Evästebanneri: mitä siinä oikeasti hyväksyt ja miten kieltäydyt

Evästebanneri näyttää ilmoitukselta. Se ilmestyy sivun päälle, siinä on tekstiä pienellä ja yksi selvästi erottuva painike, ja tuntuu luontevalta kuitata se pois samalla eleellä kuin hyväksyisi käyttöehdot hissin seinällä. Todellisuudessa kyse on lomakkeesta, jonka täyttämällä annat oikeuden.

Ero on tärkeä. Ilmoituksen voi ohittaa ilman seurauksia. Lomake taas johtaa siihen, että sinusta tallennetaan tunniste ja että tunniste yhdistetään käyttäytymiseesi useilla sivustoilla. Kun luet bannerin lomakkeena, huomaat nopeasti, että sen ulkoasu on suunniteltu ohjaamaan vastaustasi tiettyyn suuntaan.

Tämä artikkeli käsittelee bannerin lukemista ja kieltäytymistä. Evästeen tekninen toiminta on selitetty erikseen, samoin se, miten seuranta jatkuu evästeiden jälkeenkin. Teksti on yleistä tietoa lainsäädännön sisällöstä, ei oikeudellista neuvontaa.

Miksi bannerissa on kaksi eri lakia päällekkäin

Bannerin outo muotoilu selittyy sillä, että sen taustalla on kaksi eri sääntelyä, jotka kysyvät eri asiaa.

Ensimmäinen koskee tiedon tallentamista päätelaitteeseen. Sähköisen viestinnän sääntely edellyttää, että käyttäjä antaa suostumuksen, kun hänen laitteelleen tallennetaan tai sieltä luetaan tietoa, joka ei ole palvelun toteuttamiseksi välttämätöntä. Tämä koskee evästeitä mutta myös muita selaimeen tallennettavia tunnisteita. Suomessa säännöksen noudattamista valvoo Liikenne- ja viestintävirasto Traficom.

Toinen koskee henkilötietojen käsittelyä. Kun tunnisteeseen liitetään tietoa siitä, mitä olet katsonut ja mistä olet kiinnostunut, kyse on henkilötietojen käsittelystä, ja siihen tarvitaan tietosuoja-asetuksen mukainen peruste. Sitä valvoo tietosuojavaltuutetun toimisto.

Käytännössä sama banneri yrittää siis hoitaa kaksi asiaa yhdellä painalluksella: luvan tallentaa tunniste laitteellesi ja perusteen käsitellä siihen liitettyä tietoa. Siksi bannerissa puhutaan usein sekä evästeistä että käyttötarkoituksista. Ne eivät ole sama asia. Välttämättömiin evästeisiin, kuten kirjautumiseen ja ostoskoriin, ei tarvita suostumusta lainkaan, ja tästä syystä pelkkä evästeiden käyttö ei sinänsä velvoita banneriin.

Mitä pätevä suostumus vaatii

Tietosuoja-asetus määrittelee suostumuksen tarkasti. Se on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, joka annetaan aktiivisella toimella. Jokaisella sanalla on käytännön seuraus bannerissa.

• Vapaaehtoinen. Kieltäytymisestä ei saa seurata haittaa, joka tekee valinnasta näennäisen. Jos ainoa vaihtoehto hyväksymiselle on jäädä ulos palvelusta kokonaan, vapaaehtoisuus on kyseenalainen.
• Yksilöity. Suostumus annetaan käyttötarkoitukselle, ei kaikelle kerralla. Mainonnan kohdentaminen ja kävijämäärän mittaaminen ovat eri asioita, ja niistä pitää voida päättää erikseen.
• Tietoinen. Sinun pitää voida nähdä ennen painallusta, kuka tietoa käsittelee ja mihin. Pelkkä maininta kumppaneista ei riitä, jos listaa ei pääse katsomaan.
• Yksiselitteinen ja aktiivinen. Valmiiksi rastitettu ruutu ei ole suostumus. Unionin tuomioistuin on tämän ratkaisukäytännössään todennut. Sivun selaamisen jatkaminen tai alaspäin vierittäminen ei myöskään ole suostumus.

Lisäksi suostumus pitää voida peruuttaa yhtä helposti kuin se annettiin, ja palvelun on pystyttävä osoittamaan, että suostumus on saatu. Juuri tästä osoitusvelvollisuudesta johtuu se, että valintasi tallennetaan omaan evästeeseensä ja että banneri palaa, kun tyhjennät selaimen tiedot.

Näin luet bannerin kuudessa kohdassa

Bannerin lukeminen kestää harjaantuneelta muutaman sekunnin. Käy nämä läpi siinä järjestyksessä, jossa ne vaikuttavat lopputulokseen.

1. Katso painikerivi ensin, älä tekstiä. Onko hylkäysvaihtoehto samalla tasolla, samankokoisena ja yhtä näkyvänä kuin hyväksyntä? Jos ensimmäisellä näkymällä on vain hyväksyntä ja harmaa asetuslinkki, valinta on jo ohjattu.
2. Etsi käyttötarkoitukset, älä evästeiden nimiä. Tekninen lista evästeiden nimistä ei kerro mitään. Merkitystä on sillä, mainitaanko kohdennettu mainonta, profilointi, mainonnan mittaaminen ja tiedon yhdistäminen muihin lähteisiin.
3. Avaa kumppanilista. Monessa bannerissa suostumus annetaan sivuston lisäksi kymmenille tai sadoille mainosalan yrityksille. Listan pituus kertoo enemmän kuin bannerin teksti.
4. Katso säilytysaika. Suostumuksen ja tunnisteiden elinikä ilmoitetaan yleensä asetusnäkymässä. Vuosien mittainen säilytys tarkoittaa, ettet muista antaneesi lupaa siinä vaiheessa, kun se vielä vaikuttaa.
5. Etsi oikeutettu etu -välilehti. Se on usein toinen välilehti asetusnäkymässä, ja siinä valinnat voivat olla päällä, vaikka olisit hylännyt kaiken ensimmäisellä välilehdellä.
6. Etsi peruutuspolku. Toimivassa toteutuksessa sivun alalaidassa on pysyvä linkki evästeasetuksiin. Jos sitä ei ole, suostumusta ei voi peruuttaa yhtä helposti kuin se annettiin.

Asettelut, jotka ohjaavat painamaan hyväksy

Bannerin ulkoasu on suunnittelupäätös, ja suunnittelija tietää tarkalleen, mikä lisää hyväksyntöjä. Euroopan tietosuojaneuvosto on käsitellyt näitä ohjeissaan harhaanjohtavista käyttöliittymäratkaisuista, ja kansalliset valvojat ovat tarkastelleet bannereita yhteisessä työssään.

Yksikään näistä ei tarkoita, että sivusto olisi automaattisesti lainvastainen. Ne ovat merkkejä, joiden perusteella kannattaa katsoa tarkemmin ja joiden perusteella valvoja arvioi kokonaisuutta. Käytännön nyrkkisääntö on yksinkertainen: jos kieltäytyminen vie enemmän painalluksia kuin hyväksyminen, banneri ei täytä vaatimusta yhtä helposta kieltäytymisestä.

Oikeutettu etu -välilehti ja mitä se todella tarkoittaa

Asetusnäkymässä on usein kaksi välilehteä. Toisessa pyydetään suostumusta, toisessa ilmoitetaan oikeutetusta edusta. Tämä hämmentää syystä.

Oikeutettu etu on tietosuoja-asetuksen mukainen käsittelyperuste, jota voi käyttää suostumuksen sijaan silloin, kun käsittely on tarpeen rekisterinpitäjän perustellun tarpeen vuoksi eikä se syrjäytä rekisteröidyn oikeuksia. Peruste on olemassa, mutta se ei ole vapaa kortti. Kaksi asiaa kannattaa pitää mielessä.

Ensinnäkin oikeutettu etu ei poista suostumusvaatimusta tiedon tallentamiselta laitteellesi. Jos palvelu tallentaa selaimeesi tunnisteen, joka ei ole välttämätön, siihen tarvitaan suostumus riippumatta siitä, mikä peruste henkilötietojen käsittelylle on. Käytännössä oikeutetun edun välilehti koskee siis lähinnä sitä, mitä jo kerätyllä tiedolla tehdään.

Toiseksi valvontakäytännössä on pidetty epätodennäköisenä, että laaja verkkorajat ylittävä käyttäytymiseen perustuva mainonta täyttäisi oikeutetun edun edellytykset. Tulkinnasta on kiistelty, ja mainosala on ollut asiasta eri mieltä kuin valvojat.

Sinun kannaltasi olennaista on, että oikeutettua etua vastaan on oikeus vastustaa käsittelyä. Se tarkoittaa, että voit kytkeä kyseiset kohdat pois asetusnäkymässä, ja suoramarkkinointia vastustettaessa käsittely on lopetettava. Käytännön ohje on siksi yksinkertainen: käy molemmat välilehdet läpi, älä vain ensimmäistä.

Suostu tai maksa: banneri, jossa on hintalappu

Osa sivustoista tarjoaa kaksi vaihtoehtoa: hyväksy seuranta tai maksa mainoksettomasta versiosta. Malli on yleistynyt erityisesti mediasivustoilla, ja se pakottaa miettimään, mitä vapaaehtoisuus tarkoittaa.

Perusasetelma on ymmärrettävä. Sisällön tekeminen maksaa, ja jos mainostuloa ei kerry, raha on tultava muualta. Ongelma on siinä, että jos ainoat vaihtoehdot ovat seuranta tai maksu, suostumus voi olla muodollisesti annettu mutta ei aidosti vapaaehtoinen.

Euroopan tietosuojaneuvosto on arvioinut mallia suurten verkkoalustojen osalta ja katsonut, että pelkkä kahden vaihtoehdon asetelma ei yleensä riitä. Arvioinnissa merkitystä on sillä, onko tarjolla myös kolmas vaihtoehto, jossa palvelua voi käyttää ilman käyttäytymiseen perustuvaa mainontaa, ja onko maksu kohtuullinen suhteessa palveluun. Oikeustila ei ole kaikilta osin vakiintunut, ja käytännöt vaihtelevat maittain.

Lukijalle tästä seuraa kaksi asiaa. Maksullinen vaihtoehto ei automaattisesti tarkoita, että seuranta loppuu: maksu poistaa yleensä mainokset mutta ei välttämättä palvelinpuolen mittausta eikä kirjautuneen käyttäjän tunnistamista. Ja jos valitset hyväksymisen, kannattaa tietää, että sen voi silti perua myöhemmin.

Näin peruut suostumuksen jälkikäteen

Suostumuksen peruminen on oikeus, ei palvelun myönnytys. Peruminen ei tee aiemmasta käsittelystä laitonta, mutta se lopettaa käsittelyn jatkossa.

1. Etsi sivuston alalaidasta linkki evästeasetuksiin. Se on tavallisin paikka, ja nimi vaihtelee: evästeasetukset, evästevalinnat tai suostumusasetukset.
2. Avaa asetusnäkymä ja kytke pois kaikki muu kuin välttämätön. Käy erikseen myös oikeutetun edun välilehti.
3. Tallenna valinnat. Uusi valinta korvaa vanhan, ja palvelun pitää välittää tieto myös kumppaneille, joille suostumus alun perin annettiin.
4. Tyhjennä sivuston evästeet selaimesta, jos linkkiä ei löydy. Tämä poistaa suostumustiedon, ja banneri kysyy uudelleen. Huomaa, että samalla poistuvat kirjautumiset kyseiselle sivustolle.
5. Pyydä tarvittaessa tietojesi poistoa erikseen. Suostumuksen peruminen pysäyttää keruun, mutta jo kerätty tieto poistuu vasta pyynnöstä. Tähän käytetään rekisteröidyn oikeuksia ja poistopyyntöä.
6. Nollaa lopuksi se, mitä sinusta on jo päätelty. Suostumuksen peruminen ei tyhjennä mainosalustan profiilia, vaan profiili nollataan alustan omista asetuksista.

Jos banneri palaa jokaisella käynnillä hylkäyksen jälkeen, syy voi olla myös selaimessa: jos selain tyhjentää evästeet automaattisesti istunnon päättyessä, myös hylkäystieto katoaa. Tämä on yksi niistä kohdista, joissa selaimen yksityisyysasetukset ja bannerin käytös kytkeytyvät toisiinsa.

Milloin asiasta kannattaa ilmoittaa valvojalle

Yksittäinen huonosti tehty banneri ei ole ilmoituksen arvoinen, mutta järjestelmällinen tapa estää kieltäytyminen on. Ilmoituskynnys kannattaa ylittää silloin, kun hylkäysvaihtoehtoa ei ole lainkaan, kun valinta on tehty valmiiksi puolestasi tai kun peruminen on tehty mahdottomaksi.

Suomessa evästeiden tallentamista koskevat asiat kuuluvat Traficomille ja henkilötietojen käsittely tietosuojavaltuutetun toimistolle. Käytännössä sama tapaus voi koskea molempia, ja viranomaiset ohjaavat asian oikealle taholle. Ota talteen kuvakaappaus bannerista ja sivuston osoite, koska bannerit muuttuvat usein.

Yrityksen näkökulmasta sama asia kääntyy toisin päin: jos ylläpidät sivustoa, suostumuksenhallinnan tekeminen kunnolla on halvempaa kuin sen korjaaminen valvojan kehotuksesta.

Tarkistuslista bannerin edessä

Tämä riittää arkeen. Se vie sekunteja, kun sen tekee muutaman kerran.

• Näkyykö hylkäys ensimmäisellä näkymällä samanarvoisena kuin hyväksyntä? Jos ei, oleta ohjailua.
• Ovatko liu'ut asetusnäkymässä pois päältä valmiiksi? Jos eivät, kytke ne itse.
• Kävitkö oikeutetun edun välilehden? Se on se, joka useimmiten unohtuu.
• Löytyykö sivun alalaidasta pysyvä linkki asetusten muuttamiseen? Se on merkki huolella tehdystä toteutuksesta.
• Muista, ettei hylkäys estä kaikkea seurantaa. Sen jälkeen vuorossa ovat selaimen ja verkon tason estotyökalut.