# Näin kirjoitat evästekäytännön: rakenne ja esimerkkejä

> Käytännönläheinen opas evästekäytännön kirjoittamiseen: mitä laki edellyttää, osio osiolta etenevä runko, esimerkkitaulukko evästeistä ja vinkit ajantasaisuuden ylläpitoon.

Source: https://www.cookiesh.eu/fi/blog/how-to-write-a-cookie-policy  
Published: 2026-04-28

## Key takeaways

- Evästekäytäntö kertoo, mitä evästeitä ja vastaavia tekniikoita sivusto käyttää, miksi, kuka ne asettaa, kuinka kauan ne säilyvät ja miten suostumusta voi muuttaa.
- Kirjoita käytäntö todellisen evästekartoituksen pohjalta, älä yleispätevästä mallipohjasta, sillä virheelliset tiedot heikentävät keräämääsi suostumusta.
- Luettele jokainen eväste nimen, palveluntarjoajan, kategorian, käyttötarkoituksen ja keston kanssa sekä merkitse, onko se ensimmäisen vai kolmannen osapuolen eväste.
- Käytä samoja kategorianimiä bannerissa ja käytännössä ja linkitä käytäntö bannerin ensimmäiseltä tasolta.
- Päivitä käytäntö aina, kun tagisi muuttuvat, ja näytä viimeisin päivityspäivämäärä.

Evästekäytäntö on sivu, joka kertoo kävijöille, mitä evästeitä ja vastaavia tekniikoita sivustosi käyttää, mitä kukin tekee, kuka sen asettaa, kuinka kauan se säilyy ja miten suostumusta voi muuttaa. Kirjoittaaksesi sellaisen kartoita sivustosi evästeet, ryhmittele ne käyttötarkoituksen mukaan, dokumentoi jokainen taulukkoon, selitä kävijöiden valinnat selkeällä kielellä ja päivitä käytäntö aina, kun tagisi muuttuvat.

## Miksi tarvitset evästekäytännön?

Koska tietosuojalait edellyttävät, että kerrot ihmisille ennen kuin tallennat tai luet tietoja heidän laitteillaan. Evästekäytäntö on käytännöllisin paikka antaa nämä tiedot kattavasti, ja suostumusbanneri linkittää siihen.

Useat säännöt osoittavat samaan suuntaan:

- **ePrivacy-direktiivi, 5 artiklan 3 kohta:** evästesuostumuksen on perustuttava selkeään ja kattavaan tietoon, erityisesti evästeiden käyttötarkoituksista.
- **GDPR:** kun evästeet käsittelevät henkilötietoja, sovelletaan sen läpinäkyvyysvelvoitteita, mukaan lukien kertominen, kuka olet, miksi käsittelet ihmisten tietoja, kuka niitä saa ja kuinka kauan säilytät ne. Suostumus on pätevä vain, jos se on tietoinen.
- **CCPA/CPRA:** yritysten on ilmoitettava keräämistään henkilötiedoista ja selitettävä, miten kuluttajat voivat kieltäytyä niiden myynnistä tai jakamisesta, mikä koskee usein mainosevästeitä.

Käytäntö ei korvaa suostumusta. EU:ssa ja Isossa-Britanniassa se antaa tietoa valinnalle, jonka banneri kerää.

## Mitä evästekäytännön pitäisi sisältää?

Sen pitäisi kertoa, kuka olet, mitä asetat ja miksi, kuka tietoja saa, kuinka kauan niitä säilytetään ja miten kävijät voivat muuttaa valintojaan:

- **Kuka olet:** vastuussa oleva organisaatio ja sen yhteystiedot.
- **Mitä evästeet ja vastaavat tekniikat ovat:** mainitse localStorage, pikselit ja SDK:t, jos käytät niitä.
- **Kategoriat ja käyttötarkoitukset:** ehdottoman välttämättömät, asetukset, analytiikka ja markkinointi tai mitä kategorioita bannerisi käyttääkin.
- **Evästekohtainen luettelo:** nimi, palveluntarjoaja, kategoria, käyttötarkoitus, kesto ja se, onko kyseessä ensimmäisen vai kolmannen osapuolen eväste.
- **Kolmannet osapuolet:** tietoja saavat toimittajat, linkit niiden tietosuojatietoihin ja mahdolliset siirrot ETA:n tai Ison-Britannian ulkopuolelle.
- **Oikeusperuste:** suostumus muille kuin välttämättömille evästeille ja poikkeus ehdottoman välttämättömille.
- **Miten suostumusta muutetaan tai peruutetaan:** linkki, joka avaa suostumusasetukset uudelleen.
- **Selaimen hallintakeinot:** lyhyt maininta siitä, että selaimet antavat käyttäjien myös estää tai poistaa evästeitä.
- **Yhdysvaltojen opt-out-oikeudet, jos relevantit:** ”Do Not Sell or Share My Personal Information” -linkkisi ja se, miten noudatat Global Privacy Controlia.
- **Viimeisin päivityspäivämäärä.**

Jos et ole varma, mihin kategoriaan eväste kuuluu, katso [evästetyypit](/fi/blog/types-of-cookies) ja [mikä lasketaan välttämättömäksi evästeeksi](/fi/blog/strictly-necessary-cookies).

## Millainen on hyvä evästekäytännön runko?

Mukauta tämä kymmenen osion rakenne sivustollesi. Jokainen kohta on osion otsikko, jonka perässä on esimerkkilause.

1. **Johdanto.** ”Tämä käytäntö selittää, miten Example Ltd käyttää evästeitä ja vastaavia tekniikoita osoitteessa example.com ja miten voit hallita niitä.”
2. **Mitä evästeet ovat?** ”Evästeet ovat pieniä tekstitiedostoja, jotka tallentuvat laitteellesi, kun vierailet verkkosivustolla. Käytämme myös vastaavia tekniikoita, kuten local storagea ja pikseleitä, ja tämä käytäntö kattaa nekin.”
3. **Miten käytämme evästeitä.** Yksi lyhyt kappale kategoriaa kohden, esimerkiksi: ”Analytiikkaevästeet auttavat meitä ymmärtämään, kuinka moni vierailee, mitä sivuja käytetään ja mistä kävijät tulevat. Asetamme ne vain, jos hyväksyt ne.”
4. **Käyttämämme evästeet.** Seuraavassa osiossa kuvattu evästetaulukko.
5. **Kolmannet osapuolet.** ”Osa evästeistä on kumppaneidemme, kuten analytiikka- ja mainospalveluntarjoajiemme, asettamia. Ne voivat käyttää tietoja omissa tietosuojakäytännöissään kuvatulla tavalla, joihin on linkit alla.”
6. **Valintasi.** ”Voit hyväksyä tai hylätä muut kuin välttämättömät evästeet bannerissamme ja muuttaa mielesi milloin tahansa alatunnisteen kohdasta ’Evästeasetukset’.”
7. **Selaimen asetukset.** ”Useimmat selaimet antavat sinun estää tai poistaa evästeitä. Ehdottoman välttämättömien evästeiden estäminen voi estää osan sivuston toiminnoista.”
8. **Yhdysvaltojen tietosuojaoikeutesi** (jos relevantti). ”Voit kieltäytyä henkilötietojesi myynnistä tai jakamisesta käyttämällä ’Do Not Sell or Share My Personal Information’ -linkkiä. Käsittelemme myös Global Privacy Control -signaaleja pätevinä kieltäytymispyyntöinä.”
9. **Muutokset tähän käytäntöön.** ”Päivitämme tätä käytäntöä, kun evästeiden käyttömme muuttuu. Viimeksi päivitetty: [päivämäärä].”
10. **Yhteystiedot.** ”Kysyttävää tästä käytännöstä? Ota yhteyttä osoitteeseen privacy@example.com.”

## Millainen on hyvä evästetaulukko?

Hyvä taulukko antaa kävijän löytää minkä tahansa evästeen ja ymmärtää sen yhdeltä riviltä. Käytä samoja kategorianimiä kuin bannerissasi ja kuvaa jokainen käyttötarkoitus konkreettisesti.

| Nimi | Palveluntarjoaja | Kategoria | Käyttötarkoitus | Kesto | Tyyppi |
|---|---|---|---|---|---|
| `session_id` | example.com | Ehdottoman välttämätön | Pitää sinut kirjautuneena | Istunto | Ensimmäinen osapuoli |
| `cart` | example.com | Ehdottoman välttämätön | Muistaa ostoskorisi tuotteet | 7 päivää | Ensimmäinen osapuoli |
| `consent_state` | example.com | Ehdottoman välttämätön | Tallentaa evästevalintasi | 12 kuukautta | Ensimmäinen osapuoli |
| `lang` | example.com | Asetukset | Muistaa kielesi | 12 kuukautta | Ensimmäinen osapuoli |
| `_ga` | Google Analytics | Analytiikka | Erottaa kävijät toisistaan käyttötilastoja varten | 2 vuotta (oletus) | Ensimmäinen osapuoli, Googlen skriptin asettama |
| `ad_uid` | Example Ads Network | Markkinointi | Mittaa mainoskonversioita ja rakentaa kiinnostusprofiileja | 90 päivää | Kolmas osapuoli |

Nämä rivit ovat havainnollistavia. Todelliset nimet ja kestot saat omasta skannauksestasi, ja toimittajien evästeiden kestot voivat vaihdella määrityksen mukaan.

## Miten evästekäytäntö kirjoitetaan selkeällä kielellä?

Kirjoita kävijälle, älä viranomaiselle. Lyhyet lauseet ja konkreettiset käyttötarkoitukset on helpompi lukea ja ne tekevät läpinäkyvyydelle enemmän kuin juridinen vakiosanasto.

- Korvaa epämääräiset ilmaisut, kuten ”käyttökokemuksesi parantamiseksi”, sillä, mitä todella tapahtuu, esimerkiksi ”käyntien laskemiseksi ja suosittujen sivujen selvittämiseksi”.
- Aloita lyhyellä yhteenvedolla niille, jotka eivät lue koko sivua.
- Älä väitä, ettet ”koskaan jaa tietoja”, jos markkinointipikselit lähettävät tunnisteita mainosalustoille.
- Tee taulukoista luettavia mobiilissa, esimerkiksi vaakasuuntaisella vierityksellä tai pinotuilla korteilla.
## Miten evästekäytäntö pidetään ajan tasalla?

Kohtele käytäntöä elävänä asiakirjana, joka on sidottu tagiluetteloosi. Evästeet muuttuvat aina, kun joku lisää työkalun, muokkaa tagienhallinnan konttia tai upottaa uutta sisältöä.

Ajasta säännölliset skannaukset sekä yksi aina, kun lisäät ominaisuuden tai toimittajan. Oppaamme [evästekartoituksen tekemisestä](/fi/blog/how-to-run-a-cookie-audit) käy prosessin läpi. Kun uusi käyttötarkoitus ilmaantuu, päivitä sekä banneri että käytäntö ja pyydä suostumusta uudelleen, jos muutos vaikuttaa siihen, mihin kävijät suostuivat.

Ole varovainen yleispätevien mallipohjien ja generaattorien kanssa. Käytäntö, joka luettelee evästeitä, joita et käytä, tai jättää pois ne, joita käytät, johtaa kävijöitä harhaan ja heikentää suostumusta, johon nojaat.

## Yhteenveto

Vahva evästekäytäntö on täsmällinen, tarkka ja ajan tasalla: se on rakennettu todellisen kartoituksen pohjalta, jäsennelty käyttötarkoituksen mukaan ja siinä on selkeä taulukko ja helppo reitti suostumuksen muuttamiseen. Pidä se samassa tahdissa bannerisi ja tagiesi kanssa. Cookieshin kaltaiset työkalut voivat automatisoida evästeskannauksen, jotta käytäntösi taustalla oleva luettelo pysyy ajan tasalla.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Voiko evästekäytäntö olla osa tietosuojaselostetta?

Kyllä. Mikään sääntö ei edellytä, että sen on oltava erillinen sivu. Monet sivustot pitävät sen erillisenä, koska se muuttuu useammin ja bannerista tarvitaan suora linkki siihen, mutta selkeästi nimetty osio tietosuojaselosteessa voi myös toimia.

### Riittääkö evästekäytäntö ilman evästebanneria?

Ei, ei silloin, kun opt-in-säännöt ovat voimassa. EU:ssa ja Isossa-Britanniassa käytäntö antaa tietoa, mutta muut kuin välttämättömät evästeet edellyttävät silti ennakkosuostumusta aktiivisella valinnalla. Pelkkä käytännön julkaiseminen ei tee seurannasta lainmukaista.

### Pitääkö minun luetella upotetun sisällön, kuten videoiden tai karttojen, asettamat evästeet?

Kyllä, jos ne asetetaan, kun ihmiset käyttävät sivustoasi. Kävijät eivät voi tietää, mikä verkkotunnus on asettanut evästeen, joten luettele upotusten ja liitännäisten kolmannen osapuolen evästeet, nimeä palveluntarjoaja ja linkitä sen tietosuojatietoihin.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)