쿠키 동의 의무 위반은 이론적인 위험이 아니다. 여러 EU 국가의 개인정보 보호 당국은 지난 몇 년간 반복적으로, 그것도 상당한 액수의 과징금을 부과해왔다. 그 법적 근거는 GDPR 제83조 5항에서 나온다. 중대한 위반의 경우 최대 2천만 유로 또는 전 세계 연간 매출의 최대 4% 중 더 높은 금액에 이르는 과징금이 부과될 수 있다 — 앞선 글들에서 설명했듯 실제 위반의 발단이 형식적으로는 ePrivacy 지침이나 그 국내 이행법에서 비롯된 것이라 하더라도 마찬가지다. 이 숫자만 보아도, 쿠키 동의를 형식적인 절차로 취급하는 태도가 얼마나 큰 위험을 감수하는 일인지 알 수 있다.
가장 잘 알려진 사례 중 하나는 프랑스 개인정보 보호 당국 CNIL에서 나왔다. 2020년 12월, CNIL은 구글에 총 1억 유로, 아마존에 3,500만 유로의 과징금을 부과했다. 두 회사 모두 사용자가 동의하기 전에 광고 쿠키를 설정했기 때문이었다. 2022년 1월에는 구글에 1억 5천만 유로, 페이스북(현 메타)에 6천만 유로의 추가 과징금이 이어졌다 — 이번에는 해당 웹사이트에서 쿠키를 거부하는 것이 동의하는 것보다 눈에 띄게 번거롭게 설계되어 있었기 때문이었다. 동의하려면 클릭 한 번이면 충분했지만, 거부하려면 여러 메뉴를 거쳐야 했다. CNIL은 이를 동의를 거부하는 것이 동의를 주는 것만큼이나 쉬워야 한다는 요건 위반으로 판단했다. 두 회사 모두 세계적인 규모의 기업이었다는 점에서, 규모가 크다고 해서 예외가 되지 않는다는 사실이 분명해졌다.
다른 개인정보 보호 당국들도 나섰지만, 중소기업을 상대로는 대체로 더 적은 금액이었다. 흔한 문제로는 쿠키 분류 누락, 배너와의 어떤 상호작용도 있기 전에 이미 로드되는 제3자 스크립트, 또는 아예 존재하지 않는 '거부' 버튼으로 인해 진짜 대안이 없어 방문자가 동의를 강요당하는 경우 등이 있었다. 특히 마지막 지점 — 동의와 동등한 비중의 거부 옵션이 없는 배너 — 은 감사에서 가장 흔하게 지적되는 사항 중 하나다. 플라넷49 판결이 확인한 자유로운 결정에 대한 요건을 직접적으로 위배하기 때문이다. 이러한 사례들은 규모와 무관하게 어떤 웹사이트든 같은 기준으로 점검받을 수 있음을 보여준다.
이러한 사례들과 각 감독 당국이 발표한 지침으로부터, 개인정보 보호 당국이 감사에서 구체적으로 무엇을 확인하려 하는지 파악할 수 있다. 필수적이지 않은 쿠키가 능동적인 동의 '이후'에 설정되었는지, 그 이전이 아니었는지. 거부할 수 있는 진짜이면서 동등하게 설계된 방법이 있었는지. 카테고리와 목적이 충분히 구체적으로 설명되었는지. 그리고 — 실제 분쟁에서 흔히 결정적인 지점인데 — 웹사이트 운영자가 사후에도 특정 시점에 특정 동의가 실제로 주어졌음을 증명할 수 있는지. 이 네 가지 질문은 사실상 감사관이 실제로 체크리스트처럼 사용하는 항목이라고 봐도 무방하다.
실무에서는 이 마지막 지점이 자주 과소평가된다. 기술적으로 흠잡을 데 없는 배너라 하더라도, 분쟁이 생겼을 때 — 예컨대 민원이 제기되거나 표본 점검을 받았을 때 — 동의가 이루어졌다는 것과 정확히 어떻게 이루어졌는지를 보여줄 기록이 남아 있지 않다면 별 소용이 없다. GDPR 제5조 2항에 따른 책임성 의무는 방문자가 아니라 웹사이트 운영자에게 있다. 의심스러운 경우 증명해야 하는 쪽은 운영자이지, 사용자가 동의하지 않았음을 반증할 필요는 없다.
대부분의 중소 규모 웹사이트에게는 위와 같은 규모의 과징금이 실제로 부과될 가능성은 낮다 — 감독 당국은 실무적으로 파급력이 큰 사안, 반복적인 위반, 또는 표적이 된 민원에 집중한다. 그러나 이것이 근본 원칙을 바꾸지는 않는다. 충분한 정보에 근거하고, 능동적이며, 기록으로 남는 동의는 형식적인 절차가 아니라 쿠키 배너가 애초에 그 목적을 다하기 위한 유일한 토대다. 결국 과징금의 액수보다 중요한 것은, 그 근거가 되는 원칙 자체를 얼마나 진지하게 받아들이느냐다.