쿠키 정책 페이지, 실제로 쓰는 쿠키로 쓰는 법

홈페이지 빌더나 쇼핑몰 솔루션이 만들어 준 쿠키 정책을 그대로 두는 경우가 많습니다. 그런데 견본에는 우리가 쓰지도 않는 광고 쿠키가 적혀 있고, 정작 나중에 붙인 방문 통계 쿠키는 빠져 있기 쉽습니다. 쿠키 정책은 우리 홈페이지가 실제로 남기는 쿠키를 보고 써야 맞습니다. 그 쿠키 목록을 직접 뽑아서 정책을 고쳐 쓰는 순서를 정리했습니다.

먼저 알아 둘 것: 법이 정한 것과 정하지 않은 것

국내법에 「쿠키 정책」이라는 문서를 따로 만들라는 조항은 없습니다. 다만 개인정보 처리방침에는 쿠키처럼 개인정보를 자동으로 모으는 장치를 설치하고 운영하는지, 그리고 거부하려면 어떻게 하는지를 적어야 합니다(개인정보 보호법 제30조 제1항 제7호). 쿠키 정책 페이지는 이 내용을 자세히 풀어 쓴 문서이므로, 처리방침의 쿠키 절과 내용이 같아야 합니다.

쿠키마다 동의를 받으라고 콕 집어 정한 조항도 없습니다. 하지만 방문 통계나 광고 쿠키로 모은 정보가 개인정보에 해당한다면 모을 근거가 필요합니다. 로그인 유지처럼 서비스를 제공하는 데 꼭 필요한 쿠키는 계약 이행(제15조 제1항 제4호)으로 설명할 수 있습니다. 반면 통계나 광고 쿠키는 그렇게 설명하기 어려워 보통 동의(같은 항 제1호)를 근거로 삼습니다. 해외 방문자를 받는다면 유럽처럼 미리 동의를 받아야 하는 곳도 있습니다.

1단계: 지금 남는 쿠키를 직접 확인하기

정책을 쓰기 전에 실제 쿠키 목록부터 뽑습니다. 크롬이나 엣지 기준입니다.

1. 시크릿 창(InPrivate 창)을 엽니다. 로그인한 상태나 예전에 동의해 둔 상태로 보면 처음 온 방문자와 결과가 다릅니다.
2. 우리 홈페이지를 열고, 쿠키 동의 띠가 뜨면 아직 아무것도 누르지 않습니다.
3. F12를 눌러 개발자 도구를 열고 Application(한국어 화면은 애플리케이션) 탭을 누릅니다. 탭이 안 보이면 오른쪽 >> 를 누릅니다.
4. 왼쪽 Storage(저장용량) 아래 Cookies(쿠키) 를 펼치고 우리 홈페이지 주소를 누릅니다.
5. 표의 Name(이름), Domain(도메인), Expires / Max-Age(만료) 열을 옮겨 적습니다. 만료가 「Session」이면 브라우저를 닫을 때 지워지는 쿠키입니다. 이것이 동의 전 목록입니다.
6. 쿠키 띠에서 「모두 동의」를 누르고 페이지를 새로 고친 뒤 같은 화면을 다시 봅니다. 새로 생긴 줄이 동의해야 생기는 쿠키입니다.
7. 문의 폼, 장바구니, 로그인 화면처럼 기능이 있는 페이지도 한 번씩 열어 보고 새로 생기는 쿠키가 있는지 봅니다.

파이어폭스는 개발자 도구의 저장소(Storage) 탭에서 같은 목록을 볼 수 있습니다.

동의 전 목록에 통계나 광고 쿠키가 있다면 쿠키 띠가 제대로 막지 못하는 것입니다. 정책을 고치기 전에 이것부터 바로잡습니다. 페이지에 직접 붙여 넣은 추적 코드나 외부 위젯이 흔한 원인입니다.

2단계: 쿠키를 두 갈래로 나누기

이 쿠키가 없을 때 방문자가 원한 기능이 안 된다면 꼭 필요한 쿠키입니다. 기능과 상관없이 우리 회사가 알고 싶어서 남기는 것이라면 동의가 필요한 쿠키입니다.

동의 없이 쓰는 쿠키는 그 항목과 근거를 동의받는 항목과 구분해서 공개해야 합니다(제22조 제3항). 동의가 필요한 쿠키를 거부했다고 홈페이지를 못 보게 막아서는 안 됩니다(제22조 제5항). 방문 통계와 광고처럼 목적이 다른 것을 하나로 묶어 동의를 받는다면, 묶은 내용을 방문자가 알아볼 수 있게 써야 합니다(제22조 제1항).

3단계: 쿠키 정책을 표로 쓰기

쿠키 정책 본문은 1단계에서 뽑은 목록을 그대로 옮긴 표 하나면 충분합니다.

보관 기간은 두 가지를 섞지 않도록 주의합니다.

• 브라우저에 남는 기간: 개발자 도구의 만료 열에 나오는 값입니다. 쿠키 정책의 표에 적습니다. 구글 애널리틱스 _ga 쿠키는 기본 2년, 광고용 _gcl_au 와 메타 픽셀 _fbp 는 기본 90일입니다. 도구 설정으로 바뀌므로 반드시 실제 값을 봅니다.
• 분석 도구가 자료를 보관하는 기간: 구글 애널리틱스 관리 화면의 「데이터 보관」에서 정하는 값(예: 14개월)입니다. 이것은 처리방침의 보관 기간 절에 적습니다.

표 아래에는 세 가지를 적습니다.

1. 동의를 바꾸는 방법: 「바닥글의 쿠키 설정에서 언제든 바꿀 수 있습니다」처럼 어디서 바꾸는지 적습니다.
2. 브라우저에서 쿠키를 막는 방법: 크롬은 설정 → 개인정보 보호 및 보안 → 서드 파티 쿠키에서 막을 수 있습니다. 모든 쿠키를 막으면 로그인 같은 기능을 쓸 수 없다는 점도 적습니다.
3. 쓰지 않는 쿠키는 적지 않습니다. 「광고용 쿠키는 쓰지 않습니다」라고 분명히 쓰는 것은 괜찮습니다.

4단계: 쿠키 띠 문구와 맞추기

방문자가 실제로 누르는 것은 쿠키 띠이므로, 띠의 문구와 정책의 문구가 달라서는 안 됩니다.

• 띠의 단추 이름(예: 「필수 사항만」, 「동의합니다」)을 정책에서도 같은 말로 씁니다.
• 띠가 「필수만 / 모두 동의」 두 가지만 고르게 한다면, 정책에 「통계 쿠키만 따로 거부할 수 있습니다」라고 쓰지 않습니다. 방문자가 할 수 없는 선택을 적은 것이 됩니다.
• 띠를 「눌러야 사라지는」 방식으로 두었는지, 화면을 내리기만 해도 동의로 보는 방식인지 확인합니다. 정책에 「동의합니다를 누른 경우에만」이라고 썼다면 실제로도 그래야 합니다.
• 1단계 6번을 거꾸로 해 봅니다. 「필수 사항만」을 누른 뒤에도 통계 쿠키가 생기지 않는지 확인합니다.

5단계: 개인정보 처리방침의 쿠키 절과 맞추기

처리방침과 쿠키 정책은 따로 고치다가 어긋나기 쉽습니다. 다음을 나란히 놓고 봅니다.

쿠키 정책에서 「개인정보 처리방침 9번을 보세요」처럼 처리방침의 절 번호를 가리켰다면, 처리방침의 절 순서를 바꿀 때 번호도 같이 바뀌었는지 확인합니다.

다시 점검할 때

쿠키는 홈페이지에 무언가를 붙일 때마다 늘어납니다. 아래 일이 있으면 1단계부터 다시 합니다.

• 방문 분석 도구나 광고 추적 코드를 새로 붙였을 때
• 채팅 상담 창, 지도, 유튜브 영상 같은 외부 위젯을 넣었을 때
• 홈페이지 솔루션이나 쇼핑몰 기능을 바꿨을 때
• 1년에 한 번, 처리방침을 점검할 때

위피스에서는

위피스 홈페이지는 설정 → 홈페이지 → 추적 및 SEO에서 쿠키 바를 켜면 쿠키 동의 띠와 쿠키 정책 페이지(/cookie-policy)가 함께 생깁니다. 방문자가 「동의합니다」를 누르기 전에는 Google 애널리틱스와 유튜브, 구글 지도 같은 외부 서비스를 막고, 광고·소개 링크로 들어온 경로를 기억하는 쿠키도 남기지 않습니다. 방문자는 「필수 사항만」과 「동의합니다」 가운데 하나를 고르고, 바닥글의 「쿠키 설정 변경」으로 언제든 다시 고를 수 있습니다. 처음 생기는 쿠키 정책은 견본이므로 위 순서대로 실제 쿠키를 확인해 고쳐 씁니다. 쿠키 바를 끄면 쿠키 정책 페이지가 고친 내용과 함께 지워지니, 끄기 전에 내용을 따로 옮겨 둡니다. 자세한 설정은 설명서 방문자에게 쿠키 동의 받기에 있습니다. 구글 애널리틱스를 연결하는 순서는 홈페이지 방문자 분석 시작하기에 정리해 두었습니다.