Mikä eväste on?
Eväste on pieni tekstitiedosto, jonka sivusto tallentaa kävijän selaimeen. Kun selain seuraavan kerran lataa sivun samalta sivustolta, se lähettää evästeen takaisin. Näin sivusto voi muistaa asioita: että olet kirjautunut sisään, mitä ostoskorissasi on, minkä kielen valitsit tai että olet käynyt sivustolla aiemmin.
Evästeet itsessään eivät ole hyviä eivätkä huonoja. Ratkaisevaa on, mihin niitä käytetään. Ostoskorisi säilyttävä eväste on jotain, mitä tarvitset; eväste, joka seuraa sinua sadoilla sivustoilla mainosprofiilin rakentamiseksi, on jotain, mihin sinun on ensin suostuttava.
Evästesääntö lyhyesti
Suomessa sääntö on sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä, joka perustuu EU:n sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohtaan. Saat tallentaa tietoja kävijän laitteelle tai lukea niitä sieltä, kun kävijä on antanut suostumuksensa ja saanut ymmärrettävät ja kattavat tiedot tarkoituksesta. Sääntöä valvoo Traficom. Lisää: Evästesäännöt Suomessa.
Poikkeuksia on kaksi. Suostumusta ei tarvita, kun tietojen ainoa tarkoitus on toteuttaa viestin välittämistä tai kun tallentaminen on välttämätöntä kävijän nimenomaisesti pyytämän palvelun tarjoamiseksi. Traficomin mukaan oikeutettu etu ei ole koskaan peruste evästeille. Kun suostumus tarvitaan, sen on täytettävä tietosuoja-asetuksen vaatimukset: vapaaehtoinen, yksilöity, tietoinen ja selkeällä toimella annettu. EU:n tuomioistuin linjasi Planet49-tapauksessa (2019), että valmiiksi rastitettu ruutu ei ole pätevä suostumus riippumatta siitä, sisältääkö eväste henkilötietoja.
Evästeiden tyypit
Asettajan mukaan
- Ensimmäisen osapuolen evästeet asettaa sivusto, jolla vierailet, omalla verkkotunnuksellaan.
- Kolmannen osapuolen evästeet asettaa toinen verkkotunnus, esimerkiksi sivulle upotettu mainosverkosto, videoalusta tai sosiaalisen median widget.
Keston mukaan
- Istuntoevästeet häviävät, kun suljet selaimen.
- Pysyvät evästeet säilyvät asetettuun vanhenemispäivään asti, minuuteista vuosiin. Esimerkiksi Google Analyticsin _ga-eväste säilyy oletuksena kaksi vuotta.
Käyttötarkoituksen mukaan
Tämä luokittelu ratkaisee, tarvitsetko suostumuksen.
Traficomin mukaan evästeen nimi tai tyyppi ei yksin ratkaise, vaan käyttötarkoitus, ja välttämättömyyttä arvioidaan käyttäjän näkökulmasta.
| Käyttötarkoitus | Esimerkkejä | Suostumus tarvitaan Suomessa? |
|---|---|---|
| Välttämättömät | Ostoskori, kirjautumisistunto, lomakkeen tiedot, kuormantasaus, tietoturva, itse evästevalinta | Ei |
| Asetukset ja personointi | Kieli, fonttikoko, ulkoasu | Ei, kun eväste vain muistaa kävijän tekemän valinnan käytön ajan; katseluhistoriaan perustuvat suositukset voivat vaatia suostumuksen |
| Tilastot / analytiikka | Kävijämäärät, sivunäytöt, Google Analytics | Lähtökohtaisesti kyllä |
| Markkinointi / seuranta | Meta-pikseli, Google Ads, LinkedIn Insight Tag, uudelleenmarkkinointi | Kyllä |
| Sosiaalinen media ja upotettu sisältö | YouTube-videot, kartat, jakopainikkeet | Lähtökohtaisesti kyllä |
| Chat | Asiakaspalvelun chat-ikkuna | Ei, jos evästeet asetetaan vasta, kun kävijä avaa chatin |
Lisää analytiikasta oppaassa Google Analytics ja tietosuoja-asetus.
Ei pelkästään evästeet
Sääntö on teknologianeutraali. Laki puhuu evästeistä ja muista "palvelun käyttöä kuvaavista tiedoista", ja Traficomin evästeohjeen mukaan samaa sääntelyä sovelletaan esimerkiksi selaimen paikalliseen tallennustilaan, seurantapikseleihin ja laitteen sormenjälkitunnistukseen. Euroopan tietosuojaneuvosto (EDPB) mainitsee ohjeissaan 2/2023 muun muassa:
- selaimen paikallisen tallennustilan ja istuntotallennustilan (local storage ja session storage);
- seurantapikselit ja linkkien koristelun (URL-osoitteisiin lisätyt tunnisteet);
- skriptit, jotka keräävät tietoja laitteelta ja lähettävät ne palvelimelle;
- sormenjälkitunnistuksen (fingerprinting), joka tunnistaa laitteen sen ominaisuuksien perusteella;
- sovellusten ja verkkoon kytkettyjen laitteiden tunnisteet.
Siksi "emme käytä evästeitä, vain pikseliä" ei vapauta sinua säännöistä. Traficom on valvontapäätöksissään käsitellyt evästeiden lisäksi myös selaimen paikallista tallennustilaa ja verkkokutsuja.
Mitä tämä tarkoittaa sivustollesi
- Selvitä, mitä sivustosi todella asettaa. Lisäosat, upotetut videot ja markkinointitagit lisäävät usein evästeitä, joista et tiedä. Evästeskanneri näyttää ne.
- Lajittele ne käyttötarkoituksen mukaan: ehdottoman välttämättömät, asetukset, tilastot ja markkinointi.
- Estä kaikki suostumusta vaativa, kunnes kävijä hyväksyy, ja tee hylkäämisestä yhtä helppoa kuin hyväksymisestä bannerin ensimmäisellä tasolla.
- Kerro niistä evästeselosteessa: jokainen eväste, sen käyttötarkoitus, kuka sen asettaa ja kuinka kauan se säilyy. Älä jätä evästeitä luokittelematta. Katso evästeselosteen mallimme.
Cookie Confirm skannaa sivustosi joka kuukausi (ja lisäksi rajattomasti uudelleen), lajittelee löytämänsä evästeet, estää skriptit suostumukseen asti ja pitää evästeselosteesi ajan tasalla.
Lähteet
- Laki sähköisen viestinnän palveluista (917/2014), 205 § (Finlex)
- Traficom: evästeohje palveluntarjoajille (1.9.2021, PDF)
- Kyberturvallisuuskeskus: Evästeet (evästetyypit ja suostumus)
- Traficom: valvontapäätös, Lippupiste Oy (28.5.2024, PDF)
- Traficom: valvontapäätös, Sanoma Media Finland Oy (8.6.2023, PDF)
- Sähköisen viestinnän tietosuojadirektiivi 2002/58/EY (konsolidoitu), 5 artiklan 3 kohta
- EU:n tuomioistuin: asia C-673/17, Planet49
- EDPB: ohjeet 2/2023 sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdan teknisestä soveltamisalasta
- 29 artiklan mukainen tietosuojatyöryhmä: lausunto 04/2012 evästeiden suostumusvaatimuksen poikkeuksista
- Google Analytics -ohje: evästeiden käyttö sivustoilla