# CCPA ja CPRA: mitä Yhdysvaltojen tietosuojalaki tarkoittaa evästeille

> Miten CCPA ja CPRA koskevat evästeitä: milloin mainosseuranta on tietojen myyntiä tai jakamista, opt-out-linkki, GPC-signaalit ja mitä verkkosivustosi tarvitsee.

Source: https://www.cookiesh.eu/fi/blog/ccpa-cpra-cookies  
Published: 2026-05-19

## Key takeaways

- CCPA on CPRA:lla muutettuna opt-out-laki, joka ei lähtökohtaisesti edellytä suostumusta ennen evästeiden asettamista.
- Kolmansien osapuolten mainosevästeet ja -pikselit voivat olla henkilötietojen myyntiä tai jakamista, mikä synnyttää kieltäytymisoikeuden.
- Lain piiriin kuuluvien yritysten on tarjottava selkeä kieltäytymismahdollisuus, kuten ”Do Not Sell or Share My Personal Information” -linkki.
- Yritysten on käsiteltävä kieltäytymistoiveen ilmaisevia signaaleja, kuten Global Privacy Controlia, päteviksi pyynnöiksi kieltäytyä tietojen myynnistä ja jakamisesta.
- Sellaisten kuluttajien henkilötietojen myynti tai jakaminen, joiden tiedetään olevan alle 16-vuotiaita, edellyttää opt-in-lupaa.

CCPA ei CPRA:lla muutettuna edellytä suostumusta ennen evästeiden asettamista. Sen sijaan se katsoo monet mainosevästeet ja -pikselit henkilötietojen ”myynniksi” tai ”jakamiseksi” ja antaa Kalifornian asukkaille oikeuden kieltäytyä. Lain piiriin kuuluvien yritysten on kerrottava, mitä tietoja ne keräävät, tarjottava selkeä kieltäytymislinkki ja noudatettava selaimen signaaleja, kuten Global Privacy Controlia.

## Mitä CCPA ja CPRA ovat?

California Consumer Privacy Act (CCPA) on Kalifornian keskeinen kuluttajien tietosuojalaki. California Privacy Rights Act (CPRA) muutti ja laajensi sitä, joten ”CCPA” tarkoittaa nykyään yleensä yhdistettyä, muutettua lakia.

CPRA lisäsi uusia oikeuksia, toi mukaan ”jakamisen” käsitteen kontekstien väliselle käyttäytymispohjaiselle mainonnalle ja perusti oman valvontaviranomaisen, California Privacy Protection Agencyn (CPPA). Virasto laatii yksityiskohtaiset asetukset ja jakaa valvonnan Kalifornian oikeusministerin kanssa.

Laki koskee voittoa tavoittelevia yrityksiä, jotka harjoittavat liiketoimintaa Kaliforniassa, käsittelevät Kalifornian asukkaiden henkilötietoja ja täyttävät vähintään yhden kynnysarvon. Kynnysarvoja ovat tietyn, inflaation mukaan tarkistettavan määrän ylittävä vuotuinen bruttotulo, vähintään 100 000 kuluttajan tai kotitalouden henkilötietojen osto, myynti tai jakaminen tai vähintään puolet vuositulosta henkilötietojen myynnistä tai jakamisesta. Toimistoa Kaliforniassa ei tarvita, jotta laki koskisi yritystäsi.

## Ovatko evästeet CCPA:n mukaan henkilötietoja?

Usein ovat. CCPA määrittelee henkilötiedot laajasti, ja sen yksilöllisten tunnisteiden määritelmässä mainitaan nimenomaisesti evästeet, beaconit ja pikselitunnisteet.

Evästetunnisteet, mainostunnisteet, IP-osoitteet ja selaushistoria, jotka on yhdistetty kuluttajaan, kotitalouteen tai laitteeseen, täyttävät tavallisesti määritelmän. Ratkaisevaa on, mitä näille tiedoille tapahtuu seuraavaksi. Ensimmäisen osapuolen istuntoeväste, joka pitää käyttäjän kirjautuneena, herättää CCPA:n kannalta vain vähän kysymyksiä, kun taas kolmannen osapuolen mainospikseli, joka lähettää selaustoimintaa mainosverkostolle, on aivan eri asia.

## Milloin eväste on ”myyntiä” tai ”jakamista”?

Eväste muuttuu myynniksi tai jakamiseksi, kun kolmas osapuoli saa sen avulla henkilötietoja omiin tarkoituksiinsa tai kontekstien väliseen käyttäytymispohjaiseen mainontaan. Rahaa ei tarvitse vaihtaa omistajaa.

- **Myynti** tarkoittaa henkilötietojen luovuttamista kolmannelle osapuolelle rahallista tai muuta arvokasta vastiketta vastaan. Ilmaiset työkalut, joista maksat käytännössä kävijätiedoilla, voivat täyttää määritelmän.
- **Jakaminen** tarkoittaa henkilötietojen luovuttamista kolmannelle osapuolelle kontekstien väliseen käyttäytymispohjaiseen mainontaan eli mainontaan, joka kohdennetaan henkilön muiden yritysten sivustoilla ja sovelluksissa tekemän toiminnan perusteella, riippumatta siitä, vaihdetaanko mitään arvokasta.
- **Palveluntarjoajat ja urakoitsijat**, jotka käsittelevät tietoja vain sinun lukuusi sopimuksen nojalla, joka sisältää lain edellyttämät ehdot, eivät yleensä ole kolmansia osapuolia, joten tietojen luovutukset heille eivät ole myyntiä.

Käytännössä uudelleenkohdennuspikselit, mainosverkostojen evästeet ja sosiaalisen median seurantapikselit ovat tavallisimmat epäillyt. [Tee evästekartoitus](/fi/blog/how-to-run-a-cookie-audit) selvittääksesi, mitkä toimittajat saavat tietoja ja minkä sopimusten perusteella, ennen kuin luokittelet niistä yhtäkään.

## Miten CCPA eroaa GDPR:stä evästeiden osalta?

Keskeinen ero on oletusarvo. EU:n säännöt edellyttävät opt-in-suostumusta ennen kuin muut kuin välttämättömät evästeet latautuvat, kun taas Kaliforniassa ne saa ladata, mutta kieltäytymiseen on oltava helppo keino.

| | GDPR ja ePrivacy (EU) | CCPA ja CPRA (Kalifornia) |
| --- | --- | --- |
| Malli | Opt-in ennen muita kuin välttämättömiä evästeitä | Opt-out tietojen myynnistä ja jakamisesta |
| Suostumusbanneri | Käytännössä pakollinen | Ei pakollinen |
| Keskeinen käyttäjän hallintakeino | Hyväksy- ja hylkää-valinnat | ”Do Not Sell or Share My Personal Information” -linkki |
| Selaimen signaalit | Oikeudellinen vaikutus vähemmän vakiintunut | Kieltäytymistoiveen ilmaisevia signaaleja, kuten GPC:tä, on noudatettava |
| Lapset | Erityissäännöt lasten suostumukselle | Opt-in ennen alle 16-vuotiaiden tietojen myyntiä tai jakamista |
| Valvonta | Kansalliset tietosuojaviranomaiset | CPPA ja Kalifornian oikeusministeri |

Jos palvelet molempia yleisöjä, maantieteellisen kohdennuksen avulla voit näyttää EU:ssa opt-in-bannerin ja Kaliforniassa opt-out-käyttökokemuksen. EU-puolesta lisätietoa artikkelissa [GDPR:n evästesuostumusta koskevat vaatimukset](/fi/blog/gdpr-cookie-consent-requirements).

## Mitä verkkosivustosi tarvitsee?

Lain piiriin kuuluvat yritykset tarvitsevat selkeät ilmoitukset, kieltäytymismekanismin ja taustaprosessit, jotka tekevät kieltäytymisestä todellista. Käytä tätä tarkistuslistaa lähtökohtana.

1. **Tiedonantoilmoitus keruun yhteydessä.** Kerro keruun yhteydessä tai ennen sitä, mitä henkilötietoryhmiä keräät, miksi, myytkö tai jaatko tietoja ja kuinka kauan säilytät ne.
2. **Tietosuojaseloste.** Kuvaa kuluttajien oikeudet ja niiden käyttäminen, ja päivitä seloste vähintään 12 kuukauden välein.
3. **Opt-out-linkki.** Tarjoa selkeä ”Do Not Sell or Share My Personal Information” -linkki tai asetusten sallima yksi vaihtoehtoinen kieltäytymislinkki, yleensä sivuston alatunnisteessa.
4. **Noudata GPC:tä.** Käsittele [Global Privacy Control](/fi/blog/global-privacy-control) -signaalia päteväksi kieltäytymiseksi kyseisen selaimen osalta ja kuluttajan tilin osalta, jos tiedät, kuka hän on.
5. **Pysäytä tietovirta.** Kun joku kieltäytyy, lopeta niiden tagien suorittaminen, jotka myyvät tai jakavat hänen tietojaan. Linkki, joka vain tallentaa valinnan, ei riitä.
6. **Rajoita arkaluonteisia tietoja.** Jos käytät arkaluonteisia henkilötietoja lain sallimia tarkoituksia laajemmin, tarjoa ”Limit the Use of My Sensitive Personal Information” -linkki.
7. **Säilytä tietueet.** Kirjaa kieltäytymispyynnöt ja se, miten käsittelit ne, kuten [suostumustietueissa](/fi/blog/proof-of-consent-records), jotta voit osoittaa menettelysi toimivan.

## Entä muut Yhdysvaltojen osavaltiot?

Kalifornia ei ole enää yksin. Yhä useampi Yhdysvaltojen osavaltio on säätänyt kattavan tietosuojalain, joka sisältää samankaltaiset oikeudet kieltäytyä kohdennetusta mainonnasta ja henkilötietojen myynnistä, ja useat edellyttävät yleisten kieltäytymissignaalien noudattamista.

Yksityiskohdat vaihtelevat, myös soveltamiskynnykset, määritelmät ja se, edellyttävätkö jotkin tiedot, kuten arkaluonteiset tiedot, opt-in-suostumusta. Tarkista jokainen yleisöösi sovellettava laki. Yhden vankan kieltäytymisprosessin rakentaminen, joka noudattaa GPC:tä kaikkialla, on usein helpompaa kuin osavaltiokohtaisten poikkeusten ylläpito.

## Yhteenveto

Evästeiden osalta CCPA ja CPRA koskevat läpinäkyvyyttä ja toimivaa kieltäytymismahdollisuutta, eivät ennakkosuostumusta. Selvitä, mitkä seurantatyökalut myyvät tai jakavat tietoja, anna kalifornialaisille selkeä tapa sanoa ei, noudata GPC:tä automaattisesti ja varmista, että kieltäytyminen todella pysäyttää tietovirran. Cookieshin kaltaiset työkalut voivat tarjota maantieteellisesti kohdennettuja CCPA-bannereita ja noudattaa GPC-signaaleja puolestasi.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Tarvitsenko evästebannerin CCPA:n noudattamiseksi?

CCPA ei edellytä suostumusbanneria GDPR:n tarkoittamassa mielessä. Tarvitset kuitenkin tiedonantoilmoituksen tietojen keruun yhteydessä sekä toimivan tavan kieltäytyä tietojen myynnistä ja jakamisesta, ja monilla sivustoilla molemmat toteutetaan bannerilla tai alatunnisteen linkillä.

### Koskeeko CCPA Kalifornian ulkopuolisia yrityksiä?

Kyllä, jos yritys täyttää lain kynnysarvot ja käsittelee Kalifornian asukkaiden henkilötietoja. Lain soveltaminen ei edellytä toimistoa tai henkilökuntaa Kaliforniassa.

### Onko Google Analyticsin käyttö CCPA:n mukaista myyntiä tai jakamista?

Se riippuu siitä, miten palvelu on määritetty ja mistä on sovittu sopimuksessa. Analytiikkatietoja, joita käsitellään vain sinun lukuusi palveluntarjoajasopimuksen nojalla, kohdellaan eri tavalla kuin tietoja, joita käytetään kontekstien välillä tapahtuvaan käyttäytymispohjaiseen mainontaan, joten käy asetukset, kuten mainosintegraatiot, läpi juristin kanssa.

### Kuka valvoo CCPA:ta ja CPRA:ta?

Kalifornian oikeusministeri (Attorney General) ja CPRA:n perustama Kalifornian tietosuojavirasto (California Privacy Protection Agency) ovat molemmat toimivaltaisia valvomaan lakeja. Virasto antaa myös asetukset, joissa määritellään toiminnallisia yksityiskohtia, kuten sitä, miten kieltäytymistoiveen ilmaisevat signaalit käsitellään.

## Sources

- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)
- [Global Privacy Control](https://globalprivacycontrol.org/)