쿠키란 본질적으로 웹사이트가 방문자의 브라우저에 저장해두고 다음 방문 때마다 다시 읽어들이는 작은 텍스트 파일에 지나지 않는다. 그 자체로는 기술적으로 전혀 해롭지 않다. 이 메커니즘이 없다면 장바구니는 무엇이 담겨 있는지 기억하지 못할 것이고, 로그인 상태도 페이지를 넘길 때마다 사라질 것이다. 특별한 기술이 아니라, 그저 브라우저와 서버가 서로를 알아보기 위해 주고받는 작은 신호에 불과하다. 이런 역할에서 쿠키는 말하자면 웹의 '기억'이라 할 수 있다.
문제는 쿠키가 단순히 자신의 세션만 담당하는 데서 그치지 않고, 시간이 지나도 그리고 여러 웹사이트를 오가도 방문자를 다시 알아볼 수 있게 만들 때 시작된다. 수백 개의 사이트에 동일한 쿠키를 심는 광고 네트워크는 그것만으로도 이동 프로필을 구축할 수 있다 — 누가 어떤 페이지를, 얼마나 자주, 언제 방문했는지. 이 모든 일은 눈에 보이지 않는 곳에서 일어난다. 방문자 입장에서는 배후에서 이런 쿠키가 수십 개씩 설정되고 있다는 사실을 페이지만 봐서는 전혀 알 수 없으며, 브라우저의 개발자 도구를 열어보지 않는 한 눈치챌 방법도 없다.
바로 이 지점에서 쿠키 배너를 탄생시킨 유럽의 규칙이 작동한다. 사용자의 기기에 무언가를 저장하거나 그로부터 무언가를 읽어들이는 자는, 그것이 사용자가 실제로 요청한 기능에 반드시 필요한 것이 아니라면 사전에 동의를 받아야 한다. 이는 그 과정에서 엄밀한 의미의 개인정보가 발생하는지 여부와 무관하게 적용된다 — 단말기에 접근하는 행위 자체만으로 동의 의무가 발생하기에 충분하다. (이 규칙의 근원인 이른바 'ePrivacy 지침'에 대해서는 다음 글에서 자세히 다룬다.)
여기서 제대로 만들어진 모든 쿠키 배너를 관통하는 하나의 구분이 나온다. 한쪽에는 필수 쿠키 — 장바구니, 로그인 세션, 보안 기능처럼 그것 없이는 사이트 자체가 작동하지 않는 것들이 있고, 다른 한쪽에는 그 나머지 모든 것 — 통계, 개인화, 광고가 있다. 첫 번째 그룹에는 동의가 필요 없다. 입법자가 이를 요청된 서비스 자체의 전제 조건으로 보기 때문이다. 두 번째 그룹에는 동의가 필요하며, 이 구분이 흐려질수록 배너의 신뢰성도 함께 흔들린다.
쿠키 배너는 결국 이 구분을 실무적으로 구현한 것에 지나지 않는다. 사이트가 필수 기능을 넘어 무엇을 하려고 하는지 방문자에게 보여주고, 그중 무엇이라도 작동하기 전에 — 사후가 아니라 사전에 — 의식적인 결정을 받아내는 장치다. 배경에서 이미 추적 스크립트가 로드된 채로, 배너 자체는 두 번째 페이지 로딩에서야 나타난다면, 아무리 세련되게 만들어졌어도 본래의 목적을 다하지 못한 것이다. 순서가 뒤바뀌는 순간 배너는 형식만 남긴 장식이 되어버린다.
이로써 쿠키 배너는 단순한 화면 표시 이상의 것이 된다. 동의가 실제로 주어졌음을 증명할 수 있어야 한다 — 언제, 누가(또는 어떤 브라우저가), 정확히 무엇에 대해 동의했는지, 그리고 그 철회가 동의를 준 것만큼이나 쉽게 가능한지까지. 이 입증 책임은 방문자가 아니라 웹사이트 운영자에게 있다. 분쟁이 발생하면 운영자가 유효한 동의가 있었음을 보여줘야 하며, 사용자가 동의하지 않았음을 증명할 필요는 없다. 이 방향이 뒤집히는 순간, 사실상 아무도 자신의 권리를 지킬 수 없게 된다.
바로 이 점이 오늘날 쿠키 배너가 지금과 같은 모습을 갖게 된 이유를 설명해준다. 동의와 대등한 무게를 지닌 진짜 '거부' 옵션, 일괄적인 '예' 대신 카테고리별 세부 구분, 그리고 정확히 무슨 일이 있었는지 기록하는 배경 로그. 이는 우연도 과도한 형식주의도 아니다 — 단 하나의 근본 규칙에서 곧바로 도출된 결과일 뿐이다. 타인의 기기에 접근하려면 진짜이고, 충분한 정보에 근거하며, 능동적인 동의가 있어야 한다는 규칙이다. 나머지 모든 것은 이 하나의 규칙 위에 세워져 있으며, 이 시리즈의 다음 글들에서는 그 기원을 유럽법과 독일법 안에서 구체적으로 짚어본다.