Huom. Tämä opas on yleistä tietoa verkkosivujen tekijän näkökulmasta, ei oikeudellinen neuvo. Jos sivustosi käsittelee arkaluonteisia tietoja tai käyttää paljon ulkopuolisia palveluita, tarkista asia asiantuntijalta.
Mistä evästebanneri tulee?
Suomessa evästeistä säädetään laissa sähköisen viestinnän palveluista (917/2014), sen 205 §:ssä. Sääntelyä valvoo Traficomin Kyberturvallisuuskeskus. Sääntely koskee evästeitä ja muita käyttäjän päätelaitteelle tallennettavia tietoja sekä näiden tietojen käyttöä ja lukemista.
Pääsääntö on yksinkertainen: kävijän laitteelle saa tallentaa tietoja ja niitä saa käyttää vain kävijän suostumuksella. Lisäksi kävijälle on kerrottava selkeästi, mitä evästeitä käytetään ja mihin.
Milloin suostumusta ei tarvita?
Suostumusta ei tarvita niin sanotuille välttämättömille evästeille. Laki tuntee kaksi tapausta:
- tietojen tallentamisen tai käytön ainoa tarkoitus on viestin välittäminen
- tallentaminen on välttämätöntä palvelun tarjoamiseksi, jota kävijä on nimenomaisesti pyytänyt. Esimerkkejä ovat verkkokaupan ostoskori ja kirjautuminen.
Analytiikka ei tavallisesti ole kävijän pyytämä palvelu, vaan sivuston omistajan tarve. Siksi analytiikkaevästeet vaativat yleensä suostumuksen.
Google Analytics ja suostumus
GA4:n tavallinen toteutus käyttää analytiikkaevästeitä, jotka edellyttävät kävijän suostumusta. Consent Mode voi lähettää evästeettömiä signaaleja myös ilman evästesuostumusta, mutta sen käyttö ei yksin ratkaise toteutuksen suostumustarvetta.
Traficomin ohjeen mukaan kävijää ei saa ohjata hyväksymään muita kuin välttämättömiä evästeitä. Evästeistä kieltäytymisen on oltava yhtä helppoa kuin niiden hyväksymisen, ja suostumuksen on voitava perua tai muuttaa helposti.
Entä evästeetön kävijäseuranta?
Nettipoika Mittari ei tallenna kävijän laitteelle evästeitä tai muita tunnisteita eikä seuraa kävijää sivustolta toiselle. Se näyttää koottuja tilastoja, kuten kävijämäärät, liikenteen lähteet ja suosituimmat sivut. Evästeettömyys on yksi toteutuksen ominaisuus, mutta suostumustarve pitää arvioida käytetyn seurantatekniikan ja sivuston muiden palvelujen perusteella.
EDPB:n lokakuussa 2024 julkaisema ohje käsittelee evästeiden lisäksi esimerkiksi seurantapikseleitä, URL-tunnisteita ja laitteen tietojen lukemista. Pelkkä evästeiden puuttuminen ei siksi riitä yleiseksi säännöksi bannerin tarpeesta. Arvioinnissa on katsottava, mitä sivuston seurantakoodi käytännössä tekee.
Kolme tavallista virhettä
- Banneri ei oikeasti estä mitään. Moni banneri näyttää hienolta, mutta Google Analytics tai mainospikselit latautuvat jo ennen kuin kävijä on vastannut. Suostumus on pyydettävä ennen seurantaa, ei sen jälkeen.
- Kieltäytyminen on piilotettu. "Hyväksy kaikki" on iso painike ja "Hylkää" pieni linkki asetusten takana. Tällainen ohjailu ei ole Traficomin ohjeen mukaista.
- Muut palvelut unohtuvat. Evästeettömän kävijäseurannan käyttöönotto ei poista muiden palveluiden suostumustarvetta. Esimerkiksi mainosverkostojen seurantapikselit, upotetut videot ja chat-palvelut voivat tallentaa evästeitä.
Näin tarkistat oman sivustosi
- Avaa sivustosi selaimen yksityisessä ikkunassa.
- Avaa kehittäjätyökalut ja tarkista sekä tallennustila että verkkopyynnöt ennen kuin vastaat banneriin. Evästeiden puuttuminen ei yksin kerro, mitä tietoja seurantakoodi lähettää.
- Käy läpi sivuston ulkopuoliset palvelut: analytiikka, mainospikselit, upotukset ja chatit. Selvitä jokaisesta, tarvitseeko se suostumuksen.
- Päivitä tietosuojaseloste vastaamaan todellisuutta.
Jos poistat Google Analyticsin, tarkista vielä muut seurannat ja upotukset sekä uuden seurantatekniikan toiminta ennen kuin päätät bannerin tarpeesta. Päivitä samalla tietosuojaseloste.