# Evästebannerien manipuloivat mallit, joihin viranomaiset puuttuvat

> Valmiiksi rastitetut ruudut, piilotetut hylkäyspainikkeet ja evästemuurit voivat mitätöidä suostumuksen. Katso, mihin viranomaiset puuttuvat ja miten korjaat ongelmat.

Source: https://www.cookiesh.eu/fi/blog/cookie-banner-dark-patterns  
Published: 2026-04-07

## Key takeaways

- Manipuloivan bannerin avulla kerätty suostumus ei ole pätevä, joten sen varassa asetetuilta evästeiltä puuttuu laillinen peruste.
- Valvontaviranomaiset edellyttävät, että evästeistä kieltäytyminen on yhtä helppoa kuin niiden hyväksyminen, mikä käytännössä tarkoittaa hylkäysvaihtoehtoa ensimmäisellä tasolla.
- Valmiiksi rastitetut ruudut, vierittämisestä päätelty suostumus ja evästemuurit kuuluvat toimintamalleihin, jotka EU:n viranomaiset hylkäävät johdonmukaisimmin.
- Myös Kalifornian CPRA toteaa, ettei manipuloivilla suunnittelumalleilla saatu hyväksyntä ole suostumus.

Evästebannerien manipuloivat suunnittelumallit (dark patterns) ovat suunnitteluratkaisuja, jotka ohjaavat kävijöitä hyväksymään evästeet: hylkäysvaihtoehdon piilottaminen, valmiiksi rastitetut ruudut, kirkkaan ”Hyväksy”-painikkeen pariksi asetettu himmeä ”Asetukset”-linkki tai vierittämisen tulkitseminen suostumukseksi. EU:n valvontaviranomaiset pitävät näin saatua suostumusta pätemättömänä, koska tietosuoja-asetus (GDPR) edellyttää, että suostumus on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen sekä yhtä helppo peruuttaa kuin antaa.

## Miksi valvontaviranomaiset välittävät bannerin suunnittelusta?

Koska suostumuksen pätevyys riippuu siitä, miten se on kerätty. Tietosuoja-asetuksen 4 artiklan 11 alakohdassa suostumus määritellään vapaaehtoiseksi, yksilöidyksi, tietoiseksi ja yksiselitteiseksi tahdonilmaisuksi, joka annetaan selkeällä myöntävällä toimella. 7 artiklan mukaan suostumus on lisäksi pystyttävä osoittamaan, ja sen peruuttamisen on oltava yhtä helppoa kuin sen antamisen.

Banneri, joka tuuppaa ihmisiä napsauttamaan ”Hyväksy”, ei täytä näitä edellytyksiä. Silloin jokainen sen jälkeen asetettu muu kuin välttämätön eväste on asetettu ilman pätevää suostumusta, mikä rikkoo ePrivacy-sääntöjä, ja näiden tietojen varaan rakennetulta käsittelyltä puuttuu laillinen peruste. Vakavista tietosuoja-asetuksen rikkomuksista voidaan määrätä sakko, joka on enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi.

Tunnetuin esimerkki ovat CNIL:n joulukuussa 2021 tekemät päätökset Googlea (150 miljoonaa euroa) ja Facebookia (60 miljoonaa euroa) vastaan. Ranskan valvontaviranomainen totesi, että evästeistä kieltäytyminen oli niiden sivustoilla vaikeampaa kuin niiden hyväksyminen. Lisää tapauksia ja niiden opetuksia löydät artikkelista [mitä evästevalvonta opettaa sivustojen ylläpitäjille](/fi/blog/cookie-enforcement-lessons).

## Mihin manipuloiviin malleihin valvontaviranomaiset puuttuvat useimmin?

Eniten huomiota saavat mallit, jotka tekevät kieltäytymisestä hankalampaa, huomaamattomampaa tai epäselvempää kuin hyväksymisestä. Taulukko tiivistää tärkeimmät mallit ja niiden korjauskeinot.

| Manipuloiva malli | Miltä se näyttää | Miksi se ei kelpaa | Korjaus |
|---|---|---|---|
| Ensimmäisellä tasolla ei hylkäysvaihtoehtoa | Vain ”Hyväksy kaikki” ja ”Hallinnoi asetuksia” | Kieltäytyminen vaatii enemmän vaivaa kuin hyväksyminen | Sijoita ”Hylkää kaikki” ”Hyväksy kaikki” -painikkeen viereen |
| Valmiiksi rastitetut ruudut | Analytiikka- ja markkinointikytkimet valmiiksi päällä | Ei selkeä myöntävä toimi | Aseta jokainen muu kuin välttämätön kytkin oletuksena pois päältä |
| Visuaalinen epäsymmetria | Lihavoitu värikäs hyväksymispainike, harmaa tekstilinkki hylkäämiseen | Ohjaa valintaa suunnittelun keinoin | Anna molemmille vaihtoehdoille sama koko, painoarvo ja kontrasti |
| Oletettu suostumus | ”Jatkamalla selaamista hyväksyt” | Selaaminen tai vierittäminen ei ole selkeä myöntävä toimi | Älä aseta mitään muuta kuin välttämätöntä ennen todellista valintaa |
| Evästemuurit | Sisältö estetty, ellei kävijä hyväksy | Suostumus ei yleensä ole vapaaehtoinen | Salli pääsy ilman muiden kuin välttämättömien evästeiden hyväksymistä |
| Epämääräinen tai harhaanjohtava teksti | ”Arvostamme yksityisyyttäsi” ja yksi ”OK”-painike | Suostumus ei ole tietoinen | Nimeä käyttötarkoitukset selkokielellä |
| Piilotettu peruutusmahdollisuus | Asetuksia ei voi avata uudelleen valinnan jälkeen | Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen | Lisää pysyvä ”Evästeasetukset”-linkki |
| Jankuttaminen | Banneri ilmestyy uudelleen jokaisen kieltäytymisen jälkeen | Painostaa ihmisiä hyväksymään | Muista kieltäytymiset kohtuullisen ajan |

Valmiiksi rastitettuja ruutuja koskeva sääntö tulee EU-tuomioistuimen Planet49-tuomiosta (C-673/17, 2019), jonka mukaan valmiiksi rastitettu ruutu, josta käyttäjän on poistettava rasti kieltäytyäkseen, ei tuota pätevää suostumusta. EDPB:n suostumusohjeissa todetaan lisäksi, ettei sivun vierittäminen tai pyyhkäiseminen ole suostumus ja että sisältöön pääsyn asettaminen evästeiden hyväksymisen ehdoksi tarkoittaa yleensä, ettei suostumus ole vapaaehtoinen.

## Onko ”Hylkää kaikki” -painike lakisääteinen vaatimus?

Tietosuoja-asetuksessa ei mainita painikkeita, mutta valvontaviranomaiset edellyttävät, että kieltäytyminen on yhtä helppoa kuin hyväksyminen, ja yksinkertaisin tapa täyttää tämä vaatimus on hylkäysvaihtoehto ensimmäisellä tasolla. Banneri, jossa hyväksyminen onnistuu yhdellä napsautuksella mutta kieltäytyminen vaatii useita vaiheita, johtaa todennäköisimmin valvontatoimiin.

Painikkeessa ei tarvitse lukea sanatarkasti ”Hylkää kaikki”. ”Kieltäydy”, ”Hylkää muut kuin välttämättömät” tai ”Jatka hyväksymättä” voivat toimia, jos vaihtoehto on selvästi näkyvissä, samalla tasolla kuin hyväksymispainike ja johtaa todella siihen, ettei muita kuin välttämättömiä evästeitä aseteta. Pieni, heikkokontrastinen ”jatka hyväksymättä” -linkki nurkassa tuskin menee läpi.

## Entä sulkemispainike ja asetustaso?

Sulkemispainiketta, usein ”X”, ei saa koskaan tulkita hyväksynnäksi. Jos tarjoat sellaisen, käsittele bannerin sulkemista kieltäytymisenä tai vähintään valinnan puuttumisena, äläkä aseta mitään muuta kuin välttämätöntä.

Toinen taso ansaitsee yhtä tarkan syynin. Varo näitä hienovaraisempia malleja:

- ”Oikeutettu etu” -merkityt kytkimet, jotka ovat oletuksena päällä ja edellyttävät erillistä vastustamista.
- Näyttävä ”Hyväksy kaikki” -painike asetuspaneelissa, kun taas ”Tallenna valinnat” on pitkän toimittajaluettelon alapuolella.
- Kategoriakuvaukset, jotka vähättelevät seurantaa, esimerkiksi kutsumalla mainosevästeitä ”suorituskykyevästeiksi”.
- Vahvistusikkunat, jotka kysyvät ”Oletko varma?” vain silloin, kun joku kieltäytyy.

## Miten tarkastan oman bannerini manipuloivien mallien varalta?

Testaa banneria epäluuloisen kävijän tavoin sekä tietokoneella että mobiililaitteella ja käy sitten läpi tämä tarkistuslista:

1. Hyväksyminen ja hylkääminen ovat molemmat ensimmäisellä tasolla ja vaativat yhtä monta napsautusta.
2. Molemmat vaihtoehdot ovat kooltaan, värin painoarvoltaan ja kontrastiltaan vastaavia.
3. Mikään muu kuin välttämätön kytkin ei ole oletuksena päällä.
4. Mikään muu kuin välttämätön eväste tai tagi ei käynnisty ennen valintaa, mikä on varmistettu puhtaassa selainistunnossa.
5. Bannerin sulkeminen tai huomiotta jättäminen ei ole hyväksyntä.
6. Käyttötarkoitukset kuvataan täsmällisellä selkokielellä.
7. Pysyvän linkin avulla kävijät voivat muuttaa tai peruuttaa suostumuksensa milloin tahansa.
8. Kieltäytymiset muistetaan, eikä suostumusta kysytä heti uudelleen.

Näiden tarkistusten taustalla olevat oikeudelliset edellytykset kokonaisuudessaan löydät artikkelista [pätevän evästesuostumuksen edellytykset GDPR:n mukaan](/fi/blog/valid-consent-checklist). Jos kaipaat vältettävien asioiden listan sijaan myönteisiä suunnitteluohjeita, lue [näin suunnittelet vaatimustenmukaisen ja käyttäjäystävällisen evästebannerin](/fi/blog/cookie-banner-design-best-practices).

## Koskevatko manipuloivia malleja koskevat säännöt myös EU:n ulkopuolella?

Kyllä, eri muodoissa. Yhdistyneessä kuningaskunnassa ICO valvoo UK GDPR:ää ja PECR:ää suostumusvaatimuksin, jotka ovat hyvin lähellä EU:n vaatimuksia, ja se on julkisesti vaatinut verkkosivustoja tekemään evästeiden hylkäämisestä yhtä helppoa kuin niiden hyväksymisestä. Myös Brasilian LGPD edellyttää, että suostumus on vapaa, tietoinen ja yksiselitteinen.

Kalifornia noudattaa kieltäytymismallia (opt-out), mutta CPRA toteaa, ettei manipuloivilla suunnittelumalleilla saatu hyväksyntä ole suostumus, ja California Privacy Protection Agencyn säännökset edellyttävät valintojen symmetriaa. Kieltäytymispolku, joka on vaikeampi suorittaa loppuun kuin sen vaihtoehto, herättää samat huolet kuin EU:ssa banneri, josta puuttuu hylkäyspainike. Lisätietoja löydät artikkelista [CCPA ja CPRA: mitä Yhdysvaltojen tietosuojalaki tarkoittaa evästeille](/fi/blog/ccpa-cpra-cookies).

## Yhteenveto

Valvontaviranomaiset arvioivat banneria sen vaikutuksen perusteella: voiko kävijä kieltäytyä yhtä helposti kuin hyväksyä, ja lopettaako kieltäytyminen todella seurannan? Poista kaikki suunnitteluratkaisut, jotka kallistavat tätä tasapainoa, varmista, että tekninen toiminta vastaa painikkeita, ja dokumentoi, mitä muutit ja miksi. Cookieshin kaltaiset työkalut voivat automatisoida evästeskannauksen ja säilyttää muuttumattomia suostumuslokeja, mikä auttaa osoittamaan, mitä kävijät todella valitsivat.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Onko brändivärin käyttäminen Hyväksy-painikkeessa manipuloiva suunnittelumalli?

Voi olla, jos hylkäysvaihtoehto jää näkyvästi vähemmän huomiota herättäväksi. Brändivärit ovat sallittuja, kunhan hyväksymis- ja hylkäämisvaihtoehdot ovat kooltaan, kontrastiltaan ja sijoittelultaan vertailukelpoisia, jottei kumpaakaan valintaa suosita visuaalisesti.

### Voinko näyttää bannerin uudelleen, kun joku on hylännyt evästeet?

Et jokaisella sivulla tai käynnillä. Toistuva kysyminen selkeän kieltäytymisen jälkeen painostaa ihmisiä hyväksymään. Kysy uudelleen vasta kohtuullisen ajan kuluttua tai kun käyttötarkoituksesi tai toimittajasi muuttuvat merkittävästi.

### Koskevatko manipuloivia suunnittelumalleja koskevat säännöt pieniä sivustoja?

Kyllä. Suostumusvaatimuksia sovelletaan yrityksen koosta riippumatta. Otsikoihin päätyneet sakot ovat kohdistuneet lähinnä suuriin alustoihin, mutta minkä tahansa sivuston voidaan määrätä korjaamaan bannerinsa ja lopettamaan ilman pätevää suostumusta kerättyjen tietojen käsittely.

## Sources

- [EU-tuomioistuimen asia C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [California Privacy Protection Agency](https://cppa.ca.gov/)