Tietosuoja-asetusLukuaika 5 min
GDPR:n evästesuostumusta koskevat vaatimukset selitettynä
Mitä GDPR ja ePrivacy-direktiivi vaativat ennen evästeiden asettamista: ennakkosuostumus, yhtä helppo kieltäytyminen, vaivaton peruutus ja näyttö suostumuksesta.
EU-oikeuden mukaan tarvitset kävijän etukäteen antaman, aktiivisen suostumuksen ennen kuin asetat tai luet evästeitä, jotka eivät ole ehdottoman välttämättömiä kävijän pyytämän palvelun tarjoamiseksi. Suostumuksen on täytettävä tietosuoja-asetuksen (GDPR) vaatimukset: sen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Kävijän on voitava kieltäytyä yhtä helposti kuin hyväksyä ja muuttaa mieltään milloin tahansa, ja sinun on pystyttävä osoittamaan, mitä hän valitsi.
Mitkä lait säätelevät evästeitä EU:ssa?
Kaksi säädöstä toimii rinnakkain. Sähköisen viestinnän tietosuojadirektiivi eli ePrivacy-direktiivi ratkaisee, milloin evästeelle tarvitaan suostumus, ja yleinen tietosuoja-asetus (GDPR) määrittelee, millainen suostumus on pätevä.
ePrivacy-direktiivin 5 artiklan 3 kohta koskee tietojen tallentamista käyttäjän päätelaitteelle ja tietojen lukemista sieltä. Se kattaa evästeet mutta myös paikallisen tallennustilan, seurantapikselit, laitetunnisteet ja vastaavat tekniikat. Sääntöä sovelletaan riippumatta siitä, ovatko tiedot henkilötietoja.
Tietosuoja-asetus puolestaan määrittää suostumuksen vaatimustason. Sen 4 artiklan 11 alakohta määrittelee suostumuksen, ja 7 artikla asettaa sille edellytykset. Kun evästeillä kerätään henkilötietoja, kuten useimmat analytiikka- ja mainosevästeet tekevät, tietosuoja-asetus sääntelee myös kaikkea, mitä tiedoilla tehdään jälkikäteen. Tarkemmin säädösten työnjaosta kerromme artikkelissa ePrivacy-direktiivi vs. GDPR.
Koska ePrivacy-direktiivi on direktiivi eikä asetus, kukin EU-maa saattaa sen osaksi omaa kansallista lainsäädäntöään. Perussääntö on kaikkialla sama, mutta valvontaviranomaisten ohjeet ja valvonnan painopisteet vaihtelevat.
Mitkä evästeet edellyttävät suostumusta?
Mikä tahansa eväste tai vastaava tekniikka edellyttää suostumusta, ellei se ole ehdottoman välttämätön käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi tai sitä käytetä ainoastaan viestin välittämiseen. Ratkaisevaa on käyttötarkoitus, ei se, onko kyse ensimmäisen vai kolmannen osapuolen evästeestä.
| Evästeen käyttötarkoitus | Esimerkki | Tarvitaanko suostumus? |
|---|---|---|
| Tunnistautuminen | Pitää käyttäjän kirjautuneena istunnon ajan | Ei, ehdottoman välttämätön |
| Ostoskori | Muistaa ostoskoriin lisätyt tuotteet | Ei, ehdottoman välttämätön |
| Kuormantasaus | Ohjaa pyynnöt samalle palvelimelle | Ei, ehdottoman välttämätön |
| Suostumuksen tallennus | Muistaa kävijän evästevalinnat | Ei, ehdottoman välttämätön |
| Asetukset | Kieli- tai näyttöasetukset | Riippuu siitä, onko käyttäjä nimenomaisesti valinnut asetuksen |
| Analytiikka | Laskee käyntejä ja seuraa käyttöpolkuja | Kyllä, useimmissa tapauksissa |
| Mainonta | Uudelleenkohdentaminen, konversioseuranta, profilointi | Kyllä |
| Sosiaalisen median upotukset | Jakopainikkeet, upotetut julkaisut, pikselit | Kyllä, jos ne asettavat tai lukevat tunnisteita |
Kaksi asiaa aiheuttaa usein hämmennystä. Ensinnäkin myös ensimmäisen osapuolen analytiikkaeväste edellyttää suostumusta useimmissa EU-maissa. Muutama valvontaviranomainen hyväksyy kapeita poikkeuksia tarkasti rajatulle kävijämittaukselle, mutta suhtaudu niihin maakohtaisina poikkeuksina.
Toiseksi ”ehdottoman välttämätön” tarkoittaa välttämätöntä käyttäjän pyytämän palvelun kannalta, ei liiketoimintamallisi kannalta. Oppaamme välttämättömistä evästeistä käy läpi harmaat alueet.
Mikä tekee evästesuostumuksesta pätevän?
Suostumus on pätevä vain, jos se on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen ja se annetaan selkeällä myöntävällä toimella. Evästebannerissa tämä tarkoittaa muutamaa konkreettista sääntöä.
- Opt-in, ei opt-out. Muut kuin välttämättömät kategoriat ovat oletuksena pois päältä. Planet49-tuomiossaan (C-673/17, 2019) Euroopan unionin tuomioistuin (EUT) katsoi, ettei valmiiksi rastitettu valintaruutu ole pätevä suostumus.
- Ei oletettua suostumusta. Euroopan tietosuojaneuvoston (EDPB), joka laatii EU:n valvontaviranomaisille yhteisiä ohjeita, mukaan sivun vierittäminen tai selaamisen jatkaminen ei ole suostumus.
- Kategoriakohtaiset valinnat. Ihmisten pitäisi voida hyväksyä analytiikka ja samalla kieltäytyä markkinoinnista sen sijaan, että heillä on edessään yksi kaikki tai ei mitään -kytkin.
- Todellista tietoa. Kerro, kuka evästeet asettaa, mihin niitä käytetään, kuinka kauan ne säilyvät ja mitkä kolmannet osapuolet saavat tietoja.
- Vapaaehtoisuus. Kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen, eikä pääsyn sivustollesi pitäisi riippua muiden kuin välttämättömien evästeiden hyväksymisestä.
Käymme jokaisen kohdan läpi pätevän suostumuksen tarkistuslistassamme.
Mitä ”etukäteen annettu” suostumus tarkoittaa käytännössä?
Se tarkoittaa, ettei mikään muu kuin välttämätön käynnisty ennen kuin kävijä on sanonut kyllä. Banneri, joka tallentaa valinnan, vaikka analytiikka- ja mainostagit ovat jo käynnistyneet sivun latautuessa, ei ole vaatimusten mukainen, oli se kuinka viimeistelty tahansa.
Kyse on pääosin teknisestä haasteesta. Kolmansien osapuolten skriptit, tagienhallinnan säiliöt ja upotetut widgetit on pidettävä odottamassa, kunnes asianomainen kategoria on hyväksytty, ja suostumuksen tila on tarkistettava jokaisella sivunlatauksella, jotta kieltäytyminen pysyy kieltäytymisenä.
Jos käytät Googlen mainonta- tai mittaustageja Euroopan talousalueen (ETA) kävijöille, Google on lisäksi edellyttänyt Consent Mode -signaaleja maaliskuusta 2024 lähtien. Signaalit välittävät kävijän valinnan Googlen tageille. Ne ovat Googlen oman käytännön vaatimus eivätkä korvaa lakisääteistä velvollisuutta hankkia suostumus ensin.
Mitä vaatimustenmukaisuus edellyttää bannerin lisäksi?
Banneri on vain näkyvä osa. Vaatimustenmukainen toteutus etenee yleensä kahdeksassa vaiheessa:
- Kartoita sivustosi. Listaa jokainen eväste, paikallisen tallennustilan avain, pikseli ja kolmannen osapuolen skripti, myös lisäosien ja tagienhallinnan lisäämät.
- Luokittele käyttötarkoituksen mukaan. Jaa jokainen kohde välttämättömiin, asetuksiin, analytiikkaan tai markkinointiin ja poista kaikki, mitä et enää käytä.
- Estä ennen suostumusta. Pidä jokainen muu kuin välttämätön skripti odottamassa, kunnes sen kategoria on hyväksytty.
- Kysy selkeästi. Näytä ensimmäisellä tasolla hyväksymis- ja hylkäämisvaihtoehdot yhtä näkyvästi sekä mahdollisuus valita kategoriakohtaisesti.
- Dokumentoi. Julkaise evästekäytäntö, joka vastaa sitä, mitä sivustosi todellisuudessa asettaa.
- Tee peruuttamisesta helppoa. Tietosuoja-asetuksen 7 artiklan 3 kohdan mukaan suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen, joten tarjoa pysyvä linkki tai painike, joka avaa asetukset uudelleen.
- Säilytä tallenteet. 7 artiklan 1 kohta edellyttää, että pystyt osoittamaan suostumuksen, joten kirjaa valinta, ajankohta ja näytetyn bannerin versio.
- Toista säännöllisesti. Skannaa sivusto uudelleen aina, kun lisäät tageja, vaihdat palveluntarjoajia tai uudistat sivuston.
Mitä tapahtuu, jos jokin menee pieleen?
Seuraukset voivat olla merkittäviä. Tietosuoja-asetuksen 83 artiklan 5 kohdan mukaan vakavimmista rikkomuksista, kuten suostumuksen edellytysten rikkomisesta, voidaan määrätä hallinnollinen sakko, joka on enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Kansallisten ePrivacy-lakien nojalla valvottaviin evästerikkomuksiin sovelletaan kunkin maan omia seuraamussääntöjä.
Valvontaviranomaiset ovat osoittaneet käyttävänsä näitä valtuuksia. Joulukuussa 2021 Ranskan tietosuojaviranomainen CNIL määräsi Googlelle 150 miljoonan euron ja Facebookille 60 miljoonan euron sakon, koska evästeistä kieltäytyminen vaati niiden sivustoilla enemmän vaivaa kuin hyväksyminen. Viranomaiset voivat myös määrätä muuttamaan banneria. Analyysimme siitä, mitä evästeisiin liittyvät valvontatoimet opettavat sivustojen ylläpitäjille, erittelee toimintamallit, joista seuraamuksia määrätään yhä uudelleen.
Yhteenveto
GDPR:n mukainen evästesuostumus tiivistyy yksinkertaiseen järjestykseen: tiedä, mitä sivustosi asettaa, estä kaikki muu kuin välttämätön, kysy selkeästi ja tarjoa yhtä näkyvä mahdollisuus kieltäytyä, noudata vastausta jokaisella sivulla ja säilytä näyttö. Useimmat virheet syntyvät näiden vaiheiden väliin jäävissä aukoissa, esimerkiksi kun tagi lisätään kartoituksen ohi tai banneri tallentaa valinnat panematta niitä täytäntöön. Cookieshin kaltaiset työkalut voivat automatisoida evästeiden skannauksen, skriptien eston ja suostumusten kirjaamisen, mutta päätös siitä, mitä evästeitä todella tarvitset, jää sinulle.
Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.
Usein kysytyt kysymykset
Koskeeko GDPR sivustoani, jos yritykseni on EU:n ulkopuolella?
Voi koskea. Tietosuoja-asetus ulottuu myös EU:n ulkopuolisiin organisaatioihin, jotka tarjoavat tavaroita tai palveluja EU:ssa oleville ihmisille tai seuraavat heidän käyttäytymistään, ja kävijöiden seuraaminen evästeillä on yleinen tapa seurata käyttäytymistä. Jos kohdistat toimintaasi EU:n yleisöille, varaudu EU-tyyliseen suostumukseen.
Onko evästebanneri lakisääteinen vaatimus?
Mikään laki ei vaadi banneria sellaisenaan. Laki edellyttää tietoon perustuvaa ennakkosuostumusta muille kuin välttämättömille evästeille, ja banneri on yksinkertaisesti yleisin tapa pyytää sitä. Sivusto, joka asettaa vain välttämättömiä evästeitä, ei välttämättä tarvitse suostumuspyyntöä, mutta sen on silti kerrottava, mitä se käyttää.
Koskevatko suostumussäännöt myös paikallista tallennustilaa ja seurantapikseleitä?
Kyllä. ePrivacy-sääntö koskee tietojen tallentamista käyttäjän päätelaitteelle tai niihin pääsyä tekniikasta riippumatta. Paikallista tallennustilaa, pikseleitä, mobiili-SDK:iden tunnisteita ja laitteen sormenjälkitunnistusta käsitellään samalla tavalla kuin evästeitä.
Voinko käyttää samaa banneria EU:n ja Yhdysvaltojen kävijöille?
Voit, mutta säännöt eroavat. EU-oikeus edellyttää aktiivista suostumusta (opt-in) ennen muiden kuin välttämättömien evästeiden käyttöä, kun taas esimerkiksi CCPA:n kaltaiset lait perustuvat kieltäytymismalliin (opt-out). Monet sivustot näyttävät aluekohtaisia bannereita, jotta kukin yleisö saa oikeanlaisen valinnan.
Lähteet
Cookieshin toimitus
Tietosuojainsinöörejä ja vaatimustenmukaisuuden asiantuntijoita, jotka kirjoittavat tuotetiimeille käytännön ohjeita suostumuksista, evästeistä ja tietosuojasta.
