Kattaako evästesuostumus localStoragen, pikselit ja sormenjälkitunnistuksen?

Kattaa. ePrivacy-direktiivin 5 artiklan 3 kohdan EU-evästesäännössä ei mainita evästeitä lainkaan. Se kattaa tietojen tallentamisen käyttäjän laitteelle ja pääsyn laitteella jo oleviin tietoihin millä tahansa tekniikalla. localStorage, IndexedDB, seurantapikselit ja sormenjälkitunnistusskriptit kuuluvat kaikki sen piiriin, minkä Euroopan tietosuojaneuvosto (EDPB) vahvisti ohjeissaan 2/2023.

Mitä laissa oikeastaan sanotaan?

5 artiklan 3 kohdan mukaan tietojen tallentaminen käyttäjän päätelaitteelle tai pääsy sinne jo tallennettuihin tietoihin on sallittua vain käyttäjän suostumuksella sen jälkeen, kun hänelle on annettu selkeät ja kattavat tiedot. Poikkeuksia on kaksi: tallentaminen tai pääsy, joka on tarpeen ainoastaan viestin välittämiseksi, sekä tallentaminen tai pääsy, joka on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Sana ”eväste” esiintyy vain johdanto-osan perusteluissa esimerkkinä. Itse velvoite määritellään sen mukaan, mitä laitteella tapahtuu, ei mekanismin mukaan. Siksi ”evästelaki” on harhaanjohtava nimitys, eikä seurantatietojen siirtäminen pois evästeistä siirrä niitä pois lain piiristä. Tämän säännön ja tietosuoja-asetuksen suhteesta kerrotaan artikkelissa ePrivacy-direktiivi vs. GDPR.

Mitä EDPB:n ohjeet 2/2023 selkeyttivät?

EDPB julkaisi ohjeet 2/2023 ratkaistakseen 5 artiklan 3 kohdan teknistä soveltamisalaa koskevat kiistat ja viimeisteli ne vuonna 2024. Ohjeissa sääntö jaetaan osatekijöihin, ja kutakin tulkitaan laajasti.

• Tiedoilla tarkoitetaan mitä tahansa tietoja, ei vain henkilötietoja. Myös satunnainen tunniste tai laitteen asetus lasketaan.
• Päätelaite on mikä tahansa verkkoon kytkeytyvä laite: kannettava tietokone, puhelin, älytelevisio tai verkkoon kytketty auto.
• Tallentaminen kattaa minkä tahansa laitteelle kirjoittamisen, olipa kyse evästeistä, selaimen tallennustilasta, välimuistista tai tiedostoista.
• Pääsy tietoihin tapahtuu aina, kun jokin taho ryhtyy toimiin saadakseen tietoja laitteelta. Selaimen ohjeistaminen lähettämään tietoja lasketaan, vaikka kukaan ei lukisi tallennustilaa suoraan.

Viimeinen kohta on tärkein. Tämän tulkinnan mukaan skripti, joka kysyy selaimelta sen näytön tarkkuutta, asennettuja fontteja tai grafiikkasormenjälkeä, saa pääsyn tietoihin, ja niin saa myös kuvatagi, joka saa selaimen lähettämään tunnisteita sisältävän pyynnön.

EDPB käy läpi myös erityisiä käyttötapauksia, kuten seurantapikselit, seurantalinkit, paikallisesti käsitellyt ja sitten takaisin lähetetyt tiedot, tietyt IP-osoitteeseen perustuvan seurannan muodot, verkkoon kytketyt laitteet ja yksilölliset tunnisteet. Kussakin kysymys on sama: saiko joku aikaan sen, että tietoja tallennettiin käyttäjän laitteelle tai lähetettiin sieltä?

Mitkä tekniikat edellyttävät suostumusta?

Sovella samaa testiä jokaiseen tekniikkaan: jos se tallentaa tai lukee tietoja laitteelta eikä ole ehdottoman välttämätön jonkin käyttäjän pyytämän asian kannalta, se edellyttää suostumusta.

Tekniikka	Kuuluuko 5 artiklan 3 kohdan piiriin?	Tavallinen suostumusta edellyttävä käyttö
HTTP- ja JavaScript-evästeet	Kyllä	Analytiikka- ja mainostunnisteet
localStorage ja sessionStorage	Kyllä	Analytiikan asiakastunnisteet, istuntotallenteiden puskurit
IndexedDB ja Cache Storage	Kyllä	Välimuistiin tallennetut mainos- tai seurantatiedot
Seurantapikselit (verkko ja sähköposti)	Kyllä, EDPB:n mukaan	Konversioiden seuranta, sähköpostien avausten seuranta
Sormenjälkitunnistusskriptit	Kyllä, EDPB:n mukaan	Sivustojen välinen tunnistaminen ilman evästeitä
Linkkien seurantaparametrit	Voi kuulua, riippuen siitä, miten tunniste asetetaan ja luetaan	Klikkausten ja kampanjoiden attribuutio

Taulukko on lähtökohta, ei lopullinen arvio. Pelkästään koristekuvan lataamiseen käytetty pikseli ei seuraa mitään, kun taas ”evästeetön” analytiikkaskripti, joka muodostaa pysyvän laitetiivisteen, yleensä seuraa.

Soveltuuko ehdottoman välttämättömiä koskeva poikkeus yhä?

Soveltuu, ja sekin on teknologianeutraali. Jos jokin on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi, voit tallentaa tai lukea sen ilman suostumusta tallennusmekanismista riippumatta.

Tyypillisiä esimerkkejä localStoragessa:

// Ehdottoman välttämätöntä: käyttäjä pyysi näitä toimintoja
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // itse valinnan muistaminen

// Edellyttää suostumusta: tunnistaa laitteen analytiikkaa tai mainontaa varten
localStorage.setItem('analytics_client_id', crypto.randomUUID());

Ratkaisevaa on käyttötarkoitus, ei tekniikka. Sama avain voi olla vapautettu yhdessä käytössä ja edellyttää suostumusta toisessa, joten älä käytä välttämätöntä arvoa, kuten istuntotunnistetta, analytiikkaan. Kattavampi luettelo on artikkelissa mikä lasketaan välttämättömäksi evästeeksi.

Voiko sormenjälkitunnistuksella välttää suostumusvaatimuksen?

Ei voi. Sormenjälkitunnistusta markkinoidaan usein keinona kiertää evästebannerit, mutta se perustuu laitteen ominaisuuksien lukemiseen selaimen kautta, minkä EDPB katsoo pääsyksi laitteella oleviin tietoihin. Se edellyttää suostumusta, ja koska käyttäjät eivät näe sormenjälkeä eivätkä voi poistaa sitä samalla tavalla kuin evästeitä, valvontaviranomaiset pitävät sitä yleensä enemmän eikä vähemmän yksityisyyttä loukkaavana.

Sama koskee ”evästeettömiä” toimittajia, jotka muodostavat pysyvän tunnisteen laitteen signaaleista. Jos haluat analytiikkaa ilman suostumusta, rehellinen tapa on kerätä vähemmän: koostettuja lukumääriä ilman pysyvää tunnistetta. Vaihtoehdot on esitelty artikkelissa evästeetön analytiikka: mikä toimii ilman suostumusta.

Mitä minun pitäisi tehdä sivustollani?

Käsittele jokaista tallennus- tai tietoihin pääsyn tekniikkaa ikään kuin se olisi eväste.

1. Inventoi kaikki. Evästekartoituksesi pitäisi luetella evästeiden lisäksi localStorage-, sessionStorage- ja IndexedDB-avaimet, lähtevät pikselipyynnöt ja laitteen ominaisuuksia lukevat skriptit.
2. Luokittele käyttötarkoituksen mukaan. Merkitse jokainen kohde ehdottoman välttämättömäksi tai analytiikka-, markkinointi- tai toiminnalliseksi käyttäen samoja kategorioita kuin bannerissasi.
3. Estä ennen suostumusta. Pidättele skriptejä ja pikseleitä, jotka kirjoittavat tai lukevat muita kuin välttämättömiä tietoja, kunnes käyttäjä suostuu. Katso kolmansien osapuolten skriptien estäminen suostumukseen asti.
4. Kerro niistä. Evästekäytännössäsi pitäisi nimetä myös evästeiden ulkopuoliset tekniikat sekä niiden käyttötarkoitus ja säilytysaika.
5. Siivoa kieltäytymisen tai peruuttamisen jälkeen. Poista muut kuin välttämättömät avaimet selaimen tallennustilasta, kun käyttäjä kieltäytyy, samoin kuin poistaisit evästeet.

Yhteenveto

EU:n suostumussäännöt seuraavat sitä, mitä laitteella tapahtuu, eivät sitä, mikä tekniikan nimi on. Jos tallennat tai luet mitä tahansa analytiikkaa, mainontaa tai seurantaa varten, olipa kyse evästeestä, localStoragesta, pikselistä tai sormenjälkitunnistuksesta, tarvitset ensin suostumuksen. Cookieshin kaltaiset työkalut etsivät evästeet, tallennusavaimet ja kolmansien osapuolten pyynnöt samalla kertaa, joten evästeiden ulkopuolinen seuranta näkyy samassa luettelossa kaiken muun kanssa.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.