2025년 가을, 유럽연합 집행위원회(European Commission)는 ‘디지털 종합 개혁안’(Digital Omnibus)에 지극히 합리적인 제안 하나를 조용히 포함시켰습니다. 사용자가 웹 브라우저에서 개인정보 설정 단 한 번만 마치면, 새로운 웹사이트를 방문할 때마다 성가신 쿠키(Cookie) 동의 팝업을 다시 마주할 필요가 없도록 만드는 방식이었습니다. 이 직관적이고 합리적인 개혁안은 그러나 이후 수개월 동안 눈에 보이지 않는 격렬한 전쟁을 불러일으켰습니다.
2026년 6월 18일, EU 이사회가 발표한 입장 문서(position paper)에서 이 브라우저 자동 신호 관련 조항이 최종 삭제되었습니다. 삭제를 추진한 세력은 누구일까요? Google은 브라우저 수준의 동의 신호가 “온라인 광고 수익에 심각한 부정적 영향을 미칠 것”이라는 보고서를 발간하며 앞장섰고, 독일과 프랑스 등 주요 회원국들도 이에 동조했습니다.
상황은 자못 황당합니다. 일반 사용자를 쿠키 팝업의 스트레스로부터 해방시키려는 개혁이 왜 거부당했을까요? 이번 사건의 전말과 배경을 상세히 짚어봅니다.
그림: Kill The Cookie Banner 캠페인 메인 페이지. 출처: killthecookiebanner.eu
쿠키 팝업의 진짜 정체는 무엇인가
흔히 쿠키 팝업이 EU 법률에 의해 강제된 것이라고 오해하곤 합니다. 하지만 진실은 완전히 그 반대입니다.
EU 법률(ePrivacy 지침 및 GDPR)의 기본 원칙은 온라인 추적이 원칙적으로 금지되어 있다는 점입니다. 웹사이트가 사용자의 기기에 추적용 쿠키를 저장하거나 기기 핑거프린팅 기술을 사용하려면 먼저 사용자의 명시적인 동의를 얻어야 합니다. 즉, 법은 원래 사용자의 편에서 개인정보가 기본적으로 보호되도록 설계되었습니다.
하지만 추적 업계는 근본적인 난관에 봉착했습니다. ‘기본 금지’ 원칙을 정직하게 준수할 경우 대다수의 사람들이 자발적으로 추적을 허용하지 않을 것이기 때문입니다. 그래서 그들이 발명해낸 도구가 바로 쿠키 동의 팝업이었습니다.
이 팝업의 진짜 목적은 사용자로 하여금 권리를 포기하도록 만드는 데 있습니다.
이에 따라 ‘Cookie Banner Providers’(CMP, 동의 관리 플랫폼)라는 신흥 산업이 탄생했습니다. OneTrust, Cookiebot, Usercentrics 같은 기업들은 웹사이트에 팝업 솔루션을 제공하는 전문 기업들입니다. 이들의 비즈니스 모델은 ‘사용자가 동의(Accept)를 누르도록 만드는 것’에 기반합니다. 웹사이트가 이들에게 비용을 지불하면, 최대한 많은 사람이 ‘Accept’를 누르도록 팝업 디자인을 설계해 줍니다.
90% vs 3%——숫자가 말해주는 진실
‘Kill The Cookie Banner’ 운동이 제시한 통계는 매우 충격적입니다. 현재의 쿠키 팝업 시스템하에서 무려 **90%**의 사용자가 ‘동의(Accept)‘를 누르지만, 실제로 추적되기를 원하는 사용자는 약 **3%**에 불과합니다.
바꿔 말하면, 나머지 87%의 ‘동의’는 정교하게 설계된 거짓 동의인 셈입니다.
그림: 쿠키 팝업 동의율과 실제 의사의 비교. 출처: killthecookiebanner.eu
왜 이런 현상이 일어날까요? 임의의 쿠키 팝업을 자세히 관찰해 보면 ‘다크 패턴(Dark Patterns)‘으로 가득 차 있음을 알 수 있습니다.
- ‘모두 동의(Accept All)’ 버튼은 대형 크기와 눈에 띄는 색상으로 가장 눈에 잘 띄는 곳에 배치됩니다.
- ‘모두 거부(Reject All)‘는 작은 글씨, 회색 버튼, 혹은 여러 번의 클릭이 필요한 하위 메뉴 속에 숨겨져 있습니다.
- 일부 팝업은 아예 ‘모두 거부’ 옵션조차 제공하지 않아 수십 개에 달하는 제3자 파트너의 스위치를 일일이 끌 수밖에 없게 만듭니다.
- 가까스로 거부를 선택하더라도 일부 웹사이트는 동일한 팝업을 다시 띄워 재선택을 강요합니다.
Hacker News(HN) 사용자 whstl은 토론 중 자신이 직접 겪은 실체적인 사례를 공유했습니다. 한 쿠키 팝업 제공업체가 미팅 자리에서 클라이언트에게 **“유럽에서는 ‘모두 거부’ 버튼을 제거해도 괜찮습니다. 소송당할 확률이 낮으니까요. 하지만 캘리포니아에서는 단속 리스크가 낮으므로 놔두는 것을 권장합니다”**라고 조언했다는 것입니다. 그 말을 마친 직후 그들은 **“우리가 이 말을 했다고 다른 데서 말하지 마세요”**라는 덧붙임까지 남겼습니다.
그것도 카메라가 켜져 있는 상황에서 말입니다. 이것이야말로 이 업계의 가장 솔직한 단면입니다.
‘거부’를 눌러도 소용없다——팝업 자체가 눈속임일 뿐
더 심각한 문제는, 사용자가 애써 ‘거부’를 선택하더라도 상당수 경우 이미 추적이 진행된 후라는 사실입니다.
HN 사용자 xp84는 이에 대해 직설적인 설명을 제시했습니다. “생각해 보면 당연합니다. 모든 제3자 추적 스크립트는 팝업을 보기도 전에 이미 페이지에 로드되어 있습니다. 제3자가 제공한 팝업 UI라는 샌드박스 내부에서 한 행동이 어떻게 페이지상의 다른 모든 코드들을 마법처럼 통제할 수 있겠습니까? 웹사이트가 엄청난 기술적 공을 들여 모든 외부 코드를 팝업의 통제 시스템 하에 묶어두지 않는 한 불가능합니다. 하지만 외부 스크립트를 마구 붙여넣는 것으로 연명하는 마케팅 부서에 그런 기술적 역량이 있을 리 만무합니다.”
이 지적은 쿠키 팝업의 가장 큰 거짓말을 파헤칩니다. 사용자에게 ‘선택권이 있다’는 착시를 주지만, 실제로는 팝업이 뜨기도 전에 선택권이 무력화되어 있는 것입니다.
게다가 일부 웹사이트는 ‘거부’를 눌러도 그 선택을 제대로 저장하지 않고 유효기간이 짧은 쿠키로 ‘거부’ 상태를 기록하여 며칠 뒤 팝업이 다시 튀어나오도록 만듭니다.
진정한 해결책: 브라우저가 대변하게 만드는 것
유럽연합 집행위원회가 2025년 가을에 제안했던 방안의 논리는 지극히 단순했습니다.
현재 사용자의 브라우저는 새로운 웹사이트를 방문할 때마다 언어 설정, 화면 해상도, 시간대 등의 정보를 자동으로 전송합니다. 이 과정은 사용자 개입 없이 자동으로 처리되며, 매번 재설정할 필요가 없습니다.
개인정보 보호 설정도 동일하게 처리하면 되지 않을까요? 브라우저에서 “추적을 원하지 않는다”라고 한 번 설정하면, 브라우저가 웹 요청을 보낼 때마다 이 신호를 자동으로 함께 송신하여 깔끔하게 해결하는 것입니다.
이것이 바로 Article 88b(제88b조)의 핵심 개념입니다. 웹사이트가 브라우저가 보내는 자동 개인정보 신호(이른바 ‘브라우저 수준 동의 신호’)를 의무적으로 준수하도록 규정했습니다.
그림: 브라우저 수준 개인정보 신호의 작동 흐름. 출처: killthecookiebanner.eu
이 제안은 많은 이들의 생각보다 훨씬 온건한 편이었습니다. 특정 웹사이트에 대해 개별적으로 추적을 허용할 수 있는 권리는 여전히 유지되었으며, 언론 및 미디어 기관은 이 조항의 적용에서 완전히 면제되었습니다. 이번 개혁의 핵심은 ‘거부’의 문턱을 ‘동의’만큼 낮추는 데 있었습니다. 현재 두 선택지 사이의 난이도 격차가 너무 크기 때문입니다.
유사한 메커니즘이 이미 미국 캘리포니아 CCPA 법하에서 ‘Global Privacy Control(GPC)‘이라는 이름으로 존재합니다. Firefox와 Brave 같은 브라우저가 이미 이를 지원하지만, 법적 강제력이 부족하여 상당수 웹사이트가 이를 무시하고 있습니다.
누가 이 개혁을 막아서는가
논리적으로 이토록 매끄러운 제안이 왜 거부당했을까요?
이유는 단순합니다. 돈 때문입니다.
추적 기반 광고는 거대한 산업입니다. Google은 그 중심에 서 있으며, 자사의 광고 사업 전체가 여러 웹사이트에 걸친 사용자 행동 추적 위에 구축되어 있습니다. 브라우저가 기본적으로 ‘추적 거부’ 신호를 보내게 되면 대부분의 사용자가 이 설정을 바꾸지 않을 것이므로 추적 광고의 대상 인원이 폭락하게 됩니다.
Google은 브라우저 수준 동의 신호가 “온라인 광고 수익에 심각한 부정적 영향을 미칠 것”이라는 보고서를 발표하며 이 개혁을 “광고 추적에 대한 일괄 거부”와 다름없다고 주장했습니다.
그러나 유럽연합 집행위원회와 개인정보 보호 단체들은 이에 반박했습니다. 사용자가 사이트별로 개별 동의를 부여할 권리가 남아 있고 언론 기관이 면제되므로, Google의 주장처럼 붕괴가 일어나지는 않는다는 지적이었습니다.
그리고 상황은 매우 흥미롭게 전개되었습니다. 평소 ‘엄격한 개인정보 보호자’를 자처하며 EU 차원의 데이터 보호 강화를 주도하던 독일과 프랑스마저 이번에는 Article 88b 반대 편에 섰습니다. 그들이 내세운 명분은 “규제 단순화 및 행정 절차 간소화”였습니다.
2026년 6월 18일, EU 이사회가 발표한 입장 문서에서 Article 88b는 공식 삭제되었습니다.
개인정보 보호 단체 noyb의 설립자 Max Schrems는 LinkedIn에 쓴소리를 남겼습니다. “지어내려고 해도 이렇게는 못 만들 겁니다. Google, 독일, 프랑스가 쿠키 팝업을 유지하기 위해 로비를 벌이고 있으며, 유럽연합 집행위원회가 제안한 ‘간단한 신호 대체안’을 차단했습니다. 압도적 다수 유권자의 뜻에 반하는 로비가 성사되고 만 것입니다.”
이미 변질되어 버린 시스템
가장 역설적인 점은, 쿠키 팝업이라는 산업 자체가 GDPR에 대한 악의적 준수(malicious compliance)에서 비롯되었다는 사실입니다.
noyb(None Of Your Business)는 추적 업계가 ‘알고 한 동의(informed consent)‘라는 명목하에 사용자가 스스로 개인정보 권리를 포기하게 만드는 수단으로 쿠키 팝업을 발명했다고 거듭 지적해 왔습니다. 문제는 팝업이 불과 0.5초 동안만 떠 있고 사용자가 하루에도 수십 번씩 이에 노출되는 상황에서 ‘알고 한 동의’라는 개념 자체가 완벽한 헛소리에 불과하다는 점입니다.
HN 사용자 chrismorgan은 흥미로운 법적 관점을 제안했습니다. “왜 아예 ‘체크박스나 버튼 클릭이 알고 한 동의를 구성할 수 없다’고 명시하지 않는가?”
그는 호주 빅토리아주의 임대차 계약서 사례를 들었습니다. 그곳에서는 임대 계약 시 정부가 지정한 표준 템플릿 사용이 의무화되어 있으며 임의 계약서를 만들 수 없습니다. 쿠키 고지 역시 덫으로 가득한 팝업을 사이트마다 제각각 디자인하게 방치하는 대신 표준화된 방식으로 고지하도록 강제해야 비로소 진정한 ‘동의’를 논할 수 있다는 설명입니다.
하지만 그 스스로 덧붙였듯, “누군가의 생계가 무언가를 이해하지 않는 데 걸려 있을 때, 그 사람을 설득하는 것은 불가능하다”는 것이 차가운 현실입니다.
이 전쟁은 아직 끝나지 않았다
2026년 7월 현재, Article 88b는 EU 이사회 단계에서 삭제되었지만 완전히 끝난 것은 아닙니다. 유럽의회의 최종 결정이 남아 있습니다. ‘Kill The Cookie Banner’ 운동은 시민들에게 각 지역 유럽의회 의원(MEP)들에게 압력을 가해 줄 것을 촉구하고 있습니다.
만약 Article 88b가 최종 통과된다면, 발효 후 24개월의 경과 기간이 웹사이트 운영자들에게 제공될 것입니다. 그러나 더 중요한 것은 원칙의 전환입니다. 개인정보 보호는 사용자가 방문하는 모든 웹사이트에서 매번 싸워서 획득해야 하는 권리가 아니라, 브라우저 차원에서 한 번 설정하면 유지되는 기본값이 되어야 합니다.
매일 튀어나와 “Accept or Reject”를 묻는 팝업은 본질적으로 사용자의 피로감과 조급함을 이용하고 있습니다.
‘죽여야(Kill)’ 할 대상은 ‘동의를 구하는 척’ 위에 세워진 상업 체계 전체입니다. 유럽연합 집행위원회의 제안을 통해 우리는 더 단순한 가능성을 보았습니다. 언어 설정처럼 개인정보 선택권을 브라우저로 가져와 자동으로 작동하게 만드는 미래입니다. Google과 추적 업계는 이를 막기 위해 총력을 기울이고 있습니다.
이 싸움의 결과는 향후 모든 이들의 온라인 개인정보 환경을 결정짓게 될 것입니다. 기만적인 팝업을 계속 참아내야 할지, 아니면 단 한 번의 설정으로 마침내 평온을 찾게 될지 말입니다.
지금 이 글을 읽고 계신 화면 우상단에도 작고 성가신 팝업 하나가 기다리고 있을지 모릅니다. 그 팝업이 ‘거부’ 버튼을 어디에 숨겨두었는지 유심히 살펴보시기 바랍니다.
참고 링크:
- Kill The Cookie Banner 공식 웹사이트
- HN 토론 (item?id=49057175)
- EU Digital Omnibus 개혁 제안
- GDPR Local: Cookie Banner Reform 분석
- Secure Privacy: Article 88a 변화 상세
