Evästebanneri lain mukaan: vaatimukset ja yleisimmät virheet

Evästebanneri on niitä asioita, jotka jokainen sivusto kopioi jostain ja harva tarkistaa. Siksi verkko on täynnä bannereita, jotka näyttävät hoitavansa asian mutta eivät täytä vaatimuksia, ja aika moni niistä on tehty ihan hyvässä uskossa. Tämä artikkeli käy läpi, mitä laki oikeasti vaatii, mitkä ovat kolme yleisintä virhettä ja mitä bannerin takana pitää tapahtua, jotta kokonaisuus kestää tarkastelun.

Tämä on tiedotusta, ei oikeudellista neuvontaa. Vaatimukset perustuvat sähköisen viestinnän palveluista annettuun lakiin ja valvovan viranomaisen eli Traficomin ohjeistukseen, jotka on linkitetty lähteisiin.

Mihin vaatimus perustuu

Evästeistä ja muista kävijän laitteelle tallentuvista tiedoista säädetään Suomessa sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä, ja valvova viranomainen on Traficom. Henkilötietojen käsittelyyn sovelletaan lisäksi tietosuoja-asetusta, ja suostumuksen määritelmä tulee sieltä.

Perussääntö on yksinkertaisempi kuin bannereista päätellen luulisi: muuhun kuin välttämättömään tallentamiseen tarvitaan suostumus. Välttämättömiä ovat vain evästeet, joita tarvitaan viestin välittämiseen tai sellaisen palvelun toteuttamiseen, jota käyttäjä on itse pyytänyt, esimerkiksi ostoskori, kirjautumisistunto tai kävijän oma kieli- ja evästevalinta. Analytiikka ja markkinointi eivät ole välttämättömiä, vaikka ne olisivat liiketoiminnalle kuinka hyödyllisiä.

Tästä seuraa myös vähemmän tunnettu kääntöpuoli: jos sivusto käyttää vain välttämättömiä evästeitä, banneria ei tarvita lainkaan. Moni sivusto kysyy lupaa asioihin, joita se ei edes tee.

Mitä suostumukselta vaaditaan

• Aktiivinen tahdonilmaisu. Suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Valmiiksi rastitut hyväksyntäruudut eivät kelpaa, eikä pelkkä sivun selaamisen jatkaminen ole suostumus.
• Hylkääminen yhtä helppoa kuin hyväksyminen. Jos "Hyväksy kaikki" on yksi painallus ja kieltäytyminen vaatii asetusvalikossa kiertelyä, suostumus ei ole vapaaehtoinen.
• Peruuttaminen yhtä vaivatonta kuin antaminen. Traficomin ohjeen mukaan peruuttamisen tavan on oltava linjassa sen kanssa, miten suostumus alun perin pyydettiin. Käytännössä: pysyvä linkki, josta valinnat saa auki uudelleen.
• Tieto ennen valintaa. Bannerista tai sen jatkonäkymästä on käytävä ilmi, mitä evästeitä sivustolla on, mihin tarkoitukseen ja kuinka kauan ne ovat voimassa.

Kolme yleisintä virhettä

1. Banneri on kulissi. Tämä on virheistä vakavin ja huonoiten tunnettu: banneri kysyy luvan, mutta analytiikka- ja seurantaskriptit latautuvat joka tapauksessa: joko ennen valintaa tai valinnasta riippumatta. Bannerin tärkein osa ei ole se mikä näkyy, vaan se mikä ei näy: skriptit saavat käynnistyä vasta suostumuksen jälkeen, ja kieltäytyminen tarkoittaa ettei niitä käynnistetä ollenkaan. Tämän voi tarkistaa itse selaimen kehittäjätyökaluista, ja se on ensimmäinen asia, jonka tarkastaja katsoo.

2. Kieltäytyminen on piilotettu. Iso värikäs hyväksyntänappi ja himmeä "asetukset"-linkki, jonka takaa kieltäytyminen löytyy kolmen näkymän päästä. Malli on tuttu, koska se tuottaa korkeita hyväksyntälukuja, ja juuri siksi se ei täytä vapaaehtoisuuden vaatimusta.

3. Lupaa kysytään väärään asiaan. Banneri luettelee evästeryhmiä, joita sivustolla ei ole, tai unohtaa mainita ne jotka on. Kopioitu banneri kuvaa sen sivuston evästeitä, josta se kopioitiin.

Mitä bannerin takana pitää tapahtua

Tämä osuus jää lähes kaikissa ohjeissa käsittelemättä, koska se on teknistä, mutta juuri se ratkaisee, onko kokonaisuus lain mukainen:

• Analytiikka- ja markkinointiskriptit ladataan vasta myönteisen valinnan jälkeen, ei sivun latautuessa.
• Valinta tallennetaan ja sitä kunnioitetaan jokaisella sivulatauksella ja jokaisella sivuston sivulla.
• Suostumuksesta jää merkintä, jolla sen olemassaolo voidaan osoittaa jälkikäteen, koska tietosuoja-asetus edellyttää, että suostumus pystytään näyttämään toteen.
• Peruutus tekee saman käänteisesti: seuranta loppuu, ei vain banneri katoa.

Avoimuuden nimissä: tämä sivusto käyttää itse rakentamaamme KoodistoCookie-palvelua, joka toimii juuri näin: skriptit ladataan vasta suostumuksesta, ja suostumuslokiin ei tallenneta IP-osoitetta. Sama periaate on toteutettavissa millä tahansa hyvin tehdyllä ratkaisulla; olennaista ei ole tuote vaan se, että joku on tarkistanut mitä sivulla oikeasti latautuu ja milloin.

Tarkistuslista omalle sivustolle

1. Avaa sivusi yksityisessä selainikkunassa ja katso kehittäjätyökalujen verkkovälilehdeltä, mitä latautuu ennen kuin olet valinnut mitään.
2. Kokeile kieltäytyä: onnistuuko se yhtä monella painalluksella kuin hyväksyminen?
3. Katso, mitä evästeryhmiä bannerisi luettelee, ja vastaako lista sitä, mitä sivusto oikeasti käyttää.
4. Etsi sivulta pysyvä linkki, josta valinnan voi muuttaa. Jos sitä ei ole, peruuttaminen ei ole yhtä helppoa kuin antaminen.

Evästeet ovat yksi kolmesta verkkopalvelun velvoitteesta. Kokonaiskuva rajoineen ja päivämäärineen: kolme velvoitetta, jotka voivat koskea verkkopalveluasi.

Usein kysytyt kysymykset

Tarvitseeko jokainen sivusto evästebannerin?

Ei. Pelkillä välttämättömillä evästeillä toimiva sivusto ei tarvitse suostumusta eikä banneria. Moni banneri kysyy lupaa asioihin, joita sivusto ei edes tee.

Saako bannerissa olla valmiiksi valittuja ruutuja?

Ei saa. Suostumuksen on oltava aktiivinen tahdonilmaisu.

Pitääkö hylkäämisen olla yhtä helppoa kuin hyväksymisen?

Pitää, ja saman koskee suostumuksen peruuttamista jälkikäteen.

Riittääkö banneri, jos skriptit latautuvat silti?

Ei riitä. Banneri, jonka takana seuranta käynnistyy valinnasta riippumatta, on kulissi, ja se on ensimmäinen asia, jonka tarkastaja huomaa.

Lähteet. Sähköisen viestinnän palveluista annettu laki (917/2014) 205 §: Finlex. Evästeohjeistus ja suostumuksen vaatimukset: Traficomin Kyberturvallisuuskeskus. Suostumuksen määritelmä ja osoitusvelvollisuus: tietosuoja-asetus (EU) 2016/679, 4 ja 7 artikla. Tarkistettu 6.8.2026.