Tarvitsenko evästebannerin Suomessa? Käytännön tarkistuslista

Evästebannerin tarve riippuu ennen kaikkea siitä, mitä evästeitä ja muita seurantateknologioita verkkosivusto käyttää. Olennaista ei ole bannerin ulkoasu, vaan se, käynnistyvätkö valinnaiset analytiikka- ja markkinointityökalut vasta käyttäjän valinnan jälkeen.

Suostumuksenhallinta-alusta (CMP) voi helpottaa valintojen keräämistä, komentosarjojen hallintaa ja suostumustietojen dokumentointia. Se ei kuitenkaan yksin takaa, että verkkosivusto täyttää kaikki oikeudelliset vaatimukset.

Lyhyt vastaus

Evästebanneri tai muu suostumusratkaisu voi olla tarpeen, jos sivusto käyttää muita kuin välttämättömiä evästeitä tai vastaavia teknologioita. Näitä voivat olla esimerkiksi:

• analytiikkatyökalut
• mainospikselit ja uudelleenmarkkinointi
• lämpökartat ja A/B-testaus
• keskustelupalvelut
• kumppanuusseuranta
• kartta-, video- ja muut ulkopuoliset upotukset

Välttämättömiä teknologioita voidaan arvioida eri tavalla, mutta myös niiden käyttötarkoituksista on kerrottava asianmukaisesti. Tarkka ratkaisu riippuu sivuston teknisestä toteutuksesta, käsiteltävistä tiedoista ja ajantasaisista viranomaisohjeista.

Mitä Suomessa on huomioitava?

Arvioinnissa on otettava huomioon EU:n yleinen tietosuoja-asetus sekä evästeitä ja vastaavia teknologioita koskevat kansalliset säännökset ja viranomaisohjeet. Ajantasaista tietoa tarjoavat esimerkiksi Tietosuojavaltuutetun toimisto, Traficom ja Euroopan tietosuojaneuvosto.

Käytännössä välttämättömät teknologiat kannattaa erottaa esimerkiksi tilasto-, mukauttamis- ja markkinointityökaluista. Käyttäjän valintojen tulee olla selkeitä, ja suostumusasetuksia on voitava muuttaa myöhemmin. Oikea toteutus on kuitenkin arvioitava tapauskohtaisesti.

Tarkistuslista evästebannerin tarpeen arviointiin

1. Avaa sivusto uudessa tai puhtaassa selainprofiilissa.
2. Tarkista ennen valintaa tallentuvat evästeet ja lähtevät verkkopyynnöt.
3. Listaa analytiikka-, markkinointi-, keskustelu-, kartta-, video- ja maksupalvelut.
4. Erottele sivuston välttämättömät toiminnot valinnaisesta seurannasta.
5. Arvioi, mitkä teknologiat tai käyttötarkoitukset edellyttävät ennakkosuostumusta.
6. Testaa hyväksyminen, hylkääminen, osittainen valinta ja asetusten muuttaminen.
7. Dokumentoi palveluntarjoajat, suostumusluokat, komentosarjojen säännöt ja tarkistuspäivä.
8. Toista tarkistus, kun sivustolle lisätään uusia lisäosia, kampanjoita tai integraatioita.

Testaa bannerin lisäksi tekninen toiminta

Viimeistelty banneri ei auta, jos esimerkiksi GA4, Google Ads, Meta Pixel tai upotettu media latautuu jo ennen käyttäjän valintaa. Tarkista siksi selaimen kehittäjätyökaluilla sekä verkkopyynnöt että tallentuvat evästeet.

Testaa vähintään seuraavat tilanteet:

• ensimmäinen käynti ilman tehtyä valintaa
• kaikkien valinnaisten luokkien hylkääminen
• vain joidenkin luokkien hyväksyminen
• kaikkien luokkien hyväksyminen
• asetusten muuttaminen myöhemmin

Bannerin valintojen ja komentosarjojen todellisen toiminnan on vastattava toisiaan. Laajemmat toteutusvaiheet löytyvät GDPR-evästebannerin käytännön oppaasta.

Esimerkkejä eri verkkosivustoista

Pelkästään istunnon ylläpitoon tai tietoturvaan tarvittavia teknologioita käyttävä esittelysivusto voi tarvita erilaisen ratkaisun kuin verkkokauppa, joka käyttää analytiikkaa, mainontaa ja uudelleenmarkkinointia.

Verkkokaupassa kannattaa tarkistaa erityisesti kassatoiminnot, maksupalvelut, tuotesuositukset, analytiikka ja markkinointitunnisteet. Välttämättömien ostotoimintojen pitäisi säilyä käytettävinä, vaikka käyttäjä hylkäisi valinnaisen seurannan. WooCommerce-sivuston tarkemmat huomioitavat asiat on koottu WooCommerce-evästebannerin oppaaseen.

Dokumentoi vastuut ja muutokset

Suostumusten hallinnalle kannattaa nimetä vastuuhenkilö tai -tiimi. Vastuu voi jakautua esimerkiksi markkinoinnin, kehittäjien ja sivustoa ylläpitävän toimiston kesken, mutta tehtävien on hyvä olla selkeästi määriteltyjä.

Dokumentoi ainakin:

• käytetyt suostumusluokat ja palveluntarjoajat
• komentosarjojen käynnistyssäännöt
• tunnistehallinnan suostumussignaalit
• banneritekstien ja luokkamääritelmien versiot
• viimeisin testaus- ja tarkistuspäivä

Monikielisellä sivustolla tekstit ja luokkien nimet on tarkistettava erikseen jokaisella kielellä.

Google Consent Mode v2 ei korvaa suostumusratkaisua

Google Consent Mode v2 välittää Google-tunnisteille käyttäjän suostumustilaa koskevia signaaleja. Toteutuksen on vastattava bannerissa tehtyjä valintoja, mutta Consent Mode ei itsessään korvaa suostumuksen keräämistä tai oikeudellista arviota.

Käyttöönottoa suunnitteleva voi tutustua Consent Mode v2:n käytännön oppaaseen ja tarkistaa tekniset yksityiskohdat Googlen dokumentaatiosta.

Usein kysytyt kysymykset

Tarvitaanko välttämättömiin evästeisiin suostumus?

Välttämättömiä evästeitä voidaan arvioida eri tavalla kuin valinnaista seurantaa. Niiden käyttötarkoituksista on silti kerrottava, ja välttämättömyys on arvioitava teknologian todellisen tarkoituksen perusteella.

Edellyttääkö GA4 evästebanneria?

Vastaus riippuu GA4:n asetuksista, kerättävistä tiedoista ja sivuston muusta toteutuksesta. Arvioi kokoonpano ajantasaisten viranomaisohjeiden perusteella ja pyydä tarvittaessa asiantuntijan arvio.

Riittääkö pelkkä evästeilmoitus?

Pelkkä ilmoitus ei välttämättä riitä, jos valinnaiset komentosarjat käynnistyvät ennen käyttäjän valintaa. Näkyvän bannerin ja sivuston teknisen toiminnan on vastattava toisiaan.

Yhteenveto

Selvitä evästebannerin tarve tutkimalla, mitä teknologioita sivusto todella käyttää ja milloin ne käynnistyvät. Jos käytössä on valinnaista analytiikkaa, seurantaa tai markkinointia, suunnittele suostumusprosessi huolellisesti, testaa kaikki valintatilanteet ja dokumentoi toteutus. Tekniseen käyttöönottoon voi jatkaa CookiePilotin dokumentaatiosta, mutta oikeudellinen arvio on tehtävä sivustokohtaisesti.