Evästekategoriat: Näin luokittelet evästeet suostumusta varten

Evästesuostumus ei ole kaikki tai ei mitään -päätös. Tietosuojasäännökset edellyttävät, että käyttäjät voivat tehdä tarkkoja valintoja siitä, minkätyyppiset evästeet he hyväksyvät. Tämän mahdollistamiseksi evästeet jaetaan kategorioihin — käyttötarkoitukseen perustuviin ryhmiin, joilla kullakin on omat suostumusvaatimuksensa.

Oikea luokittelu on ratkaisevan tärkeää. Markkinointievästeen luokittelu "ehdottoman välttämättömäksi" ei ole vain tekninen virhe — se on säännösten rikkomus, jota viranomaiset aktiivisesti etsivät ja josta ne määräävät sanktioita.

Miksi luokittelulla on merkitystä

GDPR edellyttää, että suostumuksen on oltava "erityinen" (4 artiklan 11 kohta). Tietosuojatyöryhmä 29 (nykyään EDPB) on selventänyt tämän tarkoittavan, että suostumus on annettava erikseen kutakin erillistä tarkoitusta varten. Kaikkien evästeiden niputtaminen yhteen "hyväksy kaikki" -painikkeeseen ilman kategoriakohtaista valintaa ei täytä tätä vaatimusta.

Käytännössä tämä tarkoittaa, että evästesuostumusmekanismin on esitettävä evästeet käyttötarkoituksen mukaan ryhmiteltyinä ja annettava käyttäjien hyväksyä tai hylätä kukin kategoria erikseen. Alalla vakiintunut standardi — jota myös viranomaiset odottavat — käyttää neljää kategoriaa.

Neljä vakiintunutta evästekategoriaa

1. Ehdottoman välttämättömät evästeet

Nämä evästeet ovat olennaisia verkkosivuston perustoiminnalle. Ilman niitä käyttäjän nimenomaisesti pyytämää palvelua ei voida tarjota.

Suostumus vaaditaan: Ei. Ehdottoman välttämättömät evästeet on vapautettu suostumusvaatimuksesta ePrivacy-direktiivin 5 artiklan 3 kohdan nojalla, jonka mukaan suostumusta ei tarvita evästeille, jotka ovat "ehdottoman välttämättömiä, jotta tietoyhteiskunnan palvelun tarjoaja voi tarjota tilaajan tai käyttäjän nimenomaisesti pyytämän palvelun".

Esimerkkejä ehdottoman välttämättömistä evästeistä:

• Istuntoevästeet, jotka ylläpitävät kirjautumistilaa
• Ostoskorievästeet verkkokaupassa
• CSRF-suojaustunnukset (cross-site request forgery)
• Kuormantasausevästeet, jotka jakavat liikennettä palvelinten kesken
• Evästesuostumusasetuksia koskevat evästeet (eväste, joka muistaa suostumusvalintasi)
• Turvaevästeet, jotka havaitsevat todennuksen väärinkäytön

Mikä EI ole ehdottoman välttämätöntä:

• Analytiikkaevästeet — myöskään ensimmäisen osapuolen evästeet. Liikenteen mittaaminen on hyödyllistä verkkosivuston ylläpitäjälle, mutta se ei ole välttämätöntä käyttäjän pyytämän palvelun tarjoamiseksi.
• Sosiaalisen median liitännäiset — jakopainikkeet ja upotetut syötteet palvelevat sivuston omistajan etuja, eivät käyttäjän nimenomaisesti pyytämää toimintoa.
• Mainontaevästeet — nämä palvelevat määritelmällisesti muuta tarkoitusta kuin käyttäjän käyttämää palvelua.
• A/B-testausevästeet — nämä palvelevat sivuston ylläpitäjän optimointitavoitteita, eivät käyttäjän nimenomaista pyyntöä.

Ratkaiseva testi on näkökulma: välttämätön kenelle? Jos eväste palvelee verkkosivuston ylläpitäjän etuja eikä käyttäjän nimenomaisesti pyytämää toimintoa, se ei ole ehdottoman välttämätön — riippumatta siitä, kuinka tärkeä se yritykselle on.

2. Analytiikka- / tilastoevästeet

Nämä evästeet keräävät tietoa siitä, miten kävijät käyttävät verkkosivustoa: mitä sivuja vieraillaan, kuinka kauan käyttäjät viipyvät, mistä he tulevat ja missä kohtaa he poistuvat. Data kootaan tyypillisesti yhteen ja sitä käytetään verkkosivuston parantamiseen.

Suostumus vaaditaan: Kyllä, useimmilla lainkäyttöalueilla. Jotkin tietosuojaviranomaiset (erityisesti ranskalainen CNIL ja hollantilainen AP) ovat kuitenkin ilmaisseet, että tietyt ensimmäisen osapuolen analytiikkatyökalut voivat kuulua rajatun poikkeuksen piiriin, edellyttäen että tietyt ehdot täyttyvät (katso osiomme kohdasta milloin suostumus vaaditaan).

Yleisiä analytiikkaevästeitä:

Huomaa, että Google Analyticsin evästeet ovat luonteeltaan kolmannen osapuolen evästeitä, vaikka ne saattavat näkyä ensimmäisen osapuolen evästeinä — sillä Google käsittelee dataa omilla palvelimillaan ja voi käyttää sitä omiin tarkoituksiinsa. Tämä ero on ollut merkittävä useissa eurooppalaisissa valvontatoimissa.

3. Markkinointi- / mainontaevästeet

Nämä evästeet seuraavat kävijöitä eri verkkosivustojen välillä rakentaakseen profiilin heidän selauskäyttäytymisestään. Tätä profiilia käytetään kohdennetun mainonnan toimittamiseen, mainoskampanjoiden tehokkuuden mittaamiseen ja rajoittamaan sitä, kuinka monta kertaa käyttäjä näkee tietyn mainoksen.

Suostumus vaaditaan: Aina. Mainontaevästeille ei ole mitään poikkeusta minkään ePrivacy-direktiivin tai GDPR:n tulkinnan mukaan.

Yleisiä markkinointievästeitä:

Markkinointievästeet ovat lähes aina kolmannen osapuolen evästeitä. Ne edustavat suurinta tietosuojariskiä ja ovat kaikkein tiukimmin säännelty kategoria. Mikä tahansa suostumusmekanismi, joka tekee markkinointievästeiden hyväksymisestä helpompaa kuin niiden hylkäämisestä, altistaa viranomaistoimille.

4. Asetus- / toiminnallisuusevästeet

Nämä evästeet mahdollistavat parannetun toiminnallisuuden ja personoinnin, joka ylittää ehdottoman välttämättömän. Ne muistavat käyttäjän tekemät valinnat mutta eivät ole välttämättömiä ydinpalvelun toiminnalle.

Suostumus vaaditaan: Kyllä, joskin riskitaso on matalampi kuin analytiikka- tai markkinointievästeissä. Jotkin viranomaiset suhtautuvat asetusevästeisiin lempeämmin, mutta oikeudellinen kanta on, että suostumus vaaditaan silti.

Esimerkkejä:

• Kieliasetus (kun sivusto toimii ilman sitäkin, oletuksena vain toisella kielellä)
• Alueen tai valuutan valinta
• Käyttäjänimen esitäyttö kirjautumislomakkeilla
• Videosoittimen asetukset (äänenvoimakkuus, laatu)
• Chat-widgetin tila (auki/kiinni, keskusteluhistoria)
• Fonttikoko tai saavutettavuusasetukset

Ero "ehdottoman välttämättömän" ja "asetusten" välillä voi olla hienovarainen. Kielieväste yksikielisellä sivustolla on merkityksetön. Kielieväste monikielisellä sivustolla, joka toimii oletuksena toimivalla kielellä ilman evästettäkin, on asetus. Kielieväste sivustolla, joka ei toimi lainkaan ilman sitä — koska sisältö ei lataudu ilman kielivalintaa — voitaisiin perustellusti katsoa ehdottoman välttämättömäksi. Konteksti ratkaisee.

Näin luokittelet evästeesi oikein

Noudata tätä prosessia jokaisen verkkosivustollasi olevan evästeen kohdalla:

1. Tunnista eväste. Mikä on sen nimi, kuka asettaa sen (ensimmäinen vai kolmas osapuoli) ja kuinka kauan se kestää?
2. Määritä sen tarkoitus. Miksi tämä eväste on olemassa? Mitä tapahtuu, jos se poistetaan?
3. Sovella ehdottoman välttämättömyyden testiä. Onko tämä eväste olennainen käyttäjän nimenomaisesti pyytämälle toiminnolle? Jos käyttäjä pyysi kirjautua sisään, istuntoeväste on välttämätön. Jos haluat seurata hänen käyttäytymistään, se on sinun tarpeesi, ei hänen.
4. Määritä kategoria. Jos se ei ole ehdottoman välttämätön, luokittele se ensisijaisen tarkoituksensa mukaan: analytiikka, markkinointi tai asetukset.
5. Dokumentoi perustelusi. Kirjaa jokaisen evästeen kohdalla, miksi luokittelit sen niin kuin teit. Tämä dokumentaatio on arvokasta, jos viranomainen joskus kysyy.

Yleisiä luokitteluvirheitä

Viranomaisten valvontatoimien ja auditointihavaintojen perusteella nämä ovat yleisimmät virheet:

• Google Analyticsin luokittelu ehdottoman välttämättömäksi. Tämä on ylivoimaisesti yleisin virhe. GA on analytiikkatyökalu. Se ei koskaan ole ehdottoman välttämätön palvelun tarjoamiseksi käyttäjälle. Useat tietosuojaviranomaiset ovat erityisesti nostaneet tämän esiin.
• Kaikkien kolmannen osapuolen evästeiden sijoittaminen "toiminnallisuuden" alle. Upotetut YouTube-videot, sosiaalisen jakamisen painikkeet ja chat-widgetit eivät ole ehdottoman välttämättömiä, ja niiden evästeet palvelevat tyypillisesti analytiikka- tai markkinointitarkoituksia näkyvän toiminnallisuuden ohella.
• Liitännäisten ja integraatioiden asettamien evästeiden sivuuttaminen. WordPress-sivusto, jossa on 20 liitännäistä, saattaa asettaa kymmeniä evästeitä, joista sivuston ylläpitäjä ei ole edes tietoinen. Olet silti vastuussa niistä kaikista.
• Markkinointievästeiden käsittely analytiikkana. Facebook Pixel ja Google Adsin konversioseuranta ovat markkinointievästeitä, eivät analytiikkaa — niiden ensisijainen tarkoitus on mainonta, vaikka käyttäisitkin dataa analyyttisesti.
• A/B-testausevästeiden virheellinen luokittelu. Optimizelyn ja VWO:n kaltaiset työkalut asettavat evästeitä käyttäjien jakamiseksi testiryhmiin. Nämä eivät ole ehdottoman välttämättömiä, ja ne tulisi luokitella analytiikaksi tai asetuksiksi.

Automatisoi prosessi

Manuaaliset evästeauditoinnit vievät aikaa ja ovat virhealttiita. Verkkosivustot muuttuvat jatkuvasti — uusi liitännäinen, päivitetty skripti, markkinointitiimin lisäämä seurantapikseli — ja jokainen muutos voi tuoda mukanaan uusia evästeitä, jotka on luokiteltava.

Passiro skannaa ja luokittelee automaattisesti kaikki verkkosivustosi evästeet, havaitsee uudet evästeet niiden ilmestyessä ja merkitsee mahdolliset virheelliset luokittelut. Näin evästesuostumusmekanismisi heijastaa aina sivustosi todella käyttämiä evästeitä — ei vain niitä, jotka tiesit viimeksi tarkistaessasi.

Nyt kun ymmärrämme kategoriat, tarkastellaan mitä evästesuostumus oikeastaan oikeudellisesti tarkoittaa — vaatimukset ovat tarkempia kuin useimmat ihmiset tajuavat.