Evästesuostumus: mitä ePrivacy-säännöt edellyttävät

Evästebannerit ovat EU:n tietosuojalainsäädännön näkyvin osa ja se osa, joka useimmiten toteutetaan väärin. Säännöt ovat peräisin kahdesta yhdessä toimivasta säädöksestä: sähköisen viestinnän tietosuojadirektiivi 2002/58/EY (ePrivacy-direktiivi) ratkaisee, milloin suostumus tarvitaan, ja EU:n yleinen tietosuoja-asetus (GDPR) määrittelee, mikä lasketaan suostumukseksi.

Sääntö yhdellä virkkeellä

ePrivacy-direktiivin 5 artiklan 3 kohta, sellaisena kuin se on muutettuna vuonna 2009, sallii tietojen tallentamisen käyttäjän laitteelle tai sinne jo tallennettujen tietojen lukemisen vain, jos käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot, paitsi jos tallentaminen tai lukeminen on tarpeen yksinomaan viestinnän välittämiseksi tai ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Tästä seuraa kolme asiaa:

• Sääntö on teknologianeutraali. Se kattaa evästeet, paikallisen tallennustilan, seurantapikselit, laitteen sormenjälkitunnistuksen ja vastaavat tekniikat. Euroopan tietosuojaneuvoston (EDPB) suuntaviivat 2/2023 selittävät, kuinka laajasti ”tallentaminen” ja ”lukeminen” tulkitaan.
• Sääntö ei rajoitu henkilötietoihin. Asiassa C-673/17, Planet49 unionin tuomioistuin (EUT) vahvisti, että 5 artiklan 3 kohtaa sovelletaan, ovatpa tallennetut tiedot henkilötietoja tai eivät.
• Suostumus ensin. Muut kuin välttämättömät skriptit eivät saa käynnistyä ennen kuin kävijä on tehnyt valintansa.

Mikä tekee suostumuksesta pätevän

Koska ePrivacy-direktiivi lainaa suostumuksen määritelmän tietosuojalainsäädännöstä, sovelletaan tietosuoja-asetuksen vaatimuksia (4 artiklan 11 alakohta, 7 artikla sekä 94 artiklan 2 kohta, jonka mukaan viittauksia aiempaan direktiiviin 95/46/EY pidetään viittauksina tietosuoja-asetukseen). Suostumuksen on oltava:

1. Vapaaehtoinen: kieltäytymisen ei pidä johtaa huonompiin ehtoihin kuin hyväksymisen, ehdottoman välttämätöntä lukuun ottamatta. EU:n valvontaviranomaiset pitävät laajalti tämän kanssa ristiriitaisina evästemuureja, jotka estävät pääsyn, ellei kävijä hyväksy.
2. Yksilöity: eri tarkoitukset (analytiikka, mainonta, personointi) edellyttävät erillisiä valintoja.
3. Tietoinen: kävijän on tiedettävä, kuka kerää mitä, mihin tarkoitukseen ja kuinka pitkäksi aikaa. Planet49-tuomion mukaan tähän kuuluvat tiedot evästeiden voimassaoloajasta ja siitä, voivatko kolmannet osapuolet saada niihin pääsyn.
4. Yksiselitteinen: selkeä myöntävä toimi. Planet49-tuomio sulki pois valmiiksi rastitetut valintaruudut; vierittäminen tai ”selaamisen jatkaminen” ei myöskään ole suostumus (EDPB:n suuntaviivat 05/2020).

Tietosuoja-asetus lisää kaksi käytännön velvoitetta: rekisterinpitäjän on pystyttävä osoittamaan suostumus (7 artiklan 1 kohta), ja suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen (7 artiklan 3 kohta). Käytännössä tämä tarkoittaa tallennettua suostumustietuetta ja pysyvää tapaa avata banneri uudelleen.

Bannerin suunnittelu: mihin valvontaviranomaiset ovat puuttuneet

Tammikuussa 2023 EDPB julkaisi evästebannerityöryhmänsä raportin, jossa tiivistetään kansallisten viranomaisten yhteiset kannat. Useimpien viranomaisten ongelmallisina pitämiin käytäntöihin kuuluvat:

• ensimmäisellä tasolla ei ole ”Hylkää”-painiketta, vaikka siellä on ”Hyväksy”-painike;
• toisella tasolla on valmiiksi rastitettuja tarkoitus- tai toimittajaruutuja;
• harhaanjohtava linkkimuotoilu painikkeen sijaan hylkäysvaihtoehdolle;
• harhaanjohtavat painikevärit ja kontrastit, joiden vuoksi ”Hyväksy” on ainoa ilmeinen vaihtoehto;
• ”oikeutettuun etuun” vetoaminen seurannassa, joka edellyttää suostumusta;
• muiden kuin välttämättömien evästeiden luokitteleminen ”välttämättömiksi”;
• ei helppoa tapaa peruuttaa suostumusta jälkikäteen.

Kansallinen valvonta noudattaa samoja linjoja. Esimerkiksi Ranskan CNIL määräsi Googlelle ja Facebookille seuraamusmaksut vuoden 2021 lopulla (julkistettu tammikuussa 2022), koska evästeistä kieltäytyminen vaati useampia napsautuksia kuin niiden hyväksyminen.

Mikä on vapautettu suostumusvaatimuksesta

”Ehdottoman välttämättömän” poikkeus on suppea, ja sitä arvioidaan kävijän näkökulmasta: tallennus, jota ilman palvelu ei toimi. Tyypillisiä esimerkkejä ovat ostoskorin eväste, kirjautumisen jälkeinen istuntoeväste, kuormantasauksen eväste tai eväste, joka muistaa itse suostumusvalinnan. Analytiikka, A/B-testaus, mainonta ja sosiaalisen median pikselit eivät yleensä ole ehdottoman välttämättömiä, eivät silloinkaan, kun ne ovat ensimmäisen osapuolen evästeitä tai ”anonymisoituja”. Jotkin kansalliset viranomaiset hyväksyvät suppeasti määritetyn kävijämittauksen ilman suostumusta; tarkistakaa kohdemaanne säännöt ennen kuin luotatte tähän.

Suostumuskehykset ja tagienhallinta

Suostumustenhallinta-alustat (CMP) ja IAB Transparency & Consent Framework vakioivat tavan, jolla valinnat välitetään mainostajille. Asiassa IAB Europe (C-604/22) unionin tuomioistuin katsoi, että käyttäjän valinnat koodaava ”TC String” voi olla henkilötieto ja että tällaista kehystä ylläpitävä organisaatio voi olla yhteisrekisterinpitäjä. CMP on työkalu, ei tae: väärin määritetty alusta lataa silti seurantatyökaluja liian aikaisin. Samoin selainpuolen ”consent mode” -toiminnot, jotka säätävät tagien toimintaa, eivät korvaa suostumusta; ne muuttavat vain sitä, mitä lähetetään valinnan jälkeen.

Näin testaatte oman bannerinne kymmenessä minuutissa

1. Avatkaa yksityinen ikkuna, avatkaa kehittäjätyökalujen Network- ja Application-välilehdet ja ladatkaa etusivu. Älkää napsauttako mitään.
2. Kirjatkaa jokainen eväste, tallennusmerkintä ja kolmannen osapuolen pyyntö. Kaikki, mikä ylittää ehdottoman välttämättömän, on havainto.
3. Napsauttakaa ”Hylkää”. Siirtykää kahdelle muulle sivulle. Muiden kuin välttämättömien pyyntöjen on pysyttävä poissa.
4. Tyhjentäkää kaikki, ladatkaa sivu uudelleen ja napsauttakaa ”Hyväksy”. Vertailkaa: ero on se, mitä bannerinne todellisuudessa hallitsee.
5. Etsikää paluutie: linkki tai kuvake, joka avaa bannerin uudelleen jokaisella sivulla.

Automaattiset skannerit tekevät juuri tämän laajassa mittakaavassa ja toistavat sen jokaisen julkaisun jälkeen; siinä ne ansaitsevat hintansa. Vertailkaa arvioimiamme palveluja vertailusivulla.