Evästeet selitettynä: mitä ne ovat ja mihin suostut

Evästebanneri on internetin näkyvin ja väärinymmärretyin yksityiskohta. Osa käyttäjistä painaa hyväksy kaikki refleksinomaisesti, osa etsii kieltäytymispainiketta minuutin ajan, ja moni luulee että kyse on viruksista tai vakoilusta.

Todellisuus on tylsempi ja hyödyllisempi tietää. Eväste on tekninen ratkaisu yhteen ongelmaan: verkkopalvelin ei muista sinua käyntien välillä. Kaikki muu, myös mainosseuranta, on rakennettu tämän muistin päälle.

Tässä artikkelissa käydään läpi mitä eväste teknisesti tekee, mihin suostumusvaatimus perustuu, kuka asiaa Suomessa valvoo ja mitä bannerin painikkeet oikeasti tarkoittavat. Teksti on yleistä tietoa, ei oikeudellista neuvontaa.

Mikä eväste teknisesti on

Kun selain pyytää sivua, palvelin voi vastauksessaan lähettää mukana pienen nimi- ja arvoparin sekä ohjeen siitä, kuinka kauan se säilytetään ja mille osoitteelle se palautetaan. Selain tallentaa tiedon ja liittää sen automaattisesti jokaiseen seuraavaan pyyntöön samalle sivustolle.

Eväste on muistilappu, jonka sivusto antaa selaimellesi ja jonka selain näyttää takaisin samalle sivustolle. Se ei ole ohjelma, se ei suoritu, eikä se pääse käsiksi tiedostoihisi.

Kaksi rajoitusta ovat olennaisia. Eväste palautuu vain sille verkkotunnukselle, joka sen asetti, eli yhden sivuston eväste ei näy toiselle sivustolle. Ja se on kooltaan pieni, tyypillisesti korkeintaan muutama kilotavu, joten siihen ei mahdu profiilia sinusta vaan lähinnä tunniste.

Tunniste on koko idean ydin. Useimmiten evästeessä on vain satunnainen merkkijono, ja kaikki siihen liittyvä tieto on palvelimen tietokannassa. Eväste on avain, ei arkisto.

Miksi evästeitä tarvitaan

Verkon perusprotokolla on tilaton: jokainen pyyntö käsitellään erillisenä eikä palvelin muista edellistä. Ilman jotain muistin muotoa jokainen sivunlataus olisi ensitapaaminen.

Kolme arkista esimerkkiä riittää.

• Kirjautuminen. Kun kirjaudut, palvelin antaa istuntoevästeen. Ilman sitä joutuisit kirjautumaan uudelleen jokaisella sivulla.
• Ostoskori. Kori säilyy, koska selain palauttaa tunnisteen, jolla palvelin löytää korisi.
• Asetukset. Kielivalinta, tumma tila ja evästevalintasi itse tallennetaan usein evästeeseen.

Huomaa viimeinen kohta. Myös se, että kieltäydyt seurannasta, pitää muistaa jotenkin, ja se muistetaan tyypillisesti evästeellä. Siksi evästeiden täydellinen esto johtaa siihen, että banneri kysyy sinulta saman asian joka kerta.

Ensimmäinen ja kolmas osapuoli, istunto ja pysyvä

Evästeet jaetaan kahdella ristikkäisellä tavalla, ja sekaannus näiden välillä on tavallista.

Ensimmäisen osapuolen eväste on sivuston itsensä asettama. Kun luet uutissivustoa, sivuston oma eväste on ensimmäisen osapuolen eväste. Kolmannen osapuolen eväste tulee muulta verkkotunnukselta, jonka sisältöä sivulla on: mainosverkosto, upotettu video, analytiikkapalvelu. Sen palvelu näkee saman evästeen kaikilla niillä sivustoilla, joilla sen koodi on, ja juuri tämä tekee sivustorajat ylittävän seurannan mahdolliseksi.

Istuntoeväste poistuu, kun suljet selaimen. Pysyvä eväste säilyy asetetun ajan, joka voi olla päiviä tai vuosia. Pysyvyys ei sinänsä ole paha asia: kirjautumisen muistaminen ja evästevalinnan muistaminen vaativat pysyvää evästettä.

Yhdistelmistä huolestuttavin on pitkäikäinen kolmannen osapuolen eväste, koska se yhdistää vierailusi eri sivustoilla samaan tunnisteeseen pitkän ajan yli.

Seurantaevästeet ja profilointi

Seuranta ei tarkoita sitä, että joku lukisi olkasi yli. Se tarkoittaa, että samalle tunnisteelle kertyy tapahtumia: mitä sivuja avasit, mitä tuotteita katsoit, milloin ja miltä laitteelta. Kun sama tunniste esiintyy useilla sivustoilla, kertyy profiili kiinnostuksen kohteista.

Profiilia käytetään kohdennettuun mainontaan, sisältösuosituksiin ja mainonnan tuloksellisuuden mittaamiseen. Tunniste voi olla nimetön, mutta se ei tee tiedosta merkityksetöntä: kun profiiliin yhdistetään kirjautuminen, ostos tai IP-osoite, se muuttuu henkilöön yhdistettäväksi.

Tämä on syy siihen, miksi sääntely koskee juuri tätä käyttötapaa eikä ostoskoria. Samasta syystä kannattaa lukea, miten omat tiedot päätyvät myös muihin järjestelmiin, kuten artikkelissa tekoäly ja omat tietosi.

Mihin suostumusvaatimus perustuu ja kuka valvoo Suomessa

Vaatimus tulee kahdesta säädöksestä, jotka toimivat rinnakkain.

Sähköisen viestinnän tietosuojasääntely koskee sitä, saako laitteellesi ylipäätään tallentaa tietoa ja lukea sitä. EU:n tasolla perusta on sähköisen viestinnän tietosuojadirektiivi, ja Suomessa asiasta säädetään sähköisen viestinnän palveluista annetun lain 205 pykälässä. Sääntely koskee kaikkia laitteelle tallennettavia tietoja, ei vain evästeitä, ja se pätee myös silloin kun tieto ei ole henkilötietoa.

Yleinen tietosuoja-asetus koskee sitä, mitä kerätyillä henkilötiedoilla saa tehdä. Se määrittelee myös sen, millainen suostumus kelpaa: vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen.

Suomessa työnjako on selkeä. Traficom on toimivaltainen viranomainen evästesuostumusta koskevissa asioissa ja on julkaissut palveluntarjoajille tarkoitetun evästeohjeistuksen. Tietosuojavaltuutetun toimisto on siirtänyt evästesuostumusta koskevat asiat Traficomille ja valvoo edelleen henkilötietojen käsittelyä, joka evästeistä seuraa. Ohjeistus on laadittu näiden viranomaisten yhteistyönä.

Traficomin keinovalikoima painottuu velvoittamiseen ja korjaamiseen: se voi huomauttaa, velvoittaa korjaamaan käytännöt ja tehostaa velvoitetta. Evästesääntelyn rikkomisesta ei Suomessa määrätä samanlaisia hallinnollisia seuraamusmaksuja kuin tietosuoja-asetuksen rikkomisesta.

Omaperäinen osio: mitä bannerin painikkeet oikeasti tekevät

Banneri näyttää yksinkertaiselta mutta painikkeiden merkitys vaihtelee. Näin ne yleensä toimivat.

• Hyväksy kaikki. Annat suostumuksen kaikkiin sivuston ilmoittamiin tarkoituksiin, tyypillisesti myös mainonnan kohdentamiseen ja tietojen jakamiseen kumppaneille. Yhteistyökumppaneita voi olla kymmeniä tai satoja, ja lista löytyy yleensä bannerin asetusnäkymästä.
• Hylkää kaikki tai vain välttämättömät. Kieltäydyt kaikesta muusta kuin palvelun toiminnan kannalta välttämättömistä evästeistä. Sivuston pitää toimia tämän jälkeen normaalisti, koska välttämättömät evästeet jäävät käyttöön.
• Asetukset tai mukauta. Avaa tarkoituskohtaiset valinnat. Tässä näkymässä valintojen pitää olla oletuksena pois päältä.
• Ruksi tai sulje ikkuna. Ei ole suostumus. Jos sivusto tulkitsee sulkemisen hyväksynnäksi, käytäntö ei vastaa vaatimusta yksiselitteisestä suostumuksesta.
• Selailun jatkaminen. Ei ole suostumus. Vanha käytäntö, jossa sivun vierittäminen tulkittiin hyväksynnäksi, ei täytä vaatimuksia.

Kolme tarkistusta, joilla tunnistat lainmukaisen bannerin

1. Onko kieltäytyminen yhtä helppoa kuin hyväksyminen? Katso ensimmäistä näkymää. Jos siinä on vain hyväksy kaikki ja kieltäytyminen vaatii siirtymisen asetusvalikkoon, ehto ei täyty. Painikkeiden pitää olla samalla tasolla ja yhtä helposti löydettävissä.
2. Ovatko valinnat oletuksena pois päältä? Avaa asetusnäkymä. Jos kohdennettu mainonta tai analytiikka on valmiiksi päällä, kyse ei ole suostumuksesta vaan kieltäytymismahdollisuudesta, mikä ei riitä.
3. Voitko muuttaa mielesi jälkikäteen? Sivustolla pitää olla pysyvä linkki tai painike, jolla valinnan pääsee tekemään uudelleen. Peruminen pitää olla yhtä yksinkertaista kuin antaminen.

Jos kaikki kolme toteutuvat, banneri on todennäköisesti kunnossa. Jos yksikin puuttuu, käytäntö on ainakin kyseenalainen, ja asiasta voi ilmoittaa Traficomille. Tämän sivuston omat käytännöt on kuvattu evästekäytännössä.

Tarvitaanko suostumus? Evästetyypit taulukkona

Nyrkkisääntö: eväste on välttämätön vain, jos pyytämäsi palvelu ei toimi ilman sitä. Sivuston omistajan liiketoiminnallinen hyöty ei tee evästeestä välttämätöntä, eikä oikeutettu etu ole peruste tallentaa evästettä laitteellesi.

Evästeetön seuranta

Evästeiden estäminen ei poista seurantaa, koska tunnisteen voi muodostaa muutenkin.

Selaimen sormenjälki (browser fingerprinting) yhdistelee tietoja, jotka selain kertoo sivustolle joka tapauksessa: näytön koko, käyttöjärjestelmä, kieliasetukset, asennetut kirjasimet, aikavyöhyke ja grafiikkapiirin ominaisuudet. Yksittäin nämä ovat harmittomia, mutta yhdistelmä on usein harvinainen. Sormenjälki ei vaadi mitään tallennusta laitteelle, joten sitä ei voi poistaa evästeitä tyhjentämällä.

Palvelinpuolen tunnisteet siirtävät saman tempun palvelimelle. Tunniste asetetaan sivuston omalta verkkotunnukselta tai upotetaan osoitteeseen, jolloin se näyttää ensimmäisen osapuolen tiedolta, vaikka se välitettäisiin kolmannelle.

Näihin pätee sama sääntö kuin evästeisiin: jos tekniikan tarkoitus on seuranta eikä palvelun toiminta, suostumusvaatimus ei katoa sillä, että eväste on korvattu toisella menetelmällä. VPN ei myöskään auta tähän, koska sormenjälki ei riipu IP-osoitteen piilottamisesta.

Selainten kehitys ja evästeiden hallinta

Selainvalmistajat ovat rajoittaneet kolmannen osapuolen evästeitä eri tahtiin. Safari ja Firefox estävät ne oletuksena, ja Chrome on pitänyt ne käytössä oletuksena mutta antaa käyttäjän kytkeä ne pois asetuksista. Googlen aiemmin ilmoittama suunnitelma poistaa kolmannen osapuolen evästeet Chromesta peruttiin, ja yhtiö ilmoitti lokakuussa 2025 lopettavansa suuren osan tilalle kaavailluista Privacy Sandbox -tekniikoista.

Käytännön johtopäätös on, ettei kannata odottaa selaimen ratkaisevan asiaa puolestasi. Omat asetukset kannattaa käydä läpi.

Kaikissa selaimissa on tietosuoja-asetuksissa kolme säädintä, jotka riittävät useimmille.

1. Estä kolmannen osapuolen evästeet. Tämä on vaikutukseltaan merkittävin ja rikkoo harvoin mitään.
2. Poista evästeet selaimen sulkeutuessa. Hyvä, jos et halua pitkäikäisiä tunnisteita. Joudut kirjautumaan uudelleen ja vastaamaan bannereihin useammin.
3. Käytä yksityistä ikkunaa arkaluonteiseen selaamiseen. Ikkunan evästeet katoavat sulkemisen yhteydessä. Yksityinen ikkuna ei kuitenkaan piilota sinua sivustolta eikä operaattorilta, ja nimikyselyt kulkevat edelleen nimipalvelun kautta.

Yksittäisen sivuston evästeet voi poistaa selaimen sivustokohtaisista asetuksista, mikä on kätevä keino kun jokin sivusto jumittuu kirjautumisvirheeseen. Käsitteitä voi kerrata digisanastosta.