쿠키를 거절했나요? EU 이사회안은 넉 달 동안 다시 묻지 말라고 한다

요약

• EU 이사회의 협상 문안은 쿠키 동의 요청을 한 번의 클릭으로 거절할 수 있게 하고, 같은 목적이라면 사업자가 최소 넉 달 동안 다시 묻지 못하게 한다.
• 자기 사이트의 익명 합산 통계, 언론의 독자·시청자 측정, 현재 화면에 맞춘 광고의 성과 측정에는 서로 다른 동의 예외와 데이터 사용 제한이 붙는다.

어떤 사이트는 ‘거절’을 내일 다시 연락해도 좋다는 뜻으로 읽는다. EU 이사회의 협상 문안은 그 재방문에 시한을 건다. 이용자는 한 번의 클릭이나 그에 준하는 방법으로 쉽게 거절할 수 있어야 한다. 같은 목적의 동의는 그 뒤 최소 넉 달 동안 다시 청할 수 없다. 동의를 받았어도 그 동의를 합법적으로 이용할 수 있는 동안 같은 질문을 반복하지 않는다. 팝업에도 기억력이 생기는 셈이다.

기기 안에 정보를 저장하거나 읽는 기본 규칙은 전자프라이버시 지침에 남는다. 문안은 동의를 일반 경로로 두고, 통신 전달, 이용자가 명시적으로 요청한 기능, 필요한 기술적 보안 같은 용도를 예외로 적는다. 이사회의 공식 발표는 배너가 줄어들 것이라고 설명한다. 관건은 화면 뒤에서 움직이는 측정 도구의 경계다.

사이트는 자기 서비스의 이용량을 익명으로 합산할 수 있다. 직접 계산하거나 위탁 업체에 맡길 수 있지만, 합산을 위해 모은 데이터를 다른 목적으로 돌리거나 외부 데이터와 합쳐서는 안 된다. 오늘 몇 명이 찾아왔는지를 세는 일과 그 사람들이 다음에 어느 사이트로 갔는지를 잇는 일은 다른 질문이다.

언론의 독자·시청자 측정에는 유럽 미디어자유법 24조와 연결된 별도 조항이 있다. 수집 뒤 개인정보를 가명처리하고, 측정 대상인 서비스나 콘텐츠 밖의 활동을 추적하지 않으며, 다른 목적에 재사용하지 않는 조건이다. 외부 제3자에게 넘기는 개인정보에도 제한이 있다. 언론의 독자 표와 일반 웹사이트의 합산 방문표는 같은 칸에 들어가지 않는다.

현재 페이지 내용이나 한 번의 검색어에만 따른 광고라면 표시와 성과를 측정하는 좁은 길도 열린다. 이용자 프로필, 과거·미래 행동, 여러 사이트를 가로지르는 기록은 그 길에 실을 수 없다. 측정 데이터를 다른 용도로 돌리는 것도 허용되지 않는다. 추적 도구에 ‘성과 측정’이라는 이름표를 붙인다고 데이터의 행선지가 바뀌지는 않는다.

이 문안은 유럽의회와 협상하기 위한 이사회의 입장이다. 기기 관련 규칙의 감독은 각국 개인정보 보호 감독기관에 맡기는 안도 담았다. 사업자가 붙인 목적 표시와 실제 코드의 움직임을 대조하는 일이 핵심이 된다.