Mikä on suostumuksenhallinta-alusta (CMP)?

Suostumuksenhallinta-alusta (CMP, consent management platform) on ohjelmisto, joka kysyy sivustosi kävijöiltä, hyväksyvätkö he evästeet ja vastaavan seurannan, pidättää kaiken suostumusta vaativan, kunnes he vastaavat, ja kirjaa, mitä he valitsivat. Monet myös tuottavat evästeluettelon, jota käytäntösi tarvitsee, ja välittävät valinnan eteenpäin esimerkiksi Google Analyticsin kaltaisille työkaluille. Banneri on se osa, jonka näet; CMP on koneisto sen takana.

Termi ei ole pelkkää myyjien jargonia. Ranskan CNIL käyttää sitä evästesuosituksessaan, jossa se esittää yhdeksi tavaksi osoittaa suostumuksen asianmukainen keruu sen, että CMP:n tarjoava yritys säilyttää CMP:n peräkkäiset konfiguraatiot aikaleimattuina.

Miksi sivustot tarvitsevat sellaisen

EU:ssa sähköisen viestinnän tietosuojadirektiivin (ePrivacy-direktiivi) 5 artiklan 3 kohta sallii sivuston tallentaa tietoja kävijän laitteelle tai lukea niitä sieltä vain kävijän suostumuksella, paitsi jos se on ehdottoman välttämätöntä kävijän pyytämän palvelun kannalta tai sen ainoa tarkoitus on viestinnän välittäminen. EU:n yleinen tietosuoja-asetus (GDPR) määrittelee sitten, mitä suostumus on: ”vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen” tahdonilmaisu, joka tapahtuu ”antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen”. Britanniassa vastaava sääntö on PECR:ssä.

Sivustolla, jolla on tagienhallinta, analytiikkatyökalu, mainospikseli ja pari upotettua videota, säännön noudattaminen käsin on lähes mahdotonta. Juuri tämän työn CMP ottaa hoitaakseen.

Mitä CMP tekee

Se näyttää valinnan. Banneri, joka tarjoaa Hyväksy- ja Hylkää-vaihtoehdot samalla tasolla sekä tavan valita luokittain. Kun Euroopan tietosuojaneuvoston (EDPB) evästebannerityöryhmä kartoitti Euroopan valvontaviranomaisten kantoja, ”valtaosa” piti rikkomuksena sitä, että bannerin jollakin tasolla on hyväksymispainike mutta ei mahdollisuutta kieltäytyä. Sama raportti vahvistaa, että valmiiksi rastitetut ruudut eivät tuota pätevää suostumusta.

Se estää ennen suostumusta. Suostumusta vaativien evästeiden ja skriptien on odotettava, kunnes kävijä antaa suostumuksensa. Ilman suostumusta asetetut evästeet olivat syynä CNIL:n vuonna 2025 SHEINille määräämään 150 miljoonan euron sakkoon, ja katsauksemme siihen, mistä valvojat oikeasti rankaisevat, näyttää, kuinka usein sama asia toistuu.

Se kirjaa päätöksen. GDPR:n 7 artiklan 1 kohdan mukaan ”rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen”. CMP tallentaa, mitä kukin kävijä valitsi ja milloin.

Se antaa kävijän muuttaa mieltään. 7 artiklan 3 kohta lisää: ”Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.” Käytännössä se tarkoittaa linkkiä tai kuvaketta, joka avaa valinnan uudelleen millä tahansa sivulla.

Se selittää evästeet. Suostumus on pätevä vain, jos se on tietoinen, joten bannerin ja evästekäytännön on kerrottava, mitä evästeitä sivusto käyttää ja miksi. Se, mitkä niistä ylipäätään vaativat suostumuksen, riippuu käyttötarkoituksesta, ja siitä kerrotaan kirjoituksessa mitkä evästeet vaativat suostumuksen.

Se välittää valinnan eteenpäin. Muiden työkalujen on tiedettävä, mitä kävijä päätti:

Signaali	Mitä se välittää	Kuka sitä odottaa
Google Consent Mode	Neljä suostumustyyppiä: `ad_storage`, `analytics_storage`, `ad_user_data` ja `ad_personalization`	Google-tagit. ETA:n kävijöiden osalta Google sanoo, että sinun ”on kerättävä suostumus” ja jaettava suostumussignaalit, jotta voit jatkaa sen mittaus-, mainosten personointi- ja uudelleenmarkkinointiominaisuuksien käyttöä (Google)
Global Privacy Control (GPC)	Selainsignaali, joka pyytää sivustoja olemaan myymättä tai jakamatta kävijän tietoja	Kalifornian oikeusministerin mukaan lain piiriin kuuluvien yritysten ”on kunnioitettava sitä pätevänä kuluttajan pyyntönä” (OAG)
IAB Europen TCF	Vakiomuotoinen suostumusmerkkijono mainostoimittajille	Google edellyttää Googlen sertifioimaa, TCF:ään integroitua CMP:tä personoiduille mainoksille AdSensen, Ad Managerin tai AdMobin kautta ETA:ssa, Britanniassa ja Sveitsissä (Google)

Consent Mode ei kysy kävijältä mitään. Googlen dokumentaatio olettaa, että hankit valinnan ensin bannerilla, omalla ratkaisullasi tai CMP:llä ja välität sen sitten eteenpäin.

Mitä CMP ei tee

Eurooppalaiselle sivustolle, joka käyttää analytiikkaa tai mainontaa, CMP on käytännöllinen tapa noudattaa sääntöä. Yksinään se ei riitä, ja myyjä, joka väittää muuta, liioittelee.

Se ei tee sinusta vaatimustenmukaista. CMP, jossa Hylkää on piilotettu tai markkinointieväste on luokiteltu välttämättömäksi, kerää suostumusta, joka ei ole pätevä.
Se hallitsee vain sitä, mistä se tietää. Suoraan sivupohjaan liitetty skripti tai markkinoijan ensi kvartaalilla lisäämä tagi voi jäädä sen ulkopuolelle. Lisäksi se päättää, ajetaanko tagi, ei sitä, mitä tagi tekee käynnistyttyään: Apoteketin tapauksessa suostumusportti toimi, ja silti Meta Pixel lähetti Metalle markkinointievästeet hyväksyneiden asiakkaiden nimet, osoitteet ja ostokset.
Se ei näe palvelimiasi. Tiedot, jotka taustajärjestelmäsi lähettää mainosalustalle, eivät koskaan kulje bannerin kautta.
Se ei päätä puolestasi. Mitkä evästeet ovat välttämättömiä, mikä oikeusperuste koskee niitä seuraavaa käsittelyä ja mitä tietosuojaselosteesi sanoo, jäävät sinun päätettäviksesi.

Miten valita CMP

Kysymys	Miksi sillä on väliä
Estääkö se ennen suostumusta?	Testaa: avaa yksityinen ikkuna, avaa DevTools ja katso evästeet ennen kuin kosket banneriin. Evästetarkistimemme tekee saman yhdelle URL-osoitteelle.
Onko Hylkää ensimmäisellä tasolla ja yhtä helppo kuin Hyväksy?	Useimmat eurooppalaiset valvontaviranomaiset pitävät puuttuvaa kieltäytymisvaihtoehtoa rikkomuksena, kuten yllä.
Löytääkö se evästeesi puolestasi?	Käsin ylläpidetty evästeluettelo vanhenee seuraavan kerran, kun joku lisää tagin.
Mitä lakeja se tukee?	EU ja Britannia edellyttävät opt-in-suostumusta. Yhdysvaltain osavaltioiden lait, kuten CCPA, edellyttävät opt-out-mahdollisuutta ja GPC:n kunnioittamista.
Mitä signaaleja tarvitset?	Consent Mode v2, jos käytät Google Adsia tai Analyticsia; TCF, jos myyt personoituja mainoksia Googlen julkaisijatuotteiden kautta.
Missä suostumuskirjauksia säilytetään?	Ne sisältävät IP-osoitteita ja valintoja, eli henkilötietoja.
Paljonko se kuormittaa sivujasi?	Jokainen kävijä lataa skriptin ennen mitään muuta.

Ylläpidämme Katlan ja muiden CMP:iden rinnakkaisvertailuja, joissa kunkin kilpailijan tiedot on otettu sen omilta julkisilta sivuilta, vertailusivuillamme.

Vinkki

Ennen kuin vertailet ominaisuuksia, tarkista se yksi asia, jota jokainen CMP väittää tekevänsä: lataa oma sivustosi yksityisessä ikkunassa ja katso, onko siellä jo jokin analytiikka- tai mainoseväste ennen kuin klikkaat mitään.

Mihin Katla sopii

Katla on CMP, ja tässä suoraan, mitä se tekee tänään. Siinä on kaksi suostumustilaa, GDPR (opt-in) ja US State Laws (CCPA, opt-out), ja Auto valitsee niiden välillä kävijän aikavyöhykkeen perusteella. Hyväksy kaikki, Hylkää ja Mukauta ovat rinnakkain ensimmäisellä tasolla, eikä mitään ole valittu valmiiksi. GDPR-tilassa evästevahti estää muut kuin toiminnalliset evästeet ennen suostumusta ja poistaa ne, jotka oli asetettu ennen kuin se käynnistyi, ja skriptit, joilla on data-katla-category-attribuutti, odottavat, kunnes niiden luokka on hyväksytty.

Se lähettää Google Consent Mode v2 -signaalit ja kunnioittaa GPC:tä (ei Do Not Trackia). Suostumuskirjauksiin tallentuu kunkin kävijän viimeisin päätös luokkineen, ajankohtineen ja katkaistuine IP-osoitteineen, ja kaikki on isännöity EU:ssa, Frankfurtissa. Katla myös skannaa sivustosi, luokittelee jokaisen evästeen tekoälyllä ja luo löytämänsä pohjalta evästekäytännön 13 kielellä.

Se ei tue IAB TCF:ää. Jos tarvitset personoituja mainoksia AdSensen tai Ad Managerin kautta eurooppalaisille kävijöille, tarvitset TCF-sertifioidun CMP:n, eikä Katla ole sellainen.

Tämä kirjoitus selittää, mitä suostumuksenhallinta-alustat tekevät. Se ei ole oikeudellista neuvontaa.