# IKÜM ja küpsiste nõusolek: nõuded lihtsalt selgitatud

> Mida nõuavad IKÜM ja e-privaatsuse direktiiv enne küpsiste seadmist: eelnev aktiivne nõusolek, sama lihtne keeldumine, lihtne tagasivõtmine ja nõusoleku tõendamine.

Source: https://cookiesh.eu/et/blog/gdpr-cookie-consent-requirements  
Published: 2026-01-08

## Key takeaways

- EL-is vajavad mittehädavajalikud küpsised, näiteks analüütika- ja reklaamiküpsised, eelnevat aktiivset nõusolekut, enne kui neid seatakse või loetakse.
- E-privaatsuse direktiiv määrab, millal on nõusolek vajalik, ja IKÜM määrab, milline on kehtiv nõusolek.
- Rangelt vajalikud küpsised, näiteks need, mis hoiavad sisselogimisseanssi või ostukorvi töös, on nõusolekunõudest vabastatud.
- Küpsistest keeldumine peab olema sama lihtne kui nõustumine ja külastaja peab saama nõusoleku igal ajal tagasi võtta.
- Sa pead suutma nõusolekut tõendada, seega säilita kirje selle kohta, mida iga külastaja valis, millal ja millise bänneri versiooni puhul.

EL-i õiguse järgi vajad külastaja eelnevat ja aktiivselt antud nõusolekut, enne kui sead või loed ühtegi küpsist, mis ei ole rangelt vajalik tema soovitud teenuse osutamiseks. See nõusolek peab vastama isikuandmete kaitse üldmääruse (IKÜM, GDPR) nõuetele: olema vabatahtlik, konkreetne, teadlik ja ühemõtteline. Külastaja peab saama keelduda sama lihtsalt kui nõustuda ja oma otsust igal ajal muuta ning sina pead suutma tõendada, mille ta valis.

## Millised õigusaktid reguleerivad küpsiseid EL-is?

Kaks õigusakti toimivad koos. E-privaatsuse direktiiv määrab, millal on küpsise jaoks vaja nõusolekut, ja isikuandmete kaitse üldmäärus (IKÜM) määrab, milline on kehtiv nõusolek.

E-privaatsuse direktiivi artikli 5 lõige 3 käsitleb teabe salvestamist kasutaja seadmesse või sealt teabe lugemist. See hõlmab küpsiseid, aga ka kohalikku salvestusruumi (local storage), jälgimispiksleid, seadme identifikaatoreid ja muid sarnaseid tehnikaid. Reegel kehtib sõltumata sellest, kas see teave on isikuandmed või mitte.

IKÜM annab nõusoleku standardi. Artikli 4 punkt 11 määratleb nõusoleku ja artikkel 7 sätestab selle tingimused. Kui küpsised koguvad isikuandmeid, nagu enamik analüütika- ja reklaamiküpsiseid teeb, reguleerib IKÜM ka kõike, mida sa nende andmetega hiljem teed. Kuidas need kaks õigusakti tööd jagavad, loe lähemalt artiklist [e-privaatsuse direktiiv vs. IKÜM](/et/blog/eprivacy-directive-vs-gdpr).

Kuna e-privaatsuse direktiiv on direktiiv, mitte määrus, võtab iga EL-i riik selle üle oma siseriiklikku õigusesse. Põhireegel on kõikjal sama, kuid järelevalveasutuste juhised ja jõustamise prioriteedid erinevad.

## Millised küpsised vajavad nõusolekut?

Iga küpsis või sarnane tehnoloogia vajab nõusolekut, välja arvatud juhul, kui see on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks või seda kasutatakse üksnes side edastamiseks. Oluline on eesmärk, mitte see, kas tegemist on esimese või kolmanda osapoole küpsisega.

| Küpsise eesmärk | Näide | Kas nõusolek on vajalik? |
| --- | --- | --- |
| Autentimine | Hoiab kasutaja seansi ajal sisselogituna | Ei, rangelt vajalik |
| Ostukorv | Jätab meelde ostukorvi lisatud tooted | Ei, rangelt vajalik |
| Koormuse jaotamine | Suunab päringud samale serverile | Ei, rangelt vajalik |
| Nõusoleku salvestamine | Jätab meelde külastaja küpsisevalikud | Ei, rangelt vajalik |
| Eelistused | Keele- või kuvaseaded | Oleneb, kas kasutaja valis seade ise selgesõnaliselt |
| Analüütika | Loendab külastusi ja jälgib kasutajateekondi | Jah, enamikul juhtudel |
| Reklaam | Uuesti sihtimine, konversioonide jälgimine, profiilianalüüs | Jah |
| Sotsiaalmeedia manused | Jagamisnupud, manustatud postitused, pikslid | Jah, kui need seavad või loevad identifikaatoreid |

Kaks asja ajavad sageli segadusse. Esiteks vajab esimese osapoole analüütikaküpsis enamikus EL-i riikides siiski nõusolekut. Mõni järelevalveasutus lubab kitsaid erandeid rangelt seadistatud külastatavuse mõõtmisele, kuid käsitle seda riigipõhise erandina.

Teiseks tähendab „rangelt vajalik“ vajalikku kasutaja soovitud teenuse jaoks, mitte sinu ärimudeli jaoks. Halle alasid käsitleb meie [rangelt vajalike küpsiste juhend](/et/blog/strictly-necessary-cookies).

## Mis teeb küpsiste nõusoleku kehtivaks?

Nõusolek kehtib ainult siis, kui see on vabatahtlik, konkreetne, teadlik ja ühemõtteline ning väljendatud selge kinnitava tegevusega. Küpsisebänneri puhul tähendab see mõnda konkreetset reeglit.

- **Aktiivne nõusolek, mitte vaikimisi nõustumine.** Mittehädavajalikud kategooriad on algselt välja lülitatud. Euroopa Liidu Kohus leidis Planet49 otsuses (C-673/17, 2019), et eelnevalt märgitud märkeruut ei ole kehtiv nõusolek.
- **Kaudset nõusolekut ei ole.** Euroopa Andmekaitsenõukogu (EDPB), mis annab EL-i järelevalveasutustele ühiseid juhiseid, on seisukohal, et lehe kerimine või sirvimise jätkamine ei ole nõusolek.
- **Valikud kategooriate kaupa.** Inimene peaks saama nõustuda analüütikaga ja samal ajal turundusest keelduda, selle asemel et seista silmitsi ühe kõik-või-mitte-midagi-lülitiga.
- **Sisuline teave.** Selgita, kes küpsiseid seab, milleks need on, kui kaua need kehtivad ja millised kolmandad osapooled andmeid saavad.
- **Vabatahtlikkus.** Keeldumine peab olema sama lihtne kui nõustumine ja juurdepääs sinu saidile ei tohiks sõltuda mittehädavajalike küpsistega nõustumisest.

Meie [kehtiva nõusoleku kontrollnimekiri](/et/blog/valid-consent-checklist) käib kõik need punktid läbi.

## Mida tähendab „eelnev“ nõusolek praktikas?

See tähendab, et midagi mittehädavajalikku ei käivitu enne, kui külastaja on jah öelnud. Bänner, mis salvestab valiku ajal, mil analüütika- ja reklaamimärgendid on lehe laadimisel juba käivitunud, ei vasta nõuetele, ükskõik kui viimistletud see välja ei näeks.

See on eelkõige tehniline ülesanne. Kolmandate osapoolte skriptid, märgendihalduri konteinerid ja manustatud vidinad tuleb kinni hoida seni, kuni vastav kategooria on lubatud, ning nõusoleku olekut tuleb kontrollida igal lehevaatamisel, et keeldumine jääks keeldumiseks.

Kui kasutad Euroopa Majanduspiirkonna (EMP) külastajate puhul Google'i reklaami- või mõõtmismärgendeid, nõuab Google alates 2024. aasta märtsist ka nõusolekurežiimi (consent mode) signaale. Need signaalid edastavad külastaja valiku Google'i märgenditele. Tegemist on Google'i enda poliitika nõudega, mis ei asenda seaduslikku kohustust nõusolek kõigepealt küsida.

## Mida nõuetele vastavus peale bänneri veel hõlmab?

Bänner on vaid nähtav osa. Nõuetele vastav lahendus koosneb tavaliselt kaheksast sammust:

1. **Auditeeri oma saiti.** Pane kirja kõik küpsised, kohaliku salvestusruumi võtmed, pikslid ja kolmandate osapoolte skriptid, sealhulgas need, mille on lisanud pistikprogrammid ja märgendihaldurid.
2. **Liigita eesmärgi järgi.** Määra iga element kategooriasse „vajalikud“, „eelistused“, „analüütika“ või „turundus“ ning eemalda kõik, mida sa enam ei kasuta.
3. **Blokeeri enne nõusolekut.** Hoia iga mittehädavajalik skript kinni, kuni selle kategooria on lubatud.
4. **Küsi selgelt.** Näita esimesel kihil nõustumise ja keeldumise valikut võrdselt silmapaistvalt ning lisa võimalus valida kategooriate kaupa.
5. **Dokumenteeri.** Avalda küpsisepoliitika, mis vastab sellele, mida sinu sait tegelikult seab.
6. **Tee tagasivõtmine lihtsaks.** Artikli 7 lõike 3 järgi peab nõusoleku tagasivõtmine olema sama lihtne kui selle andmine, seega hoia alati kättesaadaval linki või nuppu, mis seaded uuesti avab.
7. **Säilita tõendid.** Artikli 7 lõige 1 nõuab, et suudaksid nõusolekut tõendada, seega logi valik, aeg ja kuvatud bänneri versioon.
8. **Korda regulaarselt.** Skanni saiti uuesti alati, kui lisad märgendeid, vahetad teenusepakkujaid või kujundad saidi ümber.

## Mis juhtub, kui teed vea?

Karistused võivad olla märkimisväärsed. IKÜM-i artikli 83 lõike 5 järgi võib kõige raskemate rikkumiste eest, sealhulgas nõusoleku tingimuste rikkumise eest, määrata trahvi kuni 20 miljonit eurot või 4% ettevõtte ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem. Siseriiklike e-privaatsuse seaduste alusel menetletavate küpsiserikkumiste puhul kehtivad iga riigi enda karistusreeglid.

Järelevalveasutused on näidanud, et nad neid volitusi ka kasutavad. 2021. aasta detsembris määras Prantsusmaa andmekaitseasutus CNIL Google'ile 150 miljoni euro ja Facebookile 60 miljoni euro suuruse trahvi, sest küpsistest keeldumine nõudis nende saitidel rohkem vaeva kui nõustumine. Järelevalveasutus võib nõuda ka sinu bänneri muutmist. Meie analüüs [sellest, mida küpsistega seotud jõustamismeetmed veebisaitide omanikele õpetavad](/et/blog/cookie-enforcement-lessons), toob välja mustrid, mille eest ikka ja jälle karistatakse.

## Kokkuvõte

IKÜM-i kohane küpsiste nõusolek taandub lihtsale järjestusele: tea, mida su sait seab, blokeeri kõik mittehädavajalik, küsi selgelt ja paku võrdset võimalust keelduda, austa vastust igal lehel ning säilita tõendid. Enamik vigu tekib nende sammude vahele jäävates lünkades, näiteks kui märgend lisatakse auditist mööda või kui bänner salvestab valikud, kuid ei jõusta neid. Sellised tööriistad nagu Cookiesh võivad küpsiste skannimise, skriptide blokeerimise ja nõusolekute logimise automatiseerida, kuid otsus, milliseid küpsiseid sul tegelikult vaja on, jääb ikkagi sinu teha.

*See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.*

## FAQ

### Kas IKÜM kehtib minu saidi kohta ka siis, kui mu ettevõte asub väljaspool EL-i?

Võib kehtida. IKÜM laieneb ka väljaspool EL-i asuvatele organisatsioonidele, kes pakuvad EL-is viibivatele inimestele kaupu või teenuseid või jälgivad nende käitumist, ning külastajate jälgimine küpsistega on levinud jälgimise vorm. Kui sinu sihtrühm on EL-is, planeeri EL-i tüüpi nõusolekut.

### Kas küpsisebänner on seadusega nõutud?

Ükski seadus ei nõua bännerit kui sellist. Seadus nõuab mittehädavajalike küpsiste jaoks teadlikku eelnevat nõusolekut ja bänner on lihtsalt kõige levinum viis seda küsida. Sait, mis seab ainult rangelt vajalikke küpsiseid, ei pruugi nõusolekupäringut vajada, kuid peab siiski selgitama, mida ta kasutab.

### Kas nõusolekureeglid hõlmavad ka kohalikku salvestusruumi ja jälgimispiksleid?

Jah. E-privaatsuse reegel puudutab teabe salvestamist inimese seadmesse või sellele juurdepääsu, olenemata tehnikast. Kohalikku salvestusruumi, piksleid, mobiilsete SDK-de identifikaatoreid ja seadme sõrmejälje tuvastamist (fingerprinting) käsitletakse samamoodi nagu küpsiseid.

### Kas võin kasutada EL-i ja USA külastajate jaoks sama bännerit?

Võid, kuid reeglid erinevad. EL-i õigus nõuab enne mittehädavajalike küpsiste kasutamist aktiivset nõusolekut (opt-in), samas kui näiteks CCPA põhineb loobumismudelil (opt-out). Paljud saidid näitavad piirkonnapõhiseid bännereid, et iga sihtrühm saaks õige valiku.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Euroopa Liidu Kohtu kohtuasi C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)