Evästebanneri lain mukaan: vaatimukset ja yleisimmät virheet

Evästebanneri on niitä asioita, jotka jokainen sivusto kopioi jostain ja harva tarkistaa. Siksi verkko on täynnä bannereita, jotka näyttävät hoitavansa asian mutta eivät täytä vaatimuksia, ja aika moni niistä on tehty ihan hyvässä uskossa. Tämä artikkeli käy läpi, mitä laki oikeasti vaatii, mitkä ovat kolme yleisintä virhettä ja mitä bannerin takana pitää tapahtua, jotta kokonaisuus kestää tarkastelun.

Tämä on tiedotusta, ei oikeudellista neuvontaa. Vaatimukset perustuvat sähköisen viestinnän palveluista annettuun lakiin ja valvovan viranomaisen eli Traficomin ohjeistukseen, jotka on linkitetty lähteisiin.

Mihin vaatimus perustuu

Evästeistä ja muista kävijän laitteelle tallennettavista tai sieltä luettavista tiedoista säädetään Suomessa sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä, ja valvova viranomainen on Traficom. Korkein hallinto-oikeus linjasi elokuussa 2026, että säännös koskee myös verkkokutsuja, joissa kävijän laitteelta välittyy esimerkiksi IP-osoite tai selaimen ja laitteen tietoja (KHO:2026:64). Kolmannen osapuolen palvelimelta ladattu fontti, upotettu video tai seurantapikseli voi siis vaatia suostumuksen, vaikka se ei asettaisi yhtään evästettä. Henkilötietojen käsittelyyn sovelletaan lisäksi tietosuoja-asetusta, ja suostumuksen määritelmä tulee sieltä.

Perussääntö on yksinkertaisempi kuin bannereista päätellen luulisi: muuhun kuin välttämättömään tallentamiseen tai tietojen käyttöön tarvitaan suostumus. Välttämättömiä ovat vain evästeet, joita tarvitaan viestin välittämiseen tai sellaisen palvelun toteuttamiseen, jota käyttäjä on itse pyytänyt, esimerkiksi ostoskori, kirjautumisistunto tai kävijän oma kieli- ja evästevalinta. Analytiikka ja markkinointi eivät ole välttämättömiä, vaikka ne olisivat liiketoiminnalle kuinka hyödyllisiä. Korkeimman hallinto-oikeuden mukaan poikkeusta tulkitaan suppeasti, ja siihen vetoavan on itse osoitettava, että edellytykset täyttyvät.

Tästä seuraa myös vähemmän tunnettu kääntöpuoli: jos sivusto käyttää vain välttämättömiä evästeitä eikä tee muita kuin välttämättömiä verkkokutsuja, banneria ei tarvita lainkaan. Moni sivusto kysyy lupaa asioihin, joita se ei edes tee.

Mitä suostumukselta vaaditaan

• Aktiivinen tahdonilmaisu. Suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Valmiiksi rastitut hyväksyntäruudut eivät kelpaa, eikä pelkkä sivun selaamisen jatkaminen ole suostumus.
• Hylkääminen yhtä helppoa kuin hyväksyminen. Jos "Hyväksy kaikki" on yksi painallus ja kieltäytyminen vaatii asetusvalikossa kiertelyä, suostumus ei ole vapaaehtoinen. Korkein hallinto-oikeus katsoi elokuussa 2026 juuri tällaisen bannerin lainvastaiseksi (KHO:2026:65). Sen mukaan suhteellisen vähäinenkin lisävaiva kieltäytymisessä voi ohjata kävijän hyväksymään. Käytännössä kieltäytymisen paikka on bannerin ensimmäisessä näkymässä yhtä näkyvänä kuin hyväksyminen.
• Peruuttaminen yhtä vaivatonta kuin antaminen. Tietosuoja-asetuksen mukaan suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen (7 artiklan 3 kohta). Käytännössä: pysyvä linkki, josta valinnat saa auki uudelleen.
• Tieto ennen valintaa. Bannerista tai sen jatkonäkymästä on käytävä ilmi, mitä evästeitä sivustolla on, mihin tarkoitukseen ja kuinka kauan ne ovat voimassa.

Kolme yleisintä virhettä

1. Banneri on kulissi. Tämä on virheistä vakavin ja huonoiten tunnettu: banneri kysyy luvan, mutta analytiikka- ja seurantaskriptit latautuvat joka tapauksessa: joko ennen valintaa tai valinnasta riippumatta. Bannerin tärkein osa ei ole se mikä näkyy, vaan se mikä ei näy: skriptit saavat käynnistyä vasta suostumuksen jälkeen, ja kieltäytyminen tarkoittaa ettei niitä käynnistetä ollenkaan. Tämän voi tarkistaa itse selaimen kehittäjätyökaluista, ja se on ensimmäinen asia, jonka tarkastaja katsoo.

2. Kieltäytyminen on piilotettu. Iso värikäs hyväksyntänappi ja himmeä "asetukset"-linkki, jonka takaa kieltäytyminen löytyy kolmen näkymän päästä. Malli on tuttu, koska se tuottaa korkeita hyväksyntälukuja, ja juuri siksi se ei täytä vapaaehtoisuuden vaatimusta. KHO:2026:65 koski juuri tällaista banneria.

3. Lupaa kysytään väärään asiaan. Banneri luettelee evästeryhmiä, joita sivustolla ei ole, tai unohtaa mainita ne jotka on. Kopioitu banneri kuvaa sen sivuston evästeitä, josta se kopioitiin.

Mitä bannerin takana pitää tapahtua

Tämä osuus jää lähes kaikissa ohjeissa käsittelemättä, koska se on teknistä, mutta juuri se ratkaisee, onko kokonaisuus lain mukainen:

• Analytiikka- ja markkinointiskriptit ladataan vasta myönteisen valinnan jälkeen, ei sivun latautuessa.
• Valinta tallennetaan ja sitä kunnioitetaan jokaisella sivulatauksella ja jokaisella sivuston sivulla.
• Suostumuksesta jää merkintä, jolla sen olemassaolo voidaan osoittaa jälkikäteen, koska tietosuoja-asetus edellyttää, että suostumus pystytään näyttämään toteen.
• Peruutus tekee saman käänteisesti: seuranta loppuu, ei vain banneri katoa.

Avoimuuden nimissä: tämä sivusto ei käytä evästebanneria, koska se ei käytä analytiikkaa, ei lataa mitään kolmansien osapuolten palvelimilta eikä tee muutakaan, mikä vaatisi suostumuksen. Itse rakentamani KoodistoCookie-palvelu on käytössä muilla sivustoillani, ja se toimii juuri näin: skriptit ladataan vasta suostumuksesta, ja suostumuslokiin ei tallenneta IP-osoitetta. Sama periaate on toteutettavissa millä tahansa hyvin tehdyllä ratkaisulla; olennaista ei ole tuote vaan se, että joku on tarkistanut mitä sivulla oikeasti latautuu ja milloin.

Tarkistuslista omalle sivustolle

1. Avaa sivusi yksityisessä selainikkunassa ja katso kehittäjätyökalujen verkkovälilehdeltä, mitä latautuu ja mihin palvelimiin selain ottaa yhteyttä ennen kuin olet valinnut mitään.
2. Kokeile kieltäytyä: onnistuuko se bannerin ensimmäisestä näkymästä yhtä helposti kuin hyväksyminen?
3. Katso, mitä evästeryhmiä bannerisi luettelee, ja vastaako lista sitä, mitä sivusto oikeasti käyttää.
4. Etsi sivulta pysyvä linkki, josta valinnan voi muuttaa. Jos sitä ei ole, peruuttaminen ei ole yhtä helppoa kuin antaminen.

Evästeet ovat yksi kolmesta verkkopalvelun velvoitteesta. Kokonaiskuva rajoineen ja päivämäärineen: kolme velvoitetta, jotka voivat koskea verkkopalveluasi.

Tarkistan myös olemassa olevan sivuston evästeet ja bannerin: saavutettavuus, tietosuoja ja tekoälyasetus.

Usein kysytyt kysymykset

Tarvitseeko jokainen sivusto evästebannerin?

Ei. Sivusto, joka käyttää vain välttämättömiä evästeitä eikä tee muita kuin välttämättömiä verkkokutsuja, ei tarvitse suostumusta eikä banneria. Moni banneri kysyy lupaa asioihin, joita sivusto ei edes tee.

Saako bannerissa olla valmiiksi valittuja ruutuja?

Ei saa. Suostumuksen on oltava aktiivinen tahdonilmaisu.

Pitääkö hylkäämisen olla yhtä helppoa kuin hyväksymisen?

Pitää. Korkein hallinto-oikeus vahvisti tämän elokuussa 2026 (KHO:2026:65). Sama koskee suostumuksen peruuttamista jälkikäteen.

Riittääkö banneri, jos skriptit latautuvat silti?

Ei riitä. Banneri, jonka takana seuranta käynnistyy valinnasta riippumatta, on kulissi, ja se on ensimmäinen asia, jonka tarkastaja huomaa.

Lähteet. Sähköisen viestinnän palveluista annettu laki (917/2014) 205 §: Finlex. Evästeohjeistus ja suostumuksen vaatimukset: Traficomin Kyberturvallisuuskeskus. Verkkokutsut: KHO:2026:64. Kieltäytyminen bannerin ensimmäisessä näkymässä: KHO:2026:65. Suostumuksen määritelmä, osoitusvelvollisuus ja peruuttaminen: tietosuoja-asetus (EU) 2016/679, 4 ja 7 artikla. Tarkistettu 4.10.2026.