# Pätevän evästesuostumuksen edellytykset GDPR:n mukaan

> Käytännön tarkistuslista GDPR:n edellytyksistä pätevälle evästesuostumukselle: vapaaehtoinen, yksilöity, tietoinen, yksiselitteinen, todennettava ja peruutettava.

Source: https://cookiesh.eu/fi/blog/valid-consent-checklist  
Published: 2026-02-03

## Key takeaways

- Tietosuoja-asetuksen 4 artiklan 11 alakohdan mukaan pätevän suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen, ja se on annettava selkeällä myöntävällä toimella.
- Valmiiksi rastitetut ruudut, sivun vierittäminen, selaamisen jatkaminen ja bannerin sulkeminen eivät ole suostumus.
- Evästeistä kieltäytymisen on oltava yhtä helppoa kuin niiden hyväksymisen, ja suostumuksen peruuttamisen yhtä helppoa kuin sen antamisen.
- Jokainen käyttötarkoitus, kuten analytiikka tai markkinointi, tarvitsee oman valintansa yhden niputetun kyllä-vastauksen sijaan.
- 7 artikla asettaa sinulle todistustaakan siitä, että kävijä todella antoi suostumuksensa.

Evästesuostumus on tietosuoja-asetuksen (GDPR) mukaan pätevä vain, jos se on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen ja se annetaan selkeällä myöntävällä toimella, kuten napsauttamalla ”Hyväksy”. Lisäksi suostumus on kerättävä ennen kuin yksikään muu kuin välttämätön eväste käynnistyy, kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen, ihmisten on voitava peruuttaa suostumuksensa milloin tahansa ja sinun on pystyttävä osoittamaan, mitä kukin valitsi. Valmiiksi rastitetut ruudut ja ”selaamalla hyväksyt” -ilmoitukset eivät kelpaa.

## Mistä pätevän suostumuksen edellytykset tulevat?

Ne tulevat tietosuoja-asetuksen kahdesta artiklasta, joita sovelletaan evästeisiin ePrivacy-direktiivin kautta. 4 artiklan 11 alakohta määrittelee suostumuksen, ja 7 artikla asettaa edellytykset, jotka sinun on täytettävä.

ePrivacy-direktiivi edellyttää suostumusta muille kuin välttämättömille evästeille mutta lainaa suostumuksen määritelmän EU:n tietosuojalainsäädännöstä, mikä tarkoittaa nykyään tietosuoja-asetusta. Artikkelimme [ePrivacy-direktiivi vs. GDPR](/fi/blog/eprivacy-directive-vs-gdpr) selittää, miten tämä työnjako toimii.

Kaksi muuta lähdettä ohjaa sitä, miten edellytyksiä käytännössä tulkitaan. EU:n tietosuojaviranomaiset kokoava Euroopan tietosuojaneuvosto (EDPB) on julkaissut suostumusta koskevat ohjeet 05/2020. Lisäksi Euroopan unionin tuomioistuin (EUT) sovelsi vaatimustasoa suoraan evästeisiin Planet49-asiassa (C-673/17, 2019).

## Mitä pätevän evästesuostumuksen tarkistuslistaan kuuluu?

Käy julkaistu bannerisi ja asetuspaneelisi läpi näiden kymmenen tarkistuksen avulla. Yhdenkin kohdan pettäminen voi viedä pohjan keräämältäsi suostumukselta.

1. **Etukäteen.** Mikään muu kuin välttämätön eväste, pikseli tai skripti ei käynnisty ennen kuin kävijä tekee valinnan.
2. **Myöntävä toimi.** Suostumus syntyy tietoisesta toimesta. Valmiiksi rastitetut ruudut, vierittäminen, selaamisen jatkaminen ja bannerin sulkeminen eivät kelpaa.
3. **Yhtä helppo kieltäytyminen.** ”Hylkää” on samalla tasolla kuin ”Hyväksy”, yhtä näkyvänä ja yhtä vaivattomana.
4. **Kategoriakohtainen.** Jokaisen käyttötarkoituksen, kuten asetusten, analytiikan tai markkinoinnin, voi hyväksyä tai hylätä erikseen.
5. **Niputtamaton.** Evästesuostumusta ei ole piilotettu käyttöehtoihin tai uutiskirjeen tilaukseen.
6. **Tietoinen.** Kävijät näkevät, kuka kysyy, mihin tarkoituksiin, mitkä kolmannet osapuolet ovat mukana ja kuinka kauan evästeet säilyvät.
7. **Selkeä.** Pyyntö on esitetty selkeällä ja yksinkertaisella kielellä, ja se erottuu selvästi muista asioista, kuten 7 artiklan 2 kohta edellyttää.
8. **Ei ehdollinen.** Pääsy sisältöösi ei riipu muiden kuin välttämättömien evästeiden hyväksymisestä.
9. **Peruutettavissa.** Kävijät voivat muuttaa mieltään milloin tahansa yhtä helposti kuin antoivat suostumuksen, kuten 7 artiklan 3 kohta edellyttää.
10. **Todennettavissa.** Pystyt osoittamaan, kuka suostui mihin, milloin ja minkä bannerin version kautta, kuten 7 artiklan 1 kohta edellyttää.

Seuraavissa osioissa avataan 4 artiklan 11 alakohdan neljä edellytystä, joista kiistellään eniten, ja sen jälkeen suostumusten kirjaamiseen liittyvä puoli.

## Mitä ”vapaaehtoisuus” sulkee pois?

Suostumus ei ole vapaaehtoinen, jos kävijällä ei ole todellista valinnanvaraa tai jos häntä painostettaisiin tai rangaistaisiin kieltäytymisestä. Evästebannereissa tämä sulkee pois kolme yleistä toimintamallia.

Ensimmäinen on evästemuuri. EDPB katsoo suostumusohjeissaan, että kun pääsy verkkosivustolle edellyttää muiden kuin välttämättömien evästeiden hyväksymistä, suostumus ei ole vapaaehtoinen.

Toinen on niputtaminen: yksi kytkin, joka kattaa analytiikan, mainonnan ja personoinnin kerralla, tai evästesuostumus, joka on sidottu käyttöehtojen hyväksymiseen.

Kolmas on suunnittelulla painostaminen. Kirkas ”Hyväksy kaikki” -painike himmeän ”Hallinnoi asetuksia” -linkin vieressä tai kieltäytymispolku, joka vaatii useita ylimääräisiä napsautuksia, ohjaa ihmisiä kohti kyllä-vastausta. Tällaisia ratkaisuja kutsutaan manipuloiviksi suunnittelumalleiksi (dark patterns), ja oppaassamme [evästebannerien manipuloivista suunnittelumalleista](/fi/blog/cookie-banner-dark-patterns) luetellaan ne, joihin valvontaviranomaiset puuttuvat useimmin.

## Kuinka yksilöity ja tietoinen suostumuksen on oltava?

Niin yksilöity, että kävijät tietävät tarkalleen, mihin käyttötarkoituksiin he suostuvat, ja niin tietoinen, että he ymmärtävät, ketkä ovat mukana ja kuinka pitkään. Epämääräiset ilmaukset, kuten ”käyttökokemuksesi parantamiseksi”, eivät täytä vaatimusta.

Kerro vähintään, kuka olet, jokainen käyttötarkoitus, johon pyydät suostumusta, mitä evästeluokkia asia koskee, mitkä kolmannet osapuolet saavat tietoja ja että suostumuksen voi peruuttaa. Planet49-tuomiossa EU-tuomioistuin lisäsi, että käyttäjille on kerrottava, kuinka kauan evästeet ovat aktiivisia ja voivatko kolmannet osapuolet päästä niihin käsiksi.

Kerroksellinen malli toimii hyvin. Ensimmäinen taso tiivistää käyttötarkoitukset selkokielellä hyväksymis- ja hylkäämispainikkeiden vieressä, ja toinen taso luettelee jokaisen evästeen, sen tarjoajan ja voimassaoloajan. Pidä toinen taso ajan tasalla, sillä vanhentunut kumppaniluettelo jättää kävijät vähemmän tietoisiksi kuin he luulevat.

## Mikä on yksiselitteinen myöntävä toimi?

Tietoinen teko, joka voi tarkoittaa vain kyllä-vastausta, kuten hyväksymispainikkeen napsauttaminen tai käyttötarkoituksen kytkeminen päälle ja valinnan tallentaminen. Mikään, mikä perustuu hiljaisuuteen, toimettomuuteen tai oletusasetukseen, ei kelpaa.

| Kävijän toiminta | Pätevä suostumus? | Miksi |
| --- | --- | --- |
| Napsauttaa ”Hyväksy kaikki” selkeässä bannerissa | Kyllä | Harkittu, tietoon perustuva toimi |
| Kytkee ”Analytiikka”-valinnan päälle ja tallentaa | Kyllä, vain analytiikan osalta | Koskee nimenomaan valittua käyttötarkoitusta |
| Jättää valmiiksi rastitetun ruudun ennalleen | Ei | Planet49: valmiiksi rastitetut ruudut eivät ole suostumus |
| Vierittää sivua tai jatkaa selaamista | Ei | Ei myöntävä toimi EDPB:n ohjeiden mukaan |
| Sulkee bannerin ”X”-kuvakkeesta | Ei | Ilmoituksen sulkeminen ei ole hyväksyntä |
| Hyväksyy käyttöehdot, joissa mainitaan evästeet | Ei | Ei yksilöity eikä selvästi muista asioista erottuva |

Käsittele kaikkea muuta kuin nimenomaista kyllä-vastausta tilanteena ”valintaa ei ole vielä tehty” ja pidä muut kuin välttämättömät kategoriat pois päältä, kunnes valinta tehdään.

## Miten suostumus osoitetaan ja peruutukset käsitellään?

7 artiklan 1 kohta asettaa todistustaakan sinulle, ja 7 artiklan 3 kohta edellyttää, että peruuttaminen on yhtä helppoa kuin suostumuksen antaminen. Molemmat on suunniteltava mukaan alusta asti eikä lisättävä vasta valituksen jälkeen.

Hyödyllinen suostumustallenne sisältää pseudonyymin suostumustunnisteen, aikaleiman, kunkin käyttötarkoituksen valinnan, näytetyn bannerin ja evästekäytännön version sekä sovelletun alueellisen sääntöjoukon. Vältä tallentamasta enempää henkilötietoja kuin näyttö edellyttää. Oppaamme [suostumuksen todentavista tallenteista](/fi/blog/proof-of-consent-records) näyttää, millainen on auditointivalmis loki.

Peruuttamista varten pidä sivuston alatunnisteessa pysyvä linkki tai kelluva painike, joka avaa asetukset uudelleen. Kun joku peruuttaa suostumuksensa, pysäytä asianomaiset skriptit heti, poista asettamasi muut kuin välttämättömät evästeet, jos se on teknisesti mahdollista, ja välitä päivitetty valinta jokaiselle kumppanille, joka vastaanottaa suostumussignaaleja.

## Yhteenveto

Pätevä suostumus on joukko edellytyksiä, joiden kaikkien on täytyttävä samanaikaisesti: etukäteen annettu, vapaaehtoinen, yksilöity, tietoinen, yksiselitteinen, todennettavissa ja peruutettavissa. Testaa tarkistuslista julkaistulla sivustollasi äläkä suunnitteluluonnoksissa, sillä puutteet näkyvät yleensä siinä, miten tagit todellisuudessa käyttäytyvät. Cookieshin kaltaiset työkalut voivat estää merkityt skriptit suostumukseen asti ja säilyttää muuttumattomia, tiivisteketjutettuja suostumuslokeja, mikä kattaa tämän tarkistuslistan mekaaniset osat.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Voinko käyttää evästemuuria, joka estää pääsyn sisältöön, kunnes kävijä hyväksyy evästeet?

Yleensä et, jos hyväksyminen on ainoa tapa päästä sisään. EDPB katsoo, ettei suostumus ole vapaaehtoinen, jos palvelun käyttö edellyttää muiden kuin välttämättömien evästeiden hyväksymistä. Jotkin kansalliset valvontaviranomaiset ovat pohtineet kapeita vaihtoehtoja, joten tarkista ensin paikalliset ohjeet.

### Kuinka usein kävijöiltä pitäisi pyytää suostumus uudelleen?

Tietosuoja-asetus ei määrää yhtä tiettyä aikaväliä. Kysy uudelleen, kun käyttötarkoituksesi tai kumppanisi muuttuvat olennaisesti, ja noudata valvontaviranomaisesi ohjeita siitä, kuinka kauan sekä hyväksyntä että kieltäytyminen muistetaan. Jos kieltäytyneiltä kysytään uudelleen jokaisella käynnillä, se voi näyttää painostukselta.

### Kattaako yhdellä verkkotunnuksella kerätty suostumus muutkin sivustoni?

Vain jos kävijöille kerrottiin selvästi, mitä sivustoja ja käyttötarkoituksia suostumus koskee. Koska suostumuksen on oltava yksilöity ja tietoinen, sen huomaamaton uudelleenkäyttö toisiinsa liittymättömillä verkkotunnuksilla tai brändeillä on riskialtista. Monet organisaatiot kysyvät suostumusta erikseen jokaisella sivustolla.

### Onko suostumus yhä pätevä, jos evästeluetteloni muuttuu myöhemmin?

Ei automaattisesti. Jos lisäät kumppaneita tai käyttötarkoituksia, joista kävijälle ei koskaan kerrottu, alkuperäinen suostumus ei kata niitä. Päivitä banneri ja pyydä suostumus uudelleen uusiin käyttötarkoituksiin.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [EU-tuomioistuimen asia C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)