ePrivacy-direktiivi vs. GDPR: näin evästesäännöt todella toimivat

ePrivacy-direktiivi ja tietosuoja-asetus (GDPR) jakavat evästekysymyksen kahtia. ePrivacy-direktiivi ratkaisee, tarvitsetko suostumuksen tietojen tallentamiseen jonkun päätelaitteelle tai niiden lukemiseen sieltä. Tietosuoja-asetus määrittelee, millainen suostumus on pätevä, ja sääntelee henkilötietoja, joita käsittelet sen jälkeen. Useimpien analytiikka- ja mainosevästeiden kohdalla sinun on täytettävä molempien lakien vaatimukset samanaikaisesti.

Mitä ePrivacy-direktiivi sanoo evästeistä?

Sähköisen viestinnän tietosuojadirektiivin eli ePrivacy-direktiivin (direktiivi 2002/58/EY) 5 artiklan 3 kohta sallii tietojen tallentamisen käyttäjän päätelaitteelle tai pääsyn sinne jo tallennettuihin tietoihin vain, jos käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot. Poikkeuksia on kaksi, ja molemmat ovat kapeita.

Ensimmäinen koskee tallentamista tai pääsyä, jonka ainoa tarkoitus on viestin välittäminen verkossa. Toinen koskee tallentamista tai pääsyä, joka on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi, kuten kirjautumisistuntoa tai ostoskoria. Kaikki muu, myös analytiikka, mainonta ja useimmat sosiaalisen median toiminnot, edellyttää suostumusta.

Sääntö on tarkoituksella teknologianeutraali. ”Päätelaite” tarkoittaa mitä tahansa telepäätelaitetta kannettavista tietokoneista ja puhelimista älytelevisioihin. ”Tiedot” kattavat evästeet, paikallisen tallennustilan, IndexedDB:n, laitetunnisteet ja tekniikat, jotka lukevat laitteen ominaisuuksia. Vuoden 2009 muutoksesta lähtien lähtökohtana on ollut suostumus; sitä ennen riitti, että käyttäjille kerrottiin asiasta ja heidän annettiin kieltäytyä.

Tärkeintä on, että 5 artiklan 3 kohtaa sovelletaan riippumatta siitä, ovatko tiedot henkilötietoja. Myös eväste, joka sisältää satunnaisen arvon ilman yhteyttä kehenkään henkilöön, kuuluu soveltamisalaan.

Mitä tietosuoja-asetus tuo evästesääntöihin?

Tietosuoja-asetus tuo mukaan kaksi asiaa: suostumuksen määritelmän, joka evästebannerien on täytettävä, ja säännöt kaikille henkilötiedoille, joita käsittelet sen jälkeen, kun eväste on asetettu tai luettu.

ePrivacy-direktiivi ei itse määrittele suostumusta. Se lainaa määritelmän EU:n tietosuojalainsäädännöstä, mikä tarkoittaa nykyään yleistä tietosuoja-asetusta. Sen 4 artiklan 11 alakohdan mukaan suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen, ja 7 artikla lisää edellytyksiä, kuten suostumuksen helpon peruuttamisen ja kyvyn osoittaa suostumus. Planet49-asiassa (C-673/17, 2019) Euroopan unionin tuomioistuin (EUT) sovelsi tätä vaatimustasoa evästeisiin ja katsoi, ettei valmiiksi rastitettu valintaruutu ole pätevä suostumus.

Kun päätelaitteeseen on päästy, tietosuoja-asetus ottaa ohjat. Jos analytiikkapalvelusi saa evästetunnisteeseen sidottuja sivunkatseluja, kyse on henkilötietojen käsittelystä. Tarvitset 6 artiklan mukaisen oikeusperusteen, läpinäkyvän tietosuojaselosteen, sopimukset henkilötietojen käsittelijöiden kanssa, suojatoimet kansainvälisille siirroille ja prosessin tietojen tarkastus- ja poistopyyntöjen käsittelyyn.

Kun seuranta ja profilointi alkavat suostumukseen perustuvasta evästeestä, valvontaviranomaiset odottavat yleensä, että myös sitä seuraavan käsittelyn oikeusperuste on suostumus. Siksi oikeutettu etu toimii evästeiden kohdalla harvoin.

Miten ePrivacy-direktiivi ja tietosuoja-asetus eroavat?

Erot näkee helpoimmin rinnakkain.

Näkökohta	ePrivacy-direktiivi (5 art. 3 kohta)	GDPR
Säädösmuoto	Direktiivi, joka pannaan täytäntöön kansallisilla laeilla	Asetus, jota sovelletaan suoraan kaikissa EU-maissa
Mitä se sääntelee	Tietojen tallentamista käyttäjän päätelaitteelle tai niihin pääsyä	Henkilötietojen käsittelyä
Edellyttääkö henkilötietoja?	Ei	Kyllä
Sallitut perusteet	Suostumus tai jokin kahdesta kapeasta poikkeuksesta	Kuusi 6 artiklan mukaista oikeusperustetta, muun muassa suostumus ja oikeutettu etu
Kuka valvoo	Kunkin maan nimeämä viranomainen, usein mutta ei aina tietosuojaviranomainen	Kansalliset tietosuojaviranomaiset rajat ylittävän yhteistyömekanismin tuella
Seuraamukset	Määräytyvät kansallisen lain mukaan	Vakavimmista rikkomuksista enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta (83 art. 5 kohta)

Kumpaa lakia tiettyyn evästeeseen sovelletaan?

Usein molempia, peräkkäin. Ajattele sitä kaksivaiheisena testinä: ePrivacy-direktiivi sääntelee tallentamisen tai lukemisen hetkeä, ja tietosuoja-asetus sitä seuraavaa henkilötietojen käsittelyä.

Tyypilliset tapaukset näyttävät tältä:

1. Analytiikkaeväste. Asiakastunnisteen (client ID) sisältävän evästeen asettaminen edellyttää ePrivacy-suostumusta. Tunnisteeseen sidottujen sivunkatselujen lähettäminen analytiikkapalvelulle on tietosuoja-asetuksen alaista henkilötietojen käsittelyä.
2. Kirjautumisistunnon eväste. Eväste ei edellytä suostumusta, koska se on ehdottoman välttämätön käyttäjän pyytämän palvelun kannalta. Sen taustalla olevat tilitiedot ovat silti henkilötietoja, joten tietosuoja-asetusta sovelletaan, yleensä esimerkiksi sopimuksen täytäntöönpanon perusteella.
3. Mainospikseli. Tunnisteiden lukeminen tai kirjoittaminen edellyttää ePrivacy-suostumusta, ja sitä seuraava profilointi edellyttää tietosuoja-asetuksen mukaista oikeusperustetta, joka käytännössä tarkoittaa suostumusta.
4. Palvelinpuolen käsittely ilman pääsyä päätelaitteeseen. Jos laitteelle ei tallenneta mitään eikä sieltä lueta mitään, 5 artiklan 3 kohta ei välttämättä aktivoidu, mutta tietosuoja-asetusta sovelletaan silti henkilötietoihin, kuten IP-osoitteisiin. Valvontaviranomaiset tulkitsevat ”pääsyn” laajasti, joten tarkista niiden ohjeet ennen kuin nojaat tähän.

Järjestyksellä on merkitystä. Tietosuoja-asetuksen mukainen pätevä oikeusperuste toisessa vaiheessa ei korjaa puuttuvaa ePrivacy-suostumusta ensimmäisessä vaiheessa.

Miksi ero direktiivin ja asetuksen välillä on tärkeä?

Koska kukin maa panee ePrivacy-direktiivin täytäntöön omassa laissaan, samaa banneria voivat arvioida eri valvontaviranomaiset, jotka soveltavat hieman erilaisia sääntöjä. Tämä vaikuttaa siihen, kuka voi puuttua toimintaasi ja miten.

Kansalliset lait eroavat yksityiskohdissa, kuten siinä, mikä viranomainen valvoo evästesääntöjä, miten valvontaviranomaiset suhtautuvat analytiikkaa koskeviin poikkeuksiin ja kuinka kauan kieltäytyminen pitäisi muistaa.

Tietosuoja-asetuksen yhden luukun mekanismi, joka tavallisesti ohjaa rajat ylittävät asiat yhdelle johtavalle valvontaviranomaiselle, ei ulotu kansallisiin ePrivacy-sääntöihin. Siksi Ranskan tietosuojaviranomainen CNIL saattoi joulukuussa 2021 puuttua suoraan Googlen ja Facebookin toimintaan ja määrätä niille 150 miljoonan ja 60 miljoonan euron sakot, koska evästeistä kieltäytyminen oli vaikeampaa kuin niiden hyväksyminen. Erittelyssämme evästevalvonnan opetuksista käymme läpi, mitä nämä päätökset tarkoittavat tavallisille sivustoille.

Käytännön johtopäätös: suunnittele toteutus markkinoidesi tiukimman vaatimustason mukaan. Yhdistynyt kuningaskunta noudattaa rinnakkaista mallia, jossa UK GDPR:ää täydentävät Privacy and Electronic Communications Regulations (PECR) ja valvojana toimii Information Commissioner’s Office (ICO). Oppaamme UK GDPR:stä ja PECR:stä kertoo, missä Yhdistynyt kuningaskunta poikkeaa EU:sta.

Korvataanko ePrivacy-direktiivi?

Ehkä jossain vaiheessa, mutta suunnittele toimintasi voimassa olevan lain varaan. Direktiivin korvaamiseksi ehdotetusta ePrivacy-asetuksesta neuvoteltiin vuosia ilman sopua, ja Euroopan komissio ilmoitti vuonna 2025 vetävänsä ehdotuksen pois.

Uudemmat EU-aloitteet digitaalisen sääntelyn yksinkertaistamiseksi ovat sittemmin nostaneet evästesuostumuksen jälleen asialistalle. Mikään tästä ei muuta velvollisuuksiasi ennen kuin muutokset on hyväksytty ja ne ovat voimassa, joten noudata edelleen 5 artiklan 3 kohtaa sellaisena kuin se on pantu täytäntöön kussakin maassa ja tarkista valvontaviranomaisesi ajantasaiset ohjeet ennen kuin toimit minkään ilmoitetun uudistuksen perusteella.

Yhteenveto

ePrivacy-direktiivi vastaa kysymykseen ”tarvitsenko suostumuksen päästäkseni käsiksi laitteeseen?” ja tietosuoja-asetus kysymykseen ”mitä suostumus tarkoittaa ja mitkä ovat velvollisuuteni tietojen suhteen?” Pidä niitä kahtena porttina, joiden molempien läpi on päästävä, äläkä koskaan anna tietosuoja-asetuksen mukaisen oikeusperusteen saada sinua luopumaan ePrivacy-suostumuksesta. Cookieshin kaltaiset työkalut voivat näyttää eri bannereita alueen mukaan, mutta on silti hyvä selvittää itse, mitä lakia kuhunkin seurantatyökaluun sovelletaan.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.