# Kas küpsiste nõusolek hõlmab localStorage'it, piksleid ja sõrmejälje tuvastamist?

> Miks ELi nõusolekureeglid kehtivad ka localStorage'ile, jälgimispikslitele, sõrmejälje tuvastamisele ja muudele tehnoloogiatele peale küpsiste, tuginedes e-privaatsuse direktiivi artikli 5 lõikele 3 ja EDPB suunistele 2/2023.

Source: https://www.cookiesh.eu/et/blog/consent-beyond-cookies  
Published: 2026-10-29

## Key takeaways

- ELi küpsisereegel e-privaatsuse direktiivi artikli 5 lõikes 3 on tehnoloogianeutraalne: see hõlmab mis tahes teabe salvestamist kasutaja seadmesse ja sellele juurdepääsu, mitte ainult küpsiseid.
- localStorage, sessionStorage, IndexedDB, jälgimispikslid ja sõrmejälje tuvastamise skriptid vajavad kõik nõusolekut, välja arvatud juhul, kui need on rangelt vajalikud kasutaja soovitud teenuse osutamiseks.
- EDPB suunised 2/2023 kinnitavad, et sait saab teabele juurdepääsu, kui ta annab brauserile korralduse see saata, ning see hõlmab piksleid ja JavaScripti, mis loeb seadme omadusi.
- Reegel kehtib olenemata sellest, kas teave on isikuandmed, ning vastutus lasub sellel, kes salvestamise või juurdepääsu käivitab.
- Küpsistelt mõnele teisele tehnoloogiale üleminek ei kaota nõusoleku vajadust; seda saab teha ainult see, kui muudad, mida salvestad või loed.

Jah. ELi küpsisereegel e-privaatsuse direktiivi artikli 5 lõikes 3 ei maini küpsiseid kordagi. See hõlmab teabe salvestamist kasutaja seadmesse ja juurdepääsu seal juba olevale teabele, olenemata tehnoloogiast. localStorage, IndexedDB, jälgimispikslid ja sõrmejälje tuvastamise skriptid kuuluvad kõik selle kohaldamisalasse ning Euroopa Andmekaitsenõukogu (EDPB) kinnitas seda oma suunistes 2/2023.

## Mida seadus tegelikult ütleb?

Artikli 5 lõike 3 kohaselt on teabe salvestamine kasutaja lõppseadmesse või juurdepääs seal juba salvestatud teabele lubatud ainult kasutaja nõusolekul, pärast seda, kui talle on antud selget ja põhjalikku teavet. Erandeid on kaks: salvestamine või juurdepääs, mis on vajalik üksnes side edastamiseks, ning salvestamine või juurdepääs, mis on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks.

Sõna „küpsis“ esineb ainult põhjendustes, näitena. Kohustus ise on määratletud selle järgi, mis seadmes toimub, mitte mehhanismi järgi. Seepärast on nimetus „küpsiseseadus“ eksitav ja seepärast ei vii jälgimisandmete küpsistest välja viimine neid seaduse alt välja. Selle kohta, kuidas see reegel isikuandmete kaitse üldmäärusega (IKÜM, GDPR) seostub, loe artiklit [e-privaatsuse direktiiv vs IKÜM](/et/blog/eprivacy-directive-vs-gdpr).

## Mida EDPB suunised 2/2023 täpsustasid?

EDPB avaldas suunised 2/2023, et lahendada vaidlused artikli 5 lõike 3 tehnilise ulatuse üle, ja kinnitas need lõplikult 2024. aastal. Suunised jaotavad reegli osadeks ja tõlgendavad igaüht neist laialt.

- **Teave** tähendab mis tahes teavet, mitte ainult isikuandmeid. Arvesse lähevad ka juhuslik identifikaator või seadme seadistus.
- **Lõppseade** on mis tahes seade, mis ühendub võrku: sülearvuti, telefon, nutiteler või ühendatud auto.
- **Salvestamine** hõlmab mis tahes kirjutamist seadmesse, olgu see küpsistes, brauseri salvestusruumis, vahemälus või failides.
- **Juurdepääs** toimub alati, kui üksus astub samme seadmest teabe saamiseks. Arvesse läheb ka brauserile korralduse andmine teave saata, isegi kui keegi salvestusruumi otse ei loe.

Viimane punkt on kõige olulisem. Selle tõlgenduse kohaselt saab juurdepääsu skript, mis küsib brauserilt selle ekraani eraldusvõimet, paigaldatud fonte või graafika sõrmejälge, ning samuti pildimärgend, mis paneb brauseri saatma identifikaatoreid sisaldava päringu.

EDPB käsitleb ka konkreetseid kasutusjuhte, sealhulgas jälgimispiksleid, jälgimislinke, kohapeal töödeldud ja seejärel tagasi saadetud andmeid, mõningaid IP-põhise jälgimise vorme, ühendatud seadmeid ja unikaalseid identifikaatoreid. Kõigil juhtudel on küsimus sama: kas keegi põhjustas teabe salvestamise kasutaja seadmesse või selle saatmise sealt?

## Millised tehnoloogiad vajavad nõusolekut?

Rakenda igale tehnoloogiale sama testi: kui see salvestab või loeb seadmes teavet ega ole rangelt vajalik millekski, mida kasutaja soovis, vajab see nõusolekut.

| Tehnoloogia | Kas kuulub artikli 5 lõike 3 kohaldamisalasse? | Tavaline kasutus, mis vajab nõusolekut |
| --- | --- | --- |
| HTTP- ja JavaScripti küpsised | Jah | Analüütika- ja reklaamiidentifikaatorid |
| localStorage ja sessionStorage | Jah | Analüütika kliendi-ID-d, seansi taasesituse puhvrid |
| IndexedDB ja Cache Storage | Jah | Vahemällu salvestatud reklaami- või jälgimisandmed |
| Jälgimispikslid (veebis ja e-kirjades) | Jah, EDPB hinnangul | Konversioonide jälgimine, e-kirjade avamise jälgimine |
| Sõrmejälje tuvastamise skriptid | Jah, EDPB hinnangul | Saitideülene tuvastamine ilma küpsisteta |
| Jälgimisparameetrid linkides | Võivad kuuluda, olenevalt sellest, kuidas identifikaator määratakse ja loetakse | Klikkide ja kampaaniate omistamine |

Tabel on lähtepunkt, mitte lõplik otsus. Piksel, mida kasutatakse ainult dekoratiivse pildi laadimiseks, ei jälgi midagi, samas kui „küpsisteta“ analüütikaskript, mis loob püsiva seadmeräsi, tavaliselt jälgib.

## Kas rangelt vajaliku erand kehtib endiselt?

Jah, ja ka see on tehnoloogianeutraalne. Kui midagi on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks, võid seda salvestada või lugeda ilma nõusolekuta, olenemata salvestusmehhanismist.

Tüüpilised näited localStorage'is:

```js
// Rangelt vajalik: kasutaja soovis neid funktsioone
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // valiku enda meelespidamine

// Vajab nõusolekut: tuvastab seadme analüütika või reklaami jaoks
localStorage.setItem('analytics_client_id', crypto.randomUUID());
```

Test puudutab eesmärki, mitte tehnoloogiat. Sama võti võib ühel kasutusviisil olla erandiga hõlmatud ja teisel vajada nõusolekut, seega ära kasuta vajalikku väärtust, näiteks seansi ID-d, analüütikaks. Täielikuma loendi leiad artiklist [mida loetakse rangelt vajalikuks küpsiseks](/et/blog/strictly-necessary-cookies).

## Kas sõrmejälje tuvastamine aitab nõusolekunõudest mööda?

Ei. Sõrmejälje tuvastamist müüakse sageli kui viisi küpsisebänneritest mööda hiilida, kuid see põhineb seadme omaduste lugemisel brauseri kaudu, mida EDPB käsitleb seadmes olevale teabele juurdepääsuna. See vajab nõusolekut ning kuna kasutajad ei näe sõrmejälge ega saa seda kustutada nii, nagu nad saavad kustutada küpsiseid, peavad järelevalveasutused seda pigem sekkuvamaks, mitte vähem sekkuvaks.

Sama kehtib „küpsisteta“ teenusepakkujate kohta, kes loovad seadme signaalidest püsiva identifikaatori. Kui soovid analüütikat ilma nõusolekuta, on aus tee koguda vähem: koondarvud ilma püsiva identifikaatorita. Võimalusi kirjeldab artikkel [küpsisteta analüütika: mis toimib ilma nõusolekuta](/et/blog/cookieless-analytics).

## Mida peaksin oma saidil tegema?

Käsitle iga salvestamis- või juurdepääsutehnoloogiat nii, nagu oleks see küpsis.

1. **Inventeeri kõik.** Sinu [küpsiste audit](/et/blog/how-to-run-a-cookie-audit) peaks lisaks küpsistele loetlema localStorage'i, sessionStorage'i ja IndexedDB võtmed, väljaminevad pikslipäringud ja skriptid, mis loevad seadme omadusi.
2. **Liigita eesmärgi järgi.** Märgi iga kirje kas rangelt vajalikuks või analüütika-, turundus- või funktsionaalseks, kasutades samu kategooriaid nagu oma bänneris.
3. **Blokeeri enne nõusolekut.** Hoia tagasi skriptid ja pikslid, mis kirjutavad või loevad mittevajalikke andmeid, kuni kasutaja nõustub. Vt [kuidas blokeerida kolmandate osapoolte skriptid kuni nõusolekuni](/et/blog/block-scripts-until-consent).
4. **Avalikusta see.** Sinu küpsisepoliitika peaks nimetama ka muid tehnoloogiaid peale küpsiste koos nende eesmärgi ja elueaga.
5. **Korista keeldumise või tagasivõtmise korral.** Eemalda mittevajalikud võtmed brauseri salvestusruumist, kui kasutaja ütleb ei, täpselt nagu kustutaksid küpsised.

## Kokkuvõte

ELi nõusolekureeglid lähtuvad sellest, mis seadmes toimub, mitte sellest, kuidas tehnoloogiat nimetatakse. Kui salvestad või loed midagi analüütika, reklaami või jälgimise eesmärgil, olgu küpsises, localStorage'is, piksli kaudu või sõrmejälje tuvastamisega, vajad kõigepealt nõusolekut. Sellised tööriistad nagu Cookiesh skannivad küpsiseid, salvestusruumi võtmeid ja kolmandate osapoolte päringuid koos, nii et küpsisteväline jälgimine ilmub samasse inventuuri kui kõik muu.

*See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.*

## FAQ

### Kas localStorage on küpsiste nõusolekust vabastatud, kuna seda ei saadeta serverisse?

Ei. Artikli 5 lõige 3 käsitleb teabe salvestamist seadmesse ja selle lugemist seadmest, mitte seda, kuidas teave liigub. Kui skript kirjutab analüütika- või reklaamiidentifikaatori localStorage'isse ja loeb selle hiljem, vajab see nõusolekut nagu küpsis.

### Kas sõrmejälje tuvastamine on viis nõusolekunõudest mööda hiilida?

Ei. Sõrmejälje tuvastamine toimib nii, et brauser annab teada sellised omadused nagu ekraani suurus, fondid või graafikaväljund. EDPB käsitleb seda seadmes olevale teabele juurdepääsuna, seega vajab see nõusolekut, välja arvatud juhul, kui kehtib erand.

### Kas ka e-kirjades olevad jälgimispikslid vajavad nõusolekut?

Jah, EDPB hinnangul. Kui e-posti klient laadib jälgimispiksli, saadab päring seadmest teavet saatjale, mis kuulub artikli 5 lõike 3 alla. Paljud turundajad tuginevad selleks nüüd registreerumisel kogutud nõusolekule.

### Kas võin kasutada localStorage'it ilma nõusolekuta näiteks ostukorvi jaoks?

Jah. Rangelt vajaliku erand kehtib mis tahes salvestustehnoloogia puhul. Ostukorvi sisu, keeleseadete või nõusolekuvaliku hoidmine localStorage'is on lubatud, kui sa neid andmeid analüütikaks ega reklaamiks uuesti ei kasuta.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Guidelines 2/2023 on the Technical Scope of Art. 5(3) of the ePrivacy Directive, EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en)