스페인을 따로 살펴봐야 하는 이유

스페인은 전 세계 스페인어 퍼블리셔에게 가장 큰 오디언스 중 하나이며, 스페인의 개인정보 보호 당국인 스페인 개인정보보호청(AEPD)은 유럽에서 가장 활발한 규제 기관 중 하나입니다. 모든 EU 국가와 마찬가지로 스페인도 GDPR을 적용하지만, 쿠키에 관한 규칙은 ePrivacy 지침을 이행하는 국내법에서 나옵니다. 퍼블리셔에게 AEPD의 쿠키 지침은 스페인에서 이 규칙이 어떻게 해석되는지에 대한 가장 실용적인 참고 자료입니다.

이 글은 해당 지침이 전형적인 광고 기반 사이트나 앱에 어떤 의미인지 요약합니다. 실무적인 개요이며 법률 자문이 아닙니다.

법적 근거: LSSI 제22.2조

스페인의 쿠키 규칙은 정보사회 서비스 및 전자상거래에 관한 법률 34/2002(LSSI) 제22.2조에 있습니다. 사용자 기기에 정보를 저장하거나 접근하려면 명확하고 충분한 정보를 제공받은 후 부여된 동의에 근거해야 하며, 사용자가 명시적으로 요청한 서비스를 위해 엄격히 필요한 저장이나 통신 전송을 위한 저장은 예외입니다.

쿠키를 이용해 개인정보를 처리하는 경우 GDPR과 스페인 기본법 3/2018(LOPDGDD)도 적용되므로, 쿠키 문제에서 퍼블리셔가 상대하는 당국은 AEPD입니다.

AEPD 쿠키 가이드

AEPD는 업계 단체와 함께 작성한 쿠키 사용 가이드를 발표합니다. 이 가이드는 쿠키 배너와 기만적 디자인 패턴에 관한 유럽정보보호이사회(EDPB)의 작업에 맞추어 2023년 7월에 개정되었으며, 각 조직에는 2024년 1월까지 적응 기간이 주어졌습니다. 퍼블리셔와 관련된 주요 사항은 다음과 같습니다.

거부의 동등한 가시성

개정된 가이드는 배너의 첫 번째 레이어에 쿠키를 수락하는 버튼이 있다면, 동일한 수준에서 비슷한 가시성으로 이를 거부할 수 있는 동등한 방법도 제공할 것을 기대합니다. “설정” 링크 뒤에 숨겨진 거부 옵션은 동등하지 않습니다.

탐색만으로는 동의가 아님

스크롤, 계속 탐색, 배너 닫기는 동의로 간주되지 않습니다. 사용자가 명확한 긍정적 행동을 해야 합니다.

레이어별 명확한 정보

가이드는 계층적 접근을 인정합니다. 첫 번째 레이어는 퍼블리셔, 목적, 제3자 관여 여부, 수락·거부·설정 방법을 알려 주는 짧은 내용으로 하고, 두 번째 레이어에서는 각 쿠키, 관련 당사자, 보존 기간에 대한 상세 정보를 제공합니다.

세분화된 선택

사용자는 모두 아니면 전무인 단일 스위치에 직면하는 대신, 목적별로, 그리고 유용한 경우 제3자별로 선택할 수 있어야 합니다.

철회

사용자는 동의를 부여한 것만큼 쉽게 언제든지 동의를 철회할 수 있어야 합니다. 설정을 다시 여는 상시 링크나 아이콘이 일반적인 해결책입니다.

동의 유효 기간

가이드는 동의를 주기적으로 갱신할 것을 권고하며 최대 유효 기간을 24개월로 제안합니다. 이에 따라 선택이 무기한 저장되는 대신 사용자에게 다시 묻게 됩니다.

쿠키를 조건으로 한 접근

가이드는 서비스 접근이 쿠키 수락을 조건으로 하는 경우를 다룹니다. 예를 들어 사용자가 쿠키를 수락하지 않고도 콘텐츠에 접근할 수 있는 실질적인 대안(무료일 필요는 없음)이 제공되는 경우처럼, 일부 상황에서는 허용될 수 있음을 시사합니다. 대형 플랫폼의 “동의 또는 결제” 모델에 대한 EDPB의 별도 의견이 있으므로, 이 방식을 고려하는 퍼블리셔는 구체적인 법률 자문을 받아야 합니다.

실무에서의 의미

이미 EU 전역에서 TCF 기반 CMP를 운영하는 대부분의 퍼블리셔에게 스페인은 구조적 변경이 거의 필요하지 않습니다. 가장 자주 주의가 필요한 사항은 다음과 같습니다.

• 첫 번째 레이어의 거부. EU 배너가 여전히 “수락”과 “옵션 관리”만 사용한다면, 스페인 트래픽은 눈에 띄는 거부 버튼을 추가할 이유가 됩니다.
• 스페인어 텍스트. 목적과 제3자 설명은 영어 벤더 이름이 섞인 기계 번역 조각이 아니라, 스페인 사용자를 위한 명확한 스페인어여야 합니다.
• 재확인 일정. CMP가 선택한 기간 내에 동의를 갱신하는지, 벤더나 목적의 변경이 새로운 프롬프트를 띄우는지 확인하십시오.
• 쿠키 정책. 두 번째 레이어의 정보와 쿠키 정책을 사이트에서 실제로 실행되는 것과 일치시키십시오.
• 동의 전 로딩. 사용자가 결정하기 전에는 어떤 광고 또는 분석 쿠키도 설정되지 않도록 하십시오. 이는 어디서나 쿠키 조사에서 가장 흔한 지적 사항입니다.

집행 맥락

AEPD는 결정을 정기적으로 공개하며 그중에는 쿠키 사건도 있는데, 대개 실질적인 거부 옵션이 없는 배너나 어떤 선택 전에 설정된 쿠키와 관련됩니다. 금액과 결과는 사건마다 다르므로, 유용한 교훈은 어떤 수치가 아니라 지적 사항의 패턴입니다. 거부 옵션 누락, 동의 전 추적, 불명확한 정보가 되풀이해서 나오는 문제입니다.

스페인 대응 배너 체크리스트

1. 첫 번째 레이어에서 수락과 거부가 같은 수준으로 제공된다.
2. 선택 전에는 엄격히 필요한 쿠키 외에는 쿠키가 없다.
3. 세부 정보 링크가 있는 명확한 스페인어 첫 레이어 요약이 있다.
4. 두 번째 레이어에 목적별 세분화된 컨트롤이 있다.
5. 모든 페이지에서 철회할 수 있다.
6. 동의가 정해진 기간 내에 갱신되며, 권장 기간은 24개월 이내이다.
7. 쿠키 정책이 실제로 로드되는 태그와 일치한다.

핵심 요약

• 스페인의 쿠키 규칙은 LSSI 제22.2조이며, AEPD가 GDPR과 함께 이를 집행합니다.
• 2023년 7월에 개정된 AEPD 가이드는 첫 번째 레이어에서 거부가 수락만큼 쉬울 것을 기대합니다.
• 탐색하거나 배너를 닫는 것은 동의가 아닙니다.
• 가이드는 최소 24개월마다 동의를 갱신할 것을 권고합니다.
• 조건부 접근 모델은 신중하고 사안별인 법률 검토가 필요합니다.