Onko evästebanneri pakollinen yrityksen kotisivuilla?

Mitä laki sanoo

Evästeistä säädetään sähköisen viestinnän palveluista annetun lain 205 §:ssä. Sen mukaan evästeiden ja muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän laitteelle on sallittua, jos käyttäjä on antanut siihen suostumuksensa ja saanut ymmärrettävät ja kattavat tiedot siitä, mihin tietoja käytetään. Poikkeus koskee tietoja, jotka ovat välttämättömiä viestin välittämiseksi tai sellaisen palvelun tarjoamiseksi, jota käyttäjä on nimenomaisesti pyytänyt.

Lakia valvoo Liikenne- ja viestintävirasto Traficom, joka on julkaissut palveluntarjoajille evästeohjeen. Ohje ei ole sellaisenaan juridisesti velvoittava, mutta se kertoo valvovan viranomaisen näkemyksen, ja siitä poikkeava kantaa itse riskin. Ohje on laadittu yhdessä tietosuojavaltuutetun toimiston kanssa, joka siirsi evästesuostumusta koskevat asiat Traficomille vuonna 2021.

Kaksi asiaa jää usein huomaamatta. Ensinnäkin laki koskee evästeiden lisäksi niiden kaltaisia tekniikoita, kuten selaimen tallennustilaa, seurantapikseleitä ja laitteen tunnistamista niin sanotulla sormenjälkitekniikalla. Toiseksi oikeutettu etu ei Traficomin ohjeen mukaan ole peruste evästeille. Tietosuojaselosteessa se voi olla peruste monelle muulle käsittelylle, mutta evästeiden kohdalla vaihtoehtoja on kaksi: eväste on välttämätön, tai siihen pyydetään suostumus.

Mitkä evästeet ovat välttämättömiä

Traficomin ohjeen mukaan välttämättömyys ratkaistaan käyttötarkoituksen perusteella, ei evästeen nimen tai tyypin. Sama eväste voi olla välttämätön yhdessä käytössä ja suostumusta vaativa toisessa. Alla on ohjeen esimerkkien pohjalta koottu yleiskuva.

Taulukko on yleiskuva, ei tyhjentävä luettelo. Rajatapauksissa ohjeen sanamuoto kannattaa lukea itse, koska ratkaisu riippuu siitä, mihin juuri sinun sivusi evästettä käyttää.

Milloin banneria ei tarvita

Jos sivusi käyttää vain välttämättömiä evästeitä, suostumusta ei tarvitse pyytää, eikä bannerille ole tarvetta. Tämä on täysin mahdollista tavallisilla yrityksen kotisivuilla: palvelusivut, yhteystiedot ja yhteydenottolomake toimivat ilman seurantaa. Traficom suosittelee silti kertomaan myös välttämättömistä evästeistä. Luonteva paikka sille on esimerkiksi tietosuojaseloste.

Hankalaa on se, että harva tietää tarkalleen, mitä omalle sivulle latautuu. WordPressin kaltaisen julkaisualustan lisäosa, upotettu video, somepainike tai edellisen tekijän jättämä mittauskoodi voi asettaa evästeitä, vaikka kukaan ei ole sitä erikseen päättänyt. Siksi ensimmäinen askel ei ole bannerin hankkiminen vaan sen selvittäminen, mitä sivulla on.

Mainonta ja mittaus tekevät bannerista välttämättömän

Tässä kohdassa evästeet muuttuvat juridisesta kysymyksestä liiketoiminnan kysymykseksi. Jos mainostat Googlessa ja haluat tietää, mitkä mainokset tuovat yhteydenottoja, tarvitset konversioseurannan. Se perustuu evästeisiin tai vastaaviin tunnisteisiin, joten se vaatii suostumuksen. Sama koskee kävijätilastoja ja uudelleenmarkkinointia, jossa mainoksia näytetään sivustollasi jo käyneille.

Lisäksi Googlella on oma EU:n käyttäjien suostumuskäytäntönsä. Sen mukaan mainostajan on hankittava Euroopan talousalueen, Iso-Britannian ja Sveitsin käyttäjiltä pätevä suostumus evästeisiin silloin, kun laki sitä edellyttää, sekä henkilötietojen käyttöön mainosten personoinnissa. Googlen ohjeiden mukaan tieto suostumuksesta on myös välitettävä Googlelle, jotta mittaus, personointi ja uudelleenmarkkinointi toimivat Euroopan talousalueen kävijöiden osalta. Tähän käytetään Googlen suostumustilaa (Consent Mode), joka on oma aiheensa.

Käytännössä valinta menee näin: ilman seurantaa et tarvitse banneria, mutta et myöskään tiedä, mitä mainonta tuottaa. Jos mainostat, banneri kuuluu kokonaisuuteen samalla tavalla kuin mittaus. Mittauksen pystyttäminen on käyty läpi artikkelissa mistä tiedät, tuottaako mainonta.

Yksi seuraus kannattaa hyväksyä etukäteen. Kun kävijä voi kieltäytyä, osa käynneistä ei näy mittauksessa, joten luvut ovat aina jossain määrin vajaita. Siksi yhteydenottoja kannattaa laskea myös omasta sähköpostista ja puhelimesta.

Riittävätkö selaimen asetukset suostumukseksi?

Eivät. Helsingin hallinto-oikeus totesi 8.4.2021 antamissaan kahdessa ratkaisussa, ettei selaimen asetusten kautta voi antaa pätevää suostumusta muille kuin välttämättömille evästeille. Nämä ratkaisut ovat Traficomin nykyisen ohjeen taustalla.

Aiemmin Suomessa oli viranomaistulkinta, jonka mukaan selainasetukset riittivät, ja siksi vanhoilla sivuilla näkee yhä tekstejä tyyliin "jatkamalla sivuston käyttöä hyväksyt evästeet". Nykyisen ohjeen mukaan sellainen ei kelpaa: suostumus ei synny sivuston käytön jatkamisesta eikä käyttöehtojen hyväksymisestä, vaan sen on oltava erillinen ja aktiivinen valinta.

Millainen bannerin pitää olla

Traficomin ohje kuvaa suostumuksen pyytämisen tarkasti. Pienen yrityksen kannalta tärkeimmät vaatimukset ovat nämä:

• Ei evästeitä ennen valintaa: muita kuin välttämättömiä evästeitä ei aseteta, ennen kuin kävijä on tehnyt valintansa. Jos hän jatkaa valitsematta, sivu toimii vain välttämättömillä.
• Kieltäytyminen yhtä helppoa kuin hyväksyminen: jos bannerin ylimmällä tasolla on Hyväksy kaikki, sen rinnalla on oltava yhtä helppo tapa kieltäytyä muista kuin välttämättömistä.
• Ei valmiiksi päällä olevia valintoja: ruksit ja liukukytkimet ovat oletuksena pois päältä, ja kävijä kytkee ne itse päälle.
• Selkeä tieto: mitä evästeitä käytetään, mihin tarkoitukseen, kuinka kauan ne ovat voimassa ja jaetaanko tietoja kolmansille osapuolille.
• Peruminen milloin tahansa: valintoja on päästävä muuttamaan helposti, esimerkiksi sivulla näkyvästä kuvakkeesta tai selvästi löytyvästä linkistä.

Lisäksi sivuston ylläpitäjän on pystyttävä jälkikäteen osoittamaan, että suostumus on saatu: milloin ja miten sitä pyydettiin ja mitä tietoja kävijälle annettiin. Jos käytät valmista suostumustyökalua, tarkista, tallentaako se nämä tiedot.

Yksi virhe kannattaa tarkistaa erikseen: banneri, joka näyttää oikealta mutta ei ohjaa mitään. Kävijä painaa Vain välttämättömät, ja mittauskoodi latautuu silti. Tätä ei näe sivua katsomalla, vaan se pitää testata.

Voiko kävijöitä seurata ilman evästeitä?

Osittain. Laki koskee tietojen tallentamista kävijän laitteelle ja niiden käyttöä, joten ratkaisevaa ei ole sana eväste vaan se, mitä tekniikka tekee. Jos mittaustyökalu korvaa evästeen selaimen tallennustilalla tai tunnistaa laitteen sen ominaisuuksien perusteella, Traficomin ohje rinnastaa sen evästeeseen, ja suostumusta tarvitaan samalla tavalla.

Ohjeen mukaan analytiikkaa voidaan poikkeuksellisesti pitää välttämättömänä vain, jos palveluntarjoaja pystyy esittämään sille selkeät perusteet ja huolehtii kävijän yksityisyydestä, esimerkiksi varmistamalla, ettei tietoja jaeta kolmansille osapuolille eikä yksittäistä kävijää voi tunnistaa. Muuten suostumus pyydetään. Kynnys on korkea, ja perusteet on pystyttävä esittämään itse.

Toinen vaihtoehto on tilastoida käyntejä palvelimen omista lokitiedoista, jolloin kävijän laitteelle ei tallenneta mitään. Silloinkin IP-osoite voi olla henkilötieto, joten käsittelystä kerrotaan tietosuojaselosteessa. Tällainen tilastointi kertoo kävijämääristä, mutta se ei korvaa mainonnan konversioseurantaa, koska se ei yhdistä yhteydenottoa mainosklikkiin.

Näin tarkistat oman sivusi

1. Avaa sivusi yksityisessä selainikkunassa. Näkyykö banneri, ja onko siinä yhtä helppo kieltäytyä kuin hyväksyä?

2. Listaa, mitä sivulla on. Kävijätilastot, mainosten seurantakoodit, upotetut videot ja kartat, somepainikkeet ja chat. Jos et tiedä, kysy sivuston tekijältä tai ylläpitäjältä.

3. Pyydä testaamaan kieltäytyminen. Kun kävijä valitsee vain välttämättömät, mittauksen ei pidä käynnistyä. Tarkistus vaatii selaimen kehittäjätyökaluja, joten se on luonteva tehtävä sivuston tekijälle.

4. Vertaa tietosuojaselosteeseen. Selosteen ja bannerin pitää kertoa samat asiat. Jos seloste lupaa mittausta, jota sivulla ei ole, tai sivulla on mittausta, jota seloste ei mainitse, jompikumpi on korjattava.

Jos teet sivustoa uusiksi, ota evästeet mukaan jo suunnitteluvaiheessa. Tarkistuslista hyvän yrityssivun muista osista on artikkelissa millaiset ovat hyvät yrityskotisivut.

Näin me teemme sen

Tekemiimme kotisivuihin kuuluu tietosuojaseloste ja tarvittaessa evästekäytäntö. Jos et mainosta etkä tarvitse kävijätilastoja, sivu voi toimia ilman seurantaa, jolloin banneria ei tarvita. Google-mainontaan kuuluu konversioseurannan käyttöönotto, ja silloin suostumus on osa samaa kokonaisuutta.

Kotisivujen peruspaketti on alkaen 350 € (alv 0 %), ja hakusanamainonta on alkaen 99 €/kk ja aloitusmaksu 99 € (alv 0 %). Palveluiden sisältö on sivuilla palvelut ja Google-mainonta yritykselle.

Tämä ei ole juridinen neuvo. Emme ole juristeja, ja artikkeli kuvaa Traficomin voimassa olevan ohjeen yleistä linjaa. Jos sivustollasi käsitellään paljon henkilötietoja tai tilanteesi on epäselvä, lue ohje itse tai kysy lakimieheltä.