[WEB] 모든 Cookie를 승낙하면 도대체 무엇을 받아들이는 것이 될까?

2016년에 제정된 데이터보호규칙 · GDPR에 근거해, EU에서는 웹사이트 측이 사용자의 Cookie를 이용한 타겟팅을 하기 위해서는 사용자의 동의가 필요합니다.

웹사이트 방문자에 표시되는 'Cookie에 동의'의 옵션 중 '모든 Cookie를 승낙하기'라는 옵션을 선택했을 때 '사용자는 무엇에 동의하고 있는가'라는 의문에 대해 소프트웨어 개발자이며 기업가인 콘래드 아쿤가 씨가 로이터 통신의 웹사이트를 예로 들어 설명합니다.

What Do You Actually Agree To When You Accept All Cookies | Conrad Akunga, Esquire. Code
http://www.conradakunga.com/blog/what-do-you-actually-agree-to-when-you-accept-all-cookies/

What Do You Actually Agree To When You Accept All Cookies

웹사이트를 방문했을 때 화면의 하단에 다음과 같은 배너가 나타날 수 있습니다. 이 'Accept All Cookies(모든 Cookie를 승낙하기)'를 클릭하면 사용자는 웹사이트가 제시한 내용에 동의하는 것이 됩니다만, 많은 사람이 무엇에 대해 동의/비동의하는지 이해하지 않은 채 선택합니다.

그래서 아쿤가 씨는 로이터가 제시하는 내용을 검토했습니다. 아쿤가 씨가 로이터를 선택한 이유는, 대부분의 웹사이트가 로이터와 비슷한 내용을 제시하고 있기 때문입니다.

로이터의 배너를 자세히 표시시켜 보면, 'European Union Individuals(EU에서의 개인)', 'Right to Withdraw Consent under GDPR(GDPR하에 동의를 철회할 권리)'이라는 제목이 표시되었습니다. GDPR은 EU 내에서 유효하기 때문에 한국에서는 비슷한 화면이 표시되지 않습니다. 오른쪽의 스크롤 막대를 움직여 화면의 아래쪽으로 이동하면......

먼저 'Allow All'이라는 버튼이 표시됩니다. 더 이상 읽지 않고 여기에서 버튼을 클릭할 수 있지만, 더욱 스크롤해 봅니다.

'개인정보 판매'에 대해 쓴 항목이나......

'장치에 저장된 데이터에 액세스를 한다'는 항목.

'개인화된 광고와 콘텐츠 광고, 콘텐츠 측정, 고객의 인사이트와 제품개발'이라고 쓰여진 항목.

그 외, 동의/비동의를 선택할 수 있는 항목이 상세하게 정렬됩니다.

마지막으로 'Reject All(모두 거부)'과 'Confirm My Choices(자신의 선택을 확인)'이라는 버튼을 클릭할 수 있도록 되어 있습니다. 세심하게 내용을 확인하지 않고 '모두 거부'를 선택하는 사람도 많을 것입니다.

아쿤가 씨는 위의 내용을 요약하며, 주로 동의하는 항목은 아래의 내용에 관한 것이었다고 합니다.

· 웹사이트가 사용자의 데이터를 수집
· 웹사이트가 사용자의 데이터를 이용
· 웹사이트는 위의 목적을 위해 다양한 파트너와 협력하고 있다
· 웹사이트가 Cookie를 사용하여 사용자의 장치에 · 데이터를 저장하고 있음
· 일부 Cookie는 웹사이트에 필요한 것이며(목적은 웹사이트를 의한 것) '중요한 Cookie'는 기능을 해제할 수 없음
· 관련 컨텐츠 제공에 대한 사용자의 개인정보 중 일부는 파트너에게 판매될 수 있다
· 광고를 개인화할 수 있고 웹사이트의 표시에서 광고를 지울 수 없다

웹사이트가 '파트너'라고 표현하는 것은 'List of IAB Vendors'라는 곳에서 확인할 수 있습니다. 클릭하면......

다음과 같이 나열되었습니다. 스크롤바의 압박에서 알 수 있듯이 파트너의 목록이 방대하다는 것을 확인할 수 있습니다.

너무 목록의 양이 방대하기 때문에 아쿤가 씨는 Chrome 개발자 도구를 사용하여 목록을 추출했습니다. F12로 Elements를 표시하면 HTML에 'vendors-list-container'라는 문자가 있었다는 합니다.

데이터를 추출하여 분석한 결과, 텍스트는 5만 4399행에 달했다고 합니다. 그리고 텍스트에서 파트너로 연결되는 기업의 URL을 추출하면 그 수는 총 647개였다고 합니다. 블로그에 647개의 모든 URL이 공개되어 있습니다.

647개사는 각각 독자적인 개인정보보호 정책을 가지고 있으며 로이터가 나타내는 Cookie에 대한 동의를 모두 이해하기 위해서는 이 647개사의 개인정보보호 정책 전체를 먼저 완독해야 하는 것입니다. 물론 대부분의 사람에게 이러한 작업은 불가능합니다.

아쿤가 씨는 이 파트너들이 여러 웹사이트에 서비스를 제공함으로써 웹사이트를 초월한 사용자추적이 가능하며, 브라우저나 장치를 식별할 수 있게 된다고 설명합니다. 즉, 사용자가 웹사이트를 방문하여 모든 Cookie를 승낙하면 Adobe · Amazon · Google · Huawei · Oracle · Salesforce 등 유명 기업을 포함한 수백 개의 기업이 사용자의 데이터를 처리하기 시작하는 것입니다. 또한 웹사이트는 '필수 Cookie'를 해제할 수 없도록 하고 있습니다만, 이 필수 Cookie의 용도나 정보가 사용자에게 통보되지 않는 것에 대해서도 아쿤가 씨는 지적했습니다.