Evästesuostumusten lyhyt oppimäärä

Olli Valtanen Dagmarilta avaa blogipostauksessaan evästesuostumuksien taustaa ja mitä suostumusten hallinta käytännössä tarkoittaa. Evästesuostumukset on aiheena kieltämättä monimutkainen, mutta myös mielenkiintoinen kokonaisuus!

_{Teksti käsittelee aihetta yleisellä tasolla, eikä sitä voi pitää juridisena tulkintana lainsäädännöstä tai viranomaisen määräyksistä.}

Taustaa

GDPR

Ehkä hieman ironisestikin heti GDPR:n jälkeen merkittävä määrä suostumuksen hallinta -alustoista (Consent Management Platform; tai CMP) otettiin käyttöön Euroopan ulkopuolella (ennen kaikkea Yhdisvalloissa). Tämän lisäksi monet mainos- ja datarahalla liiketoimintaansa pyörittävät mediat estivät kokonaan pääsyn verkkosivustoilleen Euroopasta. Amerikkalaisen GDPR-tulkinnan mukaan evästeet vaativat siis aktiivisen suostumuksen antamisen.
Euroopan sisällä näimme paljon erilaisia tulkintoja tietosuoja-asetuksesta ja eri toimijoilla oli, ja on edelleenkin, värikkäitä ratkaisuja mitä tulee suostumusten hallintaan. Toiset kysyvät suostumuksen jopa yksittäisen evästeen tasolla, toiset puolestaan eivät kysy lainkaan.

Case Planet49

GDPR:n siirtymäajan päättymisestä ehti kulua n. 1,5 vuotta ennen kuin yhteinen käsitys suostumuksista alkoi muodostua.
Lokakuussa 2019 saatiin paljon julkisuutta saanut Planet49 -ennakkotapaus evästekäytänteissä, kun EU-tuomioistuin linjasi seuraavasti: Evästeiden tallentaminen edellyttää internetkäyttäjien aktiivista suostumusta. EU-Tuomioistuin ei hyväksynyt valmiiksi rastitettua ruutua EU:n yleisen tietosuoja-asetuksen vaatimuksien mukaiseksi.

Viimeistään tapauksen myötä suostumuksenhallintatyökalut (CMP:t) ovat alkaneet yleistyä Euroopassa.

Vaikutukset Suomessa

Pian Planet49 -ennakkotapauksen mukaan Traficom (joka valvoo lakia sähköisen viestinnän palveluista) antoi kannanoton aiheeseen: Evästeisiin voidaan jatkossakin antaa suostumus selainasetusten kautta.

Traficomin tulkinnan mukaan selainasetukset olivat siis riittävä signaali suostumuksen antamiseen, mutta korosti informoinnin ja läpinäkyvyyden merkitystä: Evästeistä tulee informoida käyttäjiä selkeästi ja kattavasti.

Tässä todellisuudessa suomalaiset verkkopalvelut ovat eläneet toukokuuhun 2020 asti, kunnes Apulaistietosuojavaltuutettu määräsi yrityksen muuttamaan tapaa, jolla se pyytää suostumusta evästeiden käyttöön.

Vaikka päätökseen voi hakea vielä muutosta valittamalla hallinto-oikeuteen (eli päätös ei ole vielä lainvoimainen), on nähtävissä, että CMP:t tulevat yleistymään myös suomalaisilla verkkosivuilla.

Suostumusten hallinta käytännössä

Miten niitä suostumuksia sitten pitäisi kysellä?

Aiheen monimutkaisuus ja tulkinnanvaraisuus on vahvasti ajanut internetiä siihen pisteeseen, että yhtä yhtenäistä tapaa käsitellä suostumuksia ei ole vielä olemassa. IAB:n TCF2.0 pyrkii vastaamaan tähän tarpeeseen luomalla standardeja siihen, mihin käyttötarkoituksiin suostumuksia kysytään ja miten käyttäjän valinnat vaikuttavat markkinointityökalujen toimintaan.

”Ontot suostumukset”

Yksi sekavan tilanteen outouksista on ns. ontot suostumukset. Yllättävänkin usein internetissä törmää verkkosivustoihin, jotka käyttöliittymässä kyllä kysyvät suostumuksia – mutta konepellin alla tallentavat markkinointievästeitä käyttäjän valinnoista huolimatta. Useimmissa tapauksissa kyseessä on virheellisestä CMP-työkalun implementoinnista; käyttöönotossa piilee yleensä muitakin työvaiheita javascript-tagin asentamisen & lisenssimaksun maksamisen lisäksi.

Verkkopalvelun omistaja ei välttämättä itsekään tiedä mitä kaikkia evästeitä sivusto tallentaa käyttäjien selaimille. Evästeet, jotka tallennetaan esim. sivuston etusivulla eivät välttämättä kerro koko totuutta – alasivuilla piilevät kolmannen osapuolen resurssit (esim. some-upotukset tai vaikka kehittäjän valitsemat koodikirjastot) saattavat asentaa kolmannen osapuolen evästeitä käyttäjän selaimiin. Tämä tekee auditoinnista erityisen työlästä suuremmilla sivustoilla.

Onttoihin suostumuksiin voidaan laskea myös jotkut ”Jatkamalla sivuston käyttöä hyväksyt evästeiden käytön” -kaltaiset informaatiolaatikot. Valitettavan useissa tapauksissa markkinointievästeet ovat tallentuneet jo ennen, kuin käyttäjä on edes nähnyt ko. ilmoitusta, eikä käyttäjä voi oikeasti vaikuttaa oman datan tallentumiseen. Tässäkin on yleensä kyse huolimattomasta implementoinnista.

Google Analytics todennäköisenä sudenkuoppana

Usein CMP:ssa evästeet kategorisoidaan käyttötapausten perusteella. On välttämättömiä evästeitä, toiminnallisia evästeitä, analytiikkaevästeitä ja some-/markkinointievästeitä yms.

Yksi helppo virheen paikka tässä jaottelussa on käsitellä Google Analyticsin evästeitä ainoastaan analytiikkatarkoituksissa. Tänä päivänä GA:n dataa viedään usein myös Google Adsin käyttöön – tästä yleisinä esimerkkinä mm. tavoitteet tai ecommerce-ostotapahtumat.

Google Analytics ei siis välttämättä kerää dataa ainoastaan analytiikkatarkoituksiin vaan CMP:n implementoijan kannattaa ottaa huomioon myös mahdolliset markkinoinnilliset tarkoitusperät.

---

Evästesuostumukset on aiheena kieltämättä monimutkainen, mutta myös mielenkiintoinen kokonaisuus. Datatekeminen internetissä muuttuu läpinäkyvämmäksi, ja olemmekin jo Dagmarilla auttaneet asiakkaitamme useissa CMP-käyttöönottoon liittyvissä tehtävissä.
Kiinnostuitko? Ota yhteyttä: https://www.dagmar.fi/yhteystiedot/

Olli Valtanen, Digital Solutions Specialist, työskentelee Dagmar Drive -yksikössä markkinointiteknologioiden parissa. Web-kehittäjätaustainen markkinointikonsultti, joka on erikoistunut oman datan hyödyntämiseen sekä ostetuissa että omistetuissa kanavissa.