쿠키를 설정하기 전에 동의를 받아야 한다는 의무는 GDPR에 규정되어 있지 않다. 그보다 더 오래된, 다른 법률에서 비롯된 것이다. 바로 ePrivacy 지침, 공식 명칭으로는 전자통신 분야에서의 개인정보 처리 및 프라이버시 보호에 관한 지침 2002/58/EC다. 이 지침은 2002년 7월 12일에 채택되었는데, 당시 쿠키는 주로 로그인 세션과 간단한 개인화에 쓰였다 — 여러 사이트를 넘나드는 추적은 기술적으로는 가능했지만, 지금처럼 광고 산업 전체를 떠받치는 대규모 현상은 아직 아니었다.
원래 조문에서 지침 제5조 3항이 요구한 것은 그리 많지 않았다. 사용자에게 쿠키 설정 사실을 알리고 이의를 제기할 수 있는 방법을 마련하는 것 — 이른바 옵트아웃 모델이었다. 아무 행동도 하지 않으면 묵시적으로 동의한 것으로 간주되었다. 실무에서는 흔히 페이지 어딘가에 거의 아무도 읽지 않는 작은 안내문이 있었고, 그 안내문을 미처 인지하기도 전에 쿠키는 이미 설정되어 있는 경우가 많았다.
이 상황은 2009년 11월 25일 지침 2009/136/EC로 바뀌었다. 이 지침은 제5조 3항을 근본적으로 다시 썼다 — 통상 '쿠키 지침'으로 불리지만, 공식적으로는 원래의 ePrivacy 지침에 대한 개정에 불과하다. 옵트아웃 방식은 진정한 동의 의무로 전환되었다. 사용자가 명시적으로 요청한 서비스 제공에 반드시 필요하지 않은 쿠키는, 그때부터 사용자가 충분한 정보를 바탕으로 동의한 뒤에만 설정할 수 있게 되었다 — 사후가 아니라, 묵시적이 아니라. 이 전환은 문구 하나를 고친 수준이 아니라, 웹사이트와 사용자 사이의 기본적인 관계 자체를 뒤집는 변화였다.
이러한 강화의 배경에는 2000년대 온라인 광고 시장의 급격한 성장이 있었다. 추적 쿠키는 전체 비즈니스 모델의 토대가 되었고, 사용자 프로필은 열 개, 스무 개, 심지어 백 개가 넘는 서로 다른 웹사이트에서 모인 데이터로 만들어졌다 — 대개 당사자가 그 사실조차 전혀 모르는 채로 말이다. 유럽 입법자는 입증 책임을 뒤집는 방식으로 대응했다. 더 이상 사용자가 이의를 제기해야 하는 것이 아니라, 웹사이트가 동의를 받아야 하는 구조가 된 것이다. 오늘날 흔히 보는 쿠키 배너의 원형은 사실 이 시점에 이미 예고되어 있었던 셈이다.
이해해야 할 중요한 점은, ePrivacy 지침이 '지침(Directive)'이라는 것이다. 규정(Regulation)처럼 곧바로 적용되는 EU법이 아니다. 지침은 목표만 설정하고, 이를 각 회원국이 자국법으로 옮겨야 한다 — 그리고 수년간 진짜 문제가 되었던 지점이 바로 이 국내 이행 단계였다. 이행 기한은 2011년 5월 25일이었지만, 독일을 포함한 많은 회원국은 새로운 동의 의무를 마지못해 받아들이거나, 여전히 옛 옵트아웃식 사고에 가까운 형태로만 도입했다. 독일이 결국 이 문제를 어떻게 해결했는지는 이 시리즈의 별도 글에서 다룬다. 이 시기의 논쟁은 이후 20년 가까이 이어질 온라인 프라이버시 규제 논의의 출발점이 되었다.
오늘날까지도 쿠키 동의 자체의 실질적인 법적 근거는 ePrivacy 지침이다 — GDPR이 아니다. GDPR은 2018년에야 비로소 적용되기 시작했고, 규율하는 대상도 밀접하게 관련되어 있긴 하지만 다른 주제, 즉 개인정보 전반의 처리 방식이다. 두 법률은 서로 맞물려 있으며, 그 상호작용이 바로 다음 글의 주제다. 이 관계를 먼저 이해해두면, 이후 등장하는 개별 조문들이 왜 서로 다른 역할을 맡고 있는지도 훨씬 쉽게 눈에 들어온다.
후속 입법으로 계획되었던 ePrivacy 규정(Regulation)은 원래 이 지침을 대체하고, 각국의 별도 이행 없이 곧바로 적용되는 법률로 발효될 예정이었다. 그러나 수년째 EU 기구들 사이에서 협상이 진행 중이며 아직 채택되지 않았다 — 그것이 실현되기 전까지는 2002년/2009년 지침이 계속해서 기준이 되는 법적 근거로 남는다.
웹사이트 운영자 입장에서 이 배경을 살펴볼 가치가 있는 이유는, 쿠키 동의가 어느 한 개의 스캔들에 대한 반응으로 생겨난 것이 아니라 수년에 걸쳐 축적된 관행에 대한 단계적 대응으로 형성되었다는 사실을 설명해주기 때문이다. 2009년의 규칙은 뜻밖의 사건이 아니라, 이미 2002년에 정립된 기본 원칙 — 타인의 기기에 접근하는 것은 중립적인 기술적 행위가 아니라 정당화가 필요한 개입이라는 원칙 — 을 논리적으로 발전시킨 것일 뿐이다. 결국 오늘날의 동의 화면은 갑자기 등장한 규제가 아니라, 20년 넘게 쌓여온 논의의 결과물인 셈이다.