Mitä laki sanoo?
Suomessa evästeistä säädetään sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä. Säännös koskee evästeitä ja kaikkia muitakin "palvelun käyttöä kuvaavia tietoja", joita tallennetaan käyttäjän päätelaitteelle tai luetaan sieltä. Traficomin evästeohjeen mukaan samaa sääntelyä sovelletaan esimerkiksi selaimen paikalliseen tallennustilaan (local storage ja session storage), seurantapikseleihin ja muihin verkkokutsuihin perustuviin seurantatekniikoihin sekä laitteen sormenjälkitunnistukseen.
Pykälässä on kolme momenttia:
- Pääsääntö: tallentaminen ja käyttö on sallittua, jos käyttäjä on antanut suostumuksensa ja palveluntarjoaja antaa hänelle ymmärrettävät ja kattavat tiedot tarkoituksesta.
- Poikkeus: suostumusta ei tarvita, kun tietojen ainoa tarkoitus on toteuttaa viestin välittämistä viestintäverkoissa tai kun tallentaminen on välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.
- Rajoitus: tallentaminen ja käyttö on sallittua vain palvelun vaatimassa laajuudessa, eikä se saa rajoittaa yksityisyyden suojaa enempää kuin on välttämätöntä. Traficom on tämän perusteella vaatinut lyhentämään evästeiden toiminta-aikoja.
Säännös perustuu EU:n sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohtaan. Kun evästeillä käsitellään henkilötietoja, kuten seuranta- ja mainosevästeillä lähes aina, sovelletaan lisäksi tietosuoja-asetusta. Suostumuksen on myös täytettävä tietosuoja-asetuksen vaatimukset. Lisää EU-taustasta: EU:n evästelainsäädäntö selitettynä.
Traficom korostaa, ettei oikeutettu etu ole koskaan peruste evästeiden asettamiselle. Sitä ei tunne 205 § eikä direktiivikään. Peruste on joko suostumus tai välttämättömyys.
Mitkä evästeet vaativat suostumuksen?
Laki ei jaottele evästeitä tyypeittäin. Traficomin mukaan ratkaisevaa on käyttötarkoitus, ja välttämättömyyttä arvioidaan ensisijaisesti käyttäjän eikä palveluntarjoajan näkökulmasta. Traficomin ohjeen ja ratkaisukäytännön perusteella:
| Evästeen tyyppi | Suostumus tarvitaan? | Esimerkkejä ja huomioita |
|---|---|---|
| Välttämättömät | Ei | Ostoskori, kirjautumisistunto, lomakkeen tiedot, tietoturva, kuormantasaus, evästevalinnan muistaminen |
| Kieli- ja ulkoasuvalinnat | Yleensä ei | Valinnan muistaminen käytön ajan; pidempiaikainen muistaminen arvioidaan tapauskohtaisesti |
| Analytiikka | Lähtökohtaisesti kyllä | Ilman suostumusta vain, jos tietoja ei jaeta kolmansille eikä kävijää voi tunnistaa, ja perusteet pystytään esittämään |
| Kohdennettu mainonta ja markkinointi | Kyllä | Meta-pikseli, Google Ads, uudelleenmarkkinointi |
| Sosiaalisen median liitännäiset | Kyllä, jos evästeet tallentuvat myös niille, jotka eivät käytä toimintoa | Jakopainikkeet, upotetut julkaisut |
| Upotettu kolmannen osapuolen sisältö | Lähtökohtaisesti kyllä | YouTube-videot, kartat |
| Chat | Ei, jos evästeet asetetaan vasta, kun kävijä avaa chatin | Jos ne latautuvat heti sivulle tultaessa, tarvitaan suostumus |
Välttämättömistäkin evästeistä Traficom suosittelee kertomaan kävijöille, esimerkiksi evästeselosteessa. Lisää evästetyypeistä: Mitä evästeet ovat?
Millainen suostumuksen pitää olla?
Traficomin evästeohjeen mukaan suostumuksen on täytettävä tietosuoja-asetuksen ehdot, eli sen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Käytännössä tämä tarkoittaa:
- Ei evästeitä ennen valintaa. Muita kuin välttämättömiä evästeitä ei saa asettaa ennen kuin kävijä on tehnyt valintansa.
- Kieltäytyminen yhtä helpoksi kuin hyväksyminen. Jos bannerin ylimmällä tasolla on "Hyväksy kaikki", sen rinnalla on oltava esimerkiksi "Hylkää" tai "Jatka välttämättömillä". Lisäksi kävijälle on hyvä tarjota tarkemmat valinnat evästetyypeittäin.
- Ei valmiiksi rastitettuja ruutuja eikä "päällä"-asentoon asetettuja liukukytkimiä. Tämä on linjassa EU:n tuomioistuimen Planet49-ratkaisun (C-673/17) kanssa.
- Ei selainasetuksia eikä "jatkamalla hyväksyt" -ilmoituksia. Helsingin hallinto-oikeus totesi 8.4.2021, ettei selaimen asetuksilla voi antaa pätevää suostumusta.
- Ei pakottamista. Jos kävijä jatkaa valintoja tekemättä, sivuston on toimittava vain välttämättömillä evästeillä. Katso Evästemuuri.
- Peruuttaminen helposti. Bannerin pitää saada uudelleen näkyviin esimerkiksi sivuston kuvakkeesta tai selvästi löytyvästä linkistä, ja peruuttamisen on todella poistettava tai ylikirjoitettava tallennetut tiedot.
- Todiste suostumuksesta. Säilytä vähintään ajankohta, tapa, jolla suostumusta pyydettiin, annetut tiedot ja tarpeelliset tunnistetiedot. Pyydä suostumus uudelleen, kun evästeet muuttuvat.
Kuka valvoo?
Suomessa valvonta jakautuu kahdelle viranomaiselle:
- Liikenne- ja viestintävirasto Traficom (Kyberturvallisuuskeskus) valvoo lain 205 §:ää eli evästesääntöä. Helsingin hallinto-oikeus vahvisti vuonna 2021, että Traficom on toimivaltainen evästeasioissa myös silloin, kun arvioidaan suostumuksen pätevyyttä.
- Tietosuojavaltuutetun toimisto valvoo tietosuoja-asetusta eli sitä, miten evästeillä kerättyjä henkilötietoja käsitellään. Tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen muodostama seuraamuskollegio voi määrätä hallinnollisia seuraamusmaksuja.
Traficom käsittelee asiat valitusten perusteella hallintomenettelyssä. Jos palveluntarjoaja on toiminut lainvastaisesti, Traficom voi huomauttaa siitä ja velvoittaa korjaamaan menettelyn määräajassa, ja velvoitteen tehosteeksi voidaan asettaa uhkasakko. Traficomin oman ilmoituksen mukaan sillä ei ole toimivaltaa määrätä hallinnollisia sanktioita evästeasioissa. Tietosuojavaltuutetun seuraamusmaksut ovat toinen asia; niistä kerrotaan oppaassa Evästesakot Suomessa.
Mihin Traficom on puuttunut?
Traficom on julkaissut evästeisiin liittyviä valvontapäätöksiä vuodesta 2021 lähtien. Samat puutteet toistuvat:
- Kieltäytyminen vaikeampaa kuin hyväksyminen. Sanoma Media Finland (8.6.2023), Telia Finland (21.11.2023) ja A-lehdet (7.6.2024) velvoitettiin lisäämään kieltäytymisvaihtoehto suostumustyökalun ensimmäiselle tasolle.
- Epäselvä "vain välttämättömät" -painike. Suomalaisen Kirjakaupan (29.9.2022) ja XXL Sports & Outdoorin (21.11.2023) piti muotoilla bannerinsa niin, että välttämättömien evästeiden valinta on selvästi erillinen ja samanarvoinen vaihtoehto.
- Evästeitä valinnasta huolimatta. Telia ja XXL asettivat suostumusta vaativia evästeitä, vaikka käyttäjä ei ollut hyväksynyt niitä.
- Oikeutettu etu bannerissa. Sanoman, A-lehtien ja Forecan piti kertoa käyttäjille selvästi, ettei evästeitä aseteta oikeutetun edun nojalla.
- Puutteelliset tiedot. Toiminta-ajat puuttuivat, evästeitä oli "Luokittelemattomat"-ryhmässä, tai tarkempia tietoja ei näkynyt valintaa tehtäessä (Silmäasema 16.10.2025).
- Peruuttaminen ilman vaikutusta. Sanoman, Telian ja XXL:n sivustoilla suostumuksen peruuttaminen ei pysäyttänyt kaikkia evästeitä.
Näin saat sivustosi kuntoon
- Selvitä, mitä sivustosi asettaa: evästeet, paikallinen tallennustila ja pikselit, myös lisäosien ja upotusten.
- Luokittele ne käyttötarkoituksen mukaan käyttäjän näkökulmasta. Älä jätä mitään luokittelematta.
- Lisää evästebanneri, jonka ensimmäisellä tasolla "Hyväksy" ja "Hylkää" ovat yhtä helppoja.
- Estä kaikki suostumusta vaativa, kunnes kävijä hyväksyy, ja pidä se estettynä kieltäytymisen jälkeen.
- Kerro jokaisesta evästeestä tarkoitus, toiminta-aika ja mahdolliset kolmannet osapuolet jo bannerin yhteydessä.
- Älä mainitse oikeutettua etua evästeiden perusteena.
- Tee peruuttamisesta helppoa ja varmista, että se oikeasti poistaa evästeet.
- Käytätkö Google Adsia tai Analyticsia? Välitä valinta Google Consent Mode v2:lla.
Cookie Confirm hoitaa vaiheet 1 ja 3–8: skanneri tarkistaa sivustosi joka kuukausi (ja aina kun haluat), banneri estää skriptit suostumukseen asti ja välittää valinnan Google Consent Mode v2:lle, evästeseloste luodaan ja päivitetään skannauksen perusteella ja jokainen suostumus säilytetään 12 kuukautta. Etkö halua asentaa itse? Maksuton asennuspalvelu hoitaa sen 24 tunnin kuluessa siitä, kun olet antanut pääsyn.
Lähteet
- Laki sähköisen viestinnän palveluista (917/2014), 205, 303, 305, 330 ja 332 § (Finlex)
- Tietosuojalaki (1050/2018), 24 § (Finlex)
- Kyberturvallisuuskeskus: Evästeet (ohjeet, valitukset ja valvontapäätökset)
- Traficom: Evästeet ja muut käyttäjien päätelaitteille tallennettavat tiedot sekä näiden tietojen käyttö, opas palveluntarjoajille (1.9.2021, PDF)
- Traficom: valvontapäätös, Suomalainen Kirjakauppa Oy (29.9.2022, PDF)
- Traficom: valvontapäätös, Sanoma Media Finland Oy (8.6.2023, PDF)
- Traficom: valvontapäätös, Telia Finland Oyj (21.11.2023, PDF)
- Traficom: valvontapäätös, XXL Sports & Outdoor Oy (21.11.2023, PDF)
- Traficom: valvontapäätös, A-lehdet Oy (7.6.2024, PDF)
- Traficom: valvontapäätös, Foreca Oy (12.6.2024, PDF)
- Traficom: valvontapäätös, Silmäasema Oy (16.10.2025, PDF)
- EUR-Lex: direktiivi 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), 5 artiklan 3 kohta
- EUR-Lex: asetus (EU) 2016/679 (tietosuoja-asetus)
- EU:n tuomioistuin: asia C-673/17, Planet49 (1.10.2019)
- Euroopan parlamentin lainsäädäntöseuranta: Digital Omnibus, menettely 2025/0360(COD)