네, (안타깝게도) 지금 그렇게 하고 있습니다.
그 문서를 어떻게 읽으셨는지 정말 궁금합니다. 3.2 Authentication Cookies(인증 쿠키) 섹션에서 꽤 명확하게 설명하고 있거든요:
인증 쿠키는 사용자가 로그인한 후(예: 온라인 뱅킹 웹사이트) 사용자를 식별하는 데 사용됩니다. 이러한 쿠키는 사용자가 웹사이트를 반복 방문할 때 본인 인증을 수행하고 계좌 잔액, 거래 내역 등 권한이 있는 콘텐츠에 접근할 수 있도록 하는 데 필요합니다. 인증 쿠키는 보통 세션 쿠키입니다. 영구 쿠키를 사용하는 것도 가능하지만 아래에서 논의하듯 동일한 것으로 간주해서는 안 됩니다.
인증 쿠키의 필요성을 인정하고 있습니다(참고: '기술적 쿠키’라고 명명되지 않음). 또한 이러한 쿠키의 수명, 즉 세션 쿠키인지 영구 쿠키인지에 따라 다르게 취급해야 함을 명시하고 있습니다.
사용자가 로그인하면, 그는 자신이 권한을 가진 콘텐츠나 기능에 대한 접근을 명시적으로 요청하게 됩니다. 쿠키에 저장된 인증 토큰을 사용하지 않는다면, 사용자는 각 페이지 요청마다 사용자 이름과 비밀번호를 입력해야 합니다. 따라서 이 인증 기능은 사용자가 명시적으로 요청한 정보 사회 서비스의 필수적인 부분입니다. 이러한 이유로 이 쿠키는 기준 B에 따라 예외가 적용됩니다.
그러나 중요한 점은 사용자가 사이트 접근과 필요한 작업을 수행하기 위한 특정 기능 접근만 요청했다는 것입니다. 인증 행위는 동의 없이 행동 모니터링이나 광고와 같은 기타 부차적인 목적으로 쿠키를 사용하는 기회로 해석해서는 안 됩니다.
로그인한다는 것은 로그인 상태에 대한 동의만 의미하며, 설정된 인증 쿠키를 통한 기타 유형의 데이터 사용에 대한 동의는 아닙니다.
브라우저 세션 간에 인증 토큰을 저장하는 영구 로그인 쿠키는 기준 B에 따라 예외가 적용되지 않습니다. 이는 중요한 구별 사항입니다. 브라우저가 닫혀도 인증 설정이 지워지지 않는다는 사실을 사용자가 즉시 인지하지 못할 수 있기 때문입니다. 사용자는 익명으로 웹사이트에 돌아오는 것으로 생각할 수 있지만, 실제로는 여전히 서비스에 로그인된 상태일 수 있습니다. 제출 폼 옆에 "로그인 상태 유지(쿠키 사용)"와 같은 간단한 정보 노트와 체크박스를 사용하는 일반적인 방법은 동의 획득의 적절한 수단이며, 이 경우 예외 적용의 필요성을 없애줍니다.
여기서 기준 B란:
“구독자 또는 사용자가 명시적으로 요청한 정보 사회 서비스를 제공하기 위해 제공자가 서비스를 제공하는 데 절대적으로 필수적인 쿠키”
를 의미합니다.
따라서 영구 인증 쿠키가 설정되기 전에 사용자의 동의가 필요합니다. 이유: 사용자가 기본적으로 영구 인증의 결과를 알 것이라고 기대할 수 없기 때문입니다.
네, 입법은 모호하고 복잡하며, 거의 20년에 걸쳐 여러 번 업데이트되었습니다. 또한 제가 살펴본 공식 EU 사이트조차 쿠키 처리 방식과 명시된 정책이 매우 혼란스러운 것 같습니다.