Evästeet ja yksityisyys markkinoinnissa

Tarvitaanko evästeisiin suostumus?

Lähtökohta on, että evästeiden tai muiden päätelaitteelle tallennettavien tietojen käyttö vaatii käyttäjän suostumuksen. Poikkeus koskee ainoastaan evästeitä, joiden ainoa tarkoitus on joko välittää viestiä viestintäverkossa tai jotka ovat välttämättömiä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi — esimerkiksi istuntokohtainen kirjautumiseväste tai ostoskorin sisällön muistaminen. Näissäkin tallentaminen ja käyttö on sallittua vain siinä laajuudessa, jonka palvelu vaatii.

Yhtään evästetyyppiä ei voi luokitella välttämättömäksi pelkän nimen tai tekniikan perusteella — ratkaiseva on käyttötarkoitus. Sama eväste voi olla yhdessä käytössä välttämätön ja toisessa ei. Analytiikkaevästeitä ei Traficomin ohjeen mukaan lähtökohtaisesti katsota välttämättömiksi käyttäjän näkökulmasta, koska käyttäjä ei yleensä käytä palvelua sen vuoksi, että haluaa toimintaansa seurattavan, ja useimmat palvelut toimivat myös ilman analytiikkaa. Jos analytiikka halutaan silti katsoa välttämättömäksi, siihen pitäisi olla selkeät perusteet ja tietoa ei saisi jakaa kolmansille osapuolille — käytännössä useimmilla sivustoilla tämä tarkoittaa, että myös Google Analyticsin käyttöön kysytään suostumus.

Lakiperusteena on sähköisen viestinnän palveluista annetun lain (917/2014) 205 §, jonka taustalla on EU:n sähköisen viestinnän tietosuojadirektiivi. Oikeutettu etu ei kelpaa perusteeksi evästeiden asettamiselle — ainoat hyväksyttävät perusteet ovat suostumus tai edellä kuvattu välttämättömyyspoikkeus.

Yleisimmät evästetyypit tarkemmin

• Todentamiseen liittyvät evästeet. Istuntokohtainen kirjautumiseväste on yleensä välttämätön, koska kirjautuminen on käyttäjän itse valitsema toimi. Pysyvä “muista minut” -eväste ei ole automaattisesti välttämätön, ellei käyttäjälle ole selvää ja hänen itse valitsemaansa, että kirjautuminen säilyy pidempään. Jos samaa evästettä käytetään myös seurantaan tai kohdennettuun mainontaan, suostumus tarvitaan joka tapauksessa.
• Mieltymys- ja personointievästeet. Kieli- tai ulkoasuvalinnan muistaminen käytön ajan voi olla välttämätöntä, mutta katseluhistoriaan perustuvat suositukset eivät yleensä ole sellainen palvelu, jota käyttäjä nimenomaisesti pyytää ilman erillistä suostumusta.
• Käyttäjän syötteisiin liittyvät evästeet, kuten ostoskorin sisällön tai lomaketietojen muistaminen, ovat yleensä välttämättömiä, koska ne toteuttavat käyttäjän itse käynnistämää toimintoa.
• Turvallisuuteen liittyvät evästeet, esimerkiksi epäonnistuneiden kirjautumisyritysten laskenta tai ihmisen tunnistus, voivat olla välttämättömiä palvelun turvallisen käytön kannalta.
• Kolmannen osapuolen upotetut sisällöt ja sosiaalisen median liitännäiset. Jos näiden liittäminen sivustoon asettaa evästeitä myös silloin, kun käyttäjä ei käytä kyseistä ominaisuutta, suostumus tarvitaan.
• Laitteen tarkempi profilointi ja sormenjälkitekniikat (fingerprinting). Kun päätelaitteesta kerätään aktiivisesti tarkempia tietoja käyttäjän yksilöimiseksi, suostumus tarvitaan aina.
• Sijaintitiedot, jotka voidaan yhdistää tiettyyn henkilöön, vaativat oman suostumuksensa saman lain toisen pykälän nojalla; tämän valvonta kuuluu tietosuojavaltuutetulle.

Yhtään yllä olevaa kategoriaa ei tule tulkita automaattisesti: sama tekninen toteutus voi olla välttämätön yhdellä sivustolla ja ei-välttämätön toisella, riippuen siitä, mihin sitä käytännössä käytetään.

Selainasetukset eivät riitä suostumukseksi

Helsingin hallinto-oikeus antoi 8.4.2021 kaksi ratkaisua (H1515/2021 ja H1516/2021), joiden mukaan internetselaimen asetukset — oletusarvoisina tai käyttäjän itse muokkaamina — eivät voi olla GDPR:n tarkoittama yksilöity ja tietoinen suostumus, koska ne eivät kohdistu kunkin evästeen erilliseen käyttötarkoitukseen. Sama ratkaisu vahvisti, että Traficom on toimivaltainen viranomainen tulkitsemaan tätä suostumusta. Suostumus pitää siis aina pyytää erikseen esimerkiksi bannerilla tai ponnahdusikkunalla — pelkkä se, ettei kävijä ole muuttanut selaimensa asetuksia, ei riitä.

Tämä on eri kysymys kuin se, estääkö selain kolmannen osapuolen evästeitä teknisesti oletuksena. Katso uudelleenmarkkinointi siitä, miten Safari ja Firefox estävät kolmannen osapuolen evästeitä oletuksena ja miksi Chrome ei tee niin — kumpikaan ei muuta sitä, että suomalaisen sivuston on aina kysyttävä suostumus erikseen, riippumatta siitä, mitä selain teknisesti sallii tai estää.

Mitä evästeilmoituksessa pitää kertoa?

Suostumusta pyydettäessä käyttäjälle on kerrottava vähintään:

• Mitä evästeitä tai vastaavia tekniikoita käytetään ja minkä tyyppisiä ne ovat (esim. välttämättömät, toiminnalliset, personointi, mainonta, sosiaaliseen mediaan liittyvät, analytiikka).
• Kunkin käyttötarkoitus — mitä tietoa evästeellä kerätään ja mihin sitä käytetään.
• Kunkin voimassaoloaika.
• Jaetaanko tietoja kolmansille osapuolille, keitä nämä tahot ovat ja mitä tietoja siirretään.

Banneri tai vastaava mekanismi ei saa sisältää valmiiksi rastitettuja ruutuja tai oletuksena päällä olevia liukukytkimiä muiden kuin välttämättömien evästeiden kohdalla — käyttäjän pitää itse aktiivisesti klikata ne päälle (opt-in). Kieltäytymisen pitää olla yhtä helppoa kuin hyväksymisen: jos ylimmällä tasolla on “Hyväksy kaikki” -painike, sen rinnalla pitää olla yhtä näkyvä “Jatka vain välttämättömillä” tai “Hylkää muut kuin välttämättömät” -vaihtoehto, ei piilotettuna alavalikkoon. Evästeiden hyväksymistä ei saa asettaa sivustolle pääsyn ehdoksi: jos käyttäjä poistuu tekemättä valintaa, sivuston pitää toimia oletuksena vain välttämättömillä evästeillä.

Suostumuksen peruuttamisen pitää onnistua yhtä helposti kuin sen antamisen, milloin tahansa ja ilman, että siitä aiheutuu käyttäjälle haittaa (esimerkiksi palvelutason keinotekoista heikentämistä rangaistuksena). Palveluntarjoajan pitää myös pystyä jälkikäteen osoittamaan, milloin ja miten suostumus saatiin.

Tässä on hyvä huomata, mitä suostumusmekanismi ei saa tehdä: se ei saa kohtuuttomasti häiritä tai estää pääsyä sivustolle, joten esimerkiksi koko sivun peittävää bannerityyppiä ei saa rakentaa niin, ettei sen ohi pääse tekemättä valintaa. Mekanismin täytyy myös kattaa kaikki sivustolla käytössä olevat ei-välttämättömät evästeet, myös kolmansien osapuolien asettamat — pelkkä oman sivuston ensimmäisen osapuolen evästeiden listaaminen ei riitä, jos sivustolla on esimerkiksi upotettuja videoita tai mainosverkoston koodia, jotka asettavat omia evästeitään. Vastuu suostumuksen pyytämisestä on sivuston ylläpitäjällä myös silloin, kun evästeen asettaa teknisesti kolmas osapuoli, ei vain silloin, kun eväste on sivuston oma.

Mitä GDPR vaatii markkinoinnilta?

Kun evästeillä tai muilla tunnisteilla kerätty tieto muodostaa henkilötiedon — esimerkiksi kun kävijästä kerätään riittävästi tietoa yksilöimiseen tai profilointiin — käsittelyyn sovelletaan myös yleistä tietosuoja-asetusta (GDPR) evästelain lisäksi. Suostumuksen on tällöin täytettävä GDPR:n 4 ja 7 artiklan vaatimukset: sen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, ja rekisterinpitäjän on pystyttävä osoittamaan, että se on saatu. Käyttäjällä on oikeus peruuttaa suostumus milloin tahansa, eikä peruuttaminen vaikuta ennen sitä tehdyn käsittelyn lainmukaisuuteen. Kun kerätyt tiedot ovat henkilötietoja, sovelletaan myös GDPR:n 13 artiklan informointivelvoitetta.

Kahdella viranomaisella on eri roolit: Traficom valvoo, että evästeiden tallentamiseen ja käyttöön ylipäätään on pätevä suostumus tai välttämättömyysperuste (sähköisen viestinnän palveluista annetun lain 205 §). Tietosuojavaltuutettu valvoo henkilötietojen käsittelyä yleisesti GDPR:n nojalla, esimerkiksi silloin, kun evästeillä kerättyä tietoa käytetään profilointiin tai kohdennettuun markkinointiin. Traficomin opas on laadittu yhteistyössä tietosuojavaltuutetun toimiston kanssa, jotta ohjeistus olisi yhtenäinen.

Käytännössä tämä tarkoittaa markkinoinnille kahta erillistä tarkistusta: ensin pitää olla pätevä eväste- tai tunnistesuostumus itse seurantatekniikan käyttöön (Traficomin valvoma kysymys), ja sen jälkeen kerätyn tiedon käsittelyn — esimerkiksi kohderyhmän rakentamisen uudelleenmarkkinointia varten tai konversioiden yhdistämisen yksittäiseen kävijään — pitää täyttää GDPR:n vaatimukset erikseen, jos kerätty tieto on henkilötietoa. Yksi pätevä suostumus ei automaattisesti kata molempia, jos suostumuspyyntö on muotoiltu vain toista tarkoitusta varten.

Mitä third-party-evästeiden loppuminen tarkoittaa?

Kolmannen osapuolen evästeiden loppumisesta on puhuttu vuosia, mutta tilanne on selaimittain erilainen — se ei poista evästesuostumuksen tarvetta kummassakaan tapauksessa:

• Chrome ilmoitti huhtikuussa 2025, ettei se lopulta poista kolmannen osapuolen evästeitä käytöstä eikä ota käyttöön niille erillistä valintakehotetta, vaan säilyttää nykyisen mallin, jossa käyttäjä hallitsee evästeitä selaimen omista asetuksista.
• Safari on estänyt kaikki kolmannen osapuolen evästeet oletuksena vuodesta 2020, ja Firefox estää oletuksena tunnetut seurantaevästeet.

Katso uudelleenmarkkinointi -sivulta tarkemmin, mitä tämä käytännössä tarkoittaa kohdennetulle mainonnalle. Tämän sivun kannalta olennaista on, ettei kumpikaan tilanne muuta Suomen evästelainsäädäntöä: vaikka selain teknisesti sallisi kolmannen osapuolen evästeet, sivuston pitää silti kysyä niihin suostumus erikseen — selaimen oma oletuskäytös ei koskaan ole se suostumus, jota laki edellyttää.

Näin pyydät suostumuksen oikein

1. Listaa käytössä olevat evästeet ja tekniikat ja luokittele ne välttämättömiin ja ei-välttämättömiin juuri oman palvelun näkökulmasta.
2. Rakenna banneri tai vastaava mekanismi, joka näyttää tiedot ja pyytää suostumuksen ennen kuin mitään muuta kuin välttämättömiä evästeitä asetetaan.
3. Tarjoa yhtä helppo hylkäysvaihtoehto kuin hyväksymisvaihtoehto samalla tasolla, ilman valmiiksi rastitettuja ruutuja.
4. Anna mahdollisuus tarkempiin valintoihin evästetyypeittäin niiden käyttäjien kohdalla, jotka eivät halua tehdä kertavalintaa.
5. Tarjoa tapa peruuttaa tai muuttaa valinta myöhemmin — esimerkiksi sivupohjalla pysyvästi näkyvä kuvake tai linkki, joka avaa evästeasetukset uudelleen.
6. Tallenna näyttö suostumuksen antamisesta: milloin, miten ja mitä tietoja annettiin, jotta valinta voidaan tarvittaessa osoittaa jälkikäteen.
7. Kysy suostumus uudelleen, jos sivustolla käyttöön otettavat evästeet muuttuvat oleellisesti.

Lähteet

• Traficom: Evästeohjeistus palveluntarjoajille
• Traficomin opas palveluntarjoajille (PDF)
• Google Privacy Sandbox: päivitys kolmannen osapuolen evästeiden tilanteesta