Evästeiden vaatimustenmukaisuuden tarkistuslista: 25 kohtaa täyteen vaatimustenmukaisuuteen

Evästeiden vaatimustenmukaisuus koostuu teknisestä toteutuksesta, oikeudellisesta dokumentaatiosta ja jatkuvista toimintaprosesseista. Yhdenkin osa-alueen puuttuminen voi johtaa vaatimustenvastaisuuteen, vaikka kaikki muu olisi kunnossa. Tämä jäsennelty 25 kohdan tarkistuslista kattaa evästeiden vaatimustenmukaisuuden jokaisen osa-alueen GDPR:n, ePrivacy-direktiivin ja keskeisten kansainvälisten tietosuojalakien mukaisesti. Käytä sitä sekä toteutuksen oppaana että säännöllisenä auditointityökaluna.

Evästeinventaario

Sitä ei voi hallita, mitä ei ole mitattu. Täydellinen ja tarkka evästeinventaario on kaiken muun vaatimustenmukaisuustyön perusta.

1. Kaikki evästeet tunnistettu ja dokumentoitu

   Jokainen verkkosivustosi asettama eväste on tunnistettava, mukaan lukien kolmannen osapuolen skriptien, upotetun sisällön ja dynaamisesti ladattujen resurssien asettamat evästeet. Käytä automaattista skannausta varmistaaksesi täyden kattavuuden kaikilla sivuilla, ei pelkästään etusivulla. Inventaariosi tulee sisältää HTTP-evästeet, localStorage-tietueet, sessionStorage-tietueet ja kaikki muut asiakaspuolen tallennusmekanismit, joita käytetään seurantaan.

2. Jokainen eväste luokiteltu oikein

   Jokainen eväste on osoitettava oikeaan vaatimustenmukaisuusluokkaan: ehdottoman välttämättömät, toiminnalliset, analytiikka-/suorituskykyevästeet tai markkinointi-/mainontaevästeet. Luokittelun on oltava rehellinen — evästettä, joka seuraa käyttäjiä mainontatarkoituksiin, ei voi luokitella "toiminnalliseksi" pelkästään siksi, että se tarjoaa myös jonkin toiminnallisen hyödyn. Epävarmoissa tapauksissa sovella tiukempaa luokkaa. Tietosuojaviranomaiset tarkastelevat luokittelua tarkasti, ja virheellinen luokittelu on yksi yleisimmistä valvontatoimissa esiin nousevista havainnoista.

3. Kolmannen osapuolen evästeet tunnistettu palveluntarjoajineen

   Dokumentoi jokaisesta sivustosi kolmannen osapuolen evästeestä, mikä palvelu sen asettaa, miksi se on sivustollasi ja mitä tietoja se kerää tai jakaa. Yleisiä kolmannen osapuolen evästeiden lähteitä ovat analytiikka-alustat (Google Analytics, Adobe Analytics), mainosverkostot (Google Ads, Meta Pixel, LinkedIn Insight Tag), sosiaalisen median widgetit, videoupotukset (YouTube, Vimeo), chat-työkalut (Intercom, Drift) ja A/B-testausalustat (Optimizely, VWO). Jokaisen kolmannen osapuolen palveluntarjoajan kanssa tulee olla voimassa oleva tietojenkäsittelysopimus.

4. Evästeiden kestot dokumentoitu

   Kirjaa jokaisen evästeen voimassaoloaika. Istuntoevästeet vanhenevat, kun selain suljetaan. Pysyvillä evästeillä on määritelty elinkaari, joka on dokumentoitava (esim. 30 päivää, 1 vuosi, 2 vuotta). GDPR:n tietojen minimoinnin ja säilytyksen rajoittamisen periaatteiden mukaisesti evästeiden kestojen tulee olla oikeasuhteisia niiden käyttötarkoitukseen nähden. Analytiikkaevästettä, joka säilyy 10 vuotta, olisi vaikea perustella. CNIL suosittelee analytiikkaevästeille enintään 13 kuukauden kestoa.

5. Evästeiden käyttötarkoitukset dokumentoitu selkeällä kielellä

   Jokaisen evästeen käyttötarkoitus on kuvattava kielellä, jonka tavallinen verkkosivuston kävijä ymmärtää. "Tämä eväste tallentaa yksilöllisen tunnisteen, jolla seurataan selailuasi sivustollamme verkkosivuston analytiikkaa varten" on selkeä. "_ga: Google Analyticsin käyttämä käyttäjien erottelemiseen" ei riitä useimmille käyttäjille. Käyttötarkoituksen kuvauksen tulisi vastata kysymykseen: "Mitä tämä eväste tekee, ja miksi minun kannattaisi sallia se?"

Suostumusmekanismi

Suostumusmekanismi on paikka, jossa lakisääteiset vaatimukset ja tekninen toteutus kohtaavat. Tämän tekeminen oikein on evästeiden vaatimustenmukaisuuden kriittisin — ja useimmin epäonnistuva — osa-alue.

6. Suostumus hankittu ENNEN kuin ei-välttämättömät evästeet asetetaan

   Tämä on yksittäisistä teknisistä vaatimuksista tärkein. Analytiikka-, mainonta- tai muita ei-välttämättömiä evästeitä ei saa asettaa ennen kuin käyttäjä on antanut nimenomaisen suostumuksensa. Tämä tarkoittaa, että kolmannen osapuolen skriptien lataus on estettävä, kunnes suostumus on saatu. Evästeiden poistaminen jälkikäteen ei ole vaatimustenmukaista — ePrivacy-direktiivi edellyttää suostumusta ennen tallentamista, ei takautuvaa poistamista. Testaa tämä käymällä sivustollasi incognito-ikkunassa ja tarkistamalla, mitkä evästeet asetetaan ennen bannerin kanssa vuorovaikuttamista.

7. Skriptit estetty, kunnes suostumus on annettu

   Evästeiden estäminen ei riitä — myös niitä asettavien skriptien suoritus on estettävä. Skripti, joka latautuu ja suoritetaan mutta jota estetään kirjoittamasta evästettä, voi silti kerätä ja lähettää tietoja (pikselien, majakoiden tai API-kutsujen kautta). Suostumuksenhallintasi on estettävä itse skriptin lataus, kunnes asianmukainen suostumusluokka on hyväksytty. Yleisiä toteutustapoja ovat skriptitunnisteiden type-attribuutin muuttaminen (esim. arvosta text/javascript arvoon text/plain) ja skriptien dynaaminen injektointi suostumuksen jälkeen.

8. Hyväksy- ja Hylkää-painikkeet yhtä näkyviä

   Vaihtoehto ei-välttämättömien evästeiden hylkäämiseen on esitettävä yhtä näkyvästi kuin vaihtoehto niiden hyväksymiseen. Tämä tarkoittaa samaa visuaalista käsittelyä: samaa kokoa, samaa värivoimakkuutta, samaa käyttöliittymän tasoa. Suuri vihreä "Hyväksy kaikki" -painike pienen harmaan "Hallitse asetuksia" -linkin vieressä ei täytä yhtäläisen näkyvyyden vaatimusta. CNIL, Garante ja useat muut tietosuojaviranomaiset ovat määränneet sakkoja nimenomaan tästä asiasta. Molempien vaihtoehtojen tulisi olla evästebannerin ensimmäisellä tasolla ilman lisäklikkauksia.

9. Yksityiskohtainen luokkakohtainen suostumus saatavilla

   Käyttäjien on voitava antaa suostumus tietyille evästeluokille itsenäisesti. Analytiikkaevästeiden hyväksymisen ei tulisi edellyttää myös mainontaevästeiden hyväksymistä. Tarjoa vähintään erilliset kytkimet: ehdottoman välttämättömät (aina päällä, ei kytkettävissä), toiminnalliset, analytiikka/suorituskyky sekä markkinointi/mainonta. Jos käytät evästeitä useisiin erillisiin tarkoituksiin yhden luokan sisällä, harkitse vieläkin yksityiskohtaisempien vaihtoehtojen tarjoamista.

10. Ei valmiiksi rastitettuja valintaruutuja

    Kun käyttäjä avaa yksityiskohtaiset evästeasetukset, kaikkien valinnaisten luokkien on oltava oletusarvoisesti rastittamatta. Vain ehdottoman välttämättömät evästeet (jotka eivät vaadi suostumusta) saavat olla valmiiksi käytössä. Euroopan unionin tuomioistuin vahvisti Planet49-tuomiossa (asia C-673/17), että valmiiksi rastitetut valintaruudut eivät muodosta pätevää suostumusta. Tämä pätee riippumatta siitä, voiko käyttäjä poistaa rastin — oletustilan on oltava opt-out, joka edellyttää nimenomaista toimenpidettä opt-in-valintaa varten.

11. Suostumuksen peruuttaminen yhtä helppoa kuin sen antaminen

    GDPR:n 7 artiklan 3 kohta edellyttää, että suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen. Jos käyttäjä voi hyväksyä evästeet yhdellä bannerin klikkauksella, hänen on voitava peruuttaa suostumus vastaavalla vaivattomuudella. Paras käytäntö on pysyvä, aina näkyvissä oleva linkki tai kuvake (esim. alatunnisteessa tai kelluvana painikkeena), joka avaa evästeasetuskeskuksen, jossa käyttäjä voi muuttaa tai peruuttaa valintojaan. Käyttäjän vaatiminen tyhjentämään selaimensa evästeet, siirtymään syvälle piilotetulle asetussivulle tai ottamaan yhteyttä tukeen ei täytä tätä vaatimusta.

12. Suostumustietueet tallennettu aikaleimoineen

    Sinun on pystyttävä osoittamaan, että suostumus on annettu. Tallenna tietue jokaisesta suostumustoiminnosta sisältäen: aikaleiman, tehdyt suostumusvalinnat (mitkä luokat hyväksyttiin/hylättiin), kyseisellä hetkellä voimassa olleen evästebannerin ja -käytännön version sekä suostumuksen yksilöllisen tunnisteen (ei välttämättä sidottuna käyttäjätiliin anonyymien kävijöiden osalta). GDPR:n vastuuvelvollisuusperiaatteen mukaisesti suostumuksen todistustaakka on rekisterinpitäjällä. Jos et pysty esittämään näyttöä siitä, että tietty käyttäjä antoi suostumuksensa, hänen suostumuksensa on käytännössä todistamaton.

Evästekäytäntö

Evästekäytäntösi on sekä oikeudellinen asiakirja että läpinäkyvyyden työkalu. Sen on oltava tarkka, täydellinen ja ymmärrettävä.

13. Evästekäytäntö olemassa ja saatavilla

    Erillisen evästekäytännön (tai selkeän evästeitä koskevan osion tietosuojakäytännössäsi) on oltava olemassa ja helposti löydettävissä. Paras käytäntö on erillinen sivu, johon linkitetään verkkosivustosi alatunnisteesta, evästebannerista ja pääasiallisesta tietosuojakäytännöstä. Käytännön on oltava saatavilla ilman evästeiden hyväksymistä — käyttäjien tulisi voida lukea se ennen suostumuspäätöksen tekemistä.

14. Kaikki evästeet lueteltu nimineen, käyttötarkoituksineen, tyyppeineen ja kestoineen

    Evästekäytäntösi on sisällettävä taulukko tai jäsennelty luettelo jokaisesta verkkosivustosi asettamasta evästeestä sisältäen: evästeen nimen, sen asettajan (ensimmäinen osapuoli tai kolmannen osapuolen palveluntarjoaja), sen tehtävän (selkeällä kielellä), onko kyseessä istunto- vai pysyvä eväste ja kuinka kauan se on voimassa. Tämä ei ole valinnaista — se on nimenomainen vaatimus GDPR:n läpinäkyvyyssäännösten (12–14 artikla) ja ePrivacy-direktiivin tietoon perustuvan suostumuksen vaatimuksen mukaisesti.

15. Kolmannen osapuolen palveluntarjoajat tunnistettu

    Käytäntösi on nimettävä ne kolmannen osapuolen palvelut, jotka asettavat evästeitä verkkosivustollasi. "Käytämme kolmannen osapuolen analytiikkaevästeitä" ei riitä. "Käytämme Google Analyticsia (Google LLC), joka asettaa seuraavat evästeet: _ga, _gid, _gat" riittää. Käyttäjillä on oikeus tietää, kuka kerää tietoja heistä, ja tehdä tietoon perustuvia päätöksiä kunkin palveluntarjoajan osalta.

16. Ohjeet evästeiden hallintaan sisällytetty

    Käytäntösi tulisi selittää, kuinka käyttäjät voivat hallita evästeasetuksiaan, mukaan lukien: kuinka päästä evästeasetuskeskukseesi muuttamaan suostumusvalintoja, kuinka poistaa olemassa olevia evästeitä selaimen asetusten kautta ja linkit merkittävimpien kolmannen osapuolen evästepalveluntarjoajien tietosuojakäytäntöihin. Vaikka selaintason evästehallinta on käyttäjän vastuulla, selkeiden ohjeiden tarjoaminen osoittaa hyvää tahtoa ja tukee käyttäjän toimintavallan periaatetta.

17. Käytäntö päivätty ja säännöllisesti päivitetty

    Evästekäytäntösi on sisällettävä sen viimeisimmän päivityksen päivämäärä. Aina kun lisäät uusia evästeitä, poistat evästeitä, vaihdat kolmannen osapuolen palveluntarjoajia tai muutat evästeiden käyttötarkoituksia, käytäntö on päivitettävä muutoksen mukaiseksi. Päiväämätön käytäntö tai sellainen, jota ei ole päivitetty yli vuoteen, on varoitusmerkki tietosuojaviranomaisille. Paras käytäntö: integroi evästeskannauksen tulokset käytäntöösi, jolloin käytäntö päivittyy automaattisesti, kun uusia evästeitä havaitaan.

Evästebanneri

Evästebanneri on suostumuksenhallintasi näkyvä käyttöliittymä. Sen on tasapainotettava lakisääteinen vaatimustenmukaisuus ja käytettävyys.

18. Banneri näkyy ensimmäisellä käynnillä ennen evästeiden asettamista

    Evästebannerin on ilmestyttävä, kun käyttäjä vierailee verkkosivustollasi ensimmäistä kertaa, ennen kuin mitään ei-välttämättömiä evästeitä asetetaan. Bannerin tulisi olla heti näkyvissä ilman vierittämistä, sen ei tulisi olla helposti suljettavissa vahingossa tehdyillä klikkauksilla, ja sen tulisi säilyä näkyvissä, kunnes käyttäjä tekee aktiivisen valinnan. Banneri ei saa haitata käyttäjän mahdollisuutta poistua sivulta tai päästä käsiksi olennaiseen sisältöön (vaikka sisällön pääsyn rajoittaminen suostumusvaatimuksen taakse voi olla sallittua joillakin lainkäyttöalueilla, turvallisempi lähestymistapa on sallia navigointi bannerin ollessa näkyvissä).

19. Banneri on saavutettava (näppäimistöllä navigoitava, ruudunlukijayhteensopiva)

    Evästebannerisi on itsessään oltava saavutettava. Tämä tarkoittaa: kaikkien vuorovaikutteisten elementtien (painikkeet, kytkimet, linkit) on oltava tavoitettavissa ja käytettävissä näppäimistöllä; banneri on ilmoitettava asianmukaisesti ruudunlukijoille asianmukaisilla ARIA-attribuuteilla; kohdistuksen on toimittava oikein (kohdistuksen tulee siirtyä banneriin sen ilmestyessä ja palata sivulle sen sulkeuduttua); värikontrastin on täytettävä WCAG 2.1 AA -standardit (4,5:1 normaalille tekstille, 3:1 suurelle tekstille); ja bannerin on oltava käytettävissä eri zoomaustasoilla ja näyttökoilla. Saavuttamaton evästebanneri on sekä oikeudellinen riski (WCAG-vaatimustenmukaisuuden noudattamatta jättäminen) että maineriski mille tahansa organisaatiolle, joka väittää välittävänsä yksityisyydestä ja osallisuudesta.

20. Banneri linkittää täydelliseen evästekäytäntöön

    Evästebannerin on sisällettävä linkki täydelliseen evästekäytäntöösi, jotta käyttäjät voivat lukea yksityiskohtaiset tiedot kustakin evästeestä ennen suostumuspäätöksen tekemistä. Linkin tulee olla selkeästi näkyvissä ja nimetty (esim. "Lue evästekäytäntömme" tai "Lue lisää"). GDPR edellyttää, että suostumuksen on oltava "tietoon perustuva", mikä tarkoittaa, että tietoon perustuvan päätöksen tekemiseen tarvittavien tietojen on oltava saatavilla suostumushetkellä.

21. Banneri ei käytä hämääviä suunnittelumalleja

    Hämäävät suunnittelumallit (dark patterns) evästebannereissa heikentävät suostumuksen pätevyyttä. Vältä: hyväksymispainikkeen tekemistä visuaalisesti hallitsevaksi (suurempi, kirkkaampi, näkyvämpi) samalla kun hylkäysvaihtoehto tehdään huomaamattomaksi tai piilotetuksi; hämmentävän kielen käyttöä ("Hyväksy suositellut asetukset" selkeiden vaihtoehtojen sijaan); useampien klikkausten vaatimista hylkäämiseen kuin hyväksymiseen; värikoodauksen käyttöä, joka vihjaa hylkäämisen olevan väärin (punainen hylkäämiselle, vihreä hyväksymiselle); "confirm-shaming"-kielen käyttöä ("Ei, en välitä kokemuksestani"); ja kaikkea muuta suunnittelua, joka tuuppii, manipuloi tai huijaa käyttäjiä hyväksynnän suuntaan. EDPB:n hämääviä suunnittelumalleja koskevat suuntaviivat (hyväksytty helmikuussa 2023) tarjoavat yksityiskohtaisia esimerkkejä kielletyistä käytännöistä.

Tekninen & jatkuva ylläpito

Evästeiden vaatimustenmukaisuus ei ole projekti, jolla on valmistumispäivä. Se on jatkuva toimintaprosessi.

22. Google Consent Mode v2 toteutettu (jos käytät Google-palveluita)

    Jos käytät mitä tahansa Google-palveluita (Analytics, Ads, Tag Manager), Google Consent Mode v2 on vaadittu maaliskuusta 2024 alkaen mainosten näyttämiseksi ETA-alueella. Consent Mode välittää käyttäjiesi evästesuostumusvalinnat Googlen tunnisteille ja mukauttaa niiden toimintaa suostumuksen tilan perusteella. Ilman Consent Modea Googlen tunnisteet eivät välttämättä toimi oikein suostumuksenhallinta-alustasi kanssa, mikä johtaa joko tietojen menetykseen (tunnisteet estetään kokonaan) tai vaatimustenvastaisuuteen (tunnisteet laukeavat ilman suostumusta). Toteuta sekä ad_storage- että analytics_storage-suostumusparametrit ja varmista, että ne ovat oletusarvoisesti "denied", kunnes suostumus annetaan.

23. Säännöllinen evästeskannaus aikataulutettu

    Määritä automaattiset evästeskannaukset toistuvalle aikataululle. Skannaa vähintään kuukausittain. Ihannetapauksessa integroi skannaus julkaisuputkeesi, jolloin jokainen julkaisu skannataan automaattisesti. Määritä hälytykset uusille tai muuttuneille evästeille, jotta tiimisi voi arvioida ja luokitella ne viipymättä. Skannaus, joka suoritetaan mutta jota ei koskaan tarkasteta, ei tuota mitään vaatimustenmukaisuushyötyä.

24. Prosessi uusien kolmannen osapuolen skriptien tarkastamiseen

    Luo virallinen prosessi, jota on noudatettava ennen minkään uuden kolmannen osapuolen skriptin, lisäosan tai palvelun lisäämistä verkkosivustollesi. Prosessin tulisi sisältää: skriptin asettamien evästeiden tunnistaminen, kyseisten evästeiden luokittelu, suostumuksenhallinnan konfiguraation päivittäminen niiden sisällyttämiseksi, evästekäytännön päivittäminen ja sen varmistaminen, että skripti on estetty oikein, kunnes asianmukainen suostumus on annettu. Tähän prosessiin tulisi osallistua sekä tekninen (kehitys) että vaatimustenmukaisuuden (lakiasiat/yksityisyys) tarkastus. Yleisin syy evästeiden vaatimustenmukaisuuden epäonnistumisiin on uusien skriptien lisääminen verkkosivustolle ilman yksityisyystarkastusta.

25. Henkilöstö koulutettu evästeiden vaatimustenmukaisuudesta

    Kaikkien verkkosivustoosi osallistuvien — kehittäjien, markkinoijien, sisällöntuottajien ja johtajien — tulisi ymmärtää evästeiden vaatimustenmukaisuuden perusteet ja oma roolinsa sen ylläpitämisessä. Kehittäjien on tiedettävä, kuinka lisätä skriptejä suostumustietoisella tavalla. Markkinoijien on ymmärrettävä, että uuden seurantapikselin lisääminen edellyttää vaatimustenmukaisuustarkastusta. Sisällöntuottajien on tiedettävä, että YouTube-videon upottaminen tuo mukanaan kolmannen osapuolen evästeitä. Koulutuksen ei tarvitse olla laajaa, mutta sen on katettava keskeinen periaate: ei uutta seurantaa ilman tarkastusta. Yksittäinen kouluttamaton tiimin jäsen, joka lisää markkinointiskriptin ilman tarkastusprosessia, voi mitätöidä kuukausien vaatimustenmukaisuustyön.

Tämän tarkistuslistan käyttäminen

Tämä tarkistuslista on suunniteltu käytettäväksi kolmella tavalla:

• Alkuperäinen toteutus: Käy läpi kaikki 25 kohtaa järjestyksessä, kun otat evästeiden vaatimustenmukaisuuden käyttöön ensimmäistä kertaa. Älä ohita kohtia tai jätä niitä myöhemmäksi — osittainen vaatimustenmukaisuus on edelleen vaatimustenvastaisuutta.
• Säännöllinen auditointi: Tarkasta tarkistuslista neljännesvuosittain varmistaaksesi, että kaikki kohdat täyttyvät edelleen. Kiinnitä erityistä huomiota jatkuviin kohtiin (kohdat 22–25), sillä ne ovat todennäköisimmin ajan myötä rapistuvia.
• Muutosten jälkeen: Aina kun verkkosivustollasi tapahtuu merkittävä muutos (uudet ominaisuudet, uudet kolmannen osapuolen palvelut, uudelleensuunnittelu, CMS-migraatio), käy läpi tarkistuslistan olennaiset osat varmistaaksesi, että vaatimustenmukaisuus säilyy.

Evästeiden vaatimustenmukaisuus on saavutettavissa. Se vaatii huomiota ja prosesseja, mutta yksikään yksittäinen vaatimus ei ole kohtuuttoman vaikea. Vaikeuksiin joutuvat organisaatiot ovat tyypillisesti niitä, jotka kohtelevat vaatimustenmukaisuutta kertaluonteisena projektina jatkuvan toiminnallisen huolenaiheen sijaan. Rakenna se osaksi työnkulkuasi, määritä selkeät vastuut ja käytä tätä tarkistuslistaa toistuvana varmennustyökaluna.