Yrityksen sivuilla näkyy evästebanneri. Siinä on hyväksymispainike, asetukset ja linkki tietosuojaselosteeseen. Tästä ei vielä voi päätellä, että suostumuksen pyytäminen tai seurannan toiminta olisi kunnossa.

Korkein hallinto-oikeus antoi 27.8.2026 ratkaisun KHO:2026:65, jossa evästekäytäntö todettiin lainvastaiseksi. Hyväksyminen oli tehty helpoksi, mutta kieltäytyminen oli hankalamman polun takana. Yrityksen kannattaa tarkistaa sekä kävijälle näkyvät valinnat että niiden vaikutus seurantaan.

Mitä KHO päätti evästebannerista?

Ratkaisu koski Otavamedian Suomen Kuvalehden sivustoa. Ensimmäisessä näkymässä olivat ”Hyväksy kaikki” ja ”Asetukset”. Hyväksymispainike erottui vihreällä värillä. Kieltäytyäkseen käyttäjän piti siirtyä asetuksiin ja löytää estopainike laajan tietosisällön joukosta.

KHO arvioi kokonaisuutta: valinnan näkyvyyttä, rakennetta, painikkeiden korostusta ja kieltäytymisen vaatimaa vaivaa. Käytäntö ohjasi käyttäjää hyväksymään evästeet niin, ettei suostumusta voitu pitää vapaaehtoisena. Traficomin määräys tarjota kieltäytymismahdollisuus ensimmäisellä tasolla jäi voimaan.

Ratkaisu ei tarkoita, että kaikki useampitasoiset bannerit olisivat kiellettyjä tai jokaisen painikkeen pitäisi näyttää täsmälleen samalta. Tarkemmille asetuksille voi edelleen olla oma näkymänsä. Kieltäytymisestä ei kuitenkaan pidä tehdä etsintätehtävää.

Kyse on olemassa olevan sääntelyn soveltamista täsmentävästä oikeusratkaisusta. Yrityksen ei tarvitse odottaa uutta GDPR-lakia tarkistaakseen oman bannerinsa.

Millainen banneri kannattaa toteuttaa?

Suosittelemme tavalliselle yrityssivustolle ensimmäiseen näkymään selkeitä valintoja: ”Hyväksy kaikki”, ”Vain välttämättömät” ja ”Muokkaa valintoja”. Tämä on käytännön toteutussuositus, ei laissa määrätty painikkeiden sanamuoto.

Kerro lyhyesti, mihin tietoja käytetään. ”Parannamme käyttökokemusta” ei yksin auta käyttäjää ymmärtämään, onko kyse sivun toiminnasta, kävijätilastoista vai mainosten kohdentamisesta. Tarkemmissa tiedoissa kuvaa käytössä olevat tekniikat ja tarkoitukset ymmärrettävästi. Traficomin ohjeessa käsitellään suostumusta ja käyttäjälle annettavia tietoja.

Esimerkiksi paikallinen autokorjaamo voi käyttää sivuillaan ajanvarausta ja mainonnan mittausta. Käyttäjän pitää pystyä erottamaan palvelun pyytämiseen liittyvät toiminnot mainonnan seurannasta. Bannerin luokkien pitäisi vastata tätä eroa myös teknisesti.

Testaa näkymä puhelimella. Jos hyväksymispainike näkyy heti mutta kieltäytyminen jää pitkän tekstin alle, työpöydällä onnistunut sommittelu ei riitä.

Mitkä evästeet ovat välttämättömiä?

Traficomin mukaan suostumusvelvollisuuteen on poikkeuksia, kun tietojen tallentamisen tai käytön ainoa tarkoitus on viestin välittäminen tai se on välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Arvioi käyttötarkoitus. Ostoskorin sisällön muistaminen voi olla osa ostamisen toteutusta. Mainonnan tehokkuuden mittaaminen palvelee eri tarkoitusta. Yritykselle hyödyllinen toiminto ei muutu käyttäjän pyytämän palvelun kannalta välttämättömäksi pelkällä luokittelulla.

Jos käytössä on ainoastaan poikkeuksen piiriin kuuluvia välttämättömiä tekniikoita, suostumusta pyytävää banneria ei tarvita niiden vuoksi. Mahdollinen henkilötietojen käsittely ja siitä informointi arvioidaan silti erikseen.

Myös seurannan toteutustapa pitää selvittää

Samana päivänä annettu KHO:2026:64 koski Sanoma Media Finlandin personointi- ja toimitusanalytiikkaevästeitä sekä asiassa arvioituja verkkokutsuja. Ratkaisu osoittaa, ettei tarkistusta voi rajata vain selaimeen tallentuviin evästetiedostoihin.

Seuranta voi toimia myös muilla tekniikoilla. Siksi ”evästeetön” ei yksin vastaa kysymykseen suostumuksen tarpeesta. Selvitä, mitä tietoja laitteelta käytetään, mitä lähetetään eteenpäin ja mihin tarkoitukseen.

KHO:n ratkaisu ei silti ole kaikkia analytiikkatoteutuksia koskeva yleisarvio. Sen perusteella ei pidä väittää, että jokainen verkkokutsu vaatisi suostumuksen. Tavallisen verkkosivun lataaminenkin perustuu verkkopyyntöihin. Tarkastelu kohdistuu kyseiseen tietojen tallentamiseen ja käyttöön.

Consent Mode välittää käyttäjän suostumusvalintoja Googlen tageille ja muuttaa niiden toimintaa. Se ei itsessään ole evästebanneri. Google kuvaa dokumentaatiossaan kaksi toteutustapaa.

  • Basic: Google-tagit estetään ennen käyttäjän valintaa. Jos käyttäjä ei anna suostumusta, Googlelle ei lähetetä tietoja näiden tagien kautta, ei edes suostumustilaa.
  • Advanced: tagit latautuvat oletusasetuksilla ja voivat lähettää evästeettömiä mittaustietoja suostumustilan ollessa evätty.

Jos tavoitteena on estää näiden Google-tagien tiedonsiirto ennen suostumusta ja kieltäytymisen jälkeen, basic-toteutus vastaa tätä tavoitetta. Muut sivun seurantakoodit pitää tarkistaa erikseen.

Tuotteen nimi tai asetuksen ”denied” ei yksin todista, ettei mitään tietoa lähetetä. Toisaalta pelkkä advanced-tilan käyttö ei ole tämän artikkelin perusteella ratkaistavissa lainmukaiseksi tai lainvastaiseksi. Arvio edellyttää todellisen toteutuksen ja tietovirtojen tutkimista.

Yleinen virhe: banneri toimii, seuranta ei tottele

Kuvitellaan verkkokauppa, jossa banneri on asennettu yhdellä lisäosalla, analytiikka toisella ja mainospikseli suoraan sivupohjaan. Käyttäjä valitsee vain välttämättömät evästeet. Banneri tallentaa valinnan oikein, mutta sivupohjaan lisätty pikseli ei lue sitä lainkaan.

Tämä on huono toteutus, vaikka banneri näyttäisi viimeistellyltä. Korjaus tehdään siihen, miten seurantakoodit ladataan ja miten käyttäjän valinta ohjaa niitä. Painikkeen tekstin vaihtaminen ei ratkaise erillisen koodin toimintaa.

Kokeile myös valinnan peruuttamista. Traficom edellyttää, että suostumuksen voi peruuttaa helposti. Sivustolle kannattaa jättää pysyvästi löydettävä ”Evästeasetukset”-linkki. Valinnan muuttamisen pitää vaikuttaa siihen, mitä sivusto tekee.

Tarkistuslista yrityksen evästebannerille

Käytä seuraavaa listaa teknisen tarkistuksen lähtökohtana. Listan läpäisy ei yksin korvaa koko käsittelyn arviointia.

  1. Selvitä käytössä olevat palvelut. Tarkista analytiikka, mainostagit, upotukset, chat ja lisäosat. Kirjaa niiden tarkoitukset ja tietovirrat.
  2. Tarkista ensimmäinen näkymä. Hyväksymisen ja kieltäytymisen on oltava helposti löydettävissä. Älä ohjaa hyväksyntään piilottamalla vaihtoehtoa.
  3. Tarkista oletustila. Suostumusta edellyttävää käyttöä ei käynnistetä ennen suostumusta. Ei-välttämättömiä valintoja ei esivalita.
  4. Testaa eri valinnat. Kokeile kieltäytyminen, osittainen hyväksyminen ja kaikkien hyväksyminen. Tarkista evästeiden lisäksi verkkopyynnöt ja muu selaintallennus.
  5. Testaa peruuttaminen. Avaa asetukset uudelleen ja muuta valintaa. Tarkista vaikutus myös sivulta toiselle siirryttäessä.
  6. Tarkista tietojen vastaavuus. Bannerin kuvauksen, evästetietojen ja tietosuojaselosteen pitää kuvata samaa todellista toteutusta.

Aloita testi tuoreella selainprofiililla tai poistamalla aiemmat sivustokohtaiset valinnat. Muuten vanha suostumus voi saada seurannan näyttämään sallitulta jo ennen uuden bannerin käsittelyä. Käy läpi myös sivut, joilla on eri toimintoja: etusivu ei välttämättä paljasta kassan tai videoita sisältävän sivun toimintaa.

Esimerkiksi kiinteistönvälittäjän sivulla ulkopuolinen video voi latautua vain kohdesivulla. Etusivun tarkistus ei silloin kerro videoupotuksen tietovirroista. Sivuston toimintoja kannattaa testata niiden todellisissa käyttöpaikoissa.

Tietosuojaseloste ei korvaa käyttäjän valintaa

Tietosuojaselosteessa kerrotaan henkilötietojen käsittelystä. Bannerilla pyydetään tarvittavat evästesuostumukset ja hallitaan valintoja. Sivustolla voidaan tarvita molempia. Tarkempi opas löytyy artikkelistamme milloin verkkosivuille tarvitaan tietosuojaseloste ja mitä siinä kerrotaan.

Kun tilaat sivustolle uuden mainospikselin tai analytiikkamuutoksen, sisällytä toimeksiantoon myös suostumuksen toiminnan tarkistus. Pyydä näyttö siitä, mitä tapahtuu ennen valintaa, kieltäytymisen jälkeen ja hyväksymisen jälkeen.

Artikkeli on yleinen käytännön opas. Yksittäisen sivuston arviointi edellyttää sen palveluiden ja tietovirtojen tarkistamista.

Lähteet

Kipinä™
Labonan AI-apuri
Moi! Mietitkö, mitä tämä tarkoittaisi oman yrityksesi kohdalla? Kirjoita muutama sana, niin katsotaan yhdessä, mitä kannattaisi tehdä. Keskeneräinenkin idea riittää.

Usein kysyttyä.

Ei automaattisesti. Tarve riippuu käytetyistä tekniikoista ja niiden tarkoituksista. Pelkästään välttämättömyyspoikkeuksen piiriin kuuluva käyttö ei tarvitse suostumusbanneria. Henkilötietojen käsittelystä informointi arvioidaan erikseen.

Voi olla. Tarkemmat valinnat voidaan esittää omassa näkymässään. Kieltäytymistä ei kuitenkaan pidä piilottaa tai tehdä hyväksymistä hankalammaksi.

Ei välttämättä. Googlen advanced-toteutus voi lähettää evästeettömiä mittaustietoja myös suostumuksen ollessa evätty. Tarkista toteutustapa ja todelliset verkkopyynnöt.