Tarvitaanko evästebanneri? Suostumussäännöt alueittain

Käy nämä vaiheet läpi uudessa yksityisessä selainikkunassa kehittäjätyökalut avattuina:

1. Listaa jokainen eväste ja tallennettu kohde, jonka sivustosi asettaa, sekä jokainen kolmannen osapuolen pyyntö, jonka se tekee ennen kuin napsautat mitään.
2. Luokittele jokainen: ehdottoman välttämätön, asetukset, analytiikka, mainonta tai upotettu sisältö.
3. Tarkista, missä kävijäsi ovat. Jos sinulla on kävijöitä EU:sta tai Britanniasta, suostumussäännöt koskevat vapauttamattomia kohteita. Jos palvelet vain Yhdysvaltoja, keskity kieltäytymisoikeuksiin ja tietojen antamiseen.
4. Sovella poikkeuksia rehellisesti. Tarkista Britanniassa tilastollisten ja ulkoasua koskevien poikkeusten ehdot. Tarkista EU-maissa analytiikkaa koskeva kansallinen ohjeistus.
5. Päätä. Jos EU- tai UK-kävijöille jää jotain vapauttamatonta, tarvitset suostumusbannerin, joka estää sen, kunnes ihmiset suostuvat.
6. Päivitä tietosuojaseloste niin, että se kuvaa evästeet, suostumuskäytännön ja valintojen muuttamisen.

Jos lista on lyhyt, harkitse työkalujen poistamista bannerin lisäämisen sijaan. Itse isännöidyt fontit, napsautuksella latautuvat upotukset ja käyttämättömien pikseleiden poistaminen voivat jättää jäljelle vain välttämättömät evästeet. Itse selosteesta kerrotaan oppaassa miten luodaan tietosuojaseloste verkkosivustolle.

Ehdottoman välttämättömien evästeiden poikkeus on suppeampi kuin moni banneri antaa ymmärtää. Kysy, lakkaisiko käyttäjän pyytämä palvelu toimimasta ilman evästettä, ja katso asiaa käyttäjän eikä yrityksen näkökulmasta.

Yleensä vapautettuja:

• Istuntoevästeet, jotka pitävät käyttäjän kirjautuneena tai muistavat ostoskorin.
• Tietoturvaevästeet, jotka estävät petoksia tai suojaavat kirjautumislomakkeita.
• Kuormantasausevästeet, jotka ohjaavat pyyntöjä.
• Eväste, joka muistaa kävijän suostumusvalinnan.
• Joidenkin valvontaviranomaisten tulkinnan mukaan asetukset, jotka käyttäjä on itse valinnut kyseiseen palveluun, kuten kieli.

Yleensä ei vapautettuja:

• Mainonta-, uudelleenkohdennus- ja sosiaalisen median pikselit.
• Useimmat kolmannen osapuolen analytiikkatyökalut.
• Upotetut videot ja some-julkaisut, jotka asettavat omia evästeitään.
• A/B-testaus- ja personointityökalut.

Jotkin valvontaviranomaiset tunnustavat kapean välimaaston. Esimerkiksi Ranskan CNIL hyväksyy, että kävijämittaus voi olla vapautettu, kun se rajoittuu tiukasti sivuston mittaamiseen julkaisijaa varten, tuottaa anonyymejä tilastoja eikä seuraa ihmisiä sivustolta toiselle, ja evästeen elinikään ja tietojen säilytykseen liittyy ehtoja. Tarkista kunkin kohdemaasi ohjeistus, ennen kuin nojaat tällaiseen poikkeukseen.

Jos tarvitset suostumuksen, bannerin on kerättävä se asianmukaisesti. Euroopan valvontaviranomaiset ovat olleet yksiselitteisiä yleisimmistä virheistä. Euroopan tietosuojaneuvoston Cookie Banner Taskforce -raportin mukaan useimmat viranomaiset pitävät rikkomuksena banneria, jonka ensimmäisellä tasolla ei ole hylkäysvaihtoehtoa hyväksymisvaihtoehdon rinnalla, ja raportti kritisoi harhaanjohtavia painikemalleja sekä evästeitä, jotka on virheellisesti merkitty välttämättömiksi.

Käytännön tarkistuslista:

• Estä ennen suostumusta: ei-välttämättömät evästeet ja skriptit eivät saa latautua ennen kuin kävijä suostuu.
• Hylkääminen yhtä helpoksi kuin hyväksyminen: tarjoa ensimmäisellä tasolla hylkäys- tai kieltäytymispainike hyväksymispainikkeen rinnalla.
• Ei valmiiksi rastitettuja ruutuja: luokat ovat aluksi pois päältä.
• Yksityiskohtaiset valinnat: anna ihmisten hyväksyä analytiikka hyväksymättä mainontaa.
• Selkeät tiedot: nimeä tarkoitukset ja mukana olevat kolmannet osapuolet ja linkitä tietosuojaselosteeseesi.
• Helppo peruuttaminen: pysyvä linkki, kuten Evästeasetukset, antaa ihmisten muuttaa mielensä yhtä helposti kuin he antoivat suostumuksen.
• Kirjanpito: säilytä näyttö suostumuksesta silloin, kun nojaat siihen.

Eurooppalaisen ohjeistuksen mukaan myöskään evästemuurit, jotka estävät pääsyn, ellei kävijä hyväksy, eivät yleensä tuota pätevää suostumusta. Banneri, joka toteaa vain ”käyttämällä tätä sivustoa hyväksyt evästeet”, epäonnistuu lähes jokaisessa tämän listan kohdassa.

EU:n sääntö tulee sähköisen viestinnän tietosuojadirektiivin (ePrivacy-direktiivi) 5 artiklan 3 kohdasta, ei itse GDPR:stä. Sen mukaan tietojen tallentaminen käyttäjän laitteelle tai pääsy laitteelle jo tallennettuihin tietoihin on sallittua vain, jos käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot. Kukin EU-maa panee direktiivin täytäntöön omalla lainsäädännöllään, joten yksityiskohdat vaihtelevat hieman.

Poikkeuksia on kaksi:

1. Tallentaminen tai pääsy, jonka ainoa tarkoitus on viestin välittäminen verkossa.
2. Tallentaminen tai pääsy, joka on ehdottoman välttämätöntä, jotta palveluntarjoaja voi tarjota käyttäjän nimenomaisesti pyytämän palvelun.

Kolme asiaa yllättää monet sivustojen omistajat:

• Kyse ei ole vain evästeistä. Paikallinen tallennustila, pikselit, SDK:t ja laitteen sormenjälkitekniikat voivat kaikki kuulua säännön piiriin.
• Sääntö pätee riippumatta siitä, ovatko tiedot henkilötietoja. Ratkaisevaa on pääsy laitteeseen.
• Suostumus noudattaa GDPR:n vaatimuksia. Sen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen, ja se on annettava selkeällä myöntävällä toimella. Planet49-tapauksessa EU:n tuomioistuin katsoi, että valmiiksi rastitettu valintaruutu ei muodosta pätevää suostumusta.

Usein kyllä, mutta Britannian säännöt muuttuivat. ePrivacy-säännön brittiläinen vastine on Privacy and Electronic Communications Regulations -asetuksen 6 kohta. Data (Use and Access) Act 2025 muutti sitä, ja asiaa koskevat säännökset tulivat voimaan 5. helmikuuta 2026.

ICO:n ohjeistus kuvaa nyt viisi poikkeusta suostumusvaatimuksesta:

1. Viestintä: ainoastaan viestin välittämiseksi.
2. Ehdottoman välttämätön: olennainen käyttäjän pyytämän palvelun tarjoamiseksi.
3. Tilastolliset tarkoitukset: ainoastaan tilastotietojen keräämiseksi palvelun käytöstä sen parantamista varten.
4. Ulkoasu: ainoastaan palvelun ulkoasun tai toimintojen mukauttamiseksi käyttäjän mieltymysten mukaan.
5. Hätäapu: ainoastaan laitteen paikantamiseksi hätäavun antamista varten.

Tilastollisiin ja ulkoasua koskeviin poikkeuksiin liittyy ehtoja. Sinun on annettava selkeät ja kattavat tiedot sekä yksinkertainen ja maksuton tapa vastustaa. Analytiikan osalta ICO toteaa, että tiedot on koostettava, niitä ei saa käyttää ihmisten seuraamiseen, profilointiin tai mainontaan, ja mahdollinen kolmannen osapuolen palveluntarjoaja saa toimia vain sinun puolestasi eikä käyttää tietoja omiin tarkoituksiinsa. Verkkomainonta ei koskaan täytä ehtoja. Brittiläinen sivusto, joka käyttää vain ensimmäisen osapuolen koostettua analytiikkaa, voi siis välttyä suostumuskyselyltä, mutta useimmat mainosratkaisut tarvitsevat sen edelleen.

Yhdysvalloissa ei ole yleistä lakia, joka edellyttäisi ennakkosuostumusta ennen evästeiden asettamista. Yhdysvaltain malli keskittyy ilmoittamiseen ja kieltäytymismahdollisuuteen, joten eurooppalaistyylinen banneri ei usein ole lain edellyttämä, vaikka monet yhdysvaltalaiset yritykset käyttävät sellaista valintojen hallintaan.

Mitä Yhdysvaltain lait edellyttävät:

• Kalifornian CCPA: yritysten, jotka ylittävät sen kynnysarvot ja myyvät tai jakavat henkilötietoja, myös kontekstien välistä käyttäytymiseen perustuvaa mainontaa varten, on tarjottava kieltäytymismahdollisuus, tyypillisesti Do Not Sell or Share My Personal Information -linkki, ja noudatettava kieltäytymistä ilmaisevia selainsignaaleja, kuten Global Privacy Controlia.
• Muiden osavaltioiden tietosuojalait: monet antavat kuluttajille oikeuden kieltäytyä kohdennetusta mainonnasta, ja useat edellyttävät yritysten noudattavan yleisiä kieltäytymismekanismeja. Jotkin edellyttävät ennakkosuostumusta arkaluonteisille tiedoille.
• CalOPPA: edellyttää, että tietosuojaselosteesi kertoo, miten reagoit Do Not Track -signaaleihin ja voivatko kolmannet osapuolet kerätä tietoja kävijöiden verkkotoiminnasta eri sivustoilla ajan mittaan.
• COPPA: alle 13-vuotiaille lapsille suunnatut sivustot tarvitsevat yleensä todennettavan huoltajan suostumuksen ennen pysyvien tunnisteiden keräämistä käyttäytymiseen perustuvaa mainontaa varten.

Katso Yhdysvaltain osavaltioiden tietosuojalakien yleiskatsauksesta, mitkä osavaltiot koskevat sinua ja miten niiden kieltäytymissäännöt eroavat toisistaan.

Google lisää lain päälle omia sopimusvaatimuksiaan. Sen EU:n käyttäjien suostumuskäytäntö koskee loppukäyttäjiä Euroopan talousalueella, Britanniassa ja Sveitsissä. Jos käytät Googlen tuotteita, kuten Google Analyticsia, Google Adsia tai AdSenseä, sinun on hankittava oikeudellisesti pätevä suostumus evästeille tai muulle paikalliselle tallennukselle silloin, kun laki sitä edellyttää, sekä henkilötietojen keräämiselle, jakamiselle ja käytölle mainosten personointia varten. Sinun on myös säilytettävä tiedot suostumuksista, annettava selkeät ohjeet suostumuksen peruuttamiseen ja yksilöitävä jokainen osapuoli, joka voi kerätä, vastaanottaa tai käyttää henkilötietoja.

Kaksi käytännön seurausta:

• Julkaisijat: Google edellyttää, että AdSenseä, Ad Manageria tai AdMobia käyttävät julkaisijat käyttävät Googlen sertifioimaa suostumustenhallinta-alustaa näyttäessään mainoksia käyttäjille ETA-alueella ja Britanniassa.
• Mainostajat ja analytiikan käyttäjät: Googlen suostumustila (consent mode) antaa bannerisi välittää tallennusta, mainosten käyttäjätietoja ja mainosten personointia koskevat suostumustilat Googlen tageille, jotka mukauttavat toimintaansa niiden mukaan.

Kuvaa tietosuojaselosteessasi kaikki, mitä otat käyttöön. Google Analyticsin tietosuojaselosteopas ja analytiikan tietosuojatiedot selittävät aiheeseen liittyvät selosteen sanamuodot.

Useimmiten kyllä, koska niillä on eri tehtävät. Banneri kerää tai tallentaa valinnat sillä hetkellä, kun joku saapuu sivustolle. Tietosuojaseloste selittää käsittelysi kokonaisuudessaan: mitä kukin työkalu kerää, miksi, kuka tiedot saa, kuinka kauan niitä säilytetään ja miten ihmiset voivat muuttaa mielensä.

Näiden kahden on oltava keskenään yhdenmukaiset. Jos selosteesi mukaan analytiikka käynnistyy vasta suostumuksen jälkeen, bannerin on todella estettävä se siihen asti. Jos tagit käynnistyvät ennen valintaa, selosteesi ei saa väittää muuta.

Legal Policy Generator kirjoittaa selosteen puolen, ei banneria. Se ei tarjoa evästebanneria eikä suostumustenhallintatyökalua. Sen kysely kysyy, mitä seurantatekniikoita käytät, käynnistyykö ei-välttämätön seuranta vasta suostumuksen jälkeen vai ennen suostumusta kieltäytymismahdollisuudella ja miten ihmiset voivat muuttaa asetuksiaan, ja valitsee sitten vastaavat lausekkeet palvelemillesi alueille. Voit aloittaa tietosuojaselostegeneraattorilla ja yhdistää tuloksen valitsemaasi suostumustyökaluun.

Jos haluat lisäksi erillisen evästeasiakirjan, lue tietosuojaseloste vai evästekäytäntö ja päätä, tuoko se sivustollesi lisäarvoa.