Mikä evästemuuri on?
Evästemuuri (cookie wall) estää sivuston sisällön, kunnes kävijä klikkaa "Hyväksy". "Hylkää"-vaihtoehtoa ei ole, tai hylkääminen tarkoittaa, ettet pääse sisään. Ajatuksena on pakottaa suostumus seuranta- tai mainosevästeisiin.
Ongelma on, että suostumus kelpaa vain, jos se on vapaaehtoinen. Suomessa muut kuin välttämättömät evästeet vaativat suostumuksen sähköisen viestinnän palveluista annetun lain 205 §:n mukaan, ja suostumuksen on täytettävä tietosuoja-asetuksen vaatimukset. Lisää: Evästesäännöt Suomessa.
Mitä Traficom sanoo?
Traficom valvoo evästesääntöä Suomessa. Sen syyskuussa 2021 julkaistu, tietosuojavaltuutetun toimiston kanssa laadittu evästeohje on selvä:
- Suostumuksen pyytämiseen käytettävällä mekanismilla ei saa kohtuuttomasti häiritä tai estää käyttäjän pääsyä sivustolle tai palveluun.
- Jos käyttäjä jatkaa palveluun tekemättä evästevalintoja, sivuston on toimittava oletuksena vain välttämättömillä evästeillä.
- Muiden kuin välttämättömien evästeiden hyväksymistä ei lähtökohtaisesti ole asianmukaista käyttää sivustolle pääsyn edellytyksenä, koska suostumusta ei silloin voida pitää vapaaehtoisesti annettuna.
- Myöskään palvelun käyttöehtojen hyväksyminen tai palvelun käytön jatkaminen ei ole pätevä suostumus.
Sana "lähtökohtaisesti" jättää tilaa poikkeuksille, mutta ohje ei kerro, millaisia ne voisivat olla. Tavalliselle sivustolle viesti on silti selvä: päästä kävijä sisään myös silloin, kun hän kieltäytyy.
Mitä EU:n tasolla sanotaan?
Euroopan tietosuojaneuvosto (EDPB), jossa myös tietosuojavaltuutetun toimisto on mukana, linjaa suostumusta koskevissa ohjeissaan 05/2020: jotta suostumus olisi vapaaehtoinen, pääsyä palveluihin ei saa asettaa riippuvaiseksi suostumuksesta tietojen tallentamiseen kävijän laitteelle tai niiden lukemiseen sieltä. Esimerkkinä on sivusto, joka näyttää vain pyynnön hyväksyä evästeet. EDPB:n mukaan kävijällä ei silloin ole todellista valinnanvaraa, joten suostumus ei ole pätevä. Traficomin ohje viittaa samoihin ohjeisiin.
Mikään EU-laki ei kiellä evästemuureja nimeltä, joten muiden maiden valvojat soveltavat periaatetta hieman eri tavoin. Jos sivustollasi on kävijöitä muista maista, tarkista myös niiden valvojien kanta.
Säännöt voivat muuttua. Euroopan komissio ehdotti muutoksia evästesääntöihin marraskuun 2025 Digital Omnibus -paketissaan, mutta lokakuussa 2026 ehdotusta ei ole hyväksytty, joten nykyiset säännöt ovat voimassa.
"Suostu tai maksa"
Jotkin julkaisijat tarjoavat valinnan: hyväksy seuranta personoituja mainoksia varten tai maksa pääsystä ilman sitä. Tätä kutsutaan nimellä "consent or pay" tai "pay or OK".
- EU:n tuomioistuin totesi vuonna 2023 asiassa Meta Platforms v Bundeskartellamt (C-252/21), että kieltäytyville käyttäjille olisi tarjottava vastaava vaihtoehto ilman kyseistä käsittelyä, tarvittaessa kohtuullista maksua vastaan.
- EDPB:n lausunto 08/2024 koskee vain suuria verkkoalustoja. Sen mukaan ne eivät useimmissa tapauksissa voi täyttää pätevän suostumuksen vaatimuksia, jos ne tarjoavat vain valinnan käyttäytymiseen perustuvaan mainontaan suostumisen ja maksamisen välillä. EDPB haluaa niiden harkitsevan ilmaista vaihtoehtoa ilman käyttäytymiseen perustuvaa mainontaa.
- Traficomin evästeohje ei käsittele mallia erikseen, joten arvio tehdään yleisten suostumussääntöjen pohjalta.
Tavalliselle yrityssivustolle tämä on harvoin ajankohtaista: et ansaitse rahaa personoiduilla mainoksilla, joten mitään ei ole, mistä "maksaa".
Mitä tehdä sen sijaan
Lähes jokaiselle sivustolle paras vaihtoehto on yksinkertainen:
- Päästä kävijät sisään kummassakin tapauksessa. Näytä "Hyväksy" ja "Hylkää" vierekkäin bannerin ensimmäisellä tasolla ja pidä sivusto käytettävänä hylkäämisen jälkeen.
- Älä peitä sivua niin, ettei sitä voi käyttää. Jos kävijä ei valitse mitään, lataa vain välttämättömät evästeet.
- Estä vain se, mikä vaatii suostumuksen. Välttämättömät evästeet saavat latautua; markkinointi- ja analytiikkatagit odottavat suostumusta.
- Älä jankuta. Kunnioita "Hylkää"-valintaa äläkä kysy samaa uudelleen jokaisella sivulla.
- Kerro selkeästi, mitä käytät ja miksi, bannerissa ja evästeselosteessa.
Cookie Confirm toimii juuri näin: banneri tarjoaa vapaan valinnan, estää skriptit suostumukseen asti ja voi soveltaa eri sääntöjä eri maissa. Mitkä evästeet ylipäätään vaativat suostumuksen? Katso Mitä evästeet ovat?
Lähteet
- Laki sähköisen viestinnän palveluista (917/2014), 205 § (Finlex)
- Traficom: evästeohje palveluntarjoajille, luku 4.1 Suostumuksen antaminen (1.9.2021, PDF)
- Kyberturvallisuuskeskus: Evästeet (ohjeet ja valvontapäätökset)
- EDPB: ohjeet 05/2020 asetuksen 2016/679 mukaisesta suostumuksesta
- EDPB: lausunto 08/2024 pätevästä suostumuksesta suurten verkkoalustojen "suostu tai maksa" -malleissa
- EDPB: kirje evästemuureista 19.11.2020
- EU:n tuomioistuin: asia C-252/21, Meta Platforms v Bundeskartellamt
- Euroopan komissio: Digital Package (Digital Omnibus)