Eväste- ja tietosuojasäännökset: globaali yleiskatsaus

Evästeiden vaatimustenmukaisuutta ei säätele yksi ainoa laki. Sitä muovaa kansallisten ja alueellisten säännösten kirjava tilkkutäkki, jotka vaihtelevat merkittävästi soveltamisalaltaan, vaatimuksiltaan ja täytäntöönpanoltaan. Jokaiselle verkkosivustolle, jolla on kansainvälinen yleisö – mikä avoimessa internetissä koskee lähes jokaista sivustoa – on olennaista ymmärtää, mitkä lait pätevät ja miten ne eroavat toisistaan.

Tämä opas kartoittaa evästeiden ja verkkoseurannan globaalin sääntely-ympäristön EU:n suostumus ensin -mallista Yhdysvaltain ilmoitus-ja-valinta-lähestymistapaan sekä muualla nouseviin sääntelykehyksiin.

Globaali tilkkutäkki

Yhtä ainoaa ”evästelakia” ei ole olemassa. Sen sijaan evästeiden vaatimustenmukaisuus sijoittuu tietosuojasäännösten, sähköisen viestinnän direktiivien ja kuluttajansuojalakien risteyskohtaan. Tuloksena on monimutkainen, toisinaan ristiriitainen ympäristö, jossa samaan verkkosivustoon voi soveltua eri sääntöjä sen mukaan, missä sen kävijät sijaitsevat.

Kaksi laajaa mallia on noussut esiin:

• EU-malli (suostumus ensin): Ei-välttämättömiä evästeitä saa asettaa vasta sen jälkeen, kun käyttäjä on antanut tietoon perustuvan, nimenomaisen ja vapaaehtoisen suostumuksen. Oletus on, ettei seurantaa tehdä. Käyttäjän on annettava nimenomainen hyväksyntä.
• Yhdysvaltain malli (ilmoitus ja valinta): Yritysten on ilmoitettava tiedonkeruukäytännöistään ja annettava käyttäjille mahdollisuus kieltäytyä tietyistä käyttötavoista (erityisesti henkilötietojen myynnistä tai jakamisesta). Oletuksena on seuranta, josta käyttäjä voi kieltäytyä.

Useimmat maailman uudet tietosuojasäännökset lähentyvät EU-mallia, joskin paikallisin variaatioin. Molempien mallien – ja niiden sisältämien yksittäisten lakien – ymmärtäminen on välttämätöntä jokaiselle rajat ylittävästi toimivalle verkkosivustolle.

EU:n sääntelykehys: sähköisen viestinnän tietosuojadirektiivi + GDPR

Euroopan unionin lähestymistapa evästeiden sääntelyyn perustuu kahteen yhdessä toimivaan säädökseen:

Sähköisen viestinnän tietosuojadirektiivi (2002/58/EY)

Sähköisen viestinnän tietosuojadirektiivi – jota usein kutsutaan ”evästedirektiiviksi” – on EU:n ensisijainen laki, joka säätelee evästeiden ja vastaavien seurantatekniikoiden käyttöä. Sen keskeinen säännös, artikla 5(3), toteaa:

Jäsenvaltioiden on varmistettava, että tietojen tallentaminen tai pääsy tilaajan tai käyttäjän päätelaitteelle jo tallennettuihin tietoihin sallitaan ainoastaan sillä ehdolla, että kyseinen tilaaja tai käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot.

Ainoa poikkeus koskee evästeitä, jotka ovat ”ehdottoman välttämättömiä” käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi – esimerkiksi ostoskorin tai kirjautumistilan istuntoevästeet.

Tärkeää: sähköisen viestinnän tietosuojadirektiivi on direktiivi, ei asetus. Tämä tarkoittaa, että kukin EU:n jäsenvaltio on saattanut sen osaksi kansallista lainsäädäntöään paikallisin variaatioin. Perusperiaate (suostumus vaaditaan ei-välttämättömiin evästeisiin) on johdonmukainen, mutta toteutuksen yksityiskohdat eroavat toisistaan. Esimerkiksi:

• Ranska (CNIL): On antanut yksityiskohtaiset evästeohjeet, mukaan lukien rajoitettu poikkeus tietyille yleisömittaustyökaluille, jotka täyttävät tiukat ehdot (anonymisointi, ei sivustojen välistä seurantaa, rajoitettu säilytysaika).
• Saksa: Pantu täytäntöön TTDSG-lain (Telekommunikation-Telemedien-Datenschutz-Gesetz) kautta, joka astui voimaan joulukuussa 2021 ja kodifioi suostumusvaatimuksen nimenomaisesti.
• Italia (Garante): Julkaisi yksityiskohtaiset evästeohjeet vuonna 2021, jotka edellyttävät hylkäyspainiketta ensimmäisellä tasolla ja kieltävät evästeseinät.
• Alankomaat (AP): On omaksunut jonkin verran sallivamman kannan evästeseiniin ja katsonut, että ne voivat olla hyväksyttäviä, jos käyttäjällä on todellinen vaihtoehtoinen tapa päästä käsiksi sisältöön.

GDPR (asetus (EU) 2016/679)

Yleinen tietosuoja-asetus ei mainitse evästeitä nimenomaisesti, mutta se säätelee henkilötietojen käsittelyä – ja evästeisiin liittyy usein henkilötietoja. GDPR on merkityksellinen evästeiden vaatimustenmukaisuudelle useilla tavoilla:

• Suostumuksen standardi (artikla 4(11), artikla 7): GDPR määrittelee, mikä muodostaa pätevän suostumuksen: vapaaehtoinen, nimenomainen, tietoon perustuva, yksiselitteinen ja selkeällä myöntävällä toimella annettu. Tätä standardia sovelletaan sähköisen viestinnän tietosuojadirektiivin nojalla hankittuun evästesuostumukseen.
• Läpinäkyvyys (artiklat 12–14): Kun evästeet käsittelevät henkilötietoja, sovelletaan GDPR:n läpinäkyvyysvaatimuksia. Tämä tarkoittaa, että evästekäytäntönne on annettava tarkat tiedot mukana olevasta tietojenkäsittelystä.
• Oikeusperuste (artikla 6): Henkilötietojen käsittely evästeiden kautta edellyttää oikeusperustetta. Ei-välttämättömien evästeiden osalta tämä peruste on suostumus. Jotkut rekisterinpitäjät yrittävät nojautua oikeutettuun etuun (artikla 6(1)(f)), mutta tietosuojaviranomaiset ovat yhä useammin hylänneet oikeutetun edun perusteena mainonnan ja analytiikan seurannalle.
• Rekisteröidyn oikeudet (artiklat 15–22): Käyttäjillä on oikeus tietojensa – mukaan lukien evästeiden kautta kerätyt tiedot – tarkastamiseen, oikaisemiseen, poistamiseen ja siirtämiseen.
• Alueellinen ulottuvuus (artikla 3): GDPR:ää sovelletaan jokaiseen organisaatioon, joka käsittelee EU:ssa olevien henkilöiden henkilötietoja riippumatta siitä, missä organisaatio on sijoittautunut. Yhdysvaltalaisen yrityksen, joka kohdistaa toimintansa EU-asiakkaisiin, on noudatettava sitä.

Tuleva sähköisen viestinnän tietosuoja-asetus

Euroopan komissio ehdotti sähköisen viestinnän tietosuoja-asetusta vuonna 2017 korvaamaan sähköisen viestinnän tietosuojadirektiivin, yhdenmukaistamaan säännöt jäsenvaltioiden välillä ja päivittämään ne nykyaikaisia tekniikoita varten. Vuoden 2026 alussa asetusta ei ole vielä viimeistelty. Neuvottelut ovat venyneet erimielisyyksien vuoksi, jotka koskevat oikeutetun edun poikkeuksia, evästeseiniä koskevia määräyksiä ja selaintason suostumusmekanismeja.

Kun sähköisen viestinnän tietosuoja-asetus lopulta hyväksytään, se on suoraan sovellettavissa kaikissa jäsenvaltioissa (toisin kuin nykyinen direktiivi, joka edellyttää kansallista täytäntöönpanoa). Siihen saakka nykyinen sähköisen viestinnän tietosuojadirektiivi ja sen kansalliset toteutukset pysyvät voimassa olevana lainsäädäntönä.

Yhdysvaltain sääntelykehys: osavaltiotason tietosuojalait

Yhdysvalloissa ei ole liittovaltiotason evästelakia eikä liittovaltiotason kattavaa tietosuojalakia (vuoden 2026 alun tilanteen mukaan). Sen sijaan tietosuojasääntely on syntynyt osavaltiotasolla, mikä on luonut vaatimusten tilkkutäkin.

Kalifornia: CCPA ja CPRA

California Consumer Privacy Act (CCPA), sellaisena kuin se on muutettuna California Privacy Rights Actilla (CPRA), on Yhdysvaltain kattavin osavaltiotason tietosuojalaki. Evästeiden kannalta keskeiset säännökset:

• Oikeus kieltäytyä myynnistä/jakamisesta. Kuluttajilla on oikeus kieltäytyä henkilötietojensa ”myynnistä” tai ”jakamisesta”. CPRA:n mukaan ”jakaminen” sisältää tietojen jakamisen kolmansille osapuolille kontekstien välistä käyttäytymiseen perustuvaa mainontaa varten – mikä on juuri se, mitä useimmat mainosevästeet tekevät.
• Ei ennakkosuostumusta. Toisin kuin EU-mallissa, CCPA/CPRA ei edellytä ennakkosuostumusta evästeisiin. Oletus on, että seuranta on sallittua, ja käyttäjien on aktiivisesti kieltäydyttävä.
• ”Do Not Sell or Share” -linkki. Yritysten on tarjottava verkkosivustollaan näkyvä ”Do Not Sell or Share My Personal Information” -linkki.
• Global Privacy Control (GPC). Yritysten on kunnioitettava GPC-selainsignaalia pätevänä kieltäytymispyyntönä. Jos käyttäjän selain lähettää GPC-signaalin, yrityksen on käsiteltävä sitä ikään kuin käyttäjä olisi klikannut ”Do Not Sell or Share”.
• Ilmoitus keräyksen yhteydessä. Yritysten on ilmoitettava keräyshetkellä tai sitä ennen kerättävien henkilötietojen kategoriat ja tarkoitukset, joihin niitä käytetään.

Muut Yhdysvaltain osavaltiolait

Kalifornian esimerkkiä seuraten lukuisat Yhdysvaltain osavaltiot ovat säätäneet kattavia tietosuojalakeja. Vuoden 2026 alussa osavaltioita, joissa on voimassa oleva tietosuojalaki, ovat muun muassa:

Lisää osavaltioita on säätänyt lakeja, joiden voimaantulopäivät ovat vuosina 2025 ja 2026. Suuntaus on selvä: osavaltiotason tietosuojasääntely laajenee, ja useimmat uudet lait sisältävät kieltäytymisoikeuksia kohdennettuun mainontaan, jotka vaikuttavat suoraan evästekäytäntöihin.

Muita merkittäviä säännöksiä

Yhdistynyt kuningaskunta: UK GDPR ja PECR

Brexitin jälkeen Yhdistynyt kuningaskunta säilytti GDPR:n ”UK GDPR:nä” ja jatkaa Privacy and Electronic Communications Regulationsin (PECR) täytäntöönpanoa, joka toteuttaa sähköisen viestinnän tietosuojadirektiivin. Evästeitä koskevat vaatimukset ovat käytännössä identtiset EU:n kanssa: ennakkosuostumus vaaditaan ei-välttämättömiin evästeisiin, kapealla poikkeuksella ehdottoman välttämättömien evästeiden osalta. Information Commissioner's Office (ICO) valvoo näitä sääntöjä ja on julkaissut yksityiskohtaista evästeohjeistusta.

Brasilia: LGPD

Brasilian Lei Geral de Proteção de Dados (LGPD), joka on ollut voimassa vuodesta 2020, on vahvasti GDPR:n innoittama. Se edellyttää oikeusperustetta henkilötietojen käsittelylle, mukaan lukien evästeiden kautta kerätyt tiedot. Vaikka LGPD:llä ei ole suoraa vastinetta sähköisen viestinnän tietosuojadirektiivin evästekohtaiselle säännökselle, evästeisiin perustuvalle tietojenkäsittelylle on vahvistettava suostumus tai oikeutettu etu. ANPD (kansallinen tietosuojaviranomainen) antaa vähitellen ohjeistusta evästeistä ja suostumuksesta.

Kanada: PIPEDA ja lakiehdotus C-27

Kanadan Personal Information Protection and Electronic Documents Act (PIPEDA) edellyttää ”merkityksellistä suostumusta” henkilötietojen keräämiseen, käyttöön ja luovuttamiseen. Henkilötietoja keräävien evästeiden osalta organisaatioiden on hankittava suostumus ja annettava selkeät tiedot käytännöistään. Lakiehdotus C-27, ehdotettu Consumer Privacy Protection Act, uudistaisi Kanadan sääntelykehyksen tiukemmilla suostumusvaatimuksilla, mutta sen hyväksyminen on viivästynyt.

Japani: APPI

Japanin Act on the Protection of Personal Information (APPI), jota muutettiin vuonna 2022, esitteli käsitteen ”henkilöön viittautuvat tiedot”, joka voi tietyissä yhteyksissä sisältää evästetunnisteita. Kun evästetietoja yhdistetään muihin tietoihin yksilön tunnistamiseksi, suostumusvaatimuksia sovelletaan.

Etelä-Korea: PIPA

Etelä-Korean Personal Information Protection Act (PIPA), jota muutettiin vuonna 2023, edellyttää suostumusta henkilötietojen keräämiseen ja käyttöön, mihin voi kuulua evästetiedot silloin, kun ne tunnistavat tai voivat tunnistaa yksilön.

Lähentymissuuntaus

Nykyisestä tilkkutäkistä huolimatta on nousemassa selkeä suuntaus: useimmat uudet tietosuojalait noudattavat EU-mallia, jossa suostumus on ensisijainen ja sääntely voimaannuttaa käyttäjää. Jopa Yhdysvaltain osavaltiolait, jotka teknisesti perustuvat kieltäytymiseen eikä nimenomaiseen hyväksyntään, siirtyvät kohti tiukempia vaatimuksia yleisillä kieltäytymissignaaleilla (GPC), tietojen minimoinnin periaatteilla ja laajennetuilla ”henkilötietojen” määritelmillä, jotka kattavat evästetunnisteet.

Käytännössä tämä lähentyminen tarkoittaa, että EU-tason evästevaatimustenmukaisuuden (ennakkosuostumus, selkeä hyväksy/hylkää, hienojakoiset kategoriat, läpinäkyvät käytännöt) toteuttavat verkkosivustot ovat hyvissä asemissa noudattaakseen useimpien muiden lainkäyttöalueiden vaatimuksia. EU-standardi on korkein yhteinen nimittäjä.

Riskiarviointi: mitkä lait koskevat verkkosivustoasi?

Keskeinen kysymys jokaiselle verkkosivuston ylläpitäjälle on: mitkä lait koskevat minua? Vastaus riippuu kahdesta tekijästä:

1. Missä organisaatiosi on sijoittautunut. Sinuun sovelletaan niiden lainkäyttöalueiden tietosuojalakeja, joissa organisaatiollasi on toimipaikka (toimisto, tytäryhtiö, sivuliike).
2. Missä käyttäjäsi sijaitsevat. GDPR:n alueellisen ulottuvuuden (artikla 3(2)) nojalla sinuun sovelletaan EU:n tietosuojalakia, jos tarjoat tavaroita tai palveluita EU:ssa oleville henkilöille tai jos seuraat EU:ssa olevien henkilöiden käyttäytymistä. Vastaavia alueellisia säännöksiä on UK GDPR:ssä, Brasilian LGPD:ssä ja muissa laeissa.

Käytännössä, jos verkkosivustosi on EU:ssa olevien käyttäjien saatavilla – ja sinulla on lainkaan EU-liikennettä, mitä käytännössä kaikilla sivustoilla on – sinun tulisi noudattaa sähköisen viestinnän tietosuojadirektiiviä ja GDPR:ää. Jos sinulla on Yhdysvaltain liikennettä, sinun tulisi huomioida CCPA/CPRA (Kalifornia) ja muut sovellettavat osavaltiolait.

Pragmaattinen lähestymistapa:

• Toteuta EU-standardin mukainen suostumus kaikille EU:n/ETA:n/Yhdistyneen kuningaskunnan kävijöille (ennakollinen nimenomainen suostumus ei-välttämättömiin evästeisiin).
• Toteuta kieltäytymismekanismit Yhdysvaltain kävijöille (Do Not Sell/Share -linkki, GPC-tuki).
• Käytä oletuksena korkeampaa standardia, jos maantieteellinen tunnistus on epäkäytännöllistä. EU-tason suostumus täyttää käytännössä kaikkien lainkäyttöalueiden vaatimukset.

Alueellinen ulottuvuus

Yksi nykyaikaisen tietosuojasääntelyn merkittävimmistä piirteistä on sen alueellinen ulottuvuus. GDPR:ää (artikla 3(2)) sovelletaan EU:n ulkopuolisiin organisaatioihin, jotka:

• Tarjoavat tavaroita tai palveluita EU:ssa oleville henkilöille (myös maksuttomia – EU:ssa saatavilla oleva verkkosivusto, joka kohdistaa toimintansa EU-käyttäjiin, täyttää tämän kriteerin), tai
• Seuraavat EU:ssa olevien henkilöiden käyttäytymistä (analytiikka- ja mainosseuranta muodostavat seurannan).

Tämä tarkoittaa, että yhdysvaltalainen yritys, joka käyttää Google Analyticsia verkkosivustolla, joka saa EU-liikennettä, kuuluu teknisesti GDPR:n ja sähköisen viestinnän tietosuojadirektiivin evästevaatimusten piiriin. Täytäntöönpano EU:n ulkopuolisia organisaatioita vastaan on ollut historiallisesti rajallista, mutta se lisääntyy erityisesti suurten yritysten osalta. Käytännön riski pienemmille organisaatioille riippuu näkyvyydestä ja valitusten määrästä, mutta oikeudellinen velvoite on olemassa koosta riippumatta.

Täytäntöönpanon ympäristö

Evästeiden vaatimustenmukaisuuden valvonta on tiukentunut dramaattisesti vuodesta 2020 lähtien. Keskeiset suuntaukset:

Kuka valvoo

EU:ssa kansalliset tietosuojaviranomaiset (DPA:t) valvovat sekä sähköisen viestinnän tietosuojadirektiiviä että GDPR:ää. Merkittäviä aktiivisia valvojia ovat muun muassa CNIL (Ranska), Garante (Italia), Datatilsynet (Tanska ja Norja), BfDI (Saksa liittovaltiotasolla) ja APD (Belgia). EDPB koordinoi rajat ylittävää täytäntöönpanoa.

Yhdysvalloissa Kalifornian oikeusministeri ja California Privacy Protection Agency valvovat CCPA/CPRA:ta. Osavaltioiden oikeusministerit valvovat muita osavaltiolakeja.

Miten ne valvovat

• Valitusvetoiset tutkimukset. Suurin osa täytäntöönpanosta alkaa käyttäjän valituksesta tietosuojaviranomaiselle. Valitus käynnistää verkkosivuston evästekäytäntöjen tutkinnan.
• Kartoitustutkimukset. Tietosuojaviranomaiset tekevät säännöllisesti alakohtaisia kartoituksia, joissa satoja verkkosivustoja skannataan evästeiden vaatimustenmukaisuuden osalta. CNIL, Italian Garante ja Tanskan Datatilsynet ovat kaikki tehneet julkistettuja kartoituksia.
• Kansalaisjärjestöjen valitukset. Tietosuojan puolustusjärjestöt kuten noyb (Max Schremsin johdolla) ovat tehneet joukkovalituksia satoja verkkosivustoja vastaan, mikä on luonut merkittävän määrän täytäntöönpanoa. Pelkästään noybin evästebanneri-valitukset ovat johtaneet kymmeniin täytäntöönpanotoimiin eri puolilla EU:ta.

Seuraamukset

GDPR-sakot evästerikkomuksista voivat nousta jopa 20 miljoonaan euroon tai 4 %:iin vuotuisesta globaalista liikevaihdosta sen mukaan, kumpi on suurempi. Käytännössä evästerikkomusten sakot ovat vaihdelleet varoituksista (pienten organisaatioiden vähäisistä rikkomuksista) 150 miljoonaan euroon (Google, CNIL, 2022). Suuntaus on kohti korkeampia sakkoja ja tiheämpää täytäntöönpanoa.

Sakkojen lisäksi vaatimustenmukaisuuden laiminlyöntiin liittyy maineriski, kuluttajien luottamuksen menetys sekä hätäkorjausten toiminnalliset kustannukset viranomaismääräyksen alaisena.

Passiro auttaa sinua navigoimaan tässä sääntelyn monimutkaisuudessa automatisoidulla vaatimustenmukaisuudella, joka mukautuu kävijöihisi sovellettaviin lakeihin. Tutustu siihen, miten Passiro yksinkertaistaa evästeiden vaatimustenmukaisuutta eri lainkäyttöalueilla.