Oikeus: Evästeet on pakko kysyä, Traficomin linjaus oli väärä

Suomessa on väännetty pitkään ja hartaasti kättä evästeiden kyselyistä verkkopalveluissa, niin asiantuntijoiden kuin oikeusoppineidenkin taholta. Nyt asiaan saatiin ensimmäistä kertaa oikeuskäytäntöä.

Eurooppalaisen GDPR-lain tultua voimaan piti suomalaistenkin verkkopalveluiden alkaa kysymään käyttäjiltään suostumus selainten evästeiden - eli tuttavallisemmin keksien - tallettamiseen ja käyttöön. Mutta sitten Traficom linjasi että niin ei kaikissa tilanteissa täydy tehdäkään.

Traficomin näkemyksen ja ohjeistuksen mukaan riitti, että käyttäjä voi itse hallinnoida evästeitä selaimensa asetuksista. Ohjeistuksesta tuli monelle verkkopalvelulla ohjenuora, jonka mukaan on toimittu tähänkin saakka. Osa palveluista taas on siirtynyt vahvaan suostumuksen kysymiseen, pitkälti kansainvälisten mainosverkkojen vaatimuksesta.

Yksityishenkilö vei Traficomin ohjeistuksen ja Traficomin omat sivut (traficom.fi ja liikennefakta.fi -sivustot) oikeuteen, koska ne noudattivat nimenomaan Traficomin omaa ohjeistusta: riittää, että käyttäjä voi säädellä evästeitään selaimen asetuksista, erillistä suostumuskyselyä ei vaadita.

Helsingin hallinto-oikeus oli tuoreessa päätöksessään sitä mieltä, että Traficomin evästekäytännöt eivät olleet lainmukaisia, vaan käyttäjältä pitää saada nimenomainen suostumus evästeiden käytölle. Hallinto-oikeuden mukaan se ei voi osoittaa käyttäjän suostumusta, että hänen selaimessaan ovat evästeet oletusarvoisesti sallittuina, sillä evästeitä käytetään laajalti eri tarkoituksiin.

Käytännössä päätös tarkoittaa sitä, että Traficomin on muutettava ohjeistustaan ja omia käytäntöjään. Ja käyttäjän näkökulmasta se tarkoittaa sitä, että käytännössä kaikkien verkkosivustojen pitää pompauttaa esiin evästekysely - niidenkin, jotka eivät niin ole aiemmin tehneet. Luonnollisesti on olemassa kourallinen sivustoja, jotka eivät käytä evästeitä lainkaan, mutta jo vaikkapa Google Analytics-tilastomittauksen käyttö vaatii niiden käyttöä sivustolla.

• oikeusjuttu
• GDPR
• evästeet
• Traficom