Lähes kaikki kotimaiset uutissivustot rikkovat lakia evästekyselyissä

Euroopan Unionin GDPR-lainsäädännön kuluttajille näkyvin muutos oli aikanaan se, että verkkosivustojen täytyi alkaa kyselemään käyttäjiltään lupaa siihen, millaisia evästeitä selaimeen saa asettaa.

Suomessa asiaa valvova Traficom otti aluksi äärimmäisen rennon linjan aiheeseen ja linjasi, että lain täyttymiseen riittää se, että käyttäjä voi kytkeä omasta selaimestaan asetusten kautta keksit pois käytöstä. Sittemmin evästeistä on väännetty oikeutta EU:n tasolla ja linja on tarkentunut - ja tiukentunut merkittävästi.

Nykyinen Traficomin ohjeistus (PDF) onkin erittäin tiukka, mutta samalla erittäin johdonmukainen.

Mihin pitää pyytää lupa?

Ensinnäkin, ainoastaan välttämättömät evästeet saa asettaa ilman käyttäjän suostumusta. Välttämättömiksi evästeiksi luetaan käytännössä vain sellaiset evästeet, joita ilman verkkosivusto ei pysty toimimaan käyttäjän haluamalla tavalla. Tällaisiksi voidaan lukea vaikkapa sisäänkirjautumisen tiedot tallettavat evästeet sähköpostipalvelussa, jossa sisäänkirjautuminen omaan sähköpostilaatikkoon on täysin oleellista koko palvelun toiminnan kannalta. Myös vaikkapa Facebookiin kirjautumisen yhteydessä asetettava, sisäänkirjautumisen muistava eväste laskettaneen tällaiseksi.

Vastaavasti hyvin harvat muut evästeet voidaan ajatella välttämättömiksi sivustojen toiminnan kannalta. Elokuussa 2026 Korkein hallinto-oikeus linjasi, että esimerkiksi evästeet, jotka mahdollistavan verkkosivuston sisällön personoinnin (ilman kirjautumista) aiempien vierailujen perusteella, eivät ole välttämättömiä. Eli niihinkin pitää pyytää lupa.

Kaikkiin muihin evästeisiin pitää pyytää käyttäjältä lupa.

Traficom itse ilmaisee asian näin:

Suostumusta ei lain mukaan tarvitse pyytää niin kutsuttuihin välttämättömiin evästeisiin eli silloin:

- jos tietojen tallentamisen tai käytön ainoana tarkoituksena on toteuttaa viestin välittämistä viestintäverkoissa tai

- tietojen tallentaminen ja käyttö on välttämätöntä palvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota tilaaja tai palvelun käyttäjä on nimenomaisesti pyytänyt.

Evästeistä kieltäytyminen ja tekniikka

Yksi vaatimuksista evästeitä määrittelevässä lainsäädännössä on se, että käyttäjä kieltäytyessä muista kuin välttämättömistä kekseistä, hänen pitää silti pystyä käyttämään palvelua. Tätä linjausta Suomessa ryhtyi avoimesti haastamaan Iltalehti loppuvuodesta 2025, kun se teki evästeistä kieltäytymisen maksulliseksi toiminnoksi.

Teknisesti vaikein on kuitenkin vaatimus siitä, että käyttäjän kieltäydyttyä muista kuin "pakollisista" evästeistä, sivuston pitää myös oikeasti estää niiden asettuminen käyttäjän selaimeen.

Asia voi kuulostaa yksinkertaiselta, mutta se on oikeasti todella monimutkainen prosessi. Käytännössä sivuston pitää pystyä välittämään tieto kaikille ulkoisille yhteistyötahoilleen reaaliajassa siitä, että käyttäjä on kieltäytynyt evästeiden asettamisesta. Käytännössä ainoa standardoitu tapa tähän on käyttää IAB Europen luomaa suostumuksen välitysmekanismia, jonka avulla tieto voidaan varmuudella välittää mm. mainosverkoille, YouTubelle ja muille toimijoille, joiden sisältöä sivustoilla usein on upotettuna.

Usein evästeistä kieltäytyminen näkyy käytännössä niin, että sivustolla olevat upotetut YouTube-videot eivät toimi eivätkä sosiaalisen median upotukset näy. Näin toimivat etenkin monet amerikkalaiset mediatalot, jotka ovat todenneet tämän olevan helpoin tapa varmistua siitä, että evästeitä ei vahingossa aseteta käyttäjän selaimeen ulkopuolisen upotteen mukana.

GDPR:n alkuaikoina näkyi paljon ratkaisuja, joissa sivuilla oli vain "Käytämme keskejä, onko tämä ok?" -tyylinen kysely, joka ei oikeasti tehnyt itsessään mitään. Eli vastaamalla kysymykseen mitä tahansa, sillä ei ollut teknistä vaikutusta evästeiden asettumiseen. Näin omakin sivustomme, AfterDawn, toimi usean vuoden ajan.

Teknisen monimutkaisuuden vuoksi lähes kaikki mediat ovat siirtyneet käyttämään ulkopuolisia evästekyselyiden tarjoajia: pienimmät sivut, kuten oma sivustomme, käyttävät Googlen evästekyselyä, joka on sivustolle ilmainen ja toimii IAB Europen sääntöjen mukaan.

Mitä tapahtuu jos evästeistä kieltäytyy?

Muista kuin välttämättömistä evästeistä kieltäytyminen saattaa näkyä upotteiden (embed) katoamisena sivuilta. Tällöin vaikkapa uutisartikkelissa upotettuna oleva video ei näy lainkaan. Taustalla tähän on usein se, että upotteen tarjoava taho - vaikkapa YouTube - vaatii evästeiden asettamista "vastineena" upotusmahdollisuudesta.

Toisekseen mainonnan kohdennus heikkenee, kun käyttäjän profiilin mukaisia mainoksia ei voida näyttää. Eli mainoksia siis näkyy aivan sama määrä, kieltäytyi evästeistä tai ei, mutta mainokset eivät ole kohdennettuja. Käytännössä tällöin mainonta liikahtaa halvimpaan haarukkaan, joka tarkoittaa usein "Työskentele kotoa ja tienaa kymppitonni kuukaudessa" ja "Sinkut lähelläsi" -tyylistä mainontaa.

Mainontahan on nykyisin lähes täysin ohjelmalliseen ostamiseen pohjautuvaa, eli jokainen mainosnäyttö myydään reaaliajassa eniten maksavalle - ja hinta pohjautuu siihen, miten kiinnostava silmäpari vastapuolella on. Jos mainosverkko tietää, että olet hiljattain etsiskellyt lentohintoja rantakohteeseen, olet hyvinkin kiinnostava lomamatkojen mainostajien kannalta. Jos taas mitään tietoa sinusta ei ole, kun evästeistä ei voida päätellä kiinnostuksen kohteitasi, tarjotaan halvempaa, ylläkuvattua "bulkkimainontaa".

Evästeistä pitää pystyä kieltäytymään yhtä helposti kuin ne hyväksytään

Tämä on kriittinen kohta Traficomin ohjeissa ja kohta, jota lähes kaikki kotimaiset suuret mediat rikkovat. Traficom linjaa ohjeessaan, että käyttäjän pitää voida hylätä kaikki ei-välttämättömät evästeet yhtä helposti kuin ne voisi myös hyväksyä.

Käytännössä se tarkoittaa sitä, että Hyväksyn ja Hylkään -painikkeet pitää näyttää yhtä isoina nappeina, yhtä selkeästi ja niitä ei saa piilottaa valikoiden taakse. Useat mediat tarjoavat vain "Hyväksy kaikki" ja "Asetukset" -vaihtoehdot. Vasta asetusten takaa kuluttaja voi sitten hylätä kaikki tai osan evästeistä. Tämä on vastoin Traficomin ohjeistusta.

Vuonna 2024 Traficom antoikin päätöksen Suomen Kuvalehden tavasta tehdä evästeistä kieltäytyminen vaikeammaksi kuin niiden hyväksymisestä. Suomen Kuvalehden omistava Otavamedia vei päätöksen oikeuteen ja elokuussa 2026 asiasta saatiin KHO:n ennakkopäätös. KHO oli samaa mieltä Traficomin kanssa, eli evästeistä kieltäytyminen pitää olla yhtä helppoa kuin niiden hyväksyminenkin.

ohessa kuva siitä, miten Otavamedian evästekysely toimi 28.8.2026: eli löytääkseen evästeiden hylkäämisen vaihtoehdon, täytyi käyttäjän klikata ensin "asetukset"-valintaa

Traficomin ohjeistus sanoo asiasta tarkalleen ottaen näin:

Lisäksi kieltäytymisen tulee olla yhtä helppoa kuin suostumuksen antamisen. Tällä tarkoitetaan evästeiden tapauksessa sitä, että suostumuksen antamisen ei-välttämättömien evästeiden käyttöön ei tule olla yksinkertaisempaa, kuin niiden käytöstä kieltäytymisen. Esimerkkinä tästä voi olla, että jos suostumusmekanismin ylimmällä tasolla esitetään hyväksy tai salli kaikki -valinta, jolla annetaan lupa kaikkien eivälttämättömien evästeiden käyttöön, niin sen rinnalla tulisi antaa valinta jatka välttämättömillä tai kieltäydy muista kuin välttämättömistä, jolloin suostumuksen antaminen ja kieltäytyminen ovat yhtäläisen helposti tehtävissä. Näiden valintojen lisäksi käyttäjälle tulisi lisäksi antaa vaihtoehtoja tehdä tarkempia valintoja eri tyyppisten evästeiden suhteen.

Kotimaisten medioiden tilanne

Teimme 28.8.2026 pienimuotoisen kokeilun kotimaisten medioiden sivuilla ja tarkistimme, miltä evästekysely milläkin sivustolla näyttää, kun sivulle siirtyy "puhtaalla" selaimella (Chrome, incognito-tilassa). Alla tulokset.

Puhtaat paperit saivat:

• Yle
• Turun Sanomat
• io-tech
• Salon Seudun Sanomat
• Mobiili.fi
• Suomenmaa

Puhtaat paperit saaneilla sivustoilla oli tarjolla vaihtoehtona yleensä "Hyväksy kaikki" ja "Vain välttämättömät" tai niiden eri sanamuotoja. Vaihtoehdot olivat tarjolla suoraan esiin aukeavassa evästekyselyssä, ilman tarvetta valikoihin siirtymiselle. Tämä täyttää Traficomin vaatimukset.

Myös AfterDawnin sivustot noudattavat tässä Traficomin linjausta, eli AfterDawn, Puhelinvertailu ja uutiskerääjämme HIGH.FI tarjoavat suoraan mahdollisuuden kaikista evästeistä kieltäytymiseen.

Nämä sivustot rikkovat lakia:

• Kaleva
• Helsingin Sanomat
• Ilta-Sanomat
• Iltalehti
• MTV Uutiset
• Episodi
• Ampparit
• Keskisuomalainen
• Muropaketti
• Aamulehti
• Karjalainen
• Ilkka-Pohjalainen
• Verkkouutiset
• Demokraatti
• Savon Sanomat
• Sportti.com
• Kauppalehti
• Tekniikan Maailma
• SuomiMobiili
• FinDance
• Voice.fi

Kaikilla mainituilla sivustoilla evästekysely oli tarjolla, mutta niiltä puuttui esiin aukeavassa evästekyselyssä painike "Hylkää kaikki" / "Vain välttämättömät", jonka pitäisi siis olla tarjolla suoraan ruudulle ponnahtavassa kyselylaatikossa.

Kaikissa muissa paitsi yhdessä sivustossa kyseinen "Hylkää kaikki" -painike löytyi evästekyselyn "Asetukset"-valikon takaa - yhdellä sivustolla sitä ei ollut tarjolla sielläkään.

Käytännössä kaikki mediakonsernien sivustot noudattivat konsernin sisällä samaa linjaa: Sanoman, Alman, Keskisuomalaisen, Pop Median, Otavamedian ja Kalevan omistamat uutissivustot olivat kaikki toiminnaltaan yhteneviä: käyttäjälle tarjottiin mahdollisuus hyväksyä joko kaikki evästeet tai siirtyä asetuksiin.

Vasta asetusten näkymän kautta evästeet pystyi kieltämään yhdellä klikkauksella. Tässä suhteessa on kuitenkin menty iso loikka eteenpäin vuodesta 2023, jolloin tutkimme asiaa viimeksi, sillä silloin evästeet piti lähes kaikilla sivustoilla kieltää yksi kerrallaan.

Ainoan poikkeuksen suurista kaupallisista mediataloista teki TS-Yhtymä, jonka omistamat sivustot - Turun Sanomat sekä Salon Seudun Sanomat noudattivat kumpikin lakia kirjaimellisesti.

Mielenkiintoinen seikka on myös se, että testaamistamme puoluelehdistä Demokraatti (SDP) ja Verkkouutiset (kokoomus) rikkoivat lakia tässä suhteessa. Perussuomalaisten Suomen Uutiset ei käyttänyt lainkaan evästeitä sivuillaan, joten kyselyäkään ei näytetty. Keskustan puoluelehti Suomenmaa puolestaan tarjosi suoraan evästeiden hylkäämisen vaihtoehdon - eli noudatti lakia.

Lisäksi testasimme myös suurimmat Suomessa toimivat, elektroniikkaa myyvät verkkokaupat (Gigantti, Power, Verkkokauppacom) ja ne kaikki noudattivat lakia, tarjoten suoraan evästeistä kieltäytymisen mahdollisuuden.

Julkishallinnon osalta tilanne vaikutti pienellä otannalla olevan jo erinomaisella tasolla, sillä kaikki testaamamme valtion ja kuntien verkkosivustot tarjosivat suoraan evästeistä kieltäytymisen, kuten kuuluukin.

Onko se lain rikkomista?

Rikkooko se lakia, että ei näytä "Hylkää" tai "Vain välttämättömät" -painiketta suoraan evästekyselyn päänäkymässä?

Kyllä rikkoo. KHO linjasi päätöksessään selkeästi, että evästeiden hylkäämisen pitää olla yksiselitteisesti yhtä helppoa ja selkeää kuin niiden hyväksyminenkin on.

Toki on hyvä muistaa, että vaikka kyseessä on oikeuskäytäntöä ohjaava ennakkopäätös, eivät ennakkopäätökset ole Suomen oikeusjärjestelmässä valvoittavia. Eli on mahdollista, että jotkut mediatalot haastavat päätöksen omalta osaltaan uudestaan oikeudessa, eri argumentein kuin Otavamedia.

Huom: Mikäli luet artikkelia elokuun 2026 jälkeen, painotettakoon, että testasimme jutussa luetellut sivustot samana päivänä, kun KHO antoi ennakkopäätöksensä Otavamedian oikeusjutussa (28.8.2026). Sivustojen tilanne on voinut muuttua sen jälkeen.

• Traficom
• evästeet
• Suomi