유럽 전역의 쿠키 배너 실무를 이보다 더 직접적으로 바꾼 판결은 드물다. 2019년 10월 1일 유럽사법재판소(CJEU)가 플라넷49(Planet49)를 상대로 한 사건(사건번호 C-673/17)에서 내린 판결이다. 처음에는 온라인 경품 이벤트를 둘러싼 사소한 문제처럼 보였던 이 사건은, 유효한 쿠키 동의란 무엇인지를 규정하는 획기적인 판결이 되었다. 그만큼 이 판결은 이후의 모든 쿠키 배너 설계에 하나의 기준점을 남겼다.
사건의 사실관계 자체는 별다를 것이 없었다. 플라넷49는 온라인 경품 이벤트를 진행하면서 참가자들에게 두 개의 체크박스를 보여주었다. 하나는 — 이미 미리 체크되어 있는 상태로 — 광고 파트너가 마케팅 목적으로 쿠키를 설정하는 것에 대한 동의였다. 별도로 체크해야 하는 다른 하나는 개인정보를 스폰서에게 제공해 전화나 이메일로 마케팅 연락을 받는 것에 대한 동의였다. 경품 이벤트에 참여하려는 사람은 두 번째 체크박스는 능동적으로 체크해야 했지만, 첫 번째 — 미리 체크된 — 체크박스는 의식적으로 알아차리지도 못한 채 그대로 두어도 무방했다. 겉보기에는 사소한 마케팅 이벤트의 세부 조항처럼 보였지만, 그 안에 담긴 쟁점은 결코 사소하지 않았다.
독일 연방대법원은 이 문제를 CJEU에 회부했다. 이미 체크된 이러한 체크박스가 ePrivacy 지침이 말하는 동의로 충분한가라는 질문이었다. 법원의 답은 명확했다 — 아니다. 동의는 사용자의 능동적이고 의식적인 행위를 전제로 한다. 사용자 스스로 체크해서 동의를 표시해야 하는 체크박스여야지, 동의하지 '않기' 위해 체크를 해제해야 하는 체크박스여서는 안 된다. '능동적으로 동의하는 것'과 '이의를 제기하지 않는 것' 사이의 차이야말로 2009년 이후 ePrivacy 지침의 역사에서 핵심 쟁점이었던 부분이며, CJEU는 이 판결로 그 강화 조치가 실제로 진지하게 의도된 것이었음을 확인해주었다. 이 원칙은 이후 유럽 전역의 동의 화면 설계에 그대로 반영되었다.
이 판결에서 눈여겨볼 만한 두 번째 지점이 있다. CJEU는 동의 의무 자체의 성립 여부가 쿠키에 저장된 정보가 GDPR이 말하는 의미의 개인정보에 해당하는지 여부와는 무관하다고 명확히 밝혔다. ePrivacy 지침은 이미 단말기 자체에 대한 접근을 보호하고 있다 — 결과적으로 무엇이 저장되는지와는 상관없이 말이다. 이는 중요한 명확화였다. 일부 사업자들이 그전까지 익명화된 식별자나 순수하게 기술적인 식별자는 동의 의무 대상이 아니라고 주장해왔기 때문이다. 이 해석 덕분에 사업자들은 기술적 우회로를 통해 동의 의무를 피해갈 수 없게 되었다.
셋째, 법원은 사용자가 동의하기 전에 쿠키의 유효 기간과, 제3자가 그것에 접근할 수 있는지에 대해 구체적으로 안내받아야 한다고 요구했다. 막연하고 일반적인 설명으로는 더 이상 충분하지 않다 — 쿠키 설명은 사용자가 실제로 자신이 무엇에 동의하는지 판단할 수 있을 만큼 구체적이어야 한다.
이 판결의 실질적인 파급 효과는 즉각적이었다. 미리 체크된 체크박스는 유럽의 쿠키 배너에서 사라졌고, '동의' 버튼은 진짜이고 의식적인 클릭으로만 작동하도록 만들어야 했으며, 목적과 보관 기간을 정확히 명시한 쿠키 분류가 표준이 되었다. 여러 회원국의 개인정보 보호 당국은 판결 직후 자체 지침을 개정했고, 이후 이 판결은 수많은 후속 사건의 참고 기준으로 쓰여왔다 — 예컨대 '거부'를 '동의'보다 의도적으로 접근하기 어렵게 만든 배너 역시 자유롭고 명확한 결정에 대한 요건을 위반하는지 여부를 다룬 사건들에서도 그러했다. 그 결과 오늘날 마주하는 대부분의 동의 화면은 사실상 이 판결이 만들어낸 표준을 따르고 있다고 볼 수 있다.
플라넷49 사건은 하나의 재판 사례가 법 조문의 추상적인 요구 사항을 구체적이고 기술적인 요건으로 어떻게 번역해내는지를 보여주는 전형적인 예이며, 오늘날의 쿠키 배너가 2019년 이전에 흔히 그랬던 모습과 다른 지금의 모습을 갖게 된 이유이기도 하다.
또한 주목할 만한 점은 이 판결의 영향이 원래의 소송 범위를 넘어 얼마나 빠르게 퍼져나갔는가이다. 형식적으로는 특정 독일 소송 사건에 대해 ePrivacy 지침의 해석만을 명확히 한 것이었음에도, 유럽 전역의 감독 당국이 동일한 기준을 따르게 되었다 — 이는 하나의 CJEU 판결이 원래 소송의 경계를 훨씬 넘어 실무 전반을 얼마나 강하게 좌우할 수 있는지 보여주는 증거다.