Kaikki, mitä sinun täytyy tietää evästeistä (cookies)

Evästebannerit ovat olleet tiiviin keskustelun aiheena erityisesti keväästä 2020 asti, jolloin apulaistietosuojavaltuutettu määräsi yritysten muuttamaan tapaa ilmoittaa evästeiden käytöstä sivustollaan. Kantelumäärät laittomista evästebannereista ovat tämän jälkeen kasvaneet merkittävästi.

Mitä evästeet ovat?

Evästeet (cookies) ovat informaatiota sisältäviä tekstitiedostoja, joita verkkosivut lähettävät tietokoneellesi tai puhelimellesi, kun vierailet eri sivustoilla. Nämä evästeet tallentuvat selaimeesi ja niiden avulla sinut tunnistetaan, kun palaat myöhemmin takaisin sivustolle.

Tarvitsenko siis evästebannerin sivustolle? Vastaus on kyllä, jos sivustosi käyttää evästeitä. Useimmat suomalaiset yritykset keräävät dataa eri alustoihin, kuten Google Analyticsiin tai Metan Business Suiteen, jolloin evästeistä ilmoittaminen on pakollista. Lähdetään seuraavaksi tarkastelemaan tarkemmin, mitä evästeet ovat ja miten toteutat evästeiden käytön lainmukaisesti.

Mihin evästeitä käytetään?

Evästeillä on useita eri käyttötarkoituksia verkkosivuston toiminnan sekä tätä kautta myös asiakaskokemuksen kannalta. Esimerkiksi: kun vierailet verkkokaupassa ja lisäät tuotteen ostoskoriin, sama tuote löytyy evästeiden ansiosta ostoskorista, kun palaat takaisin kauppaan myöhemmin. 

Evästeet antavat myös tärkeää dataa verkkosivuston vierailijoista sivuston ylläpitäjille ja kehittäjille. Tämän datan avulla on mahdollista kehittää verkkosivustoa palvelemaan käyttäjiään entistä paremmin. Evästeiden avulla voidaan myös kohdistaa tarkkaa uudelleenmarkkinointia (remarketing) sivustolla vierailleille.

Mikä GDPR?

EU:n yleinen tietosuoja-asetus, tuttavallisemmin GDPR (General Data Protection Regulation), säätelee henkilötietojen käsittelyä EU-alueella. Asetus astui voimaan ja sitä lähdettiin soveltamaan keväällä 2018. GDPR:n tarkoituksena on tarjota parempi suoja ihmisten henkilötietojen hallintaan ja yhtenäistää aiemmin melko kirjavaa lainsäädäntöä EU-maissa.

Helsingin hallinto-oikeus on vahvistanut Traficomin olevan toimivaltainen viranomainen evästesääntelyyn eli lain tulkintaan sekä valvomiseen.

Mitä laki velvoittaa evästeiden käytöstä?

GDPR:n mukaisesti verkkosivuston vierailijoille on ilmoitettava välittömästi heidän saapuessaan verkkosivuille, että sivustolla käytetään evästeitä. Näin ollen jokaisen verkkosivuston käyttäjän on pystyttävä myös päättämään, salliiko hän evästeiden käytön vai ei. Käyttäjille tulee myös tarjota mahdollisuus muuttaa päätöstään evästeiden käytöstä jälkikäteen.

Suostumuksen evästeiden käyttöön on oltava niin sanotusti aktiivinen ilmaisu. Eli suostumusta ei voi antaa vaikenemalla, laittamalla raksia ruutuun tai jättämällä jokin toimi toteuttamatta. Useilla verkkosivustoilla näkee edelleen evästebannereita, joissa ilmoitetaan evästeiden käytöstä ja ainut vaihtoehto on klikata “OK”. Tämä ei ole kuitenkaan lainmukainen tapa ilmoittaa evästeistä.

Kuten jo mainittu, evästeiden käytön täytyy pystyä halutessaan hylkäämään. Evästeiden hylkäämisen tulee olla yhtä helppoa kuin niiden hyväksyminen –  älä siis pyri piilottamaan hylkäämispainiketta esimerkiksi usean valikon alle. Pelkkä hyväksyminen ja hylkääminen eivät kuitenkaan riitä. Käyttäjälle täytyy tarjota myös mahdollisuus valita, mitä evästeitä saa käyttää ja mitä ei.

Tyypillisesti evästeet jaetaan neljään kategoriaan:

1. välttämättömät
2. toiminnalliset
3. tilastolliset ja
4. markkinoinnilliset

Käyttäjän täytyy siis pystyä valitsemaan, voidaanko hänen kohdallaan käyttää esimerkiksi sivuston toiminnan kannalta välttämättömiä, toiminnallisia ja tilastollisia evästeitä, mutta ei esimerkiksi markkinointiin liittyviä evästeitä. Tällaisessa tilanteessa saisimme käyttäjän tiedot Google Analyticsiin (tilastollinen eväste), mutta emme tehdä uudelleenmarkkinointia (markkinoinnillinen eväste). Asetus velvoittaa meitä myös kertomaan, mitä niin sanottuja seurantatageja eri evästekategoriat sisältävät.

Miten hyödyntää evästeitä oikein?

Lähdetään seuraavaksi esimerkkikuvien kanssa käymään läpi, miten toteuttaa lainmukainen evästekysely.

Suostumus voidaan antaa millä tahansa tavalla keinolla, mutta sen on oltava aktiivinen tahdonilmaisu. Alla olevassa esimerkkibannerissa tämä onnistuu klikkaamalla “Salli kaikki”. Vastaavasti kieltäytymisen tulee olla yhtä helppoa, joten tämän takia “Kiellä” -painike on heti näkyvillä bannerissa. 

Pelkkä tieto evästeiden käytöstä ja mahdollisuus hyväksyä tai hylätä ne, eivät riitä yksinään. Käyttäjälle on myös eriteltävä, mitä evästeitä käytetään ja mikä niiden käyttötarkoitus on. Evästetyypit voidaan jakaa ylläolevan esimerkin mukaisesti. Evästetyypeistä on myös tarjottava tietoa mitä varten niitä kerätään ja mikä niiden käyttöaika on. Tämä mahdollistuu esimerkkibannerissa klikkaamalla Yksityiskohdat -välilehden auki. Välilehdellä on lyhyt selite, mihin tämän kategorian evästeitä käytetään. Vetovalikon avaamalla nähdään, mitkä kaikki evästeet kuuluvat kyseisten kategorioiden alle. 

Käyttäjälle tulee varmistaa suostumuksen muuttaminen myös jälkikäteen. Alla olevassa kuvassa näemme kuinka hyväksymisen jälkeen vasemmasta alakulmasta löytyy painike joka palauttaa evästevalinnan näkyviin ja käyttäjä voi halutessaan muuttaa valintoja.

Evästebannerin rakentamiseen tulee siis ottaa useita kohtia huomioon. Lähdetään seuraavaksi tarkastelemaan kuinka evästebanneri toteutetaan sivustolle.

Kuinka saan evästeilmoituksen sivustolleni?

Ehdottomasti vaivattomin tapa toteuttaa lain edellyttämä evästekysely, on hallinoida tätä CMP:n eli Consent Management Platformin avulla. Käytännössä CMP integroidaan osaksi verkkosivustoa ja CMP:n tehtävänä on varmistaa, että evästeet eivät käynnisty, ennen kuin lupa näiden käyttämiseen annetaan. Lisäksi CMP:n käyttö varmistaa, että kaikki käytetyt evästeet on listattu oikeiden evästeryhmien alle (pakolliset, toiminnalliset, tilastolliset, markkinointi). CMP -tarjoajia on useita ja alustoista osa on ilmaisia ja osa maksullisia.

Miksi valita maksullinen Consent Management Platform?

Lakipykälien tulkitseminen on meille tavan tallaajille haastavaa ja oman lakimiehen palkkaaminen on useimmiten turhan kallis ratkaisu. Ostaessasi maksullisen CMP -palvelun, saat käyttöösi kyseisen yrityksen lakimiehet, joiden tehtävänä on varmistaa, että käyttämäsi palvelu on aina lainmukainen.

CMP -palveluiden kk-hinnat vaihtelevat muutamasta eurosta kymmeniin euroihin. Hintaan vaikuttaa sivuston laajuus sekä se, kuinka usein sivusto ja sen käyttämät seurantatagit on tarkoitus skannata läpi.

CMP -palvelun käyttöönotto on suhteellisen helppoa, mutta suosittelemme, että varmistat evästebannerin oikean asennuksen asiantuntevan kumppanin kanssa. Suurimmat käyttöönoton riskit ovat seurannan hajoaminen tai lainvastainen toteutus. Suosittelemme käyttöönottoa Google Tag Managerin kautta, jolloin kaikki seurantatagit ovat yhdessä paikassa ja pääsemme myös tarkasti kontrolloimaan sitä mitkä tagit saavat käynnistyä milloinkin.

CMP-alustaa valitessa kannattaa valita Googlen suosittelemia alustoja, jotka löydät täältä. Nämä työkalut ovat helposti integroitavissa Tag Managerin kanssa ja ne mahdollistavat myös niin kutsutun suostumustilan (consent mode) käytön. Jos consent modea ei oteta käyttöön, aina kun käyttäjä hylkää sivuston analytiikkaevästeet mitään seurantadataa, kuten kävijöitä tai konversioita ei saada kiinni. Googlen consent mode pystyy palauttamaan osan tästä datasta joten suosittelemme aina tämän käyttöönottoa. Valitse siis alusta, joka on yhteensopiva Tag Managerin kanssa sekä varmista, että consent mode on otettu käyttöön.

Kaipaatko apua evästeiden kanssa?

Me olemme sertifioitu Cookiebot jälleenmyyjä ja olemme suorittaneet lukuisia CMP -evästejärjestelmien käyttöönottoja. Haluatko varmistaa, että teidän sivustonne ilmoittaa evästeiden käytöstä lainmukaisesti? Lue lisää CMP-järjestelmän käyttöönotosta ja ota yhteyttä.