개인정보처리방침 vs 쿠키 정책 vs 쿠키 배너

다음의 간단한 판단 순서를 따르세요.

1. 사이트가 불러오는 필수가 아닌 도구, 즉 애널리틱스, 광고 픽셀, 채팅 위젯, 동영상 임베드, 테스트 도구의 수를 세어 보세요.
2. 몇 개뿐이고 거의 바뀌지 않는다면 개인정보처리방침 안에 쿠키 섹션을 두세요.
3. 많거나 마케팅팀이 태그를 자주 추가한다면 별도의 쿠키 페이지를 게시하고 개인정보처리방침과 동의 도구 양쪽에서 링크하세요.
4. 어느 쪽을 선택하든 각 도구의 이름을 일관되게 쓰고, 사용자가 선택을 바꿀 수 있는 분명한 장소를 하나 마련하세요.

많은 소규모 사이트가 놓치는 선택지가 하나 더 있습니다. 추적 기술을 덜 쓰는 것입니다. 태그를 하나 없앨 때마다 관리할 고지가 하나, 받아야 할 동의가 하나, 검토할 업체가 하나 줄어듭니다. 개인정보 친화적인 애널리틱스 설정, 직접 호스팅하는 폰트, 클릭해야 로드되는 동영상 임베드를 활용하면 쿠키 목록을 크게 줄일 수 있습니다.

사이트를 처음부터 만들고 있다면 웹사이트 개인정보처리방침 만드는 방법 가이드에서 쿠키 고지가 들어갈 위치를 포함해 전체 과정을 살펴볼 수 있습니다.

개인정보처리방침은 양식, 계정, 구매, 이메일, 고객 지원, 애널리틱스, 광고 등 개인정보를 처리하는 모든 방식을 다룹니다. 목적, 법적 근거, 수령인, 국외 이전, 보관 기간, 권리를 설명합니다.

쿠키 정책은 더 좁은 질문, 즉 어떤 기술이 방문자의 기기에 정보를 저장하거나 기기의 정보에 접근하는지, 그리고 그 이유는 무엇인지를 다룹니다. 여기에는 다음이 포함됩니다.

• 퍼스트파티와 서드파티 HTTP 쿠키
• 로컬 스토리지와 세션 스토리지
• 추적 픽셀과 웹 비컨
• 기기 식별자를 읽는 SDK와 스크립트
• 핑거프린팅 기법

두 문서는 상당 부분 겹칩니다. 대부분의 애널리틱스 쿠키와 광고 쿠키는 개인정보를 처리하므로 어차피 개인정보처리방침에 들어가야 합니다. 쿠키 정책이 더해 주는 것은 세부 정보, 즉 개별 도구나 쿠키 이름, 유효 기간, 선택을 바꾸는 방법입니다.

따라서 개인정보처리방침과 쿠키 정책의 차이에 대한 솔직한 답은, 쿠키 정책은 대개 개인정보처리방침을 특화해 확장한 것이지 별도 문서 요건이 있는 독립된 법 제도가 아니라는 것입니다. 실제 법적 쟁점은 정보가 빠짐없이 제공되는지, 그리고 법이 요구하는 곳에서 동의를 받는지입니다.

법적으로는 아닙니다. 의무는 사람들이 쉽게 찾을 수 있는 명확하고 포괄적인 정보를 제공하는 것입니다. 그 정보를 어디에 둘지는 사업자가 선택할 수 있습니다.

개인정보처리방침 안의 섹션이 잘 맞는 경우:

• 애널리틱스 서비스 하나와 필수 세션 쿠키처럼 몇 가지 도구만 사용하는 경우
• 쿠키 정보가 짧은 목록이나 표에 들어가는 경우
• 관리할 문서를 하나로 유지하고 싶은 경우

별도의 쿠키 정책 페이지가 더 나은 경우:

• 태그, 픽셀, 광고 업체를 많이 불러오는 경우
• 업체 목록이 자주 바뀌어 개인정보처리방침 전체를 다시 게시하지 않고 업데이트하고 싶은 경우
• 동의 도구가 상세한 쿠키 목록으로 연결되는 경우

문서를 나눈다면 두 페이지를 서로 링크하고 각 도구에 같은 이름을 쓰세요. 개인정보처리방침에는 광고 쿠키를 쓰지 않는다고 적혀 있는데 바로 옆 쿠키 목록에 광고 픽셀이 보인다면, 이는 감독기관과 민원을 제기하려는 방문자가 정확히 알아차리는 종류의 모순입니다.

쿠키 배너도 필요한지는 별개의 질문이며, 쿠키 배너가 필요할까에서 다룹니다.

별도 페이지든 개인정보처리방침의 한 섹션이든, 유용한 쿠키 고지는 다음을 다룹니다.

1. 기술이 무엇인지 쉬운 말로 설명: 쿠키, 로컬 스토리지, 픽셀, SDK.
2. 카테고리와 목적: 엄격히 필요, 환경설정, 애널리틱스, 광고, 그리고 각각이 사이트에서 실제로 하는 일.
3. 누가 설정하는지: 사업자 자신의 퍼스트파티 쿠키, 그리고 애널리틱스 제공자나 광고 제공자처럼 이름을 밝힌 서드파티.
4. 유효 기간: 세션 동안만 유지되는지, 또는 각각 얼마 동안 유지되는지.
5. 동의와 선택: 어떤 카테고리에 동의가 필요한지, 어떻게 수락하거나 거부하는지, 나중에 어떻게 철회하는지.
6. 브라우저 설정: 브라우저 설정 안내와 실제로 지원하는 옵트아웃 도구.
7. 링크: 권리, 법적 근거, 국외 이전, 연락처는 개인정보처리방침으로 연결.
8. 최종 업데이트 날짜.

항목 하나의 짧은 예시: 「애널리틱스. 당사의 애널리틱스 제공자는 사이트 이용 방식을 파악할 수 있도록 조회한 페이지와 방문 시간을 기록하는 쿠키를 설정합니다. 귀하가 동의한 경우에만 설정됩니다. 12개월 후 만료됩니다.」 구체적이고, 검증할 수 있으며, 정직한 문구입니다.

도구별 문구는 애널리틱스 개인정보 고지와 Google 애널리틱스 개인정보처리방침 가이드를 참고하세요.

다음 세 가지는 자주 혼동됩니다.

• 쿠키 배너 또는 동의 도구: 필수가 아닌 기술이 로드되기 전에 동의를 요청하고 나중에 사용자가 선택을 바꿀 수 있게 하는 인터페이스입니다. 사이트에서의 동작에 관한 것입니다.
• 쿠키 정책 또는 쿠키 섹션: 기술, 목적, 제공자, 유효 기간에 대한 서면 설명입니다. 정보에 관한 것입니다.
• 개인정보처리방침: 개인정보가 관련된 경우의 쿠키를 포함해 모든 개인정보 처리에 관한 전체 고지입니다.

방침 없는 배너는 사용자가 읽어 볼 수 없는 것에 동의하라고 요청하는 셈입니다. 동의가 필요한 곳에서 배너 없는 방침은 무엇을 하는지 설명할 뿐 그것을 적법하게 만들지는 못합니다. EU와 영국에서 애널리틱스 쿠키나 광고 쿠키를 사용하는 사이트는 대개 둘 다 필요합니다. 작동하는 메커니즘을 통한 동의와, 방침을 통한 정보입니다.

도구에 대해 분명히 말씀드리면, Legal Policy Generator는 답변을 바탕으로 쿠키, 애널리틱스, 추적 관련 고지를 포함한 개인정보처리방침 문구를 작성합니다. 쿠키 배너나 동의 관리 도구는 제공하지 않습니다. 원하는 동의 메커니즘과 방침을 함께 사용하고, 두 가지가 같은 도구를 같은 방식으로 설명하는지 확인하세요.

EU에서는 ePrivacy 지침 제5조 제3항에서 이 규정이 나옵니다. 사용자의 기기에 정보를 저장하거나 이미 저장된 정보에 접근하는 것은, 사용자가 특히 목적에 관한 명확하고 포괄적인 정보를 제공받은 뒤 동의한 경우에만 허용됩니다. 예외는 통신을 수행하는 목적만을 위해 필요한 저장 또는 접근, 그리고 사용자가 명시적으로 요청한 서비스를 제공하는 데 엄격히 필요한 저장 또는 접근입니다.

유럽 데이터 보호 이사회(EDPB)의 가이드라인 2/2023은 이 규정이 전형적인 쿠키를 넘어 추적 픽셀, 추적 링크, 로컬 스토리지, 일부 형태의 기기 핑거프린팅 같은 기술에도 적용된다고 확인합니다.

영국에서는 Privacy and Electronic Communications Regulations 제6조가 이에 상응하는 규정을 둡니다. 저장 및 접근 기술에 관한 ICO의 현행 지침은 사용하는 기술, 그 목적, 관련된 서드파티, 정보가 저장되는 기간을 정보에 포함해야 한다고 설명합니다. 영국은 동의 규정에 새로운 예외도 일부 추가했으므로 자세한 내용은 최신 ICO 지침을 확인하세요.

쿠키가 개인정보와 관련된 경우에는 GDPR과 UK GDPR 제12조부터 제14조까지의 투명성 의무도 적용됩니다. 이 규정들 중 어느 것도 문서 제목을 정해 두지 않습니다.

미국 법에는 ePrivacy 지침 같은 일반적인 쿠키 동의 규정이 없지만, 쿠키 고지는 여전히 중요합니다.

• CalOPPA는 상업용 웹사이트의 개인정보처리방침에 브라우저의 Do Not Track 신호에 어떻게 대응하는지, 그리고 다른 당사자가 시간에 걸쳐 여러 웹사이트에서 사용자의 온라인 활동에 관한 개인 식별 정보를 수집할 수 있는지를 밝히도록 요구합니다.
• CCPA와 CPRA는 쿠키를 통해 수집한 식별자를 개인정보로 봅니다. 개인정보처리방침에는 수집하는 카테고리와 개인정보를 판매하거나 공유하는지 여부를 설명해야 하며, 여기에는 많은 교차 맥락 광고 설정이 포함될 수 있고, 사람들이 옵트아웃하는 방법도 함께 설명해야 합니다.
• 기타 주 개인정보 보호법도 타깃 광고에 대한 유사한 고지와 이를 거부할 권리를 요구합니다.

이 중 어느 것도 별도 제목의 쿠키 정책을 요구하지 않습니다. 개인정보처리방침 안에 잘 구성된 쿠키 및 추적 섹션을 두면 대개 고지 측면은 해결되고, 옵트아웃 링크와 선호 신호는 사이트 자체에서 처리합니다.

자세한 내용은 CCPA 및 CPRA 개인정보처리방침 요건과 광고 개인정보 고지를 참고하세요.

마케팅 도구는 코드 리뷰 없이 바뀌는 경우가 많기 때문에, 쿠키 정보는 개인정보처리방침의 다른 어떤 부분보다 빨리 낡습니다. 간단한 점검 루틴을 만드세요.

• 정기적으로 점검하세요. 깨끗한 브라우저 프로필에서 사이트를 열고, 동의를 거부한 다음 수락해 보면서 각 상태에서 무엇이 로드되는지 목록으로 만드세요.
• 새 태그를 모두 확인하세요. 새 픽셀, 임베드, 스크립트를 출시할 때 체크리스트에 고지 검토를 추가하세요.
• 방침, 배너, 실제 동작을 비교하세요. 세 가지 모두 같은 도구를 명시해야 합니다.
• 목록이 바뀔 때마다 날짜를 업데이트하세요.

Legal Policy Generator로 방침을 생성하면 어떤 애널리틱스, 광고, 추적 기술을 사용하는지 입력하게 되고, 쿠키 및 추적 고지는 그 답변에 따라 만들어집니다. 도구가 바뀌면 문구를 손으로 고치는 대신 답변을 수정하고 다시 생성하세요. 설문과 전체 미리보기는 계정 없이 무료이며, 기본 HTML 또는 PDF 다운로드도 무료입니다.

생성된 문구는 답변을 반영할 뿐이며 법률 자문이 아닙니다. 동의 자체는 여전히 사이트의 동의 메커니즘에서 처리해야 합니다.