면 유럽연합 집행위원회가 공식 답변을 내고 유럽의회 청문회를 여는 것이 '법적으로' 의무가 되는 제도예요. 유럽 시민이 입법 의제를 직접 올릴 수 있는 가장 강력한 수단이죠. 현재 약 21만 명이 서명했고 마감은 2027년 3월이에요.

Do Not Track은 실패했는데, 이번엔 다를까

'브라우저에서 신호 한 번 보내기'라는 아이디어, 어디서 본 것 같지 않으세요? 맞아요, 10여 년 전 Do Not Track(DNT)이 정확히 이거였어요. DNT는 모든 브라우저에 탑재됐지만 사이트가 무시해도 아무 제재가 없어서 조용히 사라졌죠. 반면 캘리포니아의 Global Privacy Control(GPC)은 CCPA라는 주법이 '이 신호를 무시하면 위법'이라고 못 박으면서 실제로 작동하고 있어요. 이 캠페인이 요구하는 것도 결국 '같은 법적 강제력을 EU에도 달라'는 거예요.

타이밍도 의미가 있는데요. EU 집행위가 2025년 11월 발표한 Digital Omnibus 개정안에 이미 기계 판독 가능한 동의 신호와 저위험 분석용 배너 면제가 들어 있거든요. 다만 브라우저 신호를 모든 추적에 구속력 있게 만들지는 않았고, 동의 장벽 문제는 아예 건드리지 않았어요. 이 발의는 딱 그 빈틈을 메우려는 시도인 셈이죠. '배너가 언론사 수익을 지탱한다'는 반발에 대해서는, '누가 보느냐'가 아니라 '무엇을 읽고 있느냐'에 광고를 붙이는 맥락 광고(contextual advertising)는 동의 자체가 필요 없고, 전환한 매체들이 광고 수익의 95%를 유지했다는 연구들을 근거로 들어요. 배너 피로가 오히려 동의라는 개념 자체를 무가치하게 만들고 있다는 반론이고요.

한국 개발자에게 주는 시사점

남의 대륙 얘기 같지만 그렇지 않아요. EU에 사용자가 있는 글로벌 서비스라면 GDPR 적용 대상이라, 이 방향으로 법이 바뀌면 동의 관리 도구(CMP) 구현도 통째로 바뀌거든요. 브라우저 신호 의무화가 현실이 되면 프런트엔드에서 Sec-GPC 헤더나 navigator.globalPrivacyControl 값을 읽어 추적 스크립트를 조건부로 로드하는 패턴이 표준이 될 거예요. 한국도 개인정보보호법 논의 때마다 형식적 동의, 이른바 '동의 만능주의'의 한계가 지적되고 있어서 규제가 어느 방향으로 진화하는지 지켜볼 가치가 충분하고요. 광고 기반 서비스를 운영한다면 맥락 광고 전환 실험을 미리 해보는 것도 방법이에요.

한줄 정리: 쿠키 배너 문제의 해법은 배너를 예쁘게 만드는 게 아니라, 동의를 브라우저 설정 한 번으로 끝내고 그 신호에 법적 힘을 주는 것이라는 제안이에요. 여러분은 어떻게 생각하세요? '침묵은 거부'가 기본값이 되면 광고로 돌아가는 무료 웹의 수익 모델은 어떻게 바뀌어야 할까요?