(업데이트: 2022.10.6.)

구글, 페이스북, 인스타그램, 트위터… 이들의 공통점은? 일상에서 뗄 수 없는 플랫폼이다. 회원가입만 하면 주요 서비스를 공짜로 쓸 수 있다. 빅테크라 불리는 플랫폼 기업은 막대한 돈을 벌어 들인다. 이용자는 한 푼도 내지 않는데, 어떻게 큰 돈을 벌까?

플랫폼 기업은 광고로 먹고 산다 해도 과언이 아니다. 잘 알려져 있듯이, 메타(페이스북)는 매출의 95%를 광고에 의존한다. 2021년 구글은 전체 매출 중 81%가 광고 수익이다.

이들 서비스를 이용하다가 보는 광고는 섬뜩할 만큼 정확하다. 나를 감시한 것처럼 내가 사려고 마음먹은 제품에 관한 광고가 뜬다. 이른바 맞춤형 광고(targeted ads)다. 플랫폼이 표적(이용자)을 추적해 광고를 내보낸다는 의미를 담아 ‘표적 광고’라고도 불린다. 맞춤형 광고는 불특정 다수를 대상으로 하는 신문이나 TV 광고, 전광판 광고와 다르다. 광고 효과가 더 높다고 알려져 있다. 이용자의 관심과 성향에 맞춰 제공하기 때문이다. 방금 전까지 구글에서 검색하던 물건이 다른 사이트 배너 광고로 뜨는 식이다. 꺼림칙한 느낌이 뒤따른다. “얘네들은 내가 사려던 제품 광고를 어떻게 띄웠지?”

플랫폼 광고의 숨겨진 수익원은 이 지점에서 드러난다. 이용자 취향에 맞게 광고를 내보내려면 그 사람에 관한 정보가 필요하다. 사람들은 하루에도 수십여 사이트를 방문한다. 쇼핑몰을 들러 장바구니에 상품을 담기도 하고, 필요한 정보를 찾기 위해 검색도 한다. 이 과정은 모두 흔적이 남는다. 이 흔적이 쿠키(Cookie)다. 과자 부스러기를 흘리듯이, 이용자는 웹사이트에 방문할 때마다 쿠키를 남긴다. 로그인 정보, 웹사이트 방문 기록, 검색 기록, 앱 사용 내역 등 이용자 행태 정보는 대부분 쿠키로 기록이 남는다.

쿠키는 왜 필요할까. 단적인 예는, 오늘 사이트에 방문한 이용자가 어제 들른 이용자와 같다는 정보를 얻기 위해서다. 이 정보가 없다면, 이용자 브라우저는 어제 장바구니에 담은 정보를 기억할 수 없다. 즉 쿠키가 없다면, 이용자는 매번 쇼핑몰에 로그인한 뒤, 어제 장바구니에 담은 물건을 다시 찾아서 담아야 한다.

그래서 쿠키는 인터넷에서 벌어지는 많은 행동을 추적한다. 그만큼 종류도 다양하다. 쿠키는 사용 목적에 따라 나눌 수 있다. 이용자에게 필요한 쿠키는 ‘필수 쿠키’, ‘기능 쿠키’로 분류한다. 필수 쿠키는 웹사이트 이용에 꼭 필요한 쿠키다. 대표적으로 보안 관련 쿠키, 로그인 쿠키 등이 있다. 쇼핑몰의 경우엔, 장바구니 관련 쿠키도 필요하다. 기능 쿠키는 이용자에게 편리한 쿠키다. 이용자 지역과 언어에 맞게 웹사이트 환경을 설정하는 쿠키가 있다.

이용자에게 필요하진 않지만 수집되는 쿠키도 있다. ‘광고 쿠키’가 대표적이다. 광고 업계에선 ‘마케팅 쿠키’라고 불린다. 이용자가 웹에서 검색하고 방문한 사이트 기록을 광고에 활용하는 쿠키다.

마케팅 쿠키는 대부분 제3자 쿠키(Third Party Cookie)다. 이용자는 11번가에 방문했는데, 페이스북이 쿠키를 수집하는 경우가 제3자 쿠키이다. 즉, 이용자가 방문한 웹사이트(First Party)를 제외한 다른 기업이 가져가는 쿠키다. 대부분 광고주나 데이터 분석 업체가 광고 목적으로 활용한다. 이용자가 불편을 느끼는 쿠키는 대체로 마케팅 쿠키인 셈이다.

이용자 입장에서는 필요한 쿠키는 수집하되 광고에 활용되는 쿠키는 거부하고 싶다. 그런데 방법을 모른다. 해외 사이트, 특히 유럽 소재 기업이 운영하는 사이트는 초입부터 ‘쿠키 배너’가 뜬다. 이용자가 쿠키 수집을 통제할 수 있게 한 장치다. 배너 속 ‘쿠키 관리’를 들어가면, 쿠키를 목적과 기능에 따라 분류하고 개별 쿠키 수집을 거절할 수 있다. (필수 쿠키를 제외한) 모든 쿠키를 거절할 수 있다. 그래도 사이트를 이용하는 데 아무런 지장이 없다.

유럽 소재 기업은 왜 사이트에서 쿠키 배너가 뜰까? 2018년 유럽연합은 유럽 개인정보 보호에 관한 포괄적인 법률인 일반정보보호법(GDPR)을 시행했다. GDPR은 쿠키에 관해 이렇게 설명한다. “쿠키는 이용자 식별을 위해 사용되는 한 개인정보고, 따라서 GDPR의 적용을 받는다.” 그래서 기업은 쿠키를 사용하기 전에 이용자에게 충분히 설명하고 동의를 받아야 한다. 이용자가 쿠키 수집에 동의한 것만큼이나 쉽게 동의를 철회할 수 있어야 한다.

그럼, 한국은 ‘쿠키 배너’가 왜 안 뜰까? 한국에서 쿠키 수집은 관행에 가깝다. 2020년부터 한국에서 개인정보 정책 전반을 관장하는 ‘개인정보 보호위원회’는 쿠키를 명확히 규정하지 않았다. 2017년 방송통신위원회는 ‘온라인 맞춤형 광고 개인정보보호 가이드라인’을 발간했다. 맞춤형 광고 사업자가 행태 정보(쿠키가 대표적)를 활용할 때 수집과 이용에 있어 투명성을 강화하고, 이용자에게 통제권을 보장하라는 방안이 실렸다. 다만, 지침에 그쳐 실효성은 떨어졌다.

(최태현 alookso 에디터)