Tietosuojaseloste vs. evästekäytäntö vs. evästebanneri

Käytä tätä nopeaa päätöspolkua:

1. Laske sivustosi lataamat muut kuin välttämättömät työkalut: analytiikka, mainospikselit, chat-widgetit, upotetut videot ja testaustyökalut.
2. Jos niitä on vain muutama ja ne muuttuvat harvoin, sijoita evästeosio tietosuojaselosteeseen.
3. Jos niitä on paljon tai markkinointitiimisi lisää tageja usein, julkaise erillinen evästesivu ja linkitä siihen sekä tietosuojaselosteesta että suostumustyökalustasi.
4. Valitsitpa kumman tahansa, nimeä jokainen työkalu johdonmukaisesti ja anna käyttäjille yksi selvä paikka valintojen muuttamiseen.

On vielä yksi vaihtoehto, jonka moni pieni sivusto unohtaa: käytä vähemmän seurantatekniikoita. Jokainen poistamasi tagi on yksi ylläpidettävä tieto, yksi kerättävä suostumus ja yksi arvioitava toimittaja vähemmän. Yksityisyyttä kunnioittavat analytiikka-asetukset, itse isännöidyt fontit ja klikkauksella latautuvat videoupotukset voivat lyhentää evästeluetteloasi huomattavasti.

Jos rakennat sivustoa alusta asti, oppaamme verkkosivuston tietosuojaselosteen laatimisesta käy läpi koko prosessin, mukaan lukien sen, mihin evästetiedot sijoittuvat.

Tietosuojaseloste kattaa kaikki tavat, joilla käsittelet henkilötietoja: lomakkeet, käyttäjätilit, ostot, sähköpostit, asiakastuen, analytiikan, mainonnan ja paljon muuta. Se selittää tarkoitukset, käsittelyperusteet, vastaanottajat, siirrot, säilytysajat ja oikeudet.

Evästekäytäntö kattaa suppeamman kysymyksen: mitkä tekniikat tallentavat tietoa kävijän laitteelle tai käyttävät sitä, ja miksi. Näitä ovat:

• HTTP-evästeet, sekä ensimmäisen että kolmannen osapuolen evästeet
• paikallinen tallennustila (local storage) ja istuntotallennustila (session storage)
• seurantapikselit ja verkkomajakat (web beacons)
• SDK:t ja skriptit, jotka lukevat laitetunnisteita
• sormenjälkitekniikat (fingerprinting)

Päällekkäisyys on suuri. Useimmat analytiikka- ja mainosevästeet käsittelevät henkilötietoja, joten ne kuuluvat tietosuojaselosteeseen joka tapauksessa. Evästekäytäntö tuo lisää yksityiskohtia: yksittäiset työkalut tai evästeiden nimet, voimassaoloajat ja ohjeet valintojen muuttamiseen.

Rehellinen vastaus kysymykseen tietosuojaseloste vai evästekäytäntö on siis, että evästekäytäntö on yleensä tietosuojaselosteen erikoistunut laajennus eikä erillinen oikeudellinen järjestelmä, jolla olisi oma asiakirjavaatimuksensa. Todelliset oikeudelliset kysymykset ovat, ovatko tietosi kattavat ja onko sinulla suostumus siellä, missä laki sitä edellyttää.

Laki ei sitä vaadi. Velvollisuus on antaa selkeät ja kattavat tiedot, jotka ihmiset löytävät helposti. Se, missä nämä tiedot ovat, on sinun valintasi.

Tietosuojaselosteen sisäinen osio toimii hyvin, kun:

• käytät vain muutamaa työkalua, kuten yhtä analytiikkapalvelua ja välttämättömiä istuntoevästeitä
• evästetiedot mahtuvat lyhyeen luetteloon tai taulukkoon
• haluat ylläpitää vain yhtä asiakirjaa

Erillinen evästekäytäntösivu toimii paremmin, kun:

• lataat monia tageja, pikseleitä tai mainostoimittajia
• toimittajaluettelo muuttuu usein ja haluat päivittää sen julkaisematta koko tietosuojaselostetta uudelleen
• suostumustyökalusi linkittää yksityiskohtaiseen evästeluetteloon

Jos jaat tiedot kahteen paikkaan, linkitä sivut toisiinsa ja käytä jokaisesta työkalusta samaa nimeä. Tietosuojaseloste, jonka mukaan et käytä mainosevästeitä, ja sen vieressä evästeluettelo, jossa näkyy mainospikseli, on juuri sellainen ristiriita, jonka valvontaviranomaiset ja valitusalttiit kävijät huomaavat.

Sitä, tarvitsetko lisäksi evästebannerin, käsitellään erikseen artikkelissa tarvitaanko evästebanneri.

Olipa kyse erillisestä sivusta tai tietosuojaselosteen osiosta, hyödyllinen evästeitä koskeva selvitys kattaa:

1. Mitä tekniikat ovat selkeällä kielellä: evästeet, paikallinen tallennustila, pikselit, SDK:t.
2. Luokat ja tarkoitukset: välttämättömät, asetukset, analytiikka, mainonta ja se, mitä kukin niistä todella tekee sivustollasi.
3. Kuka ne asettaa: omat ensimmäisen osapuolen evästeesi ja nimetyt kolmannet osapuolet, kuten analytiikka- tai mainospalvelun tarjoaja.
4. Voimassaoloaika: vain istunnon ajan tai kuinka kauan kukin säilyy.
5. Suostumus ja valinnat: mitkä luokat edellyttävät suostumusta, miten sen voi antaa tai evätä ja miten sen voi myöhemmin peruuttaa.
6. Selaimen asetukset: viittaus selaimen asetuksiin ja mahdollisiin kieltäytymistyökaluihin, joita todella tuet.
7. Linkit: tietosuojaselosteeseesi oikeuksia, käsittelyperusteita, siirtoja ja yhteystietoja varten.
8. Viimeisimmän päivityksen päivämäärä.

Pieni esimerkki yhdestä merkinnästä: ”Analytiikka. Analytiikkapalvelumme asettaa evästeitä, jotka tallentavat katsotut sivut ja käynnin keston, jotta ymmärrämme, miten sivustoa käytetään. Asetetaan vain suostumuksellasi. Vanhenee 12 kuukauden kuluttua.” Tämä on täsmällistä, todennettavissa olevaa ja rehellistä.

Työkalukohtaisia sanamuotoja löydät oppaista analytiikan tietosuojatiedot ja Google Analyticsin tietosuojaseloste-opas.

Nämä kolme asiaa sekoitetaan usein toisiinsa:

• Evästebanneri tai suostumustyökalu: käyttöliittymä, joka pyytää suostumusta ennen kuin muut kuin välttämättömät tekniikat latautuvat, ja jonka avulla käyttäjät voivat muuttaa valintaansa myöhemmin. Se koskee sivustosi toimintaa.
• Evästekäytäntö tai evästeosio: kirjallinen selvitys tekniikoista, tarkoituksista, palveluntarjoajista ja voimassaoloajoista. Se koskee tietoja.
• Tietosuojaseloste: kattava ilmoitus kaikesta henkilötietojen käsittelystä, evästeet mukaan lukien silloin, kun niihin liittyy henkilötietoja.

Banneri ilman käytäntöä pyytää käyttäjiä suostumaan johonkin, mistä he eivät voi lukea. Käytäntö ilman banneria siellä, missä suostumus vaaditaan, selittää mitä teet, mutta ei tee siitä lainmukaista. EU:ssa ja Britanniassa sivusto, joka käyttää analytiikka- tai mainosevästeitä, tarvitsee yleensä molemmat: suostumuksen toimivan mekanismin kautta ja tiedot käytännön kautta.

Työkaluista selvyyden vuoksi: Legal Policy Generator kirjoittaa tietosuojaselosteen tekstin, mukaan lukien eväste-, analytiikka- ja seurantatiedot vastaustesi perusteella. Se ei tarjoa evästebanneria eikä suostumustenhallintatyökalua. Yhdistät selosteen valitsemaasi suostumusmekanismiin ja varmistat, että molemmat kuvaavat samat työkalut samalla tavalla.

EU:ssa sääntö tulee sähköisen viestinnän tietosuojadirektiivin (ePrivacy-direktiivi) 5 artiklan 3 kohdasta. Tietojen tallentaminen käyttäjän laitteelle tai pääsy laitteelle jo tallennettuihin tietoihin on sallittua vain, jos käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot erityisesti käsittelyn tarkoituksista. Poikkeukset koskevat tallentamista tai pääsyä, joka on tarpeen yksinomaan viestinnän välittämiseksi tai ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Euroopan tietosuojaneuvoston ohjeet 2/2023 vahvistavat, että sääntö ulottuu perinteisiä evästeitä pidemmälle ja koskee myös esimerkiksi seurantapikseleitä, seurantalinkkejä, paikallista tallennustilaa ja joitakin laitteen sormenjälkitekniikoita.

Yhdistyneessä kuningaskunnassa vastaavan säännön asettaa Privacy and Electronic Communications Regulations -asetuksen 6 kohta. Britannian tietosuojaviranomaisen ICO:n voimassa oleva ohjeistus tallennus- ja käyttötekniikoista edellyttää, että tiedot kattavat käytetyt tekniikat, niiden tarkoitukset, mukana olevat kolmannet osapuolet ja sen, kuinka kauan tietoja säilytetään. Britannia on myös lisännyt suostumussääntöönsä joitakin uusia poikkeuksia, joten tarkista yksityiskohdat ICO:n ajantasaisesta ohjeistuksesta.

Kun evästeisiin liittyy henkilötietoja, myös GDPR:n ja Britannian GDPR:n 12–14 artiklan läpinäkyvyysvelvoitteet ovat voimassa. Mikään näistä säännöistä ei määrää asiakirjan otsikkoa.

Yhdysvaltain laissa ei ole ePrivacy-direktiivin kaltaista yleistä evästesuostumussääntöä, mutta evästeitä koskevilla tiedoilla on silti merkitystä.

• CalOPPA edellyttää, että kaupallisen verkkosivuston tietosuojaselosteessa kerrotaan, miten sivusto reagoi selaimen Do Not Track -signaaleihin ja voivatko muut osapuolet kerätä henkilön tunnistettavia tietoja käyttäjien verkkotoiminnasta ajan mittaan ja eri verkkosivustoilla.
• CCPA ja CPRA pitävät evästeiden kautta kerättyjä tunnisteita henkilötietoina. Tietosuojaselosteessasi on kuvattava keräämäsi tietoluokat ja se, myytkö tai jaatko henkilötietoja, mihin voi kuulua monia kontekstien välisen mainonnan järjestelyjä, sekä se, miten ihmiset voivat kieltäytyä.
• Muut osavaltioiden tietosuojalait edellyttävät vastaavaa ilmoitusta kohdennetusta mainonnasta ja oikeudesta kieltäytyä siitä.

Mikään näistä ei vaadi erikseen nimettyä evästekäytäntöä. Hyvin jäsennelty evästeitä ja seurantaa koskeva osio tietosuojaselosteessa hoitaa yleensä tietojen antamisen, kun taas kieltäytymislinkit ja preferenssisignaalit hoidetaan itse sivustolla.

Lisätietoja löydät oppaista CCPA:n ja CPRA:n tietosuojaselostevaatimukset ja mainonnan tietosuojatiedot.

Evästetiedot vanhenevat nopeammin kuin lähes mikään muu tietosuojaselosteen osa, koska markkinointityökalut muuttuvat usein ilman koodikatselmointia. Luo yksinkertainen rutiini:

• Skannaa säännöllisesti. Avaa sivustosi puhtaalla selainprofiililla, kieltäydy ensin suostumuksesta ja hyväksy se sitten, ja listaa, mitä kummassakin tilassa latautuu.
• Tarkista jokainen uusi tagi. Lisää tietojen tarkistus jokaisen uuden pikselin, upotuksen tai skriptin julkaisun tarkistuslistaan.
• Vertaa selostetta, banneria ja todellisuutta. Kaikkien kolmen pitäisi nimetä samat työkalut.
• Päivitä päivämäärä aina, kun luettelo muuttuu.

Kun luot selosteen Legal Policy Generatorilla, kerrot sille, mitä analytiikka-, mainos- ja seurantatekniikoita käytät, ja eväste- ja seurantatiedot muodostuvat näiden vastausten perusteella. Kun työkalusi muuttuvat, päivitä vastaukset ja luo seloste uudelleen sen sijaan, että paikkaisit tekstiä käsin. Kysely ja koko esikatselu ovat maksuttomia ilman tiliä, ja yksinkertainen HTML- tai PDF-lataus on maksuton.

Luotu teksti heijastaa vastauksiasi eikä ole oikeudellista neuvontaa. Itse suostumus on edelleen hoidettava sivustosi suostumusmekanismilla.