이 시리즈 두 번째 글에서 설명했듯, ePrivacy 지침은 '지침'일 뿐 곧바로 적용되는 EU법이 아니었기에 각 회원국이 이를 자국법으로 옮겨야 했다. 독일은 이 작업에 오랫동안 어려움을 겪었고, 바로 이 역사를 따로 살펴볼 가치가 있다. 오늘날 독일의 쿠키 배너가 2021년 말에야 비로소 생겨난 법률을 근거로 드는 이유를 설명해주기 때문이다. 이 배경을 모르면, TDDDG라는 낯선 약어가 마치 새로운 규제처럼 느껴지기 쉽다.
2009년 ePrivacy 지침이 강화된 뒤(이행 기한: 2011년 5월 25일), 독일은 처음에는 기존의 텔레미디어법(TMG)에 머물렀다. 이 법 제15조 3항은 쿠키에 대한 이의 제기권을 규정하고 있었지만, 그 문구는 여전히 2009년 이전의 옛 옵트아웃 논리에 가까웠지 새로운 동의 의무는 아니었다. 연방정부는 수년간 TMG가 이미 지침을 충분히 이행했다는 입장을 고수했는데, 이는 개인정보 보호 당국, 법원, 그리고 유럽연합 집행위원회로부터 점점 더 강한 의문을 받았다. 실무에서는 이로 인해 오랜 법적 불확실성이 이어졌다. 어떤 웹사이트는 더 엄격한 유럽식 해석을 따랐고, 다른 웹사이트는 더 느슨한 독일 국내법의 입장에 의존했다. 이런 이중적인 태도는 결국 어느 쪽도 완전히 만족시키지 못하는 어중간한 실무 관행을 낳았다.
이 불확실한 상황은 2021년 12월 1일 발효된 통신-텔레미디어 데이터보호법(TTDSG)으로 비로소 끝났다. TTDSG 제25조는 ePrivacy 지침 제5조 3항의 요건을 명시적이고 명확하게 독일법으로 옮겼다. 단말기에 정보를 저장하거나 이미 저장된 정보에 접근하는 것은 사용자가 동의한 경우에만 허용된다 — 사용자가 명시적으로 요청한 기능을 제공하는 데 기술적으로 반드시 필요한 경우라는 좁은 예외를 제외하고는. TTDSG는 또한 그때까지 여러 법체계에 흩어져 있던 통신법과 텔레미디어법을 처음으로 하나의 독립된 법률로 통합했다. 이로써 독일은 마침내 유럽 차원의 요구와 국내법 사이의 간극을 메운 셈이다.
2024년 5월, TTDSG는 통신-디지털서비스 데이터보호법(TDDDG)으로 명칭이 바뀌었다 — 이는 디지털 서비스와 플랫폼에 관한 EU 전역의 규칙을 도입한 유럽연합 디지털서비스법(DSA)에 독일법을 맞추는 작업의 일환이었다. 실제 쿠키 규칙 자체는 전혀 바뀌지 않았다. 예전에 TTDSG 제25조로 인용되던 조항은 이후로도 같은 조 번호 그대로 TDDDG 제25조로 남아 있다 — 바뀐 것은 그 조항이 속한 법률의 이름뿐이다. 이름이 바뀌었다고 해서 기존에 구축해둔 동의 절차를 다시 손볼 필요는 없다.
실무적으로 이는 오늘날 독일의 쿠키 배너가 통상 두 가지 법적 근거를 동시에 인용한다는 것을 의미한다 — 애초에 동의가 필요한지에 대해서는 TDDDG 제25조, 그 동의가 갖춰야 할 질에 대해서는 GDPR 제6조(제4조 11호 및 제7조의 요건과 함께)다. 이 배경을 아는 사람이라면 이를 불필요한 중복 인용이 아니라, 서로 다른 두 질문에 답하면서 서로를 토대로 쌓아 올려진 두 개의 법률로 이해할 것이다 — 한쪽은 유럽 지침의 국내 이행이고, 다른 한쪽은 곧바로 적용되는 유럽 규정이다. 이 두 근거를 함께 놓고 보면, 독일의 쿠키 규제가 유럽법과 국내법이라는 두 층위 위에 세워져 있음이 분명해진다.
이 시리즈의 다음 글은 유효한 동의의 요건을 결정적으로 명확히 한 구체적인 사건, 즉 유럽사법재판소의 플라넷49 판결을 다룬다.
웹사이트 운영자에게 이러한 이중 인용은 단순한 법적 형식 이상의 의미를 갖는다. 분쟁이 발생했을 때 어떤 문제를 어느 기관이 관할하는지를 보여주기 때문이다. 쿠키 사용 자체의 적법성 — 애초에 동의가 필요했는지 — 에 관한 질문은 TDDDG 제25조에 해당하며, 따라서 관할 주(州) 개인정보 보호 당국의 소관이다. 실제로 주어진 동의의 질, 예를 들어 충분히 정보에 기반했는지에 관한 질문은 GDPR의 소관이다. 실무에서는 같은 당국이 대개 두 가지를 함께 검토하지만, 법적 근거는 여전히 별개다 — 이 차이는 처분에 이의를 제기해야 할 때 비로소 중요해진다. 이 구분을 모르는 운영자는 이의 신청을 어디에 제기해야 할지조차 헷갈리기 쉽다.