Tietosuoja-asetusLukuaika 4 min
Suostu tai maksa: ovatko evästemaksumuurit laillisia tietosuoja-asetuksen mukaan?
Milloin ”suostu tai maksa” -evästemuuri voi olla lainmukainen EU:ssa ja Isossa-Britanniassa, mitä EU:n tuomioistuin, EDPB, CNIL ja ICO ovat linjanneet ja miten kestävä malli suunnitellaan.
”Suostu tai maksa” -malli (consent or pay), jota kutsutaan joskus evästemaksumuuriksi, tarjoaa kävijöille kaksi tapaa päästä sisään: hyväksy seuranta personoitua mainontaa varten tai maksa pääsystä ilman sitä. Sitä ei ole suoraan kielletty EU:ssa eikä Isossa-Britanniassa, mutta se on lainmukainen vain, jos suostumuksesta kieltäytymisestä ei aiheudu kohtuutonta haittaa. Käytännössä tämä tarkoittaa reilua hintaa, aidosti vastaavaa maksullista vaihtoehtoa ja suurimmilla alustoilla yleensä lisäksi maksutonta vaihtoehtoa ilman käyttäytymiseen perustuvia mainoksia.
Mikä suostu tai maksa -malli on?
Suostu tai maksa -malli korvaa tavalliset ”Hyväksy”- ja ”Hylkää”-painikkeet valinnalla seurannan hyväksymisen ja maksamisen välillä. Hyväksyvät kävijät saavat maksuttoman, mainoksilla rahoitetun sivuston. Maksavat kävijät saavat pääsyn ilman personoitua mainontaa ja yleensä myös ilman sitä tukevaa seurantaa.
Malli eroaa tavallisesta evästemuurista, jossa suostumuksesta kieltäytyminen tarkoittaa pääsyn menettämistä kokonaan. Suostu tai maksa -mallissa kieltäytymisellä on hinta umpikujan sijaan. Julkaisijat ottivat mallin käyttöön, kun suostumusprosentit laskivat ja mainostulot suostumuksesta kieltäytyneiltä käyttäjiltä vähenivät, ja suuret alustat seurasivat perässä.
Mitä EU-oikeus siitä sanoo?
Lähtökohtana on tietosuoja-asetuksen (GDPR) suostumuksen määritelmä, jonka mukaan suostumuksen on oltava vapaaehtoinen. Kun arvioidaan, onko suostumus vapaaehtoinen, valvontaviranomaiset tarkastelevat 7 artiklan 4 kohdan mukaisesti, onko palvelun saaminen ehdollistettu suostumukseen sellaiseen käsittelyyn, joka ei ole palvelun kannalta tarpeen. Malli, joka rankaisee kieltäytymisestä, ei läpäise tätä testiä. Kaikki edellytykset on koottu pätevän suostumuksen tarkistuslistaan.
Vuonna 2023 Euroopan unionin tuomioistuin käsitteli kysymystä välillisesti asiassa Meta Platforms v Bundeskartellamt (C-252/21). Se totesi, että käyttäjille, jotka kieltäytyvät tietystä sopimuksen kannalta tarpeettomasta tietojenkäsittelystä, olisi tarjottava, tarvittaessa asianmukaista maksua vastaan, vastaava vaihtoehto ilman tätä käsittelyä. Ilmauksesta ”asianmukaista maksua vastaan” tuli suostu tai maksa -mallin oikeudellinen tukipiste.
Euroopan tietosuojaneuvosto (EDPB) kavensi sitä tämän jälkeen. Sen huhtikuussa 2024 hyväksytyn lausunnon 08/2024 mukaan suuret verkkoalustat eivät useimmissa tapauksissa pysty saamaan pätevää suostumusta, jos ne tarjoavat käyttäjille vain kaksijakoisen valinnan suostumisen ja maksamisen välillä. Lausunnossa kannustetaan tarjoamaan lisäksi maksuton vaihtoehto ilman käyttäytymiseen perustuvaa mainontaa, kuten versio, jossa on kontekstuaalisia tai vähemmän personoituja mainoksia. Lausunto koskee nimenomaan suuria verkkoalustoja, joten se ei ole suora ratkaisu pienempien sivustojen osalta, mutta kansalliset valvontaviranomaiset lukevat sitä tarkasti.
Miten valvontaviranomaiset ovat soveltaneet sitä?
Valvontaviranomaiset ovat edenneet tapauskohtaisesti ja käyttäneet pääpiirteissään samankaltaisia testejä. Taulukossa on tiivistetty tärkeimmät kannat.
| Viranomainen | Kanta | Keskeiset tekijät |
|---|---|---|
| EU:n tuomioistuin (2023) | Vastaava vaihtoehto voidaan tarjota asianmukaista maksua vastaan | Vastaavuus, asianmukainen maksu |
| EDPB (2024) | Kaksijakoinen suostu tai maksa -valinta ei yleensä riitä suurille alustoille | Epätasapainoinen valta-asetelma, haitta, maksuton vaihtoehto ilman käyttäytymiseen perustuvia mainoksia |
| CNIL, Ranska (2022) | Evästemuureja arvioidaan tapauskohtaisesti | Todellinen, reilu vaihtoehto ja kohtuullinen hinta |
| ICO, Iso-Britannia (2025) | Suostu tai maksa -malli voi olla lainmukainen, jos edellytykset täyttyvät | Epätasapainoinen valta-asetelma, vastaavuus, asianmukainen maksu, sisäänrakennettu tietosuoja |
| Euroopan komissio (2025) | Metan malli rikkoi digimarkkinasäädöstä | Vähemmän personoitu mutta vastaava vaihtoehto kieltäytyville käyttäjille |
Komission Metaa koskeva päätös tehtiin tietosuoja-asetuksen sijaan digimarkkinasäädöksen (DMA) nojalla, ja säädös koskee vain nimettyjä portinvartijoita. Päätös kuitenkin osoittaa, miten sääntelijät ajattelevat: huhtikuussa 2025 komissio määräsi Metalle 200 miljoonan euron sakon siitä, että se tarjosi Facebookin ja Instagramin EU-käyttäjille vain valinnan personoitujen mainosten hyväksymisen ja tilauksen maksamisen välillä.
Voiko pienempi julkaisija käyttää suostu tai maksa -mallia?
Usein voi, jos toteutus on reilu. Epätasapainoiseen valta-asetelmaan liittyvät huolet, jotka painavat suuria alustoja, ovat heikompia uutissivustolla tai erikoisjulkaisijalla, jonka käyttäjät voivat helposti siirtyä muualle. Valvontaviranomaiset tarkastelevat silti yksityiskohtia, joten tarkista nämä kohdat.
- Hinta on kohtuullinen. Määritä se suhteessa mainostuloihin, joita tyypillinen käyttäjä tuottaa, ja vastaavien palvelujen hintoihin, ei pelotteeksi. Kirjaa, miten päädyit summaan.
- Maksullinen vaihtoehto on vastaava. Tilaajien pitäisi saada sama sisältö ja samat keskeiset toiminnot kuin suostumuksen antaneiden käyttäjien, ilman seurantaa.
- Maksullinen vaihtoehto on oikeasti seurannaton. Varmista, että mainos- ja seurantatagit todella pysähtyvät tilaajien kohdalla. Maksullinen taso, joka lataa yhä mainospikseleitä, on huonompi kuin ei maksullista tasoa lainkaan.
- Suostumus pysyy tarkkarajaisena. Maksuttoman vaihtoehdon hyväksyminen ei saa niputtaa kaikkia käyttötarkoituksia yhteen. Käyttäjien pitäisi edelleen voida valita muiden kuin välttämättömien käyttötarkoitusten välillä aina, kun se on kohtuudella mahdollista.
- Valinta on rehellinen. Esitä molemmat vaihtoehdot neutraalisti ilman valvontaviranomaisten etsimiä manipuloivia suunnittelumalleja, kuten maksullisen vaihtoehdon piilottamista tai sen esittämistä väärältä vastaukselta näyttävänä.
- Peruuttaminen toimii yhä. Hyväksyneiden käyttäjien on voitava peruuttaa suostumuksensa yhtä helposti kuin he antoivat sen. Katso miten kävijät voivat peruuttaa evästesuostumuksensa.
- Lapsia kohdellaan eri tavalla. Jos lapset todennäköisesti käyttävät palveluasi, ole erityisen huolellinen; ICO:n ohjeissa tätä pidetään korkeamman riskin tilanteena.
Kirjaa perustelusi jokaisen kohdan osalta. Jos valvontaviranomainen kysyy, sinun on osoitettava, miksi muurin kautta saatu suostumus annettiin vapaaehtoisesti.
Mitä tämä tarkoittaa itse bannerille?
Suostu tai maksa -bannerin on silti täytettävä kaikki muut suostumusta koskevat vaatimukset: selkeät tiedot, myöntävä toimi, ei valmiiksi rastitettuja ruutuja ja keino muuttaa mieltään myöhemmin. Siinä vain ”Hylkää” korvataan hyväksymisen vaihtoehtona painikkeella ”Tilaa” tai ”Kirjaudu sisään”.
Teknisestä näkökulmasta merkitystä on kolmella tilalla: suostumuksen antaneet kävijät, tilaajat ja kävijät, jotka eivät ole vielä päättäneet. Suostumuskerroksesi on tiedettävä jokaisella sivunäytöllä, mikä niistä on voimassa, jotta tagit käynnistyvät vain suostumuksen antaneille kävijöille ja tilaajat tunnistetaan ennen kuin yksikään mainosskripti latautuu.
Yhteenveto
Suostu tai maksa -malli voi olla lainmukainen EU:ssa ja Isossa-Britanniassa, mutta vain, kun seurannasta kieltäytyminen on reilu valinta eikä rangaistus. Pidä hinta kohtuullisena, tee maksullisesta vaihtoehdosta aidosti vastaava ja seurannaton, pidä suostumus tarkkarajaisena ja dokumentoi, miksi mallisi toimii. Suurilta alustoilta vaaditaan enemmän, ja niiden on syytä varautua tarjoamaan lisäksi maksuton vaihtoehto ilman käyttäytymiseen perustuvia mainoksia. Cookieshin kaltaiset työkalut voivat hoitaa teknisen puolen estämällä mainostagit suostumukseen asti ja tallentamalla jokaisen kävijän valinnan.
Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.
Usein kysytyt kysymykset
Onko evästemuuri, joka estää sisällön, kunnes käyttäjä hyväksyy, laiton?
Puhdasta ”ota tai jätä” -muuria, jossa kieltäytyminen tarkoittaa pääsyn menettämistä ilman vaihtoehtoa, on hyvin vaikea perustella EU:ssa ja Isossa-Britanniassa, koska suostumus ei olisi vapaaehtoinen. Reilu vaihtoehto, kuten maksullinen seurannaton vaihtoehto, muuttaa arviota, mutta se ei tee mallista automaattisesti lainmukaista.
Kuinka paljon maksullisesta vaihtoehdosta voi veloittaa?
Mikään valvontaviranomainen ei ole asettanut summaa. Sekä CNIL että ICO toteavat, että hinnan on oltava kohtuullinen, jotta se ei painosta ihmisiä suostumaan. Vertaa sitä menettämiisi mainostuloihin ja vastaavien palvelujen hintoihin.
Pitääkö maksaville tilaajille näyttää evästebanneri?
Ei mainontaan liittyvän seurannan osalta, koska juuri sen välttämisestä he maksoivat. Tarvitset kuitenkin edelleen suostumuksen kaikkeen muuhun ei-välttämättömään käsittelyyn, jota haluat heidän osaltaan tehdä, kuten valinnaiseen analytiikkaan, joten suunnittele tilaajille suppeampi asetuspaneeli.
Koskeeko suostu tai maksa -malli myös EU:n ja Ison-Britannian ulkopuolta?
Keskustelu on pääosin eurooppalainen, koska EU:n ja Ison-Britannian lainsäädäntö edellyttää suostumusta mainosevästeille. Kalifornian kaltaisissa kieltäytymiseen perustuvissa järjestelmissä suurempi kysymys on, onko kieltäytymisestä veloittaminen ristiriidassa sääntöjen kanssa, jotka kieltävät syrjimästä oikeuksiaan käyttäviä kuluttajia.
Lähteet
- Opinion 08/2024 on valid consent in the context of consent or pay models implemented by large online platforms, EDPB
- Case C-252/21, Meta Platforms v Bundeskartellamt, CJEU
- Cookie walls: la CNIL publie des premiers critères d'évaluation, CNIL
- Consent or pay, Information Commissioner's Office
- Commission finds Apple and Meta in breach of the Digital Markets Act, European Commission
Cookieshin toimitus
Tietosuojainsinöörejä ja vaatimustenmukaisuuden asiantuntijoita, jotka kirjoittavat tuotetiimeille käytännön ohjeita suostumuksista, evästeistä ja tietosuojasta.
