쿠키 배너에 적힌 법적 문구를 읽어보면 거의 항상 두 개의 법률이 나란히 언급되어 있다. ePrivacy 지침(또는 그 국내 이행법)과 GDPR이다. 이는 실수도 아니고, 조심스러움에서 나온 이중 안전장치도 아니다 — 두 법률은 실제로 서로 다르면서도 긴밀하게 맞물린 문제를 각각 규율한다. 두 법은 마치 하나의 문 앞에 세워진 서로 다른 두 개의 자물쇠처럼, 각자 다른 열쇠를 요구한다.
GDPR, 공식 명칭 규정 (EU) 2016/679는 2016년 4월 27일에 채택되었고, 2년의 유예 기간을 거쳐 2018년 5월 25일 EU 전역에서 곧바로 효력을 갖게 되었다 — '규정'이기 때문에 '지침'과 달리 별도의 국내 이행 절차가 전혀 필요하지 않았다. GDPR은 개인정보를 어떻게 다뤄야 하는지를 전반적으로 규율한다. 어떤 처리 행위에 어떤 법적 근거가 필요한지, 정보주체가 어떤 권리를 갖는지, 처리자가 어떤 의무를 지는지 등이다. 이 때문에 GDPR을 이해하지 못하면 쿠키 배너의 나머지 절반도 제대로 이해할 수 없다.
반면 ePrivacy 지침은 더 특정적이다. 이 지침이 규율하는 것은 오직 단말기에 저장된 정보에 대한 접근과 저장뿐이다 — 그 과정에서 GDPR이 말하는 의미의 개인정보가 발생하는지 여부와는 무관하다. 바로 그렇기 때문에 쿠키의 경우 단말기에 접근하는 것만으로도 동의 의무를 발생시키기에 충분하다. 저장되는 정보 자체가 누구도 식별하지 못하는 것이라 하더라도 마찬가지다. 쿠키가 다루는 정보가 아무리 사소해 보여도, 이 규정 앞에서는 예외가 되지 않는다.
두 법률의 맞물림은 이렇게 작동한다. ePrivacy 지침은 필수적이지 않은 쿠키에 동의가 '필요하다'는 사실을 규정한다. 그러나 유효한 동의를 구체적으로 무엇이 구성하는지는 상세히 규정하지 않는다 — 그 정의는 GDPR이 제공한다. GDPR 제4조 11호에 따르면 동의는 자유롭게, 특정 사안에 대해, 충분한 정보를 바탕으로, 그리고 명확하게 — 진술이나 명백한 긍정적 행위를 통해 — 이루어져야만 유효하다. 미리 체크되어 있는 체크박스는 이 마지막 요건을 충족하지 못한다. 그 안에는 사용자의 능동적인 행위가 존재하지 않기 때문이다(자세한 내용은 플라넷49 판결을 다룬 글 참조). 이 요건들은 개별적으로 떼어놓고 보면 사소해 보이지만, 함께 놓고 보면 쿠키 배너 설계 전체를 좌우한다.
GDPR은 또한 오늘날 쿠키 배너에 당연히 갖춰져야 할 것으로 여겨지는 추가 요건들의 출처이기도 하다. 동의 철회는 동의를 준 것만큼이나 쉬워야 하고(제7조 3항), 동의를 받는 자는 분쟁이 생겼을 때 동의가 실제로 주어졌음을 증명할 수 있어야 한다(제5조 2항, 이른바 책임성 원칙). 이러한 입증 의무가 있기 때문에 단순히 "사용자가 아마 클릭했을 것"이라는 주장만으로는 부족하다 — 시각, 범위, 그리고 당시 표시된 배너의 정확한 버전을 기록한 로그가 없다면 분쟁 상황에서 아무것도 증명할 수 없다. 이 로그야말로, 나중에 분쟁이 벌어졌을 때 운영자를 지켜주는 유일한 증거가 된다.
웹사이트 운영자에게 이는 실무적으로 쿠키 배너가 하나가 아니라 두 개의 법률을 동시에 충족해야 한다는 것을 의미한다. ePrivacy 지침은 동의 자체를 요구하고, GDPR은 그 동의의 질과 그에 따르는 의무 — 철회 가능성, 입증 가능성, 충분한 정보 제공 — 를 정의한다. 동의는 받았지만 추적 가능한 방식으로 기록하지 않는 배너는 형식적으로는 ePrivacy 요건을 충족했을지 몰라도 GDPR을 위반할 수 있다. 결국 두 법을 모두 만족시키지 못하는 배너는, 겉보기에 아무리 그럴듯해도 반쪽짜리에 지나지 않는다.
이러한 이중적 근거는 또한 GDPR이 쿠키 동의를 근본적으로 바꾸지 않은 이유도 설명해준다. GDPR은 흔히 쿠키 배너의 기원으로 오해받지만, 실제로는 원래의 ePrivacy 지침이 나온 지 16년 뒤에 등장했으며, 이미 존재하던 의무를 판단하는 기준을 더 엄격하게 다듬었을 뿐이다. 이 두 EU 법률이 실제로 독일 국내법으로 어떻게 옮겨졌는지는 이 시리즈의 다음 글에서 다룬다. 이 사실을 알고 나면, GDPR 시행 이전부터 이미 쿠키 동의가 존재했다는 점도 자연스럽게 이해된다.