EU:n evästelainsäädäntö selitettynä: sähköisen viestinnän tietosuojadirektiivi ja tietosuoja-asetus

Mistä EU:n evästesääntö tulee

Sääntö, jota useimmat kutsuvat "EU:n evästelaiksi", on sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohta (direktiivi 2002/58/EY). Sen jälkeen kun sitä muutettiin direktiivillä 2009/136/EY, siinä säädetään, että tietojen tallentaminen käyttäjän laitteelle tai pääsy sinne jo tallennettuihin tietoihin on sallittua vain, jos käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot. Jäsenvaltioiden oli sovellettava muutettua sääntöä 25. toukokuuta 2011 alkaen. Suomessa sääntö on nykyään sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä.

Poikkeuksia on kaksi. Suostumusta ei tarvita tallentamiseen tai pääsyyn, joka

• tehdään ainoastaan viestin välittämiseksi verkossa, tai
• on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi, kuten ostoskori, sisäänkirjautuminen tai kävijän evästevalinnan tallentaminen.

Kaikki muu, kuten analytiikka, mainonta, uudelleenmarkkinointi ja sosiaalisen median pikselit, vaatii periaatteessa suostumuksen. Jotkin kansalliset valvontaviranomaiset sallivat suppeita poikkeuksia yksityisyyttä kunnioittavalle kävijämittaukselle; katso alla olevat maakohtaiset oppaat.

Ei pelkästään evästeet

Sääntö on teknologianeutraali. Euroopan tietosuojaneuvosto (EDPB) selittää lokakuussa 2024 lopullisesti hyväksytyissä ohjeissaan 2/2023 5 artiklan 3 kohdan teknisestä soveltamisalasta, että se kattaa myös seurantapikselit, seurantalinkit, paikallisen tallennustilan, tietyt sormenjälkitunnistuksen muodot ja vastaavat tekniikat. Lisää aiheesta: Mitä evästeet ovat?

Miten jäsenvaltiot soveltavat sitä

Koska kyse on direktiivistä, jokainen jäsenvaltio on kirjannut säännön omaan lakiinsa, ja jokaisella on oma valvontaviranomaisensa. Muutama esimerkki:

Erot ovat yksityiskohdissa: ovatko evästemuurit sallittuja, kuinka kauan valinta pitäisi muistaa, voidaanko analytiikka vapauttaa suostumuksesta ja kuinka suuria sakot ovat.

Suomessa Traficom on linjannut syyskuussa 2021 julkaistussa evästeohjeessaan, että analytiikkaevästeet tarvitsevat lähtökohtaisesti suostumuksen, että kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen ja ettei oikeutettu etu ole koskaan peruste evästeille. Helsingin hallinto-oikeus totesi 8.4.2021, ettei selaimen asetuksilla voi antaa pätevää suostumusta. Traficom voi velvoittaa korjaamaan puutteet uhkasakon uhalla, mutta ei määrätä hallinnollisia sakkoja; tietosuoja-asetuksen seuraamusmaksuista päättää tietosuojavaltuutetun toimiston seuraamuskollegio. Lisää: Evästesakot Suomessa.

Mitä tietosuoja-asetus tuo lisää

Sähköisen viestinnän tietosuojadirektiivi ei itse määrittele suostumusta; se viittaa tietosuojalainsäädännön määritelmään, nykyään tietosuoja-asetukseen (EU:n yleinen tietosuoja-asetus, GDPR). Evästesuostumuksen on siis oltava:

• Vapaaehtoinen: todellinen valinta ilman painostusta. Pääsy sivustolle ei yleensä saisi riippua seurannan hyväksymisestä; katso Evästemuuri.
• Yksilöity: käyttötarkoituskohtainen, eli ei yhtä "hyväksy"-painiketta kaikelle ilman valinnan mahdollisuutta.
• Tietoinen: kävijä tietää, kuka asettaa mitäkin evästeitä, mihin tarkoitukseen ja kuinka pitkäksi aikaa.
• Yksiselitteinen: annettu selkeällä, aktiivisella toimella. Hiljaisuus, vierittäminen tai selaamisen jatkaminen ei ole suostumus.

Kävijän on myös voitava peruuttaa suostumuksensa yhtä helposti kuin hän sen antoi.

Kun evästeet käsittelevät henkilötietoja, kuten seurantaevästeet lähes aina tekevät, tietosuoja-asetusta sovelletaan myös tähän käsittelyyn: tarvitset käsittelyperusteen, sinun on annettava tietoja ja kunnioitettava rekisteröityjen oikeuksia.

Planet49: johtava oikeustapaus

Planet49-tapauksessa (asia C-673/17, 1. lokakuuta 2019) EU:n tuomioistuin linjasi, että

• valmiiksi rastitettu valintaruutu ei ole pätevä suostumus;
• suostumusvaatimus pätee riippumatta siitä, ovatko tiedot henkilötietoja;
• käyttäjille annettaviin tietoihin on sisällyttävä evästeiden voimassaoloaika ja se, onko kolmansilla osapuolilla pääsy niihin.

Mikä muuttuu ja mikä ei

Sähköisen viestinnän tietosuoja-asetus on vedetty pois

Komissio ehdotti vuonna 2017 direktiivin korvaavaa sähköisen viestinnän tietosuoja-asetusta (ePrivacy-asetus). Vuosien tuloksettomien neuvottelujen jälkeen se ilmoitti ehdotuksen peruuttamisesta vuoden 2025 työohjelmassaan, ja peruutus julkaistiin Euroopan unionin virallisessa lehdessä 6. lokakuuta 2025. Sähköisen viestinnän tietosuojadirektiivi on siis edelleen voimassa.

Digital Omnibus on ehdotus, ei laki

Komissio esitteli 19. marraskuuta 2025 Digital Omnibus -paketin (menettely 2025/0360(COD)). Siinä ehdotetaan muun muassa, että henkilötietoja koskevat laitteisiin pääsyä koskevat säännöt siirretään sähköisen viestinnän tietosuojadirektiivistä tietosuoja-asetukseen, että kieltäytymisen on onnistuttava yhdellä klikkauksella, että sivustojen on kunnioitettava valintaa vähintään kuuden kuukauden ajan, että käyttäjät voivat asettaa valintansa keskitetysti (esimerkiksi selaimessa) ja että tietyt vähäriskiset käyttötavat, kuten käyntien laskeminen, vapautetaan suostumuksesta.

Lokakuussa 2026 tämä on yhä ehdotus: Euroopan parlamentin valiokunnat työstävät mietintöään, eikä neuvosto ole hyväksynyt kantaansa. Jäsenvaltiot ja parlamentin jäsenet ovat ehdottaneet muutoksia, joten lopullinen teksti voi näyttää erilaiselta. Kunnes se hyväksytään ja sitä aletaan soveltaa, yllä mainitut kansalliset evästelait pysyvät voimassa.

Iso-Britannia on erillään

Brexitin jälkeen Isolla-Britannialla on omat sääntönsä: PECR-asetuksen 6 kohta yhdessä UK GDPR:n kanssa, ja niitä valvoo ICO. Data (Use and Access) Act 2025 lisäsi uusia poikkeuksia, esimerkiksi osalle analytiikasta, joita EU:ssa ei ole. Katso UK cookie law (englanniksi).

Näin noudatat sääntöjä koko EU:ssa

1. Skannaa sivustosi jokaisen evästeen, pikselin ja skriptin varalta, myös lisäosien ja upotusten.
2. Estä kaikki suostumusta vaativa, kunnes kävijä hyväksyy.
3. Tarjoa todellinen valinta: "Hyväksy" ja "Hylkää" yhtä näkyvinä ensimmäisellä tasolla sekä käyttötarkoituskohtaiset asetukset.
4. Kerro selkeästi bannerissa ja evästeselosteessa.
5. Tee peruuttamisesta helppoa, esimerkiksi jokaisella sivulla olevalla linkillä.
6. Säilytä todiste jokaisesta suostumuksesta.
7. Noudata sen maan sääntöjä, jossa sinulla on kävijöitä: Suomessa Traficomin evästeohjetta, muualla kyseisen maan valvojan linjauksia, tai käytä maakohtaisia sääntöjä.
8. Käytä Google Consent Mode v2:ta, jos käytät Google Adsia tai Analyticsia; katso Google Consent Mode v2 selitettynä.

Cookie Confirm kattaa nämä vaiheet: kuukausittainen skannaus ja rajattomasti uusintaskannauksia, skriptien esto suostumukseen asti, maakohtaiset säännöt, oman brändisi tyylinen banneri kävijän kielellä (yli 29 kieltä), skannauksen perusteella luotu evästeseloste ja 12 kuukautta säilytettävä suostumusloki. Hintaan 7,95 € sivustoa kohden kuukaudessa, ja 7 päivän ilmainen kokeilu.

Lähteet

• EUR-Lex: direktiivi 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi)
• EUR-Lex: direktiivi 2009/136/EY
• EUR-Lex: asetus (EU) 2016/679 (tietosuoja-asetus)
• EU:n tuomioistuin: asia C-673/17, Planet49 (1.10.2019)
• EDPB: ohjeet 2/2023 sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdan teknisestä soveltamisalasta
• EDPB: ohjeet 05/2020 suostumuksesta
• EU:n neuvosto: tiedote peruutetuista komission ehdotuksista, EUVL C/2025/5423 (lokakuu 2025)
• EUR-Lex: menettely 2017/0003(COD), sähköisen viestinnän tietosuoja-asetus
• Euroopan komissio: Digital Package (Digital Omnibus), usein kysytyt kysymykset
• Euroopan parlamentin lainsäädäntöseuranta: menettely 2025/0360(COD)
• Finlex: laki sähköisen viestinnän palveluista (917/2014), 205 §
• Traficom: evästeohje palveluntarjoajille (1.9.2021, PDF)
• Kyberturvallisuuskeskus: Evästeet (Traficomin toimivalta ja valvontapäätökset)
• Wetten.nl: Telecommunicatiewet, 11.7a artikla
• Gesetze im Internet: TDDDG:n 25 §
• CNIL: Loi Informatique et Libertés (82 artikla)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)