Mikä lasketaan välttämättömäksi evästeeksi?

Ehdottoman välttämätön eväste on eväste, jota ilman verkkosivustosi ei pysty tarjoamaan käyttäjän nimenomaisesti pyytämää palvelua, kuten pitämään häntä kirjautuneena, säilyttämään tuotteita ostoskorissa tai muistamaan hänen evästevalintojaan. EU:n säännöissä nämä evästeet on vapautettu suostumuksesta. Evästeet, jotka palvelevat pääasiassa liiketoimintaasi, kuten analytiikka-, mainonta- tai A/B-testausevästeet, eivät yleensä ole.

Mitä laki oikeastaan sanoo?

Poikkeus perustuu ePrivacy-direktiivin 5 artiklan 3 kohtaan. Tietojen tallentaminen käyttäjän päätelaitteelle tai niihin pääsy edellyttää suostumusta, paitsi jos sitä käytetään ainoastaan viestin välittämiseen verkossa tai se on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Kaksi ilmausta kantaa suurimman painon:

• ”Ehdottoman välttämätön” asettaa riman korkealle. Hyödyllinen, tehokas tai kaupallisesti tärkeä ei riitä. Palvelun on lakattava toimimasta tai sen tarjoamisen on oltava mahdotonta ilman evästettä.
• ”Nimenomaisesti pyytämä” tarkoittaa, että palvelua arvioidaan kävijän näkökulmasta. Kävijä pyytää sivua, kirjautumista tai kassatoimintoa. Hän ei pyydä kävijämittausta tai mainosten kohdentamista.

Yhdistyneen kuningaskunnan PECR sisältää vastaavan poikkeuksen, jota valvoo ICO. EU:n jäsenvaltiot panevat direktiivin täytäntöön kansallisilla laeilla, joten sanamuodot ja valvontaviranomaisten ohjeet vaihtelevat hieman maittain. Tämän kategorian rinnalla olevista muista kategorioista kerrotaan artikkelissa evästetyypit.

Miten testaan, onko eväste ehdottoman välttämätön?

Kysy, lakkaisiko käyttäjän pyytämä palvelu toimimasta ilman evästettä ja tekeekö eväste jotain muuta. Käy nämä kysymykset läpi jokaisen evästeen kohdalla:

1. Minkä palvelun käyttäjä pyysi? Nimeä se konkreettisesti: sivun katselu, kirjautuminen, kassan läpivienti.
2. Lakkaisiko palvelu toimimasta ilman tätä evästettä? Jos rehellinen vastaus on ”se toimisi, mutta menettäisimme tietoa”, eväste ei ole ehdottoman välttämätön.
3. Käytetäänkö evästettä vain tähän tarkoitukseen? Jos sama tunniste syöttää tietoja myös analytiikkaan tai mainontaan, poikkeus ei kata näitä käyttötapoja.
4. Onko sen elinaika oikeasuhteinen? Istunto- tai lyhytikäinen eväste on helpompi perustella kuin vuosia säilyvä.
5. Käyttääkö joku muu tietoja uudelleen? Jos toimittaja käyttää tietoja omiin tarkoituksiinsa, kuten profiilien rakentamiseen, poikkeus tuskin pätee.

Eväste, joka läpäisee kaikki viisi, on vahva ehdokas välttämättömien kategoriaan. Jos se ei läpäise yhtäkin kohtaa, käsittele sitä suostumusta edellyttävänä.

Mitkä evästeet yleensä täyttävät edellytykset?

Useimmat välttämättömät evästeet liittyvät istuntoihin, tietoturvaan ja käyttäjän tekemien valintojen muistamiseen. Taulukossa on yleisiä tapauksia, mutta sovella testiä aina omaan kokoonpanoosi.

Käyttötapaus	Yleensä ehdottoman välttämätön?	Huomioita
Kirjautuminen ja istunnonhallinta	Kyllä	Osioissa, joihin käyttäjä on itse päättänyt kirjautua
Ostoskori	Kyllä	Säilyttää käyttäjän lisäämät tuotteet
Kuormantasaus	Kyllä	Ohjaa pyynnöt istunnon aikana
Tietoturva, kuten CSRF-tunnisteet tai kirjautumisen väärinkäytöstarkistukset	Yleensä kyllä	Kun liittyy pyydettyyn palveluun
Käyttäjän suostumusvalinnan tallentaminen	Kyllä	Tarpeen valinnan kunnioittamiseksi
Käyttäjän valitsemat kieli- tai saavutettavuusasetukset	Usein	Kun asetus on tehty käyttäjän nimenomaisella toimella ja sitä säilytetään kohtuullisen ajan
Analytiikka ja kävijämittaus	Yleensä ei	Katso alempana oleva analytiikkaa käsittelevä osio
A/B-testaus ja personointi	Yleensä ei	Palvelee sinun optimointiasi, ei käyttäjän pyyntöä
Mainonta, uudelleenkohdentaminen ja konversioseuranta	Ei	Edellyttää suostumusta EU:ssa
Kävijöitä seuraavat sosiaalisen median upotukset	Ei	Lataa ne vasta suostumuksen jälkeen

Mitkä virheet tekevät ”välttämättömästä” rikkomuksen?

Yleisin ongelma on se, että muita kuin välttämättömiä evästeitä sijoitetaan välttämättömien kategoriaan, jotta ne latautuvat ennen suostumusta. Valvontaviranomaiset etsivät juuri tätä tarkastaessaan bannereita ja evästeluetteloita.

Varo näitä toimintamalleja:

• Liiketoiminnallisella välttämättömyydellä perusteleminen. ”Tarvitsemme analytiikkaa liiketoiminnan pyörittämiseen” voi pitää paikkansa, mutta poikkeus koskee käyttäjän pyytämää palvelua, ei sinun toiminnallisia tarpeitasi.
• Luottaminen toimittajan luokitteluun. Kun toimittaja kuvaa evästettään ”välttämättömäksi”, kyse on tuotekuvauksesta, ei oikeudellisesta arviosta. Tarkista, mitä eväste todella tekee.
• Monikäyttöiset evästeet. Yksittäinen tunniste, jota käytetään sekä istunnonhallintaan että mainonnan attribuutioon, edellyttää suostumusta mainontakäyttöä varten. Jaa toiminnot erillisiin evästeisiin aina kun voit.
• Välttämättömien skriptien mukana kulkevat tagit. Tagienhallinnan säiliö voi latautua ennen suostumusta, mutta sen sisällä olevien tagien on silti odotettava kävijän valintaa.
• Poikkeuksen sekoittaminen oikeutettuun etuun. Tietosuoja-asetuksen (GDPR) oikeutettu etu -peruste ei korvaa ePrivacy-sääntelyn suostumusvaatimusta tietojen tallentamiselle päätelaitteelle. Käsittelemme tätä artikkelissa voiko evästeiden käyttö perustua oikeutettuun etuun?

Pitääkö välttämättömistä evästeistä silti kertoa?

Käytännössä kyllä. Poikkeus poistaa suostumuksen tarpeen, mutta jos eväste käsittelee henkilötietoja, tietosuoja-asetuksen läpinäkyvyysvelvoitteet ovat silti voimassa, ja valvontaviranomaiset odottavat näkevänsä välttämättömät evästeet luetteloituina muiden rinnalla.

Tämä tarkoittaa kolmea asiaa. Luettele jokainen välttämätön eväste evästekäytännössäsi käyttötarkoituksineen ja kestoineen, kuten artikkelissa näin kirjoitat evästekäytännön kuvataan. Näytä välttämättömien kategoria banneriasetuksissa merkinnällä ”aina aktiivinen” kytkimen sijaan. Ja tarkista luettelo aina, kun lisäät uuden toimittajan, koska tänään vapautettu eväste voi menettää asemansa, jos sen käyttö muuttuu.

Onko analytiikalle poikkeuksia?

Yleensä ei. ePrivacy-direktiivin mukaan analytiikkaevästeet edellyttävät suostumusta useimmissa EU-maissa. Muutama kansallinen valvontaviranomainen on kuvannut kapeita edellytyksiä, joilla yksinkertainen ensimmäisen osapuolen kävijämittaus voi olla vapautettu. Tyypillisesti edellytetään tiukasti rajattua käyttötarkoitusta, sivustojen välisen seurannan puuttumista ja koostettuja tuloksia.

Nämä kannat ovat kansallisia, eivät EU:n laajuisia, ja niiden edellytykset ovat tiukat. Myös Yhdistynyt kuningaskunta on ryhtynyt keventämään suostumussääntöjä joidenkin vähäriskisten käyttötarkoitusten osalta, mukaan lukien tietyt analytiikkatarkoitukset, mutta sen soveltaminen riippuu lainsäädännöstä ja ICO:n ohjeista, joten tarkista ajantasainen tilanne ennen kuin luotat siihen. Jos haluat mittausta, joka on vähemmän riippuvainen suostumuksesta, evästeetön analytiikka on arvioimisen arvoinen vaihtoehto, vaikka sekään ei automaattisesti jää sääntöjen ulkopuolelle.

Yhteenveto

Ehdottoman välttämättömät evästeet ovat kapea kategoria: evästeitä, joita ilman käyttäjän pyytämä palvelu ei toimi, joita ei käytetä mihinkään muuhun ja joiden elinaika on oikeasuhteinen. Testaa jokainen eväste tätä vaatimustasoa vasten, pidä kaikki muu suostumuksen takana ja kerro välttämättömistäkin evästeistä. Cookieshin kaltaiset työkalut voivat automatisoida evästeskannauksen, mikä helpottaa uusien evästeiden havaitsemista ennen kuin ne päätyvät väärään kategoriaan.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.