# Evästesuostumuksen hallinta useilla asiakassivustoilla

> Digitoimiston pelikirja evästesuostumuksen hallintaan useilla asiakassivustoilla: roolit ja sopimukset, yhteinen pohja, käyttöönotto, valvonta ja suostumustietueet.

Source: https://www.cookiesh.eu/fi/blog/cookie-consent-for-agencies  
Published: 2026-10-20

## Key takeaways

- Asiakas on yleensä verkkosivustonsa evästeiden osalta rekisterinpitäjä, joten asiakkaan on hyväksyttävä bannerin sanamuodot, kategoriat ja käytäntötekstit.
- Digitoimistot skaalaavat suostumustyötä vakioimalla kategoriat, skriptien eston ja Consent Mode -logiikan ja määrittämällä oikeudellisen sisällön asiakaskohtaisesti.
- Kiinteä käyttöönottojärjestys – kartoitus, luokittelu, määritys, testaus ja hyväksyntä – pitää jokaisen asiakasjulkaisun yhdenmukaisena.
- Ajastetut evästeskannaukset löytävät seurantatyökalut, joita asiakkaiden tiimit lisäävät tagienhallinnan kautta julkaisun jälkeen.
- Pidä kunkin asiakkaan suostumustietueet erillään ja vietävissä, ja rajaa pääsy niihin henkilöihin, jotka työskentelevät kyseisen asiakkaan parissa.

Kun hallitset evästesuostumusta useilla asiakassivustoilla, vakioi kaikki tekninen ja pidä kaikki oikeudellinen asiakaskohtaisena. Käytä jokaisella sivustolla yhtä toteutusmallia, yhtä kategoriamallia ja yhtä skriptien estotapaa. Anna jokaiselle asiakkaalle omat määritykset, käytäntötekstit, alueelliset säännöt ja suostumustietueet. Skannaa sitten säännöllisesti uudelleen, koska asiakassivustot muuttuvat jatkuvasti julkaisun jälkeen.

## Kuka vastaa suostumuksesta asiakkaan sivustolla?

Yleensä asiakas. Yrityksenä, joka päättää, miksi ja miten kävijöiden tietoja käsitellään, asiakas on tietosuoja-asetuksen (GDPR) mukaan tavallisesti rekisterinpitäjä, ja juuri siihen valvontaviranomainen ottaa yhteyttä.

Digitoimistot toimivat tyypillisesti henkilötietojen käsittelijöinä, kun ne hallinnoivat tageja, analytiikkaa tai suostumuslokeja asiakkaan puolesta. Tietosuoja-asetuksen 28 artikla edellyttää sopimusta, jossa määritellään, mitä käsittelijä saa tehdä kyseisillä tiedoilla. Käytännössä tämä tarkoittaa:

- Tietojenkäsittelysopimusta jokaisen asiakkaan kanssa, jonka henkilötietoja käsittelet.
- Asiakkaan kirjallista hyväksyntää bannerin sanamuodoille, kategorioille, alueille ja evästekäytännölle.
- Selkeää rajaa toteutuksen ja oikeudellisen neuvonnan välillä. Suosittele, että asiakkaan juristi ratkaisee kiistanalaiset kysymykset, kuten sen, käytetäänkö [Consent Moden edistynyttä tilaa](/fi/blog/basic-vs-advanced-consent-mode).

Selkeät roolit suojaavat digitoimistoa yhtä lailla kuin asiakasta. Kun valitus saapuu, kaikkien pitäisi jo tietää, kuka hyväksyi mitäkin.

## Mitä kannattaa vakioida kaikille asiakkaille?

Vakioi tekninen toteutus ja prosessi, älä oikeudellista sisältöä. Yhteinen pohja lyhentää käyttöönottoaikaa, ja jokainen sivusto hyötyy, kun korjaat tai parannat jotain kerran.

| Vakioi kaikille asiakkaille | Määritä asiakaskohtaisesti |
|---|---|
| Bannerikomponentti, saavutettavuus ja suorituskykybudjetti | Yrityksen nimi, brändi ja kielet |
| Kategoriamalli: välttämättömät, asetukset, analytiikka, markkinointi | Mitkä toimittajat ja evästeet kuuluvat kuhunkin kategoriaan |
| Skriptien estomalli | Palvellut alueet ja kunkin alueen näkemä banneri |
| Google Consent Moden oletus- ja päivityslogiikka | Perustila tai edistynyt tila asiakkaan oikeudellisen päätöksen mukaan |
| Suostumuslokin muoto ja säilytysmekaniikka | Säilytysaika ja tietojenkäsittelyehdot |
| Skannausaikataulu ja hälytysten ohjaus | Asiakkaan vastuuhenkilöt, jotka saavat hälytykset |

Käytä kaikkialla samaa tapaa [skriptien estämiseen suostumukseen asti](/fi/blog/block-scripts-until-consent). Kun jokainen sivusto noudattaa yhtä mallia, kuka tahansa tiimisi kehittäjä voi selvittää minkä tahansa asiakassivuston vian minuuteissa sen sijaan, että joutuisi opettelemaan räätälöidyn ratkaisun uudelleen.

Pidä pohja versionhallinnassa muutoslokin kera. Kun muutat sitä, vie päivitys hallitusti asiakas kerrallaan ja kirjaa, mikä sivusto käyttää mitäkin versiota.

## Miten uusi asiakassivusto otetaan käyttöön?

Käsittele käyttöönottoa kiinteänä järjestyksenä, jotta mitään ei jää väliin aikataulupaineen alla.

1. **Kartoita:** tee julkaistulle sivustolle [evästekartoitus](/fi/blog/how-to-run-a-cookie-audit) evästeiden, skriptien ja toimittajien inventoimiseksi.
2. **Luokittele:** liitä jokainen toimittaja kategoriaan ja merkitse kaikki, mitä et pysty tunnistamaan, asiakkaan selvitettäväksi.
3. **Päätä alueet:** varmista, mistä kävijät tulevat ja mitä sääntöjä sovelletaan, kuten tietosuoja-asetuksen mukainen ennakkosuostumus EU:ssa, UK GDPR ja PECR Isossa-Britanniassa tai CCPA:n mukaiset kieltäytymisoikeudet Kaliforniassa.
4. **Määritä:** luo asiakkaan banneri, käytäntölinkki ja kieliversiot pohjasi perusteella.
5. **Pidättele tageja:** estä muut kuin välttämättömät skriptit suostumukseen asti ja aseta Consent Moden oletukset Google Tag Managerissa (GTM).
6. **Testaa:** varmista, ettei mitään muuta kuin välttämätöntä suoriteta ennen suostumusta ja että sekä hylkääminen että peruuttaminen toimivat.
7. **Hyväksytä:** hanki asiakkaalta kirjallinen hyväksyntä ennen julkaisua.
8. **Luovuta:** dokumentoi, mitä määritit, kuka voi muuttaa sitä ja miten asiakas voi pyytää suostumustietueita.

Vaiheessa 2 tulee esiin eniten yllätyksiä. Vanhemmilla sivustoilla on usein skriptejä, joiden lisäämistä kukaan asiakkaan puolella ei muista, ja jokaiselle niistä tarvitaan omistaja ja käyttötarkoitus ennen kuin sen voi luokitella.

## Miten asiakassivustot pidetään vaatimustenmukaisina julkaisun jälkeen?

Ajasta toistuvat skannaukset ja hälytä muutoksista. Asiakassivustot ajautuvat: markkinointitiimi lisää pikselin GTM:ään, lisäosan päivitys tuo uuden evästeen tai laskeutumissivutyökalu tuo mukanaan omat seurantatyökalunsa.

Keinot, joilla ajautuminen pysyy kurissa:

- Rajoita, kuka voi julkaista asiakkaiden GTM-säilöissä, ja vaadi suostumusasetukset jokaiseen uuteen tagiin.
- Skannaa uudelleen jokaisen julkaisun jälkeen ja kiinteän aikataulun mukaan, ja ohjaa uudet, luokittelemattomat evästeet nimetylle asiakkaan vastuuhenkilölle.
- Nosta bannerin versionumeroa ja pyydä suostumus uudelleen, kun käyttötarkoitukset tai toimittajat muuttuvat olennaisesti.
- Arvioi bannerin suunnittelu vähintään kerran vuodessa valvontaviranomaisten ajantasaista, manipuloivia malleja koskevaa ohjeistusta vasten.

Raportoi havainnot asiakkaille lyhyenä, säännöllisenä yhteenvetona: havaitut uudet toimittajat, muuttuneet bannerin versiot ja avoimet asiat. Se osoittaa työn arvon ja pitää päätökset dokumentoituina.

## Miten usean asiakkaan suostumustietueita hallitaan?

Pidä kunkin asiakkaan tietueet loogisesti erillään ja rajaa pääsy niihin henkilöihin, jotka työskentelevät kyseisen asiakkaan parissa. Eri asiakkaiden tietojen sekoittaminen yhteen jaettuun lokiin aiheuttaa luottamuksellisuusongelmia ja vaikeuttaa tietojen vientiä.

Jokaisen asiakkaan pitäisi saada pyynnöstä vienti omista [suostumustietueistaan](/fi/blog/proof-of-consent-records), esimerkiksi valvontaviranomaiselle vastaamista tai rekisteröidyn tietopyyntöä varten. Sovi sopimuksessa, mitä tietueille tapahtuu yhteistyön päättyessä: palautetaanko ne, poistetaanko ne vai molemmat, ja missä aikataulussa.

Sovella samaa kurinalaisuutta ihmisiin. Käytä roolipohjaista pääsynhallintaa ja monivaiheista tunnistautumista, ja poista käyttöoikeudet viipymättä, kun työntekijä lähtee tai asiakassuhde päättyy.

## Yhteenveto

Digitoimistot, jotka hoitavat suostumuksen hyvin, käsittelevät sitä toistettavana tuotteena eivätkä sivustokohtaisena projektina. Vakioi tekninen pohja, jätä oikeudelliset päätökset asiakkaalle, valvo sivustoja jatkuvasti ja pidä kunkin asiakkaan tietueet erillään ja vietävissä. Cookieshin kaltaiset työkalut tarjoavat digitoimistoille white label -ratkaisun ja monivuokraajuuden (multi-tenancy), mikä auttaa toteuttamaan tätä pelikirjaa yhdestä paikasta.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Onko digitoimisto asiakkaidensa evästesuostumuksen osalta henkilötietojen käsittelijä?

Usein on, kun se käsittelee henkilötietoja, kuten suostumuslokeja tai analytiikkaa, asiakkaan puolesta. Tällöin tietosuoja-asetuksen (GDPR) 28 artikla edellyttää kirjallista sopimusta, joka kattaa kyseisen käsittelyn. Tarkka rooli riippuu järjestelystä, joten varmista se juristin kanssa.

### Pitäisikö kaikilla asiakkailla olla sama evästebanneri?

Niillä voi olla sama komponentti ja toiminta, mutta ei sama sisältö. Jokainen asiakas tarvitsee omat yritystietonsa, evästeluettelonsa, käytäntölinkkinsä, kielensä ja brändinsä, koska jokainen sivusto käyttää eri toimittajia eri tarkoituksiin.

### Kenen pitäisi kirjoittaa asiakassivuston evästekäytäntö?

Asiakas omistaa sen, koska se kuvaa asiakkaan suorittamaa käsittelyä. Digitoimisto voi toimittaa pohjan ja evästeskannauksista saatavan teknisen inventaarion, mutta asiakkaan tai sen oikeudellisen neuvonantajan pitäisi tarkistaa ja hyväksyä lopullinen teksti.

### Kuinka usein digitoimistojen pitäisi skannata asiakassivustot uudelleen?

Jokaisen julkaisun jälkeen ja kiinteän aikataulun mukaan, esimerkiksi kuukausittain. Tagienhallintajärjestelmien avulla markkinointitiimit voivat lisätä tageja ilman koodijulkaisua, joten ajastetut skannaukset löytävät muutokset, jotka julkaisukohtaisilta tarkistuksilta jäävät huomaamatta.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)