Mitkä evästeet vaativat suostumuksen ja mitkä eivät
EU:ssa ja Britanniassa eväste vaatii suostumuksen, ellei se ole ehdottoman välttämätön kävijän pyytämälle palvelulle. Esimerkit, ohjeet ja maiden erot.
EU:ssa ja Britanniassa eväste vaatii suostumuksen, ellei se ole ehdottoman välttämätön jonkin kävijän nimenomaisesti pyytämän asian tarjoamiseksi, kuten sisäänkirjautuneena pysymisen, ostoskorin säilymisen tai kävijän evästevalinnan muistamisen. Analytiikka, mainonta, A/B-testaus, useimpien chat-widgetien seuranta ja upotettujen videoalustojen asettamat evästeet vaativat ensin suostumuksen, lukuun ottamatta muutamaa kansallista poikkeusta tietosuojaystävälliselle mittaukselle. Yhdysvalloissa osavaltioiden tietosuojalait, kuten Kalifornian CCPA, eivät vaadi suostumusta ennen evästeitä lainkaan: ne vaativat tavan kieltäytyä (opt-out).
Sääntö: käyttötarkoitus ratkaisee
EU:n sääntö on sähköisen viestinnän tietosuojadirektiivin (ePrivacy-direktiivi) 5 artiklan 3 kohta. Minkä tahansa tallentaminen kävijän laitteelle tai lukeminen sieltä vaatii hänen suostumuksensa, kahta poikkeusta lukuun ottamatta: kun sen ”ainoana tarkoituksena on viestinnän välittäminen” tai kun se on ”ehdottoman välttämätöntä, jotta tilaajan tai käyttäjän nimenomaisesti pyytämän tietoyhteiskunnan palvelun tarjoaja voi tarjota palvelun”. Sääntö ei rajoitu evästeisiin: Euroopan tietosuojaneuvoston (EDPB) ohjeet sen teknisestä soveltamisalasta soveltavat sitä myös seurantapikseleihin, seurantalinkkeihin ja muihin tekniikoihin.
Kaksi tulkintaa tästä virkkeestä ratkaisee useimmat tapaukset. EDPB:n edeltäjä, 29 artiklan mukainen tietosuojatyöryhmä, kirjoitti lausunnossaan evästesuostumuksen poikkeuksesta, että ”evästeen käyttötarkoituksen eikä sen teknisen ominaisuuden pitäisi aina olla perusta, kun arvioidaan, voidaanko poikkeusta soveltaa”. Britannian ICO puolestaan sanoo, että välttämättömyyttä arvioidaan kävijän näkökulmasta: mainonta voi rahoittaa sivustosi, mutta ”mikään mainontatarkoitus ei täytä ehdottoman välttämättömän poikkeusta” (ICO).
Evästeet, jotka eivät vaadi suostumusta
| Eväste | Mitä se tekee | Kuka sanoo sen olevan vapautettu |
|---|---|---|
| Kirjautumisistunto | Pitää sisäänkirjautuneen kävijän tunnistettuna sivulta toiselle | 29 artiklan työryhmä, CNIL, ICO |
| Kuormantasaus | Ohjaa kävijän pyynnöt samalle palvelimelle | 29 artiklan työryhmä, CNIL, ICO |
| Ostoskori | Muistaa, mitä kävijä on lisännyt | 29 artiklan työryhmä, CNIL, ICO |
| Suostumuseväste | Muistaa itse kävijän evästevalinnan | CNIL, ICO |
| Kielivalinta | Muistaa kävijän valitseman kielen | 29 artiklan työryhmä, CNIL |
| CSRF-tunniste | Estää väärennetyt lähetykset lomakkeista, joita kävijä käyttää | 29 artiklan työryhmä, osana kävijän pyytämän palvelun tietoturvaa |
CNIL:n luettelo on sen vuoden 2020 suuntaviivoissa, ja sen ensimmäisenä kohtana ovat seurantatekniikat, jotka tallentavat kävijän oman valinnan seurantatekniikoista. ICO mainitsee esimerkkinä suostumusevästeen, joka muistaa asetukset ”(esim. 90 päivää)”, evästeenä, joka voi olla vapautettu, kunhan sitä ei käytetä mihinkään muuhun.
Jokaiseen poikkeukseen liittyy kaksi ehtoa. Eväste voi olla vapautettu vain, jos sen jokainen käyttötarkoitus on vapautettu: CNIL:n esimerkissä kirjautumiseväste voidaan asettaa ilman suostumusta, mutta sitä ei saa käyttää uudelleen mainontaan, ellei kävijä ole suostunut siihen. Lisäksi sen elinajan pitäisi vastata sen tehtävää: 29 artiklan työryhmän mukaan vapautetun evästeen ”on vanhennuttava, kun sitä ei enää tarvita”.
Evästeet, jotka vaativat suostumuksen
Analytiikka. 29 artiklan työryhmä oli suorasanainen: analytiikkaevästeet ”eivät ole ehdottoman välttämättömiä käyttäjän nimenomaisesti pyytämän toiminnon tarjoamiseksi”, koska ”käyttäjä pääsee käyttämään kaikkia sivuston tarjoamia toimintoja, vaikka tällaiset evästeet on poistettu käytöstä”. Muutama maa tekee suppeita poikkeuksia, joista kerrotaan alempana.
Mainonta ja uudelleenkohdennus. Kolmannen osapuolen mainosevästeitä ”ei voida vapauttaa suostumuksesta”, ja 29 artiklan työryhmä ulottaa tämän niihin liittyviin operatiivisiin käyttötarkoituksiin, kuten näyttökertojen rajoittamiseen (frequency capping) ja klikkauspetosten tunnistamiseen.
A/B-testaus. Mikään EU:n laajuinen poikkeus ei kata sitä, joten samalla perusteella kuin analytiikka se vaatii suostumuksen, paitsi jos kansallinen valvontaviranomainen linjaa toisin.
Chat-widgetit. Niitä ei mainita yllä olevissa ohjeissa, joten yleinen testi pätee. Eväste, joka pitää keskustelun käynnissä sen jälkeen, kun kävijä avaa chatin, palvelee jotain, mitä hän on pyytänyt. Tunnisteet, joita widget asettaa jokaisella sivunlatauksella jo ennen kuin kukaan avaa sen, laskeakseen tai seuratakseen kävijöitä, eivät palvele.
Upotetut videot. 29 artiklan työryhmä vapauttaa soittimen istuntoevästeet, joita videon toistaminen edellyttää, istunnon ajaksi. Videoalustan omat analytiikka- ja mainosevästeet ovat eri asia. ICO ehdottaa, että upotukset määritetään niin, etteivät ne aseta mitään sivun latautuessa: käytetään tietosuojatilaa, jos sellainen on, ja kerrotaan kävijöille soittimen alla, että toiston aloittaminen asettaa evästeitä. Sen vaihtoehdot ovat suostumuksen pyytäminen tai linkki ulkoiselle sivulle.
Vinkki
Luokittele eväste sen mukaan, mitä se tekee sivustollasi, ei sen nimen tai kirjoittajan perusteella. Istuntoeväste, jota käytetään uudelleen mainosprofiilin rakentamiseen, on mainoseväste.
Missä vastaus vaihtelee maittain
Poikkeusta tulkitaan kansallisesti, ja erot näkyvät analytiikassa.
Ranska. CNIL vapauttaa kävijämittauksen, kun sen tarkoitus on ”tiukasti rajattu” sivuston oman yleisön mittaamiseen, vain julkaisijaa varten, ja se tuottaa anonyymeja tilastoja, joita ei yhdistetä muihin tietoihin eikä luovuteta kolmansille osapuolille. Sen suositus lisää seurantatekniikan elinajaksi esimerkiksi 13 kuukautta, jota ei pidennetä automaattisesti jokaisella käynnillä, ja tiedoille enintään 25 kuukautta. Sen kehittäjäopas mainitsee A/B-testauksen sallittujen käyttötarkoitusten joukossa ja varoittaa, että ”useimmat suuret kävijämittauspalvelut eivät kuulu poikkeuksen piiriin”. Lisää Ranskan säännöistä.
Italia. Italian tietosuojaviranomaisen Garanten vuoden 2021 evästeohjeet rinnastavat analytiikkaevästeet teknisiin evästeisiin, kun niillä ei voi yksilöidä kävijää (kolmannen osapuolen analytiikassa esimerkiksi peittämällä vähintään IP-osoitteen viimeisen osan), niitä käytetään vain yhden sivuston koostetilastoihin eikä palveluntarjoaja yhdistä tietoja mihinkään muuhun.
Britannia. 5. helmikuuta 2026 lähtien PECR:ssä on ollut tilastollisia tarkoituksia koskeva poikkeus, jonka Data (Use and Access) Act 2025 lisäsi. ICO:n mukaan sivukäynnit, laitetyypit, viittaavat sivustot ja A/B-testaus todennäköisesti täyttävät ehdot, kun tavoitteena on oman sivustosi parantaminen, kunhan kerrot siitä ja tarjoat ”yksinkertaisen ja maksuttoman tavan vastustaa”. Yksittäisten kävijöiden seuranta ja kaikki mainontaan liittyvä vaativat edelleen suostumuksen. Lisää Britannian säännöistä.
Muissa maissa on omat tulkintansa, joten tarkista jokainen markkina, jolla toimit, äläkä oleta, että yhden maan poikkeus pätee muualla.
Yhdysvalloissa: opt-out, ei opt-in
Yhdysvaltain osavaltioiden tietosuojalait toimivat päinvastoin. CCPA ei vaadi suostumusta ennen evästeitä. Se antaa kuluttajille oikeuden kieltäytyä henkilötietojensa myynnistä tai jakamisesta, jolla tarkoitetaan ”jakamista kontekstien välistä käyttäytymiseen perustuvaa mainontaa varten”, ”Do Not Sell or Share My Personal Information” -linkin kautta. Global Privacy Control -signaalia on kunnioitettava tällaisena kieltäytymisenä, ja alle 16-vuotiaiksi tiedettyjen kuluttajien tietojen myynti vaatii opt-in-suostumuksen. Yksityiskohdat ovat CCPA-sivullamme.
Selvitä, mitä sivustosi asettaa
Et voi lajitella evästeitä, joista et tiedä, ja luettelo muuttuu aina, kun joku lisää tagin. Avaa sivustosi yksityisessä ikkunassa ja katso DevToolsia ennen kuin kosket banneriin, tai aja evästetarkistimemme URL-osoitteelle. Lisäksi omalla verkkotunnuksellasi oleva eväste ei välttämättä ole sinun: monet niistä kirjoittavat muiden yritysten skriptit, ja juuri siinä ensimmäisen ja kolmannen osapuolen evästeet eroavat toisistaan.
Katla tekee tämän puolestasi. Se käy sivustosi läpi, kirjaa jokaisen evästeen, luokittelee jokaisen tekoälyllä luokkaan varmuuspisteen kera (luokittelun voit ohittaa) ja luo sitten evästekäytännön tämän luettelon pohjalta. GDPR-tilassa evästevahti päästää ennen kävijän valintaa läpi vain toiminnalliset evästeet ja poistaa aiemmin asetetut muut kuin toiminnalliset. US State Laws (CCPA) -tilassa se toimii opt-out-periaatteella ja kunnioittaa GPC:tä. Sen päättäminen, mikä on sivustollesi välttämätöntä, jää sinulle.
Tämä kirjoitus tiivistää valvontaviranomaisten ohjeita, eikä se ole oikeudellista neuvontaa. Säännöt vaihtelevat maittain, joten tarkista valvontaviranomaisen oma teksti niillä markkinoilla, joilla toimit.