Ovatko evästemuurit laillisia? Mitä EU:n viranomaiset ovat tähän mennessä todenneet

Ovatko evästemuurit laillisia? Mitä EU:n viranomaiset ovat tähän mennessä todenneet

Evästemuurit eli käytäntö, jossa verkkosivustolle pääsy estetään, ellei käyttäjä hyväksy seurantaa, ovat jatkuvan GDPR-keskustelun ytimessä.

Osa julkaisijoista väittää tarvitsevansa dataa sisällön rahoittamiseen. Viranomaiset puolestaan katsovat, että käyttäjillä on oltava todellinen valinnanvapaus. Mikä siis on laillista ja mikä ei?

Tässä kirjoituksessa käymme läpi:

• mitä evästemuurit ovat ja miten ne toimivat
• mitä GDPR sanoo ehdollisesta pääsystä
• mitä EU:n viranomaiset ja tuomioistuimet ovat tähän mennessä todenneet
• miten CMP-asetuksesi tulisi käsitellä suostumusesteitä

---

Mikä on evästemuuri?

Evästemuuri on mekanismi, joka estää pääsyn verkkosivustolle tai palveluun, kunnes käyttäjä hyväksyy kaikki evästeet, usein myös seuranta- tai mainontaevästeet.

Niistä käytetään joskus myös nimityksiä:

• Pääsyyn sidottu suostumus
• Seurantamaksumuurit
• Suostu-tai-poistu-bannerit

Käytännössä käyttäjät pakotetaan hyväksymään evästeet nähdäkseen sisällön, mikä voi rikkoa GDPR:n määritelmää ”vapaasti annetusta” suostumuksesta.

---

Mitä GDPR sanoo suostumuksesta ja pääsystä

Yleinen tietosuoja-asetus (GDPR) edellyttää, että suostumus on:

• Vapaasti annettu
• Tietoon perustuva
• Täsmällinen
• Yksiselitteinen

Johdanto-osan 42 kappaleen ja 7 artiklan 4 kohdan mukaan suostumus ei ole pätevä, jos käyttäjällä ei ole todellista valinnanvaraa, esimerkiksi jos pääsy evätään, ellei hän suostu seurantaan.

Suostumusta ei voi asettaa palvelun saannin ehdoksi, ellei kyseinen käsittely ole ehdottoman välttämätöntä.

Mainonta- tai analytiikkaevästeiden kohdalla tämä kynnys täyttyy harvoin.

---

Onko poikkeuksia?

Jotkin julkaisijat väittävät, että käyttäjä voi joko:

• hyväksyä seurantaevästeet ja saada pääsyn maksutta tai
• maksaa pääsystä ilman seurantaa

Tätä ”evästemaksumuuri”-mallia arvioitiin vuonna 2023 saksalaisessa oikeusjutussa (Axel Springer v. Datenschutzbehörde), jossa tuomioistuin katsoi sen voivan olla laillinen, jos:

• käyttäjille tarjotaan aito vaihtoehto (esim. maksullinen tilaus) ja
• seuranta selitetään selkeästi ja se on vapaaehtoista

EU:n laajuista yhteisymmärrystä ei kuitenkaan ole, ja useimmat viranomaiset suhtautuvat malliin edelleen epäillen.

---

Loppupäätelmä

Evästemuurit ovat edelleen oikeudellinen harmaa alue, mutta EU:n viranomaisten linja on selvä: pakotettu suostumus ei ole pätevä suostumus.

Pysyäksesi turvallisella puolella:

• Vältä seurantaan perustuvaa ehdollista pääsyä
• Tarjoa aitoja vaihtoehtoja suostumukselle
• Käytä CMP:tä, joka tukee läpinäkyvää ja käyttäjäystävällistä käyttökokemusta

Tietosuoja ja luottamus ovat pitkäaikaisia investointeja, samoin vaatimustenmukaisuus.

---

Lähteet

• EDPB Guidelines 05/2020 on Consent Under GDPR
• CNIL: Cookies and Other Trackers Guidelines (2020)
• Dutch DPA: Cookie Walls Are Not Allowed
• German Court Ruling on Cookie Paywalls