# Mis loetakse rangelt vajalikuks küpsiseks?

> Millised küpsised on e-privaatsuse direktiivi järgi rangelt vajalikud, kuidas igaüht neist testida ja milliseid valesti liigitamise vigu järelevalveasutused otsivad.

Source: https://www.cookiesh.eu/et/blog/strictly-necessary-cookies  
Published: 2026-03-24

## Key takeaways

- Rangelt vajalikud küpsised on nõusolekunõudest vabastatud ainult siis, kui kasutaja selgesõnaliselt soovitud teenus ei saa ilma nendeta toimida.
- Vajalikkust hinnatakse kasutaja vaatenurgast, mitte selle järgi, kui väärtuslikud on andmed sinu ettevõttele.
- Analüütika-, reklaami- ja A/B-testimise küpsised ei ole üldjuhul rangelt vajalikud, isegi kui need on esimese osapoole küpsised.
- Kui küpsist kasutatakse nii hädavajalikul kui ka mittehädavajalikul eesmärgil, vajab mittehädavajalik kasutus nõusolekut.
- Nõusolekunõudest vabastus ei vabasta küpsist avalikustamise kohustusest, seega loetle vajalikud küpsised oma küpsisepoliitikas.

Rangelt vajalik küpsis on selline, ilma milleta sinu veebisait ei saa osutada kasutaja selgesõnaliselt soovitud teenust, näiteks hoida teda sisselogituna, säilitada ostukorvis olevaid tooteid või jätta meelde tema küpsisevalikud. EL-i reeglite järgi on need küpsised nõusolekunõudest vabastatud. Küpsised, mis teenivad peamiselt sinu ettevõtte huve, näiteks analüütika, reklaam või A/B-testimine, üldjuhul seda ei ole.

## Mida seadus tegelikult ütleb?

Erand tuleneb e-privaatsuse direktiivi artikli 5 lõikest 3. Teabe salvestamine kasutaja seadmesse või sellele juurdepääs nõuab nõusolekut, välja arvatud juhul, kui seda kasutatakse üksnes side edastamiseks võrgu kaudu või kui see on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks.

Kõige olulisemad on kaks väljendit:

- **„Rangelt vajalik“** seab kõrge lati. Kasulik, tõhus või äriliselt oluline ei ole piisav. Teenus peab ilma küpsiseta ebaõnnestuma või selle osutamine peab olema võimatu.
- **„Selgesõnaliselt soovitud“** tähendab, et teenust hinnatakse külastaja vaatenurgast. Külastaja soovib lehte, sisselogimist või ostu vormistamist. Ta ei soovi külastatavuse mõõtmist ega reklaami sihtimist.

Ühendkuningriigi PECR sisaldab samaväärset erandit, mille täitmise üle teeb järelevalvet ICO. EL-i liikmesriigid võtavad direktiivi üle siseriiklike seadustega, seega erinevad sõnastus ja järelevalveasutuste juhised riigiti veidi. Selle kategooria naaberkategooriaid käsitleb artikkel [küpsiste tüüpidest](/et/blog/types-of-cookies).

## Kuidas testida, kas küpsis on rangelt vajalik?

Küsi, kas kasutaja soovitud teenus läheks ilma küpsiseta katki ja kas küpsis teeb ka midagi muud. Käi iga küpsise puhul läbi järgmised küsimused:

1. **Millist teenust kasutaja soovis?** Nimeta see konkreetselt: lehe vaatamine, sisselogimine, ostu vormistamine.
2. **Kas see teenus ebaõnnestuks ilma selle küpsiseta?** Kui aus vastus on „see töötaks, kuid me kaotaksime ülevaate“, ei ole küpsis rangelt vajalik.
3. **Kas küpsist kasutatakse ainult sellel eesmärgil?** Kui sama identifikaator toidab ka analüütikat või reklaami, ei hõlma erand neid kasutusviise.
4. **Kas selle eluiga on proportsionaalne?** Seansi- või lühiajalist küpsist on lihtsam õigustada kui sellist, mis kehtib aastaid.
5. **Kas keegi teine kasutab andmeid uuesti?** Kui teenusepakkuja kasutab teavet oma eesmärkidel, näiteks profiilide loomiseks, erand tõenäoliselt ei kehti.

Küpsis, mis läbib kõik viis testi, on tugev kandidaat vajalike küpsiste kategooriasse. Kui see kukub läbi ükskõik millises neist, käsitle seda nõusolekut vajavana.

## Millised küpsised tavaliselt kvalifitseeruvad?

Enamik rangelt vajalikke küpsiseid on seotud seansside, turvalisuse ja kasutaja tehtud valikute meelespidamisega. Tabel näitab levinud juhtumeid, kuid rakenda testi alati oma konkreetsele seadistusele.

| Kasutusjuht | Kas tavaliselt rangelt vajalik? | Märkused |
|---|---|---|
| Sisselogimine ja seansihaldus | Jah | Alade puhul, kuhu kasutaja otsustas sisse logida |
| Ostukorv | Jah | Hoiab kasutaja lisatud tooteid |
| Koormuse jaotamine | Jah | Suunab päringuid seansi ajal |
| Turvalisus, näiteks CSRF-märgised või sisselogimise pettusekontroll | Üldjuhul jah | Kui see on seotud soovitud teenusega |
| Kasutaja nõusolekuvaliku salvestamine | Jah | Vajalik selle valiku austamiseks |
| Kasutaja valitud keele- või ligipääsetavusseaded | Sageli | Kui need on määratud kasutaja selgesõnalise tegevusega ja säilitatakse mõistliku aja jooksul |
| Analüütika ja külastatavuse mõõtmine | Üldjuhul mitte | Vaata allpool analüütikat käsitlevat jaotist |
| A/B-testimine ja isikupärastamine | Üldjuhul mitte | Teenib sinu optimeerimist, mitte kasutaja soovi |
| Reklaam, uuesti sihtimine ja konversioonide jälgimine | Ei | EL-is on vaja nõusolekut |
| Külastajaid jälgivad sotsiaalmeedia manused | Ei | Laadi need alles pärast nõusolekut |

## Millised vead muudavad „vajaliku“ rikkumiseks?

Kõige levinum probleem on mittehädavajalike küpsiste paigutamine vajalike kategooriasse, et need laaditaks enne nõusolekut. Just seda otsivad järelevalveasutused, kui nad bännereid ja küpsiste nimekirju üle vaatavad.

Ole tähelepanelik järgmiste mustrite suhtes:

- **Ärilise vajalikkuse loogika.** „Meil on ettevõtte juhtimiseks vaja analüütikat“ võib olla tõsi, kuid erand puudutab kasutaja soovitud teenust, mitte sinu tegevusvajadusi.
- **Teenusepakkuja siltide pimesi usaldamine.** Kui teenusepakkuja kirjeldab oma küpsist kui „hädavajalikku“, on see tootekirjeldus, mitte õiguslik hinnang. Kontrolli, mida küpsis tegelikult teeb.
- **Mitmeotstarbelised küpsised.** Üks identifikaator, mida kasutatakse nii seansihalduseks kui ka reklaami omistamiseks, vajab reklaamikasutuse jaoks nõusolekut. Võimaluse korral jaga funktsioonid eraldi küpsiste vahel.
- **Vajalike skriptidega kaasa sõitvad märgendid.** Märgendihalduri konteiner võib laadida enne nõusolekut, kuid selle sees olevad märgendid peavad ikkagi külastaja valikut ootama.
- **Erandi segiajamine õigustatud huviga.** IKÜM-i õigustatud huvi alus ei asenda e-privaatsuse nõusolekunõuet teabe salvestamiseks seadmesse. Käsitleme seda artiklis [kas küpsiste puhul saab tugineda õigustatud huvile?](/et/blog/legitimate-interest-and-cookies)

## Kas rangelt vajalikke küpsiseid tuleb siiski avalikustada?

Praktikas jah. Erand kaotab nõusoleku vajaduse, kuid kui küpsis töötleb isikuandmeid, kehtivad endiselt isikuandmete kaitse üldmääruse (IKÜM, GDPR) läbipaistvuskohustused ja järelevalveasutused eeldavad, et vajalikud küpsised on loetletud koos ülejäänutega.

See tähendab kolme asja. Loetle iga vajalik küpsis koos eesmärgi ja kehtivusajaga oma küpsisepoliitikas, nagu on kirjeldatud juhendis [kuidas kirjutada küpsisepoliitikat](/et/blog/how-to-write-a-cookie-policy). Näita bänneri seadetes vajalike küpsiste kategooriat lüliti asemel märkega „alati aktiivne“. Ja vaata nimekiri üle iga kord, kui lisad uue teenusepakkuja, sest täna vabastatud küpsis võib selle staatuse kaotada, kui selle kasutus muutub.

## Kas analüütikale on mingeid erandeid?

Üldjuhul mitte. E-privaatsuse direktiivi järgi vajavad analüütikaküpsised enamikus EL-i riikides nõusolekut. Mõni riiklik järelevalveasutus on kirjeldanud kitsaid tingimusi, mille korral võib lihtne esimese osapoole külastatavuse mõõtmine olla nõusolekunõudest vabastatud, ja need eeldavad tavaliselt rangelt piiratud eesmärki, saitideülese jälgimise puudumist ja koondatud tulemusi.

Need seisukohad on riiklikud, mitte üleeuroopalised, ja nende tingimused on ranged. Ka Ühendkuningriik on astunud samme, et leevendada nõusolekureegleid mõne madala riskiga kasutusviisi, sealhulgas teatud analüütika puhul, kuid see, kuidas see kehtib, sõltub õigusaktidest ja ICO juhistest, seega kontrolli enne sellele tuginemist hetkeseisu. Kui soovid mõõtmist, mis sõltub nõusolekust vähem, tasub kaaluda [küpsisevaba analüütikat](/et/blog/cookieless-analytics), kuigi ka see ei jää automaatselt reeglitest välja.

## Kokkuvõte

Rangelt vajalikud küpsised on kitsas kategooria: küpsised, ilma milleta kasutaja soovitud teenus ei saa toimida, mida ei kasutata millekski muuks ja mille eluiga on proportsionaalne. Testi iga küpsist selle standardi alusel, hoia kõik muu nõusoleku taga ja avalikusta ka vajalikud küpsised. Sellised tööriistad nagu Cookiesh suudavad küpsiste skannimise automatiseerida, mis aitab uued küpsised tabada enne, kui need valesse kategooriasse satuvad.

*See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.*

## FAQ

### Kas küpsis, mis salvestab külastaja nõusolekuvaliku, on rangelt vajalik?

Üldjuhul jah. Selleks, et austada inimese valikut, tuleb meeles pidada, kas ta nõustus küpsistega või keeldus neist, seega peetakse nõusolekukirjet ennast laialdaselt vabastatuks. Piira see ainult nõusoleku olekuga ja anna sellele proportsionaalne eluiga.

### Kas kolmanda osapoole küpsis võib olla rangelt vajalik?

Jah, mõnel juhul. Selleks võib kvalifitseeruda näiteks makseteenuse pakkuja pettuseennetuse küpsis ostu vormistamisel või sinu majutusteenuse pakkuja hallatav koormusejaotur. Test on sama mis esimese osapoole küpsiste puhul: soovitud teenus peab sellest sõltuma ja seda ei tohi kasutada muudel eesmärkidel.

### Kas rangelt vajalikel küpsistel peaks minu bänneris olema sisse- ja väljalülitamise lüliti?

Ei. Näita kategooriat, et külastajad teaksid selle olemasolust, kuid märgi see lüliti pakkumise asemel alati aktiivseks. Lüliti, mis midagi ei muuda, eksitab külastajaid selles osas, mida nad saavad kontrollida.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)