쿠키 동의

쿠키는 원래 불편을 덜어 주는 장치였습니다. 브라우저에 남는 작은 기록으로, 로그인을 유지하거나 장바구니를 기억하는 데 썼습니다. 여기까지는 아무도 문제 삼지 않았습니다.

용도가 넓어지면서 사정이 달라졌습니다. 광고 회사가 여러 사이트에 같은 기록을 심어 두기 시작했고, 그러자 한 사람이 어제 어느 쇼핑몰에서 무엇을 봤는지가 오늘 들어간 뉴스 사이트에서도 읽혔습니다. 사용자에게는 이런 장면으로 나타났습니다. 운동화를 한 번 검색했을 뿐인데 2주 동안 들어가는 사이트마다 같은 운동화가 따라다닙니다. 누가 자기를 알아보고 있는지, 언제 그것을 허락했는지 사용자는 답할 수 없었습니다. 허락한 적이 없기 때문입니다.

유럽이 이 지점을 먼저 규칙으로 막았습니다. GDPR을 비롯한 유럽 규정은 기기에 기록을 남기는 행위 자체를 사전 허락이 필요한 일로 보고, 꼭 필요한 기능을 위한 쿠키만 허락 없이 허용했습니다. 유럽 사이트에 들어갔을 때 화면 아래에서 올라오는 배너가 그 결과물입니다. 규제가 그은 선이 실제로 걸리는 자리는 언제나 데이터가 들어오는 통로이고, 쿠키 동의는 그중 가장 먼저 만들어진 통로입니다.

동의를 받는 쪽과 받지 않는 쪽을 코드 수준에서 나눠 두고, 방문자가 허락한 것만 실행하는 구조입니다. 배너는 눈에 보이는 부분일 뿐이고 실제 작동은 그 뒤에서 일어납니다. 순서는 네 단계입니다.

1. 쿠키를 종류별로 분류합니다. 보통 넷으로 나눕니다. 로그인 유지처럼 없으면 사이트가 작동하지 않는 필수, 언어 설정을 기억하는 기능, 방문자 수를 세는 분석, 광고를 위한 추적입니다. 필수만 허락 없이 심을 수 있고 나머지 셋은 허락을 받아야 합니다.
2. 처음 들어온 방문자에게 배너를 띄웁니다. 배너가 떠 있는 동안 분석 스크립트와 광고 스크립트는 멈춰 있어야 합니다. 배너만 띄워 두고 뒤에서 이미 기록을 남기고 있으면 절차를 갖춘 것이 아닙니다.
3. 방문자의 선택을 저장합니다. 누가 언제 무엇에 허락했는지를 기록으로 남깁니다. 나중에 문제가 생겼을 때 허락을 받았다는 사실을 증명하는 것은 사이트 쪽 몫이라, 기록이 없으면 받지 않은 것과 같게 취급됩니다.
4. 선택에 따라 스크립트를 켭니다. 분석만 허락한 방문자에게는 분석 도구만 돌고 광고 추적은 돌지 않습니다.

자주 걸리는 것은 허락을 받는 행위 자체의 요건입니다. 개인정보를 다룰 근거 중 하나인 동의는 방문자가 스스로 선택했을 때만 유효합니다. 미리 체크해 둔 상자, 스크롤을 내리면 허락한 것으로 치는 안내, 거절 버튼을 두 단계 뒤 설정 화면에 숨겨 둔 배너는 모두 여기에 미달합니다. 거절 버튼은 동의 버튼과 같은 크기로 같은 화면에 두는 것이 기준입니다. 한 번 허락한 뒤에도 마음을 바꿀 수 있어야 해서, 설정을 다시 여는 통로를 화면 어딘가에 남겨 둡니다.

마케팅 도구를 켜는 모든 자리에 걸립니다. 방문자 행동을 기록하는 분석 도구, 광고를 보고 들어와 가입까지 했는지 확인하는 전환 추적, 한 번 방문한 사람에게 다시 광고를 보여 주는 리타기팅이 전부 쿠키를 씁니다. 배너에서 광고 항목을 거절한 방문자는 이 셋의 대상에서 빠집니다.

그래서 이 절차는 마케터에게 규정 준수 문제인 동시에 데이터 문제입니다. 동의율이 40퍼센트인 사이트는 방문자 열 명 중 여섯 명의 행동이 분석 도구에 아예 잡히지 않습니다. 그 상태에서 지난달보다 전환율이 떨어졌다고 판단하면 실제로는 동의율이 떨어진 것일 수 있습니다.

서드파티 쿠키가 브라우저에서 차단되는 흐름과 겹치면서 무게 중심이 옮겨 갔습니다. 가입 정보나 우리 사이트 안의 행동 기록처럼 우리 채널에서 직접 모은 퍼스트파티 데이터는 허락을 제대로 받아 두면 규제가 바뀌어도 남습니다. 배너를 잘 만드는 일이 법적 절차 이상이 된 이유입니다.

받은 허락은 개인정보처리방침에 적어 둔 것과 어긋나면 안 됩니다. 방침에 광고에 쓰지 않는다고 적고 배너에서 광고 항목을 받으면 그 자체가 문제입니다.

"유럽 트래픽 들어오기 시작했으니 쿠키 동의 배너부터 붙여야 합니다."

새 시장에 제품을 여는 일이 기술 작업만으로 끝나지 않는다는 말입니다.

"배너 거절 누르면 GA 태그도 같이 꺼지는지 확인해 주세요."

화면만 만들어 두고 실제 스크립트 제어를 붙이지 않은 경우가 흔해서 확인을 요청하는 말입니다.

"지난주부터 세션 수가 30퍼센트 빠진 게 아니라 동의율이 빠진 겁니다."

숫자 변화의 원인이 사용자 행동이 아니라 측정 범위에 있다는 지적입니다.

페이지덱이 유럽 고객을 처음 받던 분기에 이 작업이 그로스 마케터 현우에게 떨어졌습니다. 현우는 배너를 붙이는 일로 생각했는데, 실제 작업의 대부분은 사이트에서 돌고 있는 스크립트가 몇 개이고 각각 어떤 쿠키를 심는지 목록으로 만드는 일이었습니다. 3년 동안 아무도 정리하지 않은 채 쌓인 태그가 열여섯 개였고, 그중 넷은 무엇을 하는 도구인지 아는 사람이 회사에 남아 있지 않았습니다.

목록을 만든 뒤에야 배너를 붙일 수 있었습니다. 프로덕트 매니저 지현이 거절 버튼을 동의 버튼과 같은 크기로 두자고 했고, 현우는 동의율이 떨어질 것을 알면서 동의했습니다. 첫 달 동의율은 52퍼센트였습니다.

배너를 띄우는 것으로 절차가 끝난다고 보는 경우가 가장 많습니다. 눈에 보이는 결과물이 배너 하나뿐이라 그렇게 보입니다. 하지만 규정이 요구하는 것은 안내가 아니라 통제입니다. 배너가 떠 있는 동안에도 분석 도구와 광고 태그가 그대로 돌고 있으면, 방문자가 무엇을 누르든 기록은 이미 남은 뒤입니다.

동의율을 성과 지표로 삼는 것도 같은 문제를 만듭니다. 숫자가 높을수록 데이터가 많이 모이니 올리고 싶어집니다. 그러나 동의율을 목표로 잡으면 거절 버튼을 흐린 색으로 바꾸거나 한 단계 뒤로 옮기는 쪽으로 손이 갑니다. 그렇게 얻은 허락은 방문자가 스스로 선택한 것이 아니라서 나중에 유효한 동의로 인정받지 못하고, 그 기간에 모은 데이터 전체가 쓸 수 없는 상태가 됩니다. 동의율이 낮으면 화면을 비트는 대신 무엇에 쓰는지를 한 문장으로 알아듣게 쓰는 쪽을 먼저 봅니다.