Tietosuoja-asetusLukuaika 4 min
Voiko evästeiden käyttö perustua oikeutettuun etuun?
Oikeutettu etu ei voi korvata suostumusta muille kuin välttämättömille evästeille EU:ssa. Lue miksi, missä se yhä soveltuu ja mitä TCF 2.2 muutti julkaisijoille.
Yleensä ei. EU:ssa ePrivacy-direktiivi edellyttää suostumusta ennen kuin tallennat tai luet muita kuin välttämättömiä evästeitä, eikä se tarjoa oikeutettuun etuun perustuvaa vaihtoehtoa. Oikeutettu etu on tietosuoja-asetuksen (GDPR) mukainen henkilötietojen käsittelyn oikeusperuste, joten sillä voi olla merkitystä välttämättömän evästeen kautta käsiteltäville tiedoille, mutta se ei yksinään voi oikeuttaa analytiikka- tai mainosevästeitä.
Miksi oikeutettu etu ei voi korvata evästesuostumusta?
Koska evästeitä sääntelevä sääntö ei ole tietosuoja-asetuksessa. Se on ePrivacy-direktiivin 5 artiklan 3 kohta, joka sallii tietojen tallentamisen päätelaitteelle tai niiden lukemisen sieltä vain suostumuksella tai kahden kapean poikkeuksen nojalla, eikä oikeutettu etu ole kumpikaan niistä.
Sekaannus on ymmärrettävä. Tietosuoja-asetuksen 6 artiklassa luetellaan kuusi henkilötietojen käsittelyn oikeusperustetta: suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, yleisen edun mukainen tehtävä ja oikeutetut edut. Koska evästeisiin liittyy usein henkilötietoja, on houkuttelevaa päätellä, että mikä tahansa näistä kuudesta kelpaa.
Päättelyn virhe on siinä, että ePrivacy-sääntö on päätelaitteeseen pääsyn osalta erityissäännös, ja sitä sovelletaan silloinkin, kun henkilötietoja ei käsitellä lainkaan. Kysymykseen ”saanko asettaa tämän evästeen?” vastaa siis yksin ePrivacy-sääntely. Tietosuoja-asetuksen oikeusperusteet tulevat kuvaan vasta sen osalta, mitä teet henkilötiedoilla jälkikäteen. Artikkelimme ePrivacy-direktiivi vs. GDPR käy tämän kaksivaiheisen logiikan läpi.
Mitä oikeutettu etu tarkoittaa tietosuoja-asetuksessa?
Oikeutettu etu, josta säädetään 6 artiklan 1 kohdan f alakohdassa, sallii käsittelyn, joka on tarpeen sinun tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi jos yksilön edut tai perusoikeudet ovat niitä painavammat. Peruste on joustava, mutta siihen liittyy todellisia velvoitteita.
Siihen nojaaminen edellyttää kolmiosaisen testin läpäisemistä, ja testi kirjataan yleensä oikeutetun edun arvioinniksi:
- Käyttötarkoitus. Onko etu oikeutettu, selkeästi määritelty ja lainmukainen?
- Tarpeellisuus. Onko käsittely todella tarpeen tähän tarkoitukseen, vai voiko tarkoituksen saavuttaa yksityisyyteen vähemmän puuttuvalla tavalla?
- Tasapainotus. Ovatko yksilön oikeudet ja kohtuulliset odotukset painavampia kuin etusi?
Ihmisillä on yleensä oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä, ja sinun on kerrottava heille tästä oikeudesta. Salaista sivustojen välistä seurantaa mainontaa varten on vaikea perustella tasapainotuksessa, koska useimmat ihmiset eivät odota sitä.
Missä oikeutettu etu voi yhä soveltua evästeisiin?
Se voi soveltua henkilötietoihin, joita käsitellään suostumusvaatimuksesta vapautettujen evästeiden kautta, sekä käsittelyyn, johon ei liity lainkaan pääsyä päätelaitteeseen. Se ei voi kattaa itse päätelaitteeseen pääsyä muihin kuin välttämättömiin tarkoituksiin.
| Tilanne | Tallentaminen päätelaitteelle tai lukeminen sieltä (ePrivacy) | Tietojen myöhempi käsittely (GDPR) |
|---|---|---|
| Kirjautumisistunnon eväste | Vapautettu, koska ehdottoman välttämätön | Yleensä sopimus; oikeutettu etu mahdollinen |
| Kuormantasauseväste | Vapautettu, koska ehdottoman välttämätön | Oikeutettu etu on yleinen |
| Tietoturva- ja väärinkäytöstarkistukset pyydetyssä palvelussa | Usein vapautettu, jos ehdottoman välttämätön; tarkista paikalliset ohjeet | Oikeutettu etu on yleinen |
| Analytiikkaevästeet | Suostumus, ellei kapea kansallinen poikkeus sovellu | Suostumus on turvallinen oletus |
| Mainonta ja uudelleenkohdentaminen | Suostumus | Käytännössä suostumus |
| Palvelinpuolen analyysi ilman pääsyä päätelaitteeseen | Ei yleensä aktivoidu; tarkista, miten tiedot kerätään | Oikeutettu etu voi olla mahdollinen |
Taulukon ylimmät rivit edellyttävät, että eväste on aidosti ehdottoman välttämätön, ja oppaamme välttämättömistä evästeistä kertoo, mihin raja asettuu. Viimeinen rivi on monien evästeettömien analytiikkaratkaisujen taustalla oleva ajatus, mutta ”evästeetön” ei automaattisesti tarkoita ”suostumuksesta vapaata”.
Yksi ehdoton sääntö tulee EU:n valvontaviranomaisia koordinoivalta Euroopan tietosuojaneuvostolta (EDPB): oikeusperustetta ei voi vaihtaa jälkikäteen. Jos pyysit suostumusta ja kävijä kieltäytyi tai peruutti sen myöhemmin, et voi jatkaa samaa käsittelyä oikeutetun edun perusteella.
Miten IAB TCF 2.2 muutti oikeutetun edun asemaa?
IAB Europen Transparency & Consent Frameworkin (TCF) vuonna 2023 julkaistu versio 2.2 poisti oikeutetun edun sallittuna perusteena mainonnan ja sisällön personoinnin käyttötarkoituksilta. Näin poistui yleisin tapa, jolla oikeutettu etu näkyi evästebannereissa.
TCF on alan standardi, jota monet julkaisijat ja mainosteknologiayhtiöt käyttävät suostumusvalintojen keräämiseen ja välittämiseen mainonnan toimitusketjussa. Ennen versiota 2.2 monissa bannereissa oli erillinen ”oikeutettu etu” -välilehti, jossa lueteltiin oletuksena päälle kytkettyjä toimittajia ja käyttötarkoituksia ja tarjottiin vastustamismahdollisuus, jonka harva kävijä koskaan löysi.
TCF v2.2:ssa käyttötarkoitukset 3–6 (profiilien luominen personoitua mainontaa varten, profiilien käyttäminen personoitujen mainosten valintaan, profiilien luominen sisällön personointia varten ja profiilien käyttäminen personoidun sisällön valintaan) edellyttävät suostumusta. Käyttötarkoitus 1, tietojen tallentaminen päätelaitteelle tai niihin pääsy, edellytti suostumusta jo aiemmin. Jotkin mittaamiseen ja tuotekehitykseen liittyvät käyttötarkoitukset voivat kehyksen sisällä edelleen nojata oikeutettuun etuun, mutta se ei muuta sitä, mitä ePrivacy-direktiivi edellyttää itse evästeiltä.
Versio 2.2 edellyttää myös, että toimittajien määrä näytetään bannerin ensimmäisellä tasolla. Oppaamme IAB TCF 2.2:sta käy läpi muut muutokset.
Miten oikeutettu etu kannattaa huomioida suostumusratkaisussa?
Pidä suostumukseen perustuvat evästeet ja oikeutettuun etuun perustuva käsittely selvästi erillään, äläkä koskaan käytä oikeutettua etua varaperusteena, kun suostumus puuttuu. Yksinkertainen prosessi auttaa:
- Liitä jokainen eväste ja seurantatyökalu käyttötarkoitukseen. Ota mukaan myös tagienhallinnan ja lisäosien kautta ladattavat tagit.
- Vastaa ensin ePrivacy-kysymykseen. Päätä jokaisen kohteen osalta, onko se ehdottoman välttämätön vai tarvitseeko se suostumuksen. Kolmatta vaihtoehtoa ei ole.
- Valitse tietosuoja-asetuksen mukainen peruste sitä seuraavalle käsittelylle. Dokumentoi se ja laadi oikeutetun edun arviointi aina, kun nojaat tähän perusteeseen.
- Kerro oikeutettuun etuun perustuvasta käsittelystä selkeästi. Kuvaa se tietosuojaselosteessasi ja tarjoa yksinkertainen tapa vastustaa käsittelyä sen sijaan, että toiselle tasolle on piilotettu valmiiksi päälle kytkettyjä valintoja.
- Kunnioita kieltäytymisiä perusteesta riippumatta. Jos kävijä hylkää analytiikan, lopeta analytiikkaan liittyvä käsittely, älä pelkkää evästettä.
- Tarkista tilanne, kun toimittajat vaihtuvat. Uusien työkalujen mukana tulee usein omia oletuksia oikeusperusteista, eivätkä ne välttämättä vastaa omiasi.
Yhteenveto
Oikeutettu etu on aito tietosuoja-asetuksen mukainen oikeusperuste, mutta evästeiden kohdalla se tulee kyseeseen vasta ePrivacy-kysymyksen jälkeen, ei koskaan sen sijaan. Jos eväste ei ole ehdottoman välttämätön, pyydä suostumus. Jos se on, voit harkita oikeutettua etua sitä seuraavan käsittelyn perusteeksi, kunhan taustalla on dokumentoitu arviointi. Cookieshin kaltaiset työkalut voivat pitää analytiikka- ja markkinointiskriptit odottamassa suostumusta ja samalla antaa välttämättömien skriptien toimia, mikä pitää rajan käytännössä selkeänä.
Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.
Usein kysytyt kysymykset
Voiko analytiikkaevästeiden käyttö perustua oikeutettuun etuun?
Useimmissa EU-maissa ei. Analytiikkaevästeiden asettaminen tai lukeminen edellyttää suostumusta, ellei kansallinen poikkeus sovellu. Jotkin valvontaviranomaiset sallivat tarkasti rajatun ensimmäisen osapuolen kävijämittauksen ilman suostumusta, mutta edellytykset ovat tiukat ja vaihtelevat maittain.
Mikä on oikeutetun edun arviointi?
Se on kirjallinen dokumentti, joka osoittaa, että käyttötarkoituksesi on oikeutettu, että käsittely on sen kannalta tarpeellista ja etteivät henkilön oikeudet ja odotukset ole etuasi painavampia. Valvontaviranomaiset odottavat näkevänsä sellaisen, kun nojaat tähän perusteeseen.
Miksi joissakin suostumusbannereissa on ”oikeutettu etu” -välilehti?
IAB Transparency & Consent Frameworkiin perustuvat bannerit luettelevat käyttötarkoituksia ja toimittajia, ja osa käyttötarkoituksista voi yhä vedota oikeutettuun etuun, jolloin käyttäjälle tarjotaan mahdollisuus vastustaa. TCF v2.2:sta lähtien mainonnan ja sisällön personoinnin käyttötarkoitukset eivät enää voi käyttää sitä.
Mikä on välttämättömien evästeiden oikeusperuste?
Eväste itsessään ei edellytä suostumusta, koska ePrivacy-direktiivi sisältää poikkeuksen ehdottoman välttämättömälle tallentamiselle. Sen kautta käsiteltävät henkilötiedot tarvitsevat silti tietosuoja-asetuksen mukaisen oikeusperusteen, joka on käyttötarkoituksesta riippuen usein sopimuksen täytäntöönpano tai oikeutettu etu.
Lähteet
Cookieshin toimitus
Tietosuojainsinöörejä ja vaatimustenmukaisuuden asiantuntijoita, jotka kirjoittavat tuotetiimeille käytännön ohjeita suostumuksista, evästeistä ja tietosuojasta.
