Onko verk­ko­si­vus­to­si eväs­te­suos­tu­mus oikeasti kunnossa?

Evästeet ovat hyödyllisiä sivuston toiminnan ja kehittämisen kannalta, mutta niiden käyttöön tulee silti pyytää lupa. Tätä edellyttävät sekä kansallinen lainsäädäntö että EU:n tietosuoja-asetus GDPR, poikkeuksena vain välttämättömät evästeet. Näihin säädöksiin nojaa Traficomin evästeohjeistus, joka kääntää vaatimukset käytännön ohjeiksi sivuston ylläpitäjälle.

Onko sivuston evästesuostumus automaattisesti kunnossa jos sivustolle asennetaan evästebanneri? Lyhyt ja ytimekäs vastaus on: ei ole. Evästebannerin asentamisen ja suostumuksen kysymisen lisäksi tulee huolehtia seuraavista asioista:

• Suostumusta kysytään Traficomin ohjeistuksen mukaisesti. Pelkkä ilmoitus ”jatkamalla sivuston käyttöä hyväksyt evästeet” tai yksinkertainen ”hyväksy evästeet” -nappi ei riitä täyttämään evästevaatimuksia.
• Sivuston evästeet on kategorisoitu oikein ja evästeiden käyttötarkoitus kerrotaan selkeästi.
• Evästeet teknisesti noudattavat käyttäjän tekemiä evästevalintoja.

Tässä blogikirjoituksessa käymme läpi, mitä sinun tulee tietää sivustosi evästeistä ja miten varmistat, että sivustosi vastaa lakien ja säädösten asettamia vaatimuksia evästeiden käytöstä.

Kysy suostumus evästehyväksyntäpalvelulla

Jos sivustollasi on evästeitä, joiden käyttöön vaaditaan suostumus, tarvitset sivustolle evästehyväksyntäpalvelun (CMP), kuten Cookiebot tai CookieHub. Palvelu näyttää kävijälle bannerin tai ponnahdusikkunan, jonka avulla suostumus pyydetään ja tallennetaan.

Traficom ohjeistaa evästebannerin toteutuksesta, ja lisävinkkejä löytyy aiemmasta Karhun blogikirjoituksesta, jossa kerrotaan etenkin miten evästehyväksyntäbannerin saa tehtyä kävijätilastoja säästäen.

Tiivistettynä Traficom ohjeistaa suostumuksen kysymisestä seuraavasti:

1. Evästeistä kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen.
2. Bannerissa ei saa olla valmiiksi rastitettuja ruutuja tai päällä olevia liukukytkimiä muiden kuin välttämättömien evästeiden kohdalla.
3. Evästebanneri ei saa kohtuuttomasti estää sivuston käyttöä, jos käyttäjä ei tee valintoja.
4. Evästeet on kategorisoitu oikein käyttötarkoituksensa mukaan (esim. välttämättömät, toiminnalliset, analytiikka, mainonta), ja käyttötarkoitus kerrotaan käyttäjälle selkeästi.
5. Käyttäjälle on annettava linkki tarkempiin tietoihin, kuten tietosuojaselosteeseen ja evästeselosteeseen.
6. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen, ja peruutusmekanismin on löydyttävä helposti.

Varmista evästeiden toiminta käytännössä

Evästehyväksyntäpalvelun asentaminen ei aina yksin riitä. Palvelu näyttää hyväksyntäbannerin ja tallentaa käyttäjän evästevalinnat. Useimmat palvelut osaavat myös itsenäisesti kategorisoida tunnetuimmat evästeet. Kaikki evästehyväksyntäpalvelut eivät kuitenkaan automaattisesti estä valinnaisia evästeitä asettumasta kävijöiden selaimeen. Varmista siis, että valinnaiset evästeet ja palvelut (esim. Googlen analytiikka, YouTube-upotukset, Meta-pikseli) eivät lataudu ennen kuin käyttäjä on antanut niille suostumuksen.

Teknisesti on täysin mahdollista – ja tämä on valitettavan yleistä – että sivustokävijä kieltäytyy valinnaisista evästeistä siinä uskossa, ettei selaimeen asetu niitä lainkaan, vaikka tosiasiassa evästeet asettuvat silti. Tällöin evästettä ei ole asetettu noudattamaan evästehyväksyntäbannerissa tehtyjä valintoja. Näin käy tyypillisesti esimerkiksi upotettujen YouTube-videoiden kanssa: video näkyy sivustolla ja YouTuben evästeet asettuvat selaimeen, vaikka kävijä olisi kieltänyt valinnaiset evästeet.

Mikäli evästeiden toiminta on täysin irrallaan kävijän tekemistä evästevalinnoista, on koko evästekyselyn tarkoitus turha.

Jos evästehyväksyntäpalvelu ei itsessään estä valinnaisten evästeiden asettumista ennen luvan antamista, evästeiden toiminta täytyy yleensä säätää siellä, missä evästettä käyttävä palvelu on asennettu sivustolle – esimerkiksi Google Tag Managerissa. Käytännössä palvelu käsketään kuuntelemaan evästehyväksyntäbannerissa tehtyjä valintoja, jolloin eväste pääsee aktivoitumaan vasta, kun kävijä antaa siihen luvan.

Muista ottaa myös huomioon suostumuksen peruuttaminen. Jos sivustokävijä on ensin antanut luvan käyttää valinnaisia evästeitä, mutta peruu luvan, tulee peruuttamisella olla tosiasiallinen vaikutus: peruutuksen tulee poistaa tai ylikirjoittaa laitteelle jo tallennetut tiedot.

Usein kysytyt kysymykset evästeistä

Riittääkö pelkkä evästebanneri täyttämään evästevaatimukset?

Ei riitä. Suostumus pitää kysyä oikein — kieltäytymisen tulee olla yhtä helppoa kuin hyväksymisen, evästeet on kategorisoitava oikein, ja evästeiden pitää teknisesti noudattaa kävijän tekemiä valintoja.

Mitä evästeitä sivustolle saa asettaa ilman kävijän suostumusta?

Ilman erillistä suostumusta saa asettaa vain sivuston toiminnan kannalta välttämättömät evästeet. Esimerkiksi Google Analytics, YouTube-upotukset ja Metan pikseli asettavat valinnaisia evästeitä, joiden käyttöön vaaditaan kävijän lupa.

Miksi eväste voi asettua selaimeen, vaikka kävijä kieltäytyi valinnaisista evästeistä?

Evästehyväksyntäpalvelu ei aina itsessään estä evästeen latautumista. Jos evästettä käyttävää palvelua, esimerkiksi Google Analyticsia, ei ole ohjeistettu kuuntelemaan kävijöiden evästevalintoja, eväste voi asettua silti selaimeen.

Pitääkö evästesuostumuksen peruuttamisen olla mahdollista?

Kyllä. Peruuttamisen pitää olla yhtä helppoa kuin suostumuksen antaminen, ja peruutuksella tulee olla myös tosiasiallinen vaikutus: jo tallennetut tiedot pitää poistaa tai ylikirjoittaa.

Kuinka usein sivuston evästeet kannattaa tarkistaa?

Säännöllisesti, sillä sivustolle lisättävät uudet työkalut, toiminnot ja upotukset tuovat usein mukanaan uusia evästeitä. Monissa evästehyväksyntäpalveluissa on skannaustoiminto, joka listaa sivuston evästeet ja huomauttaa puutteista.

Pysy kartalla evästeistä ja tietosuojasta

Sivuston omistajana olet vastuussa siitä, että sivuston evästeet noudattavat kävijän antamaa evästelupaa. Evästehyväksyntäpalveluissa on usein skannaustoiminto, joka käy sivuston evästeet läpi ja huomauttaa mahdollisista puutteista. Skannaa sivustosi evästeet säännöllisesti, sillä uudet toiminnot, työkalut ja upotukset tuovat usein mukanaan uusia evästeitä, jotka tulee tarpeen mukaan asettaa noudattamaan kävijöiden antamaa evästelupaa.

Evästeiden ja tietosuoja-asioiden suhteen kannattaa olla jatkuvasti kartalla, sillä evästeet usein keräävät tietoa käyttäjistä. Etenkin kolmannen osapuolen palveluita käytettäessä evästeillä kerätyt tiedot päätyvät usein palvelun omistajalle asti, yleisimmin Googlelle ja Metalle. Vaikka sivuston omistajasta voi itsestä tuntua, ettei kerätyillä evästetiedoilla tehdä mitään, datajätit kyllä tekevät – tiedot päätyvät osaksi laajempaa profilointia ja kohdennettua mainontaa, oli sivuston omistajan oma käyttötarkoitus mikä tahansa. Mikäli evästeiden toiminta ei ole sidottu evästehyväksyntäbannerin valintoihin, sivusto kerää ja jakaa käyttäjätietoa datajäteille ilman todellista suostumusta – ja mahdolliset seuraukset lankeavat sivuston omistajalle.

Pelkästään luvan kysyminen evästeiden käyttöön ei aina riitä, vaan huomiota pitää kiinnittää myös siihen, mitä tietoja evästeillä kerätään. Meta-pikselin käytöstä on jaettu miljoonasakot Ruotsissa henkilötietojen vääränlaisesta käsittelystä, ja syynä tähän oli Meta-pikselin ”Automatic Advanced Matching” eli AAM-ominaisuuden käyttö.

Luottamus rakentuu myös evästeistä

Evästebanneri ei ole sivustolla vain kosmeettinen koriste tai ärsyttävä näytölle ponnahtava laatikko, vaan sillä täytetään lakien asettamia velvoitteita. Evästehyväksyntäpalvelun toiminta ja evästeiden jatkuva valvonta ovat siksi kriittinen osa sivuston ylläpitoa.

Jokainen toimija haluaa olla asiakkailleen ja sidosryhmilleen luotettava taho palveluiden ja tuotteidensa puolesta. Huolehtimalla evästekäytännöistä kunnioitat sivustokävijöiden tietosuojaa ja teet organisaatiostasi luotettavan toimijan myös verkkopalveluiden osalta.

Mikäli evästeiden selvitys ja hallinnointi tuntuu työläältä tai epävarmalta, voi asiantuntija tehdä sen puolestasi. Karhu Helsinki auttaa mielellään sivustosi evästeiden kartoittamisessa ja evästehyväksyntäbannerin toteutuksen tarkistamisessa.

Tilaa evästeanalyysi sivustollesi tai kysy lisää evästeistä