“Do Not Track”(DNT)는 브라우저가 웹사이트에 사용자가 추적당하기를 원하지 않는다는 신호를 보내기 위해 전송할 수 있는 단순한 HTTP 헤더다. DNT 헤더는 유망한 출발을 보였고 거의 10년 전 주요 브라우저들의 지원을 받았다. 대부분의 웹 브라우저는 여전히 전송을 지원하지만, 2020년 현재 대다수 웹사이트가 이를 무시하기 때문에 사실상 무용지물이다. 특히 광고 업계는 법적 지위가 불분명하고 헤더를 어떻게 해석해야 할지 판단하기 어렵다고 주장했다. DNT 헤더 준수를 강제하기 위한 비교적 최근의 입법 시도가 몇 차례 있었지만, 별다른 진전을 보이지 않고 있다. 이에 비해 유럽연합의 일반개인정보보호법(GDPR)과 캘리포니아 소비자 프라이버시법(CCPA)은 DNT와 같은 문제를 해결하려 하면서도 법적 강제력을 갖추고 있다.

2007년 미국 연방거래위원회(FTC)는 인기 있는 “Do Not Call” 목록과 유사한 “Do Not Track” 목록을 만들어 달라는 요청을 받았다[PDF]. 이는 온라인에서 소비자 행동을 추적하는 광고주 도메인 이름 목록으로, 사용자가 선택하면 브라우저가 해당 사이트로의 요청을 차단할 수 있도록 하는 방식이었다. 하지만 이 접근법은 제대로 추진되지 못했고, DNT는 2009년 보안 연구자인 크리스토퍼 소고이안, 시드 스탐, 댄 카민스키가 함께 프로토타입을 만들면서 헤더 형태로 처음 등장했다. 소고이안은 2011년 DNT의 역사에 관한 글에서 이렇게 썼다.

2009년 7월, 나는 이 문제를 해결해 보기로 했다. 친구이자 공동 연구자인 시드 스탐이 발신 HTTP 요청에 두 개의 헤더를 추가하는 파이어폭스 프로토타입 애드온을 만드는 것을 도와주었다.

X-Behavioral-Ad-Opt-Out: 1
X-Do-Not-Track: 1

두 개의 헤더를 선택한 이유는 많은 광고 회사의 수신 거부(opt out)가 행동 데이터를 활용해 광고를 맞춤화하는 것만 중단하기 때문이었다. 즉, 수신을 거부한 뒤에도 그들은 계속 사용자를 추적한다.

어느 시점에 소고이안은 “행동 기반 광고 수신 거부(Behavioral Advertising Opt Out) 헤더는 사라진 것으로 보이고, 대신 사용자가 추적되지 않으려는 선호를 전달하는 단일 헤더로 초점이 옮겨졌다”고 말했다. 헤더의 최종 형식은 문자 그대로 “DNT: 1”이다.

소고이안이 그 글을 썼던 당시에도 광고주들이 헤더를 존중하도록 만드는 것이 쉽지 않을 것임은 분명했다.

Do Not Track 헤더를 구현하는 기술은 지극히 간단하다. 시드 스탐은 첫 프로토타입을 만드는 데 단 몇 분밖에 걸리지 않았다. 훨씬 더 복잡한 문제는 광고 네트워크가 헤더를 받았을 때 무엇을 해야 하는지에 관한 정책적 질문이다. 이는 아직도 전혀 정해지지 않은 문제다(특히 아직 어떤 광고 네트워크도 헤더를 확인하거나 존중하기로 합의하지 않았기 때문이다).

문제의 일부는 이 맥락에서 “추적”이 무엇을 의미하는지 정의하는 것이었다. 초기부터 DNT 활동에 참여해 온 전자프론티어재단(EFF)은 이를 “공간, 사이버 공간 또는 시간에 걸쳐 한 사람의 행동이나 읽기 습관 기록을 연결하는 데 사용될 수 있는 정보의 보유”라고 정의한다. EFF의 글은 또한 추적으로 간주되지 않는 몇 가지 예외를 나열하는데, 여기에는 특히 “분석 제공업체”가 포함되어 허용된다. 이 글은 또한 퍼스트 파티(“브라우저 주소창에 보이는 웹사이트”)에 의한 추적(허용됨)과 서드 파티(다른 도메인)에 의한 추적(허용되지 않음)을 신중하게 구분한다.

2011년 1월 모질라 파이어폭스를 시작으로 브라우저들은 “지극히 간단한” 부분을 구현하기 시작해 사용자가 새 헤더 전송을 선택할 수 있도록 했다. 마이크로소프트도 곧 뒤를 이어 2011년 3월 인터넷 익스플로러 9에 DNT 지원을 추가했다. 애플도 2011년 4월 사파리에 같은 기능을 넣었다. 구글은 조금 늦었지만 2012년 11월 크롬에 지원을 추가했다.

2011년 9월 W3C는 “웹 추적에 대한 사용자 선호를 표현하고 웹 추적 요소를 차단하거나 허용하는 메커니즘을 정의해 사용자 프라이버시와 사용자 통제권을 개선한다”는 목적으로 “추적 방지 워킹 그룹”을 구성했다. 8년간의 활동 기간 동안 이 그룹은 DNT 헤더 명세와 DNT 준수가 무엇을 의미하는지에 대한 일련의 관행을 발표했다. 안타깝게도 2019년 1월 워킹 그룹은 다음과 같은 공지와 함께 활동을 종료했다.

후보 권고안(Candidate Recommendation)으로 마지막으로 발표된 이후, 이러한 확장 기능(정의된 대로)이 더 이상의 진전을 정당화할 만큼 충분히 배포되지 않았으며, 사용자 에이전트, 서드 파티 및 생태계 전반에서 지원 계획에 대한 징후도 없었다. 따라서 워킹 그룹은 작업을 종료하고 최종 결과물을 이 노트(Note)로 재발행하기로 결정했으며, 향후 추가 사항은 별도로 발표될 예정이다.

이미 2012년에 LWN은 DNT의 전망이 밝지 않다고 썼다. 광고 단체들이 반발하고 있었고(놀랍지 않게도), 헤더를 어떻게 해석해야 하는지에 대한 법적 정의도 없었다. 게다가 2012년 5월 마이크로소프트가 인터넷 익스플로러 10에서 헤더를 기본값으로 활성화하기로 한 결정은 역효과를 냈는데, DNT는 원래 소비자가 의도적으로 내린 선택을 나타내기 위한 것이었기 때문이다. 로이 필딩은 심지어 인터넷 익스플로러 10에서 온 요청일 경우 아파치 웹 서버에서 DNT 헤더를 제거하는 변경을 커밋하기까지 했다. 이는 아마도 깃허브 커밋에 달린 댓글 수 기록을 세웠을 것이다. 마이크로소프트가 결국 2015년 4월 이 기본값을 제거했지만, 선의에서 비롯된 이 조치가 DNT를 둘러싼 혼란을 가중시켰을 가능성이 크다.

몇몇 유명 웹사이트는 Reddit, Twitter, Medium, Pinterest를 포함해 Do Not Track을 준수했다. 그러나 의미심장하게도 현재 그중 두 곳은 이제 헤더를 무시한다. Reddit의 개인정보 처리방침은 현재 “웹사이트가 이 신호에 어떻게 반응해야 하는지에 대해 합의된 표준이 없으며, 우리는 이 신호에 대응해 아무런 조치도 취하지 않는다”고 명시하고, Twitter는 “Do Not Track에 대한 업계 표준 방식이 등장하지 않았기” 때문에 2017년 5월을 기해 지원을 중단했다고 밝힌다. 현재로서는 Medium과 Pinterest만이 여전히 헤더에 따라 조치하고 있다.

애플의 사파리는 “만료된 Do Not Track 표준”에 대한 지원을 중단한 첫 번째 주요 브라우저였다. 해당 기능은 2019년 3월 사파리에서 제거됐다. 아이러니하게도 애플이 밝힌 제거 이유는 “지문(fingerprinting) 변수로 악용될 가능성을 방지하기” 위해서였다. 추적 시스템은 종종 사용자의 HTTP 헤더 지문을 이용해 여러 웹사이트에 걸쳐 사용자를 추적하는데, 사용 빈도가 낮은 DNT: 1 헤더는 오히려 사용자의 헤더에 고유성을 더해 추적을 더 쉽게 만들 수 있다.

그 이후 애플은 “지능형 추적 방지(Intelligent Tracking Prevention)”라 부르는 기능을 꾸준히 선보이고 있다. 이는 일정 시간이 지나면 서드 파티 쿠키 사용을 차단하고 쿼리 스트링 매개변수(“링크 장식(link decoration)”)을 통한 추적을 방지하는 방식이다. 모질라도 2019년 9월 파이어폭스에 서드 파티 쿠키에 대한 유사한 보호 기능을 추가했다. 마이크로소프트는 2020년 1월에 출시된 크로미엄 기반의 새로운 엣지 브라우저에 추적 방지 기능을 포함했다. 심지어 광고(그리고 간접적으로는 추적)에서 수익의 상당 부분이 나오는 구글조차 향후 2년에 걸쳐 크롬에서 서드 파티 쿠키 지원을 단계적으로 중단하겠다는 계획을 발표했다.

2014년 5월 LWN은 Privacy Badger에 대해 썼다. 이는 “광고주와 기타 서드 파티 추적자가 사용자가 어디로 가고 웹에서 어떤 페이지를 보는지 몰래 추적하는 것을 막는 브라우저 애드온”이다. Privacy Badger는 DNT 헤더를 활성화하고 사용자를 추적할 가능성이 높다고 판단되는 서드 파티 사이트로의 요청을 차단한다(놀랍지 않게도 이는 대부분의 광고를 차단하는 결과로 이어진다). Privacy Badger의 목표 중 하나는 광고 회사들이 실제로 헤더를 준수하도록 유도하는 것이다. Privacy Badger가 특정 도메인이 DNT 준수 정책을 company-domain.com/.well-known/dnt-policy.txt에 게시해 DNT를 존중한다고 확인하면, 해당 도메인에 대한 차단을 중단한다. 이는 사용자에게는 훌륭한 아이디어처럼 들리지만, 광고 업계에서는 좀처럼 확산되지 않은 것으로 보인다.

DNT 헤더를 되살리려는 최근 시도 중 하나는 프라이버시 중심 인터넷 도구(“사용자를 추적하지 않는” 검색 엔진을 포함)를 만드는 회사인 DuckDuckGo가 주도한 것이다. DuckDuckGo는 2018년 11월 웹사이트들이 대부분 헤더를 무시하고 있음에도 미국 성인 중 약 23%가 DNT를 활성화하고 있다는 사실을 발견했다. 2019년 5월 DuckDuckGo는 “The Do-Not-Track Act of 2019 [PDF]”라는 제목의 입법 초안을 발표했는데, 이를 통해 “현재 소비자의 기대에 부합하고 사람들이 온라인 프라이버시에 대한 통제권을 더 쉽게 되찾을 수 있도록 하는 법을 만들어, 널리 사용되는 이 브라우저 설정에 실질적인 강제력을 부여”하기를 희망한다고 밝혔다. 이 회사의 제안은 웹사이트가 서드 파티 추적을 방지하고 “사용자가 예상하는” 방식으로만 퍼스트 파티 추적을 사용함으로써 DNT 헤더를 준수하도록 요구하는 내용이었다. 예를 들어, 사이트는 사용자에게 지역 날씨 예보를 보여줄 수는 있지만, 사용자의 위치 데이터를 서드 파티에 판매하거나 공유해서는 안 된다.

안타깝게도 DuckDuckGo가 제안을 발표한 지 1년이 지나도록 별다른 진전은 없는 것으로 보인다. 다만 비슷한 시기에 조시 홀리 미국 상원의원이 다이앤 파인스타인, 마크 워너 상원의원의 지지를 받아 유사한 Do Not Track Act를 발의했고, 이 법안은 “상무·과학·교통위원회에 회부”됐다. 지난 1년간 이 법안에 대한 추가 움직임이 없었기 때문에 앞으로 진전될 가능성은 낮아 보인다.

2018년 6월 W3C 워킹 그룹은 DNT와 GDPR을 비교하는 글을 발표했다. GDPR은 웹사이트가 사용자를 추적하기 전에 동의를 얻도록 요구하며, DNT와 달리 이는 법적으로 강제할 수 있다. 마찬가지로 최근 제정된 CCPA 역시 강제력이 있지만, 캘리포니아주에서 사업을 하는 기업에만 적용되고 “개인정보의 판매”에만 해당한다. 로펌인 Davis Wright Tremaine LLP가 지적했듯이, CCPA를 둘러싼 상황은 DNT만큼이나 모호하다. “하지만 CCPA 하에서 어떤 추적 활동(예: 분석을 위한 추적, 맞춤형 광고 제공을 위한 추적 등)이 ‘판매’로 간주될지에 대해서는 아직 명확하지 않다” 한 가지 가능한 앞으로의 방향은 DNT에 새로운 생명을 불어넣으려 하기보다 GDPR이나 CCPA와 같은 노력을 일반화하는 것이다.

우여곡절이 많았던 10년간의 여정 끝에 Do Not Track 헤더는 결국 제대로 된 동력을 얻지 못한 채 목적지에 도달하지 못한 것으로 보인다. 정치적 노력 중 하나가 어딘가로 이어질 가능성은 여전히 남아 있지만, 그 가능성은 점점 낮아지고 있다. 우리 대부분이 이메일 스팸을 처리하는 방식과 마찬가지로, Privacy Badger나 DuckDuckGo의 브라우저 확장 프로그램, 혹은 여러 브라우저의 “지능형 추적 방지” 체계처럼 추적 요청을 걸러내는 기술적 해결책에 의존해야 할지도 모른다.