Kuka voi puuttua evästeisiin Suomessa?
Evästeisiin sovelletaan Suomessa kahta lakia, ja kummallakin on oma valvojansa:
- Laki sähköisen viestinnän palveluista (917/2014), 205 §, eli Suomen evästesääntö. Sitä valvoo Liikenne- ja viestintävirasto Traficom (Kyberturvallisuuskeskus). Helsingin hallinto-oikeus vahvisti vuonna 2021, että Traficom on evästeasioissa toimivaltainen viranomainen myös suostumuksen arvioinnissa.
- Tietosuoja-asetus. Kun evästeillä tai muilla seurantatekniikoilla käsitellään henkilötietoja, sitä valvoo tietosuojavaltuutetun toimisto.
Evästesääntö ei ole osa tietosuoja-asetusta, joten asetuksen yhden luukun periaate ei koske sitä. Traficomin mukaan se valvoo suomalaisia ja Suomessa toimivia palveluntarjoajia.
Mitä seuraamuksia laki tuntee?
| Laki | Viranomainen | Mahdollinen seuraamus |
|---|---|---|
| Sähköisen viestinnän palvelulaki, 205 § | Traficom | Huomautus ja velvoite korjata menettely määräajassa (330 §); velvoitteen tehosteeksi uhkasakko, keskeyttämisuhka tai teettämisuhka (332 §). Ei hallinnollisia sakkoja. |
| Sähköisen viestinnän palvelulaki, 349 § | Poliisi, syyttäjä ja tuomioistuin | 205 §:n 1 momentin velvollisuuksien laiminlyönti on säädetty rangaistavaksi sähköisen viestinnän tietosuojarikkomuksena |
| Tietosuoja-asetus, 83 artiklan 5 kohta (perusperiaatteet, käsittelyperuste, suostumuksen ehdot) | Tietosuojavaltuutetun toimiston seuraamuskollegio | Enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta, jos se on suurempi |
| Tietosuoja-asetus, 83 artiklan 4 kohta (esim. sisäänrakennettu tietosuoja, käsittelyn turvallisuus) | Tietosuojavaltuutetun toimiston seuraamuskollegio | Enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta |
Tietosuojalain 24 §:n mukaan seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen muodostama seuraamuskollegio. Maksua ei voi määrätä esimerkiksi valtion ja kuntien viranomaisille eikä itsenäisille julkisoikeudellisille laitoksille. Enimmäismäärät kertovat vähän siitä, mitä tavallinen sivusto riskeeraa: maksun suuruuteen vaikuttavat muun muassa rikkomisen luonne, vakavuus ja kesto, käsiteltyjen tietojen laatu ja yrityksen koko.
Mitä Traficom on päättänyt?
Traficom on julkaissut evästeisiin liittyviä valvontapäätöksiä vuodesta 2021 lähtien, esimerkiksi Sanoma Media Finlandista (2023), Telia Finlandista (2023), XXL Sports & Outdoorista (2023), A-lehdistä (2024), Forecasta (2024) ja Silmäasemasta (2025). Päätöksissä Traficom on todennut 205 §:n rikkomuksia ja velvoittanut yritykset korjaamaan bannerinsa ja toimittamaan selvityksen korjauksista kahden tai kolmen kuukauden kuluessa. Sakkoja niistä ei seuraa, mutta korjaamatta jättämisestä voi seurata uhkasakko.
Toistuvat puutteet olivat: kieltäytyminen vaikeampaa kuin hyväksyminen, evästeitä asetettiin käyttäjän valinnasta huolimatta, oikeutettu etu esitettiin evästeiden perusteena, toiminta-ajat puuttuivat ja suostumuksen peruuttaminen ei pysäyttänyt kaikkia evästeitä. Tarkemmin: Evästesäännöt Suomessa.
Mitä tietosuojavaltuutettu on päättänyt?
Tietosuojavaltuutetun toimisto on puuttunut seurantatekniikoihin silloin, kun niiden kautta on päätynyt henkilötietoja, erityisesti terveyteen liittyviä tietoja, Googlelle, Metalle ja muille seurantapalveluille:
| Päätös | Rekisterinpitäjä | Seuraamus | Mitä tapahtui |
|---|---|---|---|
| 13.12.2022 | Helsinki, Espoo, Vantaa ja Kauniainen (Helmet-kirjastot) | Huomautus ja määräys hävittää kerätyt tiedot; seuraamusmaksua ei voi määrätä viranomaisille | Google Analytics ja Google Tag Manager Helmet.fi-sivustolla; hakutietoja päätyi Googlelle ja siirtyi Yhdysvaltoihin ilman riittäviä suojatoimia |
| 27.5.2025 | Yliopiston Apteekki | 1,1 miljoonan euron seuraamusmaksu ja huomautus. Helsingin hallinto-oikeus kumosi maksun 1.6.2026, koska oli epäselvää, voiko Helsingin yliopiston konserniin kuuluvalle apteekille määrätä maksua. Huomautus jäi voimaan. | Verkkoapteekin seurantatekniikat välittivät vuosina 2018–2022 tietoja reseptilääkkeitä ja itsehoitolääkkeitä koskevasta asioinnista Googlelle ja Metalle |
| 2.10.2026 | Mindemo Oy (aiemmin Heltti Oy) | 33 000 euron seuraamusmaksu ja huomautus; päätös ei ole lainvoimainen | Terveydenhuollon verkkoajanvarauksen tietoja välitettiin ulkoisille seurantapalveluille, kuten Googlelle (mm. Google Analytics 4 ja Google Ads), Metalle (Meta-pikseli) ja Microsoftille |
Yksi asia on syytä huomata: Mindemon tapauksessa tietoja oli rekisterinpitäjän mukaan välitetty vain, jos käyttäjä oli hyväksynyt evästeet. Evästesuostumus ei siis yksin riitä, jos seurantatyökalu lähettää ulkopuolisille tietoja, joita sille ei olisi pitänyt lähettää. Yliopiston Apteekin asiassa hallinto-oikeuden päätöksestä voi hakea valituslupaa korkeimmalta hallinto-oikeudelta.
Lyhyesti: Suomessa ei ole annettu sakkoa pelkästään puutteellisesta evästebannerista. Riski on suurin sivustoilla, joilla seurantatyökalut kulkevat terveyteen tai muihin arkaluonteisiin asioihin liittyvillä sivuilla.
Muualla EU:ssa
Muissa maissa valvojilla voi olla laajemmat valtuudet. Ranskan CNIL valvoo sekä evästesääntöä että tietosuoja-asetusta ja on määrännyt suurimmat evästesakot:
| Päätös | Valvoja | Yritys | Sakko | Mikä meni vikaan |
|---|---|---|---|---|
| 31.12.2021 | CNIL (Ranska) | Google LLC ja Google Ireland | 150 miljoonaa euroa | Evästeistä kieltäytyminen vaati enemmän klikkauksia kuin hyväksyminen |
| 31.12.2021 | CNIL (Ranska) | Facebook Ireland (nykyään Meta Platforms Ireland) | 60 miljoonaa euroa | Kieltäytyminen ei ollut yhtä helppoa kuin hyväksyminen |
| 1.9.2025 | CNIL (Ranska) | Google LLC ja Google Ireland | 325 miljoonaa euroa | Mainoksia Gmailissa ja evästeitä tilin luonnissa ilman pätevää suostumusta |
| 1.9.2025 | CNIL (Ranska) | Infinite Styles Services (Shein) | 150 miljoonaa euroa | Mainosevästeitä ennen valintaa, "Hylkää kaikki" -valintaa ei kunnioitettu |
Jos sivustosi palvelee kävijöitä myös muissa EU-maissa, kyseisten maiden valvojat voivat soveltaa omia evästelakejaan. Lisää: EU:n evästelainsäädäntö selitettynä.
Muut riskit: vahingonkorvaus
Tietosuoja-asetuksen 82 artiklan mukaan jokaisella, joka kärsii aineellista tai aineetonta vahinkoa asetuksen rikkomisen vuoksi, on oikeus korvaukseen. Asiassa Österreichische Post (C-300/21, 4.5.2023) EU:n tuomioistuin katsoi, ettei pelkkä rikkominen riitä, vaan vahinko ja syy-yhteys on osoitettava. Vahingon vakavuudelle ei kuitenkaan saa asettaa vähimmäiskynnystä.
Näin vältät ongelmat
- Ei evästeitä ennen suostumusta. Estä jokainen suostumusta vaativa skripti, kunnes kävijä hyväksyy, ja pidä se estettynä kieltäytymisen jälkeen.
- Kieltäytyminen ensimmäiselle tasolle. "Hylkää" yhtä näkyvästi kuin "Hyväksy kaikki". Tämä on yksi Traficomin päätösten yleisimmistä puutteista.
- Ei oikeutettua etua. Älä esitä bannerissa oikeutettua etua evästeiden perusteena.
- Selkeät tiedot. Kerro käyttötarkoitukset, toiminta-ajat ja kolmannet osapuolet bannerissa ja evästeselosteessa.
- Peruuttaminen, joka toimii. Suostumuksen peruuttamisen on oikeasti pysäytettävä ja poistettava evästeet.
- Tarkista, mitä seurantatyökalut lähettävät. Älä anna pikselien ja analytiikan kulkea sivuilla, joilla käsitellään terveyteen tai muihin arkaluonteisiin asioihin liittyviä tietoja.
- Säilytä todisteet siitä, mitä kukin kävijä valitsi ja milloin.
Cookie Confirm hoitaa nämä vaiheet: skanneri tarkistaa sivustosi joka kuukausi (ja lisäksi aina kun haluat), skriptit pysyvät estettyinä suostumukseen asti, hyväksyminen ja hylkääminen ovat vierekkäin, evästeseloste luodaan skannauksen perusteella ja jokainen suostumus kirjataan 12 kuukaudeksi. Hintaan 7,95 € sivustoa kohden kuukaudessa, ja 7 päivän ilmainen kokeilu.
Lähteet
- Laki sähköisen viestinnän palveluista (917/2014), 205, 330, 332 ja 349 § (Finlex)
- Tietosuojalaki (1050/2018), 24 § (Finlex)
- EUR-Lex: asetus (EU) 2016/679 (tietosuoja-asetus), 82 ja 83 artikla
- Kyberturvallisuuskeskus: Evästeet (Traficomin toimivalta ja valvontapäätökset)
- Traficom: evästeohje palveluntarjoajille (1.9.2021, PDF)
- Traficom: valvontapäätös, XXL Sports & Outdoor Oy (21.11.2023, PDF)
- Traficom: valvontapäätös, Sanoma Media Finland Oy (8.6.2023, PDF)
- Traficom: valvontapäätös, Telia Finland Oyj (21.11.2023, PDF)
- Tietosuojavaltuutettu: Kirjastojen verkkosivustolla käytettäviin seurantateknologioihin liittyvä henkilötietojen käsittely, 13.12.2022 (Finlex)
- EDPB: Coordinated Enforcement Action, use of cloud-based services by the public sector (18.1.2023, Helmet-päätöksen kuvaus, PDF)
- Tietosuojavaltuutettu: Verkkoapteekkisivustolla käytettäviin seurantateknologioihin liittyvä henkilötietojen käsittely, 27.5.2025 (Finlex)
- EDPB: Finnish SA, Yliopiston Apteekki issued administrative fine (17.6.2025)
- Helsingin hallinto-oikeus: Yliopiston Apteekin 1,1 miljoonan euron seuraamusmaksu kumottiin (1.6.2026)
- Tietosuojavaltuutettu: Terveydenhuollon verkkoajanvarauspalvelun seurantateknologioihin liittyvä henkilötietojen käsittely, 2.10.2026 (Finlex)
- CNIL: CNIL:n määräämät seuraamukset
- CNIL: Facebookille annetun määräyksen päättäminen
- CNIL: Googlelle 325 miljoonan euron sakko (syyskuu 2025)
- CNIL: Sheinille 150 miljoonan euron sakko (syyskuu 2025)
- EU:n tuomioistuin: asia C-300/21, Österreichische Post (4.5.2023)