Kolmannen osapuolen evästeet Chromessa: mitä Google päätti ja mitä se tarkoittaa suostumukselle

Mitä kolmannen osapuolen evästeet ovat?

Ensimmäisen osapuolen evästeen asettaa sivusto, jolla kävijä on. Kolmannen osapuolen evästeen asettaa toinen verkkotunnus, jonka sisältöä ladataan sivulle, kuten mainosverkosto, sosiaalisen median painike tai upotettu video. Koska sama kolmas osapuoli on mukana monilla sivustoilla, sen eväste voi tunnistaa kävijän näillä kaikilla. Juuri siksi kolmannen osapuolen evästeet ovat hyödyllisiä uudelleenmarkkinoinnissa ja sivustojen välisessä seurannassa, ja siksi selaimet ja valvontaviranomaiset tarkastelevat niitä tarkasti. Lisää eri tyypeistä: Mitä evästeet ovat?

Googlen suunnitelma ja miten se muuttui

Ison-Britannian kilpailuviranomaisen rooli

Koska kolmannen osapuolen evästeiden poistaminen käytetyimmästä selaimesta olisi voinut vahingoittaa kilpailijoita verkkomainonnassa, CMA tutki Privacy Sandboxia ja hyväksyi helmikuussa 2022 Googlelta oikeudellisesti sitovat sitoumukset siitä, miten muutos toteutettaisiin. Kun Google päätti olla poistamatta kolmannen osapuolen evästeitä, CMA järjesti kuulemisen sitoumuksista vapauttamisesta ja vapautti ne virallisesti 17. lokakuuta 2025.

Mitä Privacy Sandboxille tapahtui?

Privacy Sandbox oli joukko selainteknologioita, joiden oli tarkoitus tukea mainontaa ilman kolmannen osapuolen evästeitä. Lokakuussa 2025 Google kertoi arvioituaan palautetta ja vähäisen käyttöönoton vuoksi lopettavansa muun muassa seuraavat: Attribution Reporting, IP Protection, Private Aggregation ja Shared Storage, Protected Audience, Related Website Sets, Topics sekä Androidilla myös On-Device Personalization, Protected App Signals ja SDK Runtime. Googlen ominaisuuksien tilasivulla nämä on nyt merkitty poistettaviksi tai poistettaviksi aikataulun mukaan.

Google tukee edelleen teknologioita, jotka myös muut selaimet ovat ottaneet käyttöön tai jotka parantavat yksityisyyttä ja tietoturvaa, kuten CHIPS (osioidut evästeet), FedCM (federoitu kirjautuminen), Private State Tokens, Storage Access API ja tallennustilan osiointi. Mittauksen osalta Google kertoo työskentelevänsä yhteentoimivan Attribution-standardin parissa W3C:n kautta.

Mitä Safari ja Firefox tekevät

Muut selaimet valitsivat oman tiensä jo vuosia sitten:

• Safari estää kolmannen osapuolen evästeet oletuksena. Applen WebKit-tiimi ilmoitti kolmannen osapuolen evästeiden täydestä estosta 24. maaliskuuta 2020 Safari 13.1:n myötä macOS:ssä sekä iOS:ssä ja iPadOS 13.4:ssä. Tämä on osa sen Intelligent Tracking Prevention -toimintoa (ITP).
• Firefox otti Total Cookie Protectionin oletuksena käyttöön kaikille työpöytäkäyttäjille 14. kesäkuuta 2022. Se antaa jokaiselle sivustolle oman erillisen "evästepurkin", joten yhdellä sivustolla asetettua kolmannen osapuolen evästettä ei voi käyttää kävijän tunnistamiseen toisella sivustolla.

Käytännössä osa kävijöistäsi siis selaa jo ilman toimivia kolmannen osapuolen evästeitä, kun taas useimmilla Chromen käyttäjillä ne ovat yhä käytössä.

Mitä tämä tarkoittaa evästebannerillesi

Tekivät selaimet mitä tahansa, laki ei ole muuttunut. Suostumussääntö EU:ssa (sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohta ja siihen perustuvat kansalliset lait, Suomessa sähköisen viestinnän palveluista annetun lain 205 §) ja Isossa-Britanniassa (PECR-asetuksen 6 kohta) koskee kaikkea tietojen tallentamista laitteelle tai pääsyä niihin, teki sen kuka tahansa ja millä tekniikalla tahansa. Katso Evästesäännöt Suomessa, EU:n evästelainsäädäntö selitettynä ja UK cookie law (englanniksi).

Tämä tarkoittaa:

• Myös ensimmäisen osapuolen evästeet vaativat suostumuksen, kun niitä käytetään mainontaan tai seurantaan, ja Suomessa lähtökohtaisesti myös analytiikkaan. Seurannan siirtäminen ensimmäisen osapuolen evästeeseen tai palvelinpuolen toteutukseen ei poista suostumuksen tarvetta.
• Myös muut tekniikat kuuluvat sääntöjen piiriin, kuten paikallinen tallennustila, seurantapikselit ja sormenjälkitunnistus. Traficomin evästeohje mainitsee nämä nimenomaisesti.
• Kolmannen osapuolen evästeet vaativat Suomessa lähtökohtaisesti suostumuksen. Traficomin mukaan niitä ei tavallisesti tarvita viestin välittämiseen, eikä upotetun kolmannen osapuolen sisällön evästeitä lähtökohtaisesti voida pitää välttämättöminä.
• Bannerisi on estettävä suostumusta vaativat skriptit, kunnes kävijä hyväksyy, jokaisessa selaimessa. Se, että selain estää osan kolmannen osapuolen evästeistä, ei ole sama asia kuin että sinä saat suostumuksen.
• Googlen omat suostumusvaatimukset pätevät edelleen. Jos käytät Google Adsia tai Google Analyticsia ETA-alueen, Ison-Britannian tai Sveitsin kävijöille, tarvitset Google Consent Mode v2:n. Katso Google Consent Mode v2 selitettynä.

Valvontaviranomaiset valvovat näitä sääntöjä edelleen, Suomessa Traficom: katso Evästesakot Suomessa.

Mitä tehdä nyt

1. Skannaa sivustosi ensimmäisen ja kolmannen osapuolen evästeiden, pikselien ja paikallisen tallennustilan varalta.
2. Tarkista kunkin käyttötarkoitus: onko se ehdottoman välttämätön vai vaatiiko se suostumuksen?
3. Estä suostumusta vaativa, kunnes kävijä hyväksyy, ja pidä "Hyväksy" ja "Hylkää" yhtä näkyvinä.
4. Ota Google Consent Mode v2 käyttöön, jos käytät Googlen tageja.
5. Pidä evästeselosteesi ajan tasalla, myös ensimmäisen osapuolen evästeiden osalta; katso evästeselosteen mallimme.

Cookie Confirm tekee tämän puolestasi: skanneri löytää ensimmäisen ja kolmannen osapuolen evästeet joka kuukausi, skriptit pysyvät estettyinä suostumukseen asti, Google Consent Mode v2 on tuettu kaikilla neljällä signaalilla (myös Google Tag Manager -mallimme kautta), ja evästeseloste luodaan skannauksen perusteella. Hintaan 7,95 € sivustoa kohden kuukaudessa, ja 7 päivän ilmainen kokeilu ilman luottokorttia.

Lähteet

• Laki sähköisen viestinnän palveluista (917/2014), 205 § (Finlex)
• Traficom: evästeohje palveluntarjoajille (1.9.2021, PDF)
• Chromium Blog: Building a more private web, a path towards making third party cookies obsolete (14.1.2020)
• Google: An updated timeline for Privacy Sandbox milestones (24.6.2021)
• Google: Expanding testing for the Privacy Sandbox for the web (27.7.2022)
• Google: The next step toward phasing out third-party cookies in Chrome (14.12.2023)
• Privacy Sandbox: Update on the plan for phase-out of third-party cookies on Chrome (23.4.2024)
• Privacy Sandbox: A new path for Privacy Sandbox on the web (22.7.2024)
• Privacy Sandbox: Next steps for Privacy Sandbox and tracking protections in Chrome (22.4.2025)
• Privacy Sandbox: Update on plans for Privacy Sandbox technologies (17.10.2025)
• Privacy Sandbox: ominaisuuksien tila
• CMA: Investigation into Google's Privacy Sandbox browser changes
• CMA: päätös vapauttaa Googlen Privacy Sandbox -ehdotuksia koskevat sitoumukset (17.10.2025, PDF)
• WebKit: Full third-party cookie blocking and more (24.3.2020)
• Mozilla: Firefox rolls out Total Cookie Protection by default to all users worldwide (14.6.2022)
• EUR-Lex: direktiivi 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), 5 artiklan 3 kohta
• EDPB: ohjeet 2/2023 sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdan teknisestä soveltamisalasta