뉴스 웹사이트에 접속해 본문이 채 로딩되기도 전에 팝업창 하나가 먼저 뜹니다. “귀하의 개인정보를 존중합니다. 쿠키 수집에 동의해 주세요.” 대부분 슬쩍 훑어본 뒤 가장 큼직한 ‘전체 동의’ 버튼을 클릭하곤 합니다. 하지만 자책할 필요는 없습니다. 유럽 개인정보 보호 단체 noyb의 통계에 따르면, 쿠키 배너 시대 이용자의 90%가 ‘동의’를 누르지만, 실제로 자신의 인터넷 활동이 추적되길 원하는 사람은 3% 남짓에 불과합니다. 나머지 87%포인트의 갭은 치밀하게 계산된 다크 패턴(Dark Pattern) 디자인의 결과물입니다.
2026년 7월, noyb, EDRi, EFF, 유럽소비자연맹(BEUC) 등 유럽의 10여 개 시민단체가 힘을 합쳐 캠페인을 발족했습니다. 이름하여 ‘#KillTheCookieBanner’, 말 그대로 ‘쿠키 배너를 없애자’는 운동입니다. 웹사이트가 오픈한 지 한 달도 되지 않아 논쟁은 해커뉴스(Hacker News)에서 롭스터스(Lobsters)로 빠르게 번졌습니다. 80점 이상의 추천수와 16개의 댓글이 달리며 쿠키 배너 자체보다 더 뜨거운 토론이 펼쳐졌습니다.
사진: 공식 웹사이트 메인 비주얼 “Stop the tracking circus” — 사용자 추적 산업을 서커스단에 비유했다. 출처: killthecookiebanner.eu
쿠키 배너는 GDPR이 만든 것이 아니다
흔히 쿠키 배너가 GDPR(유럽 일반 개인정보보호법) 때문에 생겨났다고 생각하지만, 사실 그 시작은 훨씬 더 이전으로 거슬러 올라갑니다.
이미 2002년에 제정된 EU의 ePrivacy 지침(전자통신 프라이버시 지침)은 ‘사용자 기기에 데이터를 저장하는 행위’를 규제하고 있었습니다. 그리고 2009년 개정안을 통해 “웹사이트가 이용자 기기에 쿠키(주머니 속에 몰래 넣는 이름 적힌 영수증 같은 것)를 저장하려면 먼저 이용자의 동의를 받아야 한다”는 조항이 추가되었습니다. 법안은 2009년에 만들어졌지만, 아무도 신경 쓰지 않았습니다. 단속 기관은 조사하지 않았고, 웹사이트들은 8년 동안이나 모른 척 시치미를 뗐습니다.
그러다 2018년 5월 25일, 위반 시 전 세계 매출의 최대 4%까지 벌금을 부과할 수 있는 GDPR이 전격 시행되었습니다. 유럽 전역의 웹사이트들은 패닉에 빠졌고 밤을 새워가며 쿠키 배너를 도입했습니다. 개발자 커뮤니티에서는 이번 배너 대란이 GDPR 때문이라는 오해가 퍼졌지만, 베테랑 개발자 chrismorgan은 롭스터스(Lobsters)에서 이를 바로잡았습니다. 2017년 무렵 등장한 초기 팝업 배너들은 사실 8년간 방치되었던 2009년 구법에서 비롯된 것이며, GDPR은 방치된 법을 모두에게 깨워준 일종의 ‘알람 시계’ 역할을 했을 뿐이라는 지적입니다.
비유하자면 8년 동안 속도제한 표지판이 세워져 있었지만 아무도 단속하지 않다가, 어느 날 단속 경찰이 거대한 과태료 부과 건을 들고 출동한 셈입니다. 이에 모든 운전자가 급제동을 걸기 시작했고, 도로 위에 설치된 것이 과속방지턱인지 요금소인지는 오직 설치비용을 낸 이들의 손에 달렸던 것입니다.
웹사이트와 사용자 사이의 기나긴 팽팽한 줄다리기는 바로 이 지점에서 시작되었습니다.
사진: 공식 웹사이트 일러스트, “쿠키 배너는 당신의 권리를 포기하도록 속이기 위해 설계되었다” 섹션에 포함. 출처: killthecookiebanner.eu
90%의 ‘동의’는 어떻게 만들어졌는가
법의 본래 취지는 “기본적으로 추적을 금지하되, 추적하고 싶다면 먼저 사용자에게 물어보라”는 것이었습니다. 하지만 업계는 법적 허점을 찾아냈습니다. 질문을 던지는 방식 자체를 대단히 기교 있게 만드는 것이었습니다.
‘전체 동의’는 가장 눈에 띄는 곳에 큼직한 컬러 버튼으로 배치하고, ‘거부’는 2단계 메뉴 깊숙이 숨겨진 자그마한 회색 텍스트로 처리했습니다. 심지어 일부 팝업은 거부 옵션조차 제공하지 않았습니다. 매일 수십 개의 팝업 폭격을 받는 사용자들은 결국 조건을 따지지 않고 눈을 감은 채 가장 큰 버튼을 누르는 조건반사적인 습관을 가지게 되었습니다.
엔지니어링 관점에서 보면, 쿠키 배너는 이커머스 사이트에서 ‘장바구니 담기’ 버튼을 크고 밝게 디자인하는 것과 완전히 동일한 원리의 ‘전환율 최적화 머신’입니다. 규제 당국의 대응도 이례적으로 굼떴습니다. chrismorgan은 규제 기관이 규정을 위반한 웹사이트를 즉각 처벌하는 대신, 약 5년 동안이나 “제발 수정해 달라”고 ‘정중히 부탁’하는 데 시간을 허비했다고 비판했습니다.
90%의 이용자가 동의 버튼을 누르지만, 실제로 추적을 원하는 사람은 3%뿐이라는 이 압도적인 수치 차이가 바로 쿠키 배너 산업의 비즈니스 모델입니다.
EU의 해결책: ‘동의’ 권한을 브라우저로 이관하기
2025년 가을, 유럽연합 집행위원회(EC)는 쿠키 규정 개정안을 디지털 입법 패키지인 ‘디지털 종합 개혁안(Digital Omnibus)‘에 포함시켰습니다. 그중 제88b조는 매우 명쾌한 해결책을 제시합니다. 동의 여부를 선택하는 주체를 웹사이트에서 ‘브라우저’로 옮기는 것입니다.
사용자가 브라우저 설정에서 “추적을 원하지 않는다”고 한 번만 설정해 두면, 이후 방문하는 모든 웹사이트가 이 신호를 자동으로 읽어 들여 더 이상 배너를 띄울 필요가 없어집니다. 기술적으로 이는 전혀 새로운 기술이 아닙니다. 이미 브라우저는 사용자의 언어나 시구역(Timezone) 정보를 웹사이트에 자동으로 전달하고 있으며, 이 때문에 팝업창을 띄우지는 않습니다. 캘리포니아주 개인정보보호법(CCPA) 하에서도 파이어폭스(Firefox)나 브레이브(Brave) 브라우저가 지원하는 ‘글로벌 프라이버시 컨트롤(Global Privacy Control, GPC)‘이라는 구체적인 선례가 존재합니다. 또한 EU 개정안은 특정 웹사이트에 대해서는 예외적으로 허용을 설정할 수 있게 하거나, 언론/뉴스 매체에 대한 일괄 면제 조항을 두는 등 유연성도 남겨두었습니다.
로비 창구에서 벌어진 치열한 공방
그러나 곧이어 거센 반발이 거세게 일어났습니다.
구글(Google)은 보고서를 발간해 브라우저 차원의 일괄 프라이버시 신호가 온라인 광고 수익에 심각한 타격을 줄 것이며, 이는 사실상 사용자가 광고를 전면 거부하는 것과 같다고 주장했습니다. 관련 업계의 로비 문서에는 최대 400억~500억 유로에 달하는 광고 매출이 위험에 처할 수 있다는 수치까지 언급되었습니다. 비록 해당 액수는 업계 측의 주장이어서 객관적 검증은 어렵지만, 핵심 본질은 명확합니다. 사용자의 방문 기록을 바탕으로 제공되는 맞춤형 행동 타겟팅 광고(Behavioral Advertising)야말로 전체 디지털 광고 산업을 받치는 거대한 연료라는 점입니다.
로비는 매우 강력한 효과를 발휘했습니다. 독일, 프랑스, 폴란드 등의 회원국들은 이사회를 통해 해당 조항의 삭제를 강력히 밀어붙였습니다. 그 결과 2026년 6월 18일 발표된 EU 이사회 입장에서 제88b조는 공식 삭제되었습니다. noyb 설립자인 막스 슈렘스(Max Schrems)는 6월 23일 링크드인(LinkedIn)에 다음과 같은 탄식을 남겼습니다. “소설로 쓰려고 해도 이럴 수는 없을 겁니다. 집행위원회가 간단한 브라우저 신호로 배너를 대체하는 명쾌한 안을 내놓았음에도 구글, 독일, 프랑스는 쿠키 배너를 유지하자며 로비를 벌였습니다. 절대다수 유권자의 뜻에 반하는 로비가 통했다니 허탈할 따름입니다.”
이에 맞서 7월에 시작된 민간 차원의 반격이 바로 앞서 소개한 ‘#KillTheCookieBanner’ 운동입니다. 한 가지 명확히 짚고 넘어갈 점은, 이 운동이 100만 명의 서명을 모아야 공식 안건으로 채택되는 행정적 절차인 ‘유럽 시민 이니셔티브(European Citizens’ Initiative)’ 방식을 택하지 않았다는 것입니다. 대신 각 시민이 자국의 국회의원과 유럽의회 의원(MEP)에게 직접 서한을 보내도록 독려하는 캠페인 형태를 취했습니다. 심지어 롭스터스 게시글의 작성자조차 “이것은 법적 청원서가 아니라 의원들에게 직접 연락하도록 유도하는 서한일 뿐이며, 구체적인 액션 플랜이 다소 아쉽다”고 평가했을 정도입니다.
사진: 공식 웹사이트 일러스트, “추적 산업의 배너 유지 로비” 섹션에 포함. 출처: killthecookiebanner.eu
반대 의견이 모두 광고주에게서만 나온 것은 아니다
이번 논쟁은 결코 한쪽으로만 치우쳐 있지 않으며, 찬반 양측 모두 나름의 타당한 근거를 제시하고 있습니다.
| 입장 | 대표 | 핵심 주장 |
|---|---|---|
| 배너 폐지 찬성 | 개인정보보호 단체, 절대다수 이용자 | 쿠키 배너는 의도된 교란 행위이며 90%의 ‘동의’는 허상이다. 규제 당국의 엄정한 법 집행이 시급하다. |
| 광고 업계 | 구글(Google) 등 | 행동 타겟팅 광고가 웹의 무료 콘텐츠를 지탱하고 있다. 브라우저 신호 일괄 적용은 업계 전체를 고사시키는 조치다. |
| 업계 내부 자정론 | rkaw92 (애드테크 종사자) | 유일한 해결책은 맞춤형 행동 광고를 전면 금지하는 것이다. 현재의 ‘동의’는 결코 자발적이지 않으며, 동의를 구하는 행위 자체가 눈속임이다. |
| 기술적 회의론 | Sharparam | 웹사이트들은 브라우저의 기본 언어 설정조차 무시하기 일쑤인데, 프라이버시 신호를 순순히 따를 리 만무하다. |
| 역발상적 반대론 | casperin | 나는 쿠키 배너가 좋다. 수많은 기업들이 얼마나 이기적인지 매번 똑똑히 상기시켜 주기 때문이다. |
이 중 가장 눈길을 끈 것은 애드테크(AdTech) 산업 종사자인 rkaw92의 의견이었습니다. 업계 편을 들 것으로 예상되었던 그는 오히려 프라이버시 단체보다 훨씬 더 강력한 비판을 쏟아냈습니다. 행동 타겟팅 광고에서 수집하는 ‘동의’는 단 한 번도 사용자의 자발적 의사로 이루어진 적이 없다는 것입니다. 그는 EU 지역의 구글 첫 화면을 예로 들었습니다. 구글 검색창에 접속하면 긴 동의 목록이 나타나며, 사용자는 한참을 아래로 스크롤해야만 ‘거부’ 버튼을 겨우 찾을 수 있습니다. 체크박스나 일반 버튼보다 더 악의적으로 숨겨져 있지만, 거부 절차를 고의로 복잡하게 만들었다는 본질은 동일합니다. 그는 쿠키 배너가 사라지더라도 웹사이트들이 ‘로그인 페이월(Login Wall)’ 방식을 도입할 것이라는 섬뜩한 예측을 내놓았습니다. 뉴스를 보려면 먼저 구글 계정으로 로그인하게 만드는 방식인데, 대형 플랫폼의 계정 시스템이야말로 가장 강력한 추적 장치이기 때문입니다.
기술적 회의론자들의 우려 역시 매우 현실적입니다. 웹사이트들이 브라우저가 전송하는 기본 언어 설정마저 무시하기 일쑤인데, 개인정보보호 신호를 순순히 준수할 것이라고 어떻게 신뢰할 수 있겠냐는 지적입니다. 결국 법안 조항 자체보다 규제 당국의 강력하고 신속한 단속 의지가 관건이지만, 그것이 얼마나 빠르게 이뤄질지는 미지수입니다.
팝업 배너가 사라지면 무단 추적 데이터도 사라질까?
만약 개정안이 최종 통과된다면, 브라우저에서 단 한 번만 설정하면 팝업 배너가 사라지고 웹사이트는 그 선택을 따라야 하므로 인터넷 이용 행동이 무단 수집되는 통로 하나가 닫히게 됩니다.
반대로 개정안이 무산된다면, 귀찮은 팝업은 계속 유지되고 이용자들의 억지 ‘동의’는 지속적으로 수집될 것입니다. 나아가 팝업 배너가 사라진다 해도 데이터 수집 자체가 완전히 사라지는 것은 아닙니다. 웹사이트들은 ‘필수 쿠키’ 항목의 자의적 확대 해석, 로그인 벽, 이메일 구독 유도 등 다른 편법을 동원해 동일한 목적을 달성하려 들 것이기 때문입니다. 배너는 수단일 뿐이며, 진짜 목적은 ‘사용자 추적’에 있습니다.
현재 개인이 실천할 수 있는 현실적인 대응책은 두 가지가 있습니다. 첫째, 브라우저 확장 프로그램을 활용하는 것입니다. ‘Consent-O-Matic’은 사용자의 선호도를 한 번 설정하면 기호에 맞게 배너를 자동으로 처리해 주며, ‘uBlock Origin’을 사용하면 대다수의 쿠키 팝업을 직접 차단할 수 있습니다. 둘째, 만약 EU에 거주 중이라면 해당 지역의 의원에게 서한을 보내는 것입니다. 캠페인 웹사이트에서 이미 서한 템플릿을 제공하고 있습니다.
이 싸움은 아직 끝난 것이 아닙니다. 유럽의회(European Parliament)의 최종 입장이 아직 남았으며, 최종 결정은 2026년 말까지 지연될 수 있습니다. EU 이사회가 조항을 삭제했다고 해서 완전히 폐기된 것은 아니며, 의회에서 해당 항목을 다시 부활시킬 가능성도 열려 있습니다.
필자는 EU 거주자도 아니며 행동 타겟팅 광고로 생계를 유지하는 사람도 아닙니다. 그럼에도 이 글을 작성한 이유는, 쿠키 배너야말로 전 세계 모든 인터넷 사용자가 동의하는 유일한 주제이기 때문입니다. “그 누구도 쿠키 배너를 좋아하지 않는다”는 사실 말입니다. 그러나 ‘배너를 싫어하는 것’과 ‘배너를 완전히 없애는 법을 아는 것’ 사이에는 로비스트들이 버티고 있는 길고 무거운 복도가 놓여 있습니다.
쿠키 배너는 표면적인 현상에 불과합니다. 진정으로 치열하게 다투는 지점은 ‘동의’라는 두 글자가 여전히 상업적 가치를 가지는가 하는 문제입니다. 그에 대한 명확한 해답은 올해 말이 지나기 전에 윤곽을 드러낼 것입니다.
참고 링크:
- Kill the Cookie Banner 시민 운동 (유럽 민간 단체 주도)
- Lobsters 토론 커뮤니티 (lobste.rs/s/aftrcr)
- GDPR Local: 쿠키 배너 개혁안 분석 보고서
- EU Digital Omnibus 법안 (Article 88b)
- Cybernews: 반(anti) 쿠키 배너 캠페인 취재 보도
