💻 computer science

A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs

이 논문은 11,364개 웹사이트를 대상으로 GDPR 쿠키 배너 준수의 역사적 진화를 분석하여, 주로 발행인의 조치와 규제 압력에 의해 "모두 거부" 옵션이 크게 증가했음을 밝히는 한편, 사용자 개인정보 보호를 더욱 강화하기 위해 통일된 EU 지침과 동의 관리 플랫폼(CMP)에 대한 감독이 필요함을 강조한다.

원저자: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

게시일 2026-07-01

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인터넷을 거대하고 북적이는 시장이라고 상상해 보세요. 2018년, 사용자가 허락 없이 추적당하는 것을 방지하기 위해 GDPR이라는 새로운 규칙 세트가 도입되었습니다. 이 규칙을 집행하는 주요 도구는 거의 모든 웹사이트에서 "저희가 당신을 추적해도 될까요?"라고 묻는 팝업창인 **쿠키 배너(Cookie Banner)**입니다.

이 논문은 6년간(2018~2024년)의 다큐멘터리처럼 이 팝업창들이 어떻게 변해왔는지, 실제로 변화를 만드는 주체는 누구인지, 그리고 규칙이 잘 준수되고 있는지를 관찰합니다. 연구진은 이 이야기를 들려주기 위해 30개 유럽 국가의 11,000개 이상의 웹사이트를 조사했습니다.

다음은 쉬운 비유를 사용한 이야기의 구성입니다.

1. 세 명의 주요 등장인물

이 논문은 팝업창의 모습과 동작에 영향을 미치는 세 그룹을 식별합니다.

퍼블리셔 (웹사이트 소유자): 이들을 상점 주인이라고 생각하세요. 이들은 웹사이트를 소유하며, 허락을 구할 법적 책임이 있습니다.
규제 기관 (DPA): 이들을 경찰관이라고 생각하세요. 이들은 규칙을 만들고, 조언을 제공하며, 법을 어긴 상점 주인에게 벌금(딱지)을 부과합니다.
CMP (동의 관리 플랫폼): 이들을 팝업 자판기라고 생각하세요. 많은 상점 주인은 직접 팝업을 만들지 않고, 배너를 자동으로 보여주는 미리 만들어진 "기계"(OneTrust나 Cookiebot 같은 회사 제품)를 구매합니다. 연구진은 이 자판기 회사들이 상점 주인들이 규칙을 따르도록 돕고 있는지 확인하고자 했습니다.

2. 큰 줄거리: 나아지고 있지만, 느리게 진행 중

시작 단계(2018년)에는 상황이 엉망이었습니다. 약 **3%**의 웹사이트만이 "모두 거절" 버튼을 가지고 있었습니다. 대부분은 그저 커다란 "수락" 버튼만 두어, 사람들이 사실상 '예'라고 말하도록 유도했습니다.

2024년까지 상황은 크게 개선되었습니다. 이제 약 **30%**의 웹사이트가 명확한 "거절" 버튼을 갖추고 있습니다. 이는 엄청난 도약이지만, 여전히 10곳 중 7곳은 완전히 규정을 준수하지 못하고 있음을 의미합니다.

"경찰"의 파급 효과:
논문은 "경찰관"(규제 기관)과 상점 주인들이 올바르게 행동하는 것 사이에 강력한 연결 고리가 있음을 발견했습니다.

예시: 프랑스의 경우, 규제 기관(CNIL)이 구글과 메타가 "아니오"라고 말하기 어렵게 만든 팝업에 대해 벌금을 부과했습니다.
결과: 벌금 부과 직후, 프랑스(그리고 다른 나라들까지)의 웹사이트들은 "거절" 버튼을 추가하기 시작했습니다. 이는 마치 경찰관이 안전벨트를 매지 않은 사람들에게 딱지를 끊기 시작하자, 갑자기 모두가 안전벨트를 매기 시작하는 것과 같습니다.
대조: 규제 기관이 조용하거나 벌금을 많이 부과하지 않은 국가(리투아니아나 폴란드 등)에서는 웹사이트들이 여전히 게으른 상태로 남아 "거절" 버튼을 추가하지 않았습니다.

3. 놀라운 사실: "자판기"는 별 도움이 되지 않았다

연구진은 한 가지 가설을 세웠습니다. 팝업 소프트웨어를 판매하는 회사(CMP)들이 법이 바뀔 때마다 자신들의 기계를 더 프라이버시에 친화적으로 자동으로 업데이트할 것이라고 생각했습니다.

현실 점검:
연구 결과, 이런 일은 일어나지 않았습니다.

어떤 "자판기"(Cookiebot 같은 경우)는 고객의 약 55%를 위해 "거절" 버튼을 포함하도록 디자인을 업데이트했습니다.
다른 "자판기"(Cookies Consent 같은 경우)는 고객의 약 13%만을 위해 이를 수행했습니다.
결론: CMP들은 그저 가만히 앉아 있었습니다. 그들은 고객들에게 변화를 강요하지 않았습니다. 대신, **상점 주인(퍼블리셔)**들이 실제로 직접 가서 기계를 열고 설정을 수동으로 변경하여 규정을 준수하도록 했습니다. 이 논문은 웹사이트에 좋은 "거절" 버튼이 있다면, 그것은 소프트웨어 회사가 알려주었기 때문이 아니라 웹사이트 소유자가 직접 그곳에 두기로 선택했기 때문이라고 시사합니다.

4. 현재 시장의 상태

통합: 팝업 기계 시장은 몇몇 대형 플레이어들로 축소되고 있습니다. OneTrust와 Cookiebot 같은 큰 기업들이 이제 대다수의 웹사이트에서 사용됩니다.
문제점: 이 큰 기업들이 "기본 설정"을 정하기 때문에, 그리고 그들이 항상 가장 프라이버시에 친화적인 선택을 기본값으로 설정하지 않기 때문에, 소유자가 수동으로 수정하지 않는 한 많은 웹사이트는 좋지 않은 팝업을 갖게 됩니다.

5. 최종 요약

논문은 인터넷이 사용자 프라이버시를 조금씩 더 존중하는 방향으로 변하고 있지만, 이는 자판기 회사들이 도움이 되어서가 아니라 상점 주인들이 마침내 경찰의 말을 듣고 있기 때문이라고 결론짓습니다.

저자들은 인터넷을 진정으로 모두에게 안전하게 만들기 위해 다음이 필요하다고 제안합니다:

더 통일된 규칙: 유럽 전역의 모든 "경찰관"들이 정확히 어떤 규칙이 있는지에 대해 합의해야 합니다. 그래야 상점 주인들이 혼란을 겪지 않습니다.
"자판기"에 대한 더 많은 감독: 팝업 소프트웨어를 판매하는 회사들도 더 많은 책임을 져야 합니다. 그들이 기본 설정을 설정하는 주체라면, 그 기본 설정들이 법적이고 공정하도록 보장할 책임이 있습니다.

요약하자면, 규칙은 작동하고 있지만, 경찰이 밀착 감시할 때만 그렇고, 규칙을 따르기 위해 사용되는 도구들은 심각한 업그레이드가 필요합니다.

기술적 요약: GDPR 쿠키 배너 준수의 역사

문제 정의
2018년 5월 일반 데이터 보호 규정(GDPR)이 시행된 이후, 쿠키 배너는 온라인 추적 및 광고에 관한 사용자의 동의를 표현하는 주요 인터페이스가 되었습니다. 그러나 이러한 배너의 지형은 비준수 인터페이스, 조작적 디자인(다크 패턴), 그리고 지리적 영역 간의 상당한 변동성으로 특징지어져 왔습니다. 기존 연구들이 비준수의 만연함과 다크 패턴의 존재를 기록해 왔으나, 시간에 따른 준수 개선의 동기에 초점을 맞춘 연구는 제한적이었습니다. 특히, 세 가지 핵심 행위자—발행인(웹사이트 소유자), 규제 기관(데이터 보호 당국 또는 DPA), 그리고 동의 관리 플랫폼(CMP)—가 준수를 촉진하거나 저해하는 역할에 대한 종단적 맥의 연구는 미진한 상태입니다. 본 논문은 쿠키 배너의 역사적 진화를 분석하여 어떤 행위자가 준수 트렌드에 책임을 지고 있으며, 규제 조치가 디자인 선택에 어떻게 영향을 미치는지 파악하고자 합니다.

연구 방법론
저자들은 6년 기간(2018년 9월부터 2024년 9월까지) 동안 30개 유럽 경제 지역(EEA) 국가의 11,364개 웹사이트를 대상으로 종단적 분석을 수행했습니다.

데이터 소스: 라이브 크롤링의 한계를 극 old하고 재현성을 보장하기 위해, 본 연구는 HTTPArchive(2012년부터 웹 구성을 추적)와 Wayback Machine을 결합한 이중 아카이브 접근 방식을 활용했습니다. 이를 통해 과거 웹페이지 스냅샷의 회고적 재생이 가능했습니다.
재생 메커니즘: 연구진은 HTTP 프록시를 통해 트래픽을 가로채어 아카이브된 스냅샷을 재생하는 방법을 개발했습니다. (아카이브의 컷오프 제한으로 인해 발생하는) 누락된 리소스는 Wayback Machine API를 통해 동적으로 검색되었으며, 배너 레이아웃 로직에 집중하기 위해 이미지와 폰트는 제외되었습니다. 이는 동적 콘텐츠의 오프라인적이고 일관된 재생을 보장했습니다.
웹사이트 선정: 샘м플은 Chrome 사용자 경험 보고서(CrUX) 목록에서 추출되었으며, 유럽 사용자를 대상으로 함을 보장하기 위해 국가 코드 최상위 도메인(ccTLD)별로 필터링되었습니다. 국가별로 사용 가능한 경우 국가당 500개의 웹사이트를 무작위로 선정하여, 총 11,364개의 고유 도메인 데이터셋을 구성했습니다.
탐지 및 분석: Bouhoula 등의 연구를 확장한 자동화 도구를 사용하여 배너를 탐지했습니다. 이 프레임워크는 HTML 필터링, z-index 검사, 그리고 언어 모델을 사용하여 쿠키 관련 용어를 식별함으로써 100%의 정밀도와 86.9%의 재현도를 달 수 있었습니다. 도구는 배너 옵션(수락, 거절, 설정)을 분류하고 "거절" 버튼의 존재 여부를 탐지했습니다.
준수 대리 지표: 본 연구는 동등하게 접근 가능한 "거절" 버튼의 존재를 GDPR 준수의 주요 대리 지표로 삼았습니다. 이 객관적인 지표는 "쿠키 월(cookie walls)"이나 특정 국가적 해석에 대한 주관적인 법적 판단을 피하며, 동의를 거부하는 것이 수락하는 것만큼이나 쉽고 간편해야 한다는 근본적인 요구 사항에 집중합니다.
DPA 활동 상관관계: 저자들은 제재, 벌금, 규제 지침에 대한 데이터를 "GDPRhub" 및 "Consent Banner Report"에서 추출하여 준수율과 상관관계를 분석했습니다.

주요 기여

종단적 분석: 본 논문은 단순한 정적 스냅샷을 넘어 프라이버시 친화적 디자인의 트렌드를 밝혀내는 6년간의 역사적 쿠키 배너 진화 평가를 제공합니다.
교차 국가 규제 영향: 30개국에 대한 세밀한 분석을 통해 DPA의 집행/지침과 준수율 사이의 상관관계를 정량화합니다.
CMP 영향 평가: 18개의 서로 다른 CMP(포괄적, 플러그인, 오픈 소스로 분류)를 조사하여, 이들의 구체적인 기여도를 측정하고 CMP 제공 배너와 자체 구축 솔루션을 비교합니다.

결과

전반적인 준수 트렌드: 프라이버시 관행에서 긍정적이지만 느린 진화가 관찰됩니다. "수락"과 "거절" 옵션을 모두 갖춘 웹사이트 비율은 2018년 2.94%에서 적 2024년 30.66%로 증가했습니다.
시간적 변화: 두 번의 중요한 개선 시기가 확인되었습니다:
- 2022년: 거절 버튼 채택이 7.5% 증가했으며, 이는 거절 버튼 배치와 관련하여 Google 및 Meta에 대한 CNIL의 집행 조치와 시기적으로 일치합니다.
- 2024년: 8.82%의 증가를 보였으며, 이는 EDPB 가이드라인 및 지속적인 집행과 연관되었을 가능성이 있습니다.
국가별 차이: 준수율은 국가마다 크게 다릅니다. 덴마크, 프랑스, 오스트리아는 지속적으로 가장 높은 준수율을 보였습니다. 반면, 리투아니아, 폴란드, 불가리아는 가장 낮은 준수율을 보였습니다.
규제 상관관계: 규제 지침의 발표와 준수 사이에는 강한 양의 상관관계( $r=0.62$ )가 존재합니다. 집행 조치(벌금/사건)와 준수 사이에는 중간 정도의 양의 상관관계( $r=0.42$ )가 존재합니다. 활발한 DPA(예: 프랑스, 스페인)를 보유한 국가는 활동이 제한적인 국가보다 높은 준수율을 보입니다.
CMP 성능:
- CMP 채택률은 2018년 11.60%에서 2024년 40.29%로 상승했으며, OneTrust, Cookiebot, Google Funding Choices와 같은 주요 플레이어를 중심으로 시장이 공고해졌습니다.
- 이견(Divergence): 준수율은 CMP 간에 극명하게 갈립니다. 2024년 기준, Cookiebot은 55.16%의 준수율(거절 버튼 존재)을 보인 반면, Cookies Consent는 13.39%에 불과했습니다.
- 변화의 동력: 본 연구는 CMP가 규제 압력에 거의 반응하지 않았음을 발견했습니다. 준수 개선은 주로 더 준수적인 설정을 구성하거나 교체하는 것을 능동적으로 선택한 **웹사이트 소유자(발행인)**에 의해 주도되었습니다. 신규 및 기존 CMP 고객 모두 유사한 준수 트렌드를 보였는데, 이는 변화가 CMP의 기본 설정이 아닌 발행인으로부터 기인했음을 시사합니다.

의미 및 주장
본 논문은 관찰된 GDPR 준수 개선이 통일된 산업 표준이나 선제적인 CMP 행동의 결과가 아니라, 규제 집행과 발행인의 주도권에 의해 유발된 반응적 과정이라고 주장합니다.

규제자의 역할: 저자들은 DPA 활동이 핵심적인 동력임을 강조합니다. 고위급 사례(예: CNIL vs. Google/Meta)의 "파급 효과"는 규제 조치가 생태계 전반에 걸쳐 신속한 디자인 변화를 강제할 수 있음을 입증합니다.
CMP의 역할: 본 연구는 CMP가 준수의 주요 해결책이라는 가설에 의문을 제기합니다. 연구는 CMP가 준수율 개선에 거의 기여하지 못했으며, 종종 상이하고 때로는 비준수적인 기본 인터페이스를 제공한다고 지적합니다. 저자들은 CMP가 고객 유지나 "동의 최적화"보다 프라이버시 친화적인 기본 설정을 우선시할 충분한 인센티브가 현재 부족하다고 주장합니다.
공동 책임: 본 논문은 준수가 공동의 책임이라고 결론짓습니다. 발행인이 궁극적인 변화의 주체이지만, CMP에 대한 규제 감독의 부재가 조작적 디자인의 지속을 허용합니다. 저자들은 다음과 같이 제안합니다:
- 해석적 차이를 줄이기 위해 EU 규제 기관 간의 보다 통일된 협력과 지침 제공.
- "공동 컨트롤러십(joint controllership)"을 명확히 하거나, 비준수 배너 인터페이스를 제한하기 위해 기술적 동의 신호(예: 브라우저 벤더를 통한 방식)를 의무화하는 등 CMP에 대한 규제 감독.

이 연구는 학계, 규제 기관 및 산업 이해관계자들이 주요 행위자들을 더 잘 동기 부여하고 사용자 프라이버시를 강화할 수 있는 전략을 개발하기 위한 토대로 기능하며, 진전은 긍정적이지만 조작적 디자인과 사용자 선택권에 관한 중대한 과제가 남아 있음을 명시합니다.