Aun que parezcan similares cumplen funciones diferentes y son complementarias, no debería limitarse a usar una u otra.
SESIONES:
La idea de las sesiones es ofrecer persistencia a ciertos datos a lo largo de las peticiones subsiguientes.
Permiten almacenar información de usuarios de maneara indivudual, durante la sesión. El identificador de la sesión que indica a PHP si existe o no una sesión es enviado al navegador mediante Cookies por defecto, este identificador se utiliza tambien para poder recuperar los datos de la sesión. La información de la sesión es almacenada por defecto en un archivo en la ruta establecida en la variable de entorno session.save_path.
El tiempo máximo de una sesión esta determinada por la variable de entorno session.gc_maxlifetime y su valor por defecto es 1440 segundos (24min). Es decir si en ese tiempo no se a recibido ninguna petición http que contenga la cookie con el id de sesión esta será propuesta para el recolector de basura, por otro lado la sesiones pueden ser eliminadas manualmente. Tambien se podrían eliminar todas las sesiones facilmente, es decir de todos los usuarios, eliminando todos los archivos de sesion en el directorio definido por session.save_path.
COOKIES
La idea de las coockies es ofrecer persistencia a ciertos datos a lo largo del tiempo de vida de la cookie.
El funcionamiento actual de las cookies esta definido en el RFC 6265 de 2011.
Las cookies permiten almacenar información en el navegador mediante pares de datos nombre=valor, estos datos son enviados al servidor en cada petición.
Las cookies son parte de las cabeceras (header) de HTTP, y estas son utilizadas para crearlas o modificarlas normalmente.
El tiempo de vida de una cookie puede ser establecido al crearla definiendo el atributo Max-Age, si este atributo no esta presente la duracion de la cookie sera hasta que se cierre el navegador. Por otro lado los navegadores pueden no respetar el tiempo extablecido para la cookie. No hay un limite máximo de tiempo fijado, entre comillas "puede durar el tiempo que queramos".
Las cookies no son recomendadas para almacenar información sensible puesto que es información enviada por el cliente (y puede ser alterada) y calquier dato externo debe ser siempre tratado con recelo.