Mitä evästevalvonta opettaa sivustojen ylläpitäjille

Evästevalvonnassa rangaistaan yhä uudelleen samoista muutamasta virheestä: ”Hylkää” tehdään vaikeammaksi kuin ”Hyväksy”, valmiiksi rastitettuja ruutuja tai selaamisen jatkamista pidetään suostumuksena ja seurantatyökalut ladataan ennen kuin kukaan on tehnyt valintaa. Selkeimmät opetukset tulevat EU-tuomioistuimen Planet49-tuomiosta ja Ranskan vuonna 2021 Googlelle ja Facebookille määräämistä sakoista. Korjaa nämä toimintamallit ja tarkista sivustosi samalla tavalla kuin valvontaviranomainen sen tekisi.

Mitä CNIL:n Google- ja Facebook-päätöksissä tapahtui?

Joulukuussa 2021 Ranskan tietosuojaviranomainen CNIL määräsi Googlelle 150 miljoonan euron ja Facebookille 60 miljoonan euron sakon. Keskeinen havainto oli yksinkertainen: yhtiöiden sivustoilla evästeiden hyväksyminen vaati yhden napsautuksen, kun taas niistä kieltäytyminen vaati useita.

CNIL perusteli, että tämä epäsymmetria ohjasi ihmisiä hyväksymään, joten kerätty suostumus ei ollut vapaaehtoinen. Ketään ei pakotettu hyväksymään, mutta helpoin reitti johti kyllä-vastaukseen, ja se riitti. Viranomainen määräsi myös molemmat yhtiöt tarjoamaan tavan kieltäytyä evästeistä yhtä yksinkertaisesti kuin hyväksyä ne.

Päätökset osoittivat lisäksi, että evästesäännöillä on oma valvontareittinsä. CNIL toimi ePrivacy-direktiivin täytäntöön panevan Ranskan lain nojalla eikä tietosuoja-asetuksen (GDPR) rajat ylittävän menettelyn kautta, joten sen ei tarvinnut jättää asiaa toisen maan johtavalle valvontaviranomaiselle.

Opetus: sijoita hylkäämisvaihtoehto ensimmäiselle tasolle yhtä näkyvästi kuin hyväksyminen. Oppaamme evästebannerien manipuloivista suunnittelumalleista käy läpi muut suunnittelutemput, joihin valvontaviranomaiset kiinnittävät huomiota.

Mitä Planet49-tuomio ratkaisi?

Planet49-asiassa (C-673/17, 2019) Euroopan unionin tuomioistuin (EUT) totesi, ettei valmiiksi rastitettu valintaruutu tuota pätevää suostumusta evästeisiin. Kävijän on tehtävä aktiivinen toimi.

Asia koski verkossa järjestettyä mainosarvontaa, jossa evästeet salliva ruutu oli oletuksena rastitettu. Tuomioistuin katsoi, että suostumus edellyttää aktiivista toimintaa, joten oletusvalinnan jättäminen ennalleen ei riitä. Se vahvisti myös, että suostumusvaatimus koskee päätelaitteelle tallennettuja tietoja riippumatta siitä, ovatko ne henkilötietoja, ja että käyttäjille on kerrottava, kuinka kauan evästeet ovat toiminnassa ja voivatko kolmannet osapuolet päästä niihin käsiksi.

Opetus: pidä jokainen muu kuin välttämätön kategoria oletuksena pois päältä ja varmista, että bannerisi tai asetuspaneelisi kertoo evästeiden voimassaoloajat ja kolmansien osapuolten pääsyn.

Mitä virheitä valvontaviranomaiset löytävät yhä uudelleen?

Samat muutamat ongelmat toistuvat kerta toisensa jälkeen. Useimmat niistä näkee kuka tahansa, joka avaa selaimen kehittäjätyökalut.

Yleinen virhe	Miksi se ei kelpaa	Mitä tehdä sen sijaan
Ensimmäisellä tasolla ei ole hylkäyspainiketta	Kieltäytyminen on vaikeampaa kuin hyväksyminen, joten suostumus ei ole vapaaehtoinen	Näytä hyväksyminen ja hylkääminen rinnakkain yhtä näkyvinä
Valmiiksi rastitetut ruudut tai valmiiksi päälle kytketyt valinnat	Ei aktiivinen, yksiselitteinen valinta	Pidä jokainen muu kuin välttämätön kategoria oletuksena pois päältä
Seurantatyökalut käynnistyvät sivun latautuessa	Suostumusta ei hankita ennen pääsyä päätelaitteeseen	Estä skriptit, kunnes asianomainen kategoria on hyväksytty
”Käyttämällä sivustoa hyväksyt” -ilmoitukset	Selaamisen jatkaminen ei ole myöntävä toimi	Edellytä hyväksymiseen nimenomaista napsautusta
Evästeitä asetetaan kieltäytymisen jälkeenkin	Valinta tallennetaan, mutta sitä ei panna täytäntöön	Testaa hylkäyspolku jokaisella sivupohjalla
Vanhentuneet evästeluettelot	Suostumus ei perustu asianmukaisiin tietoihin	Skannaa uudelleen ja päivitä evästekäytäntö, kun tagit muuttuvat
Ei helppoa tapaa peruuttaa suostumusta	Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen	Pidä tarjolla pysyvä linkki, joka avaa asetukset uudelleen

Kolmas ja viides rivi ansaitsevat erityishuomion. Hyvin suunniteltu banneri ei suojaa mitään, jos sen takana olevat skriptit eivät välitä vastauksesta. Oppaamme kolmannen osapuolen skriptien estämisestä suostumukseen asti käsittelee teknistä puolta.

Miksi kansalliset valvontaviranomaiset puuttuvat evästeisiin niin usein?

Evästerikkomukset on helppo todentaa, niistä on helppo valittaa ja niitä voidaan valvoa paikallisesti. Tämä yhdistelmä tekee niistä yleisen kohteen.

Koska ePrivacy-säännöt on pantu täytäntöön kansallisella lainsäädännöllä, valvontaviranomainen voi yleensä puuttua minkä tahansa sellaisen sivuston toimintaan, joka palvelee ihmisiä sen maassa, ilman tietosuoja-asetuksen rajat ylittävää koordinointia. Artikkelimme ePrivacy-direktiivi vs. GDPR kertoo, miksi näitä kahta järjestelmää valvotaan eri tavoin.

Monet tutkinnat alkavat käyttäjien tai yksityisyydensuojaa ajavien järjestöjen valituksista, ja osa järjestöistä on tehnyt valituksia suurina erinä sivustoista, joiden bannerit eivät täytä vaatimuksia. Valvontaviranomaiset tekevät myös omia kartoituksiaan ja valvontakampanjoitaan. Näyttöä on helppo kerätä: riittää kuvakaappaus bannerista ja luettelo pyynnöistä, jotka lähetetään ennen kuin valintaa on tehty.

Seuraamukset riippuvat reitistä. Tietosuoja-asetuksen 83 artiklan 5 kohdan mukaan vakavimmista rikkomuksista voidaan määrätä sakko, joka on enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Kansallisten ePrivacy-lakien mukaiset seuraamukset määräytyvät kunkin maan omien sääntöjen mukaan. Kummassakin tapauksessa valvontaviranomaiset voivat myös määrätä tekemään muutoksia, joskus määräajan kera.

Miten tarkistat sivustosi samalla tavalla kuin valvontaviranomainen?

Lataa sivustosi ensikertalaisena kävijänä, kirjaa, mitä tapahtuu ennen yhtään napsautusta, ja testaa sitten jokainen bannerin tarjoama valinta. Perustarkistus mahtuu yhteen työrupeamaan.

1. Aloita puhtaalta pöydältä. Avaa selaimen yksityinen ikkuna ja kehittäjätyökalujen Network- ja Application- (tai Storage-) välilehdet.
2. Lataa keskeiset sivut koskematta mihinkään. Tarkista etusivu, sisältösivu sekä kassa- tai rekisteröitymissivu ja kirjaa jokainen eväste, paikallisen tallennustilan merkintä ja kolmannen osapuolen pyyntö.
3. Merkitse kaikki, mikä ei ole välttämätöntä. Analytiikka-, mainos- tai sosiaalisen median pyynnöt tässä vaiheessa ovat ongelma.
4. Laske napsautukset. Vertaa vaivaa, joka tarvitaan kaiken hyväksymiseen, vaivaan, joka tarvitaan kaiken hylkäämiseen.
5. Hylkää ja selaa. Hylkää kaikki, siirry sivulta toiselle ja lataa sivuja uudelleen. Uusia muita kuin välttämättömiä evästeitä tai pyyntöjä ei pitäisi ilmestyä.
6. Hyväksy yksi kategoria. Salli esimerkiksi vain analytiikka ja varmista, että vain analytiikkatagit latautuvat.
7. Peruuta. Avaa asetukset uudelleen, peruuta suostumus ja varmista, että asianomaiset tagit pysähtyvät.
8. Vertaa ja hae tallenne. Tarkista, että evästekäytäntösi vastaa havaintojasi ja että löydät oman testikäyntisi suostumustallenteen.

Jos haluat täydellisen luettelon kaikesta, mitä sivustosi asettaa, seuraa opastamme evästekartoituksen tekemiseen.

Yhteenveto

Valvontahistoria on poikkeuksellisen johdonmukainen: valvontaviranomaiset rankaisevat epäsymmetrisistä valinnoista, oletuksena päällä olevasta suostumuksesta ja seurantatyökaluista, jotka eivät välitä kävijän vastauksesta. Mikään näistä ei ole vaikea havaita, minkä vuoksi ne toistuvat päätöksissä. Cookieshin kaltaiset työkalut voivat tehdä automaattisia evästeskannauksia ja säilyttää tiivisteketjutettuja suostumuslokeja, mutta hyödyllisin ensimmäinen askel on testata oma bannerisi käsin yllä olevan tarkistuslistan avulla.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.