Evästetyypit: 1. ja 3. osapuolen, istunto- ja pysyvät evästeet

Evästeet luokitellaan yleensä kolmella tavalla: sen mukaan, kuka ne asettaa (ensimmäinen vai kolmas osapuoli), kuinka kauan ne säilyvät (istunto- vai pysyvä eväste) ja mihin niitä käytetään (välttämättömät, asetukset, analytiikka tai markkinointi). Kaksi ensimmäistä kuvaavat teknistä toimintaa. Kolmas on tietosuojalainsäädännön kannalta tärkein, koska evästeen käyttötarkoitus ratkaisee, tarvitsetko suostumuksen ennen sen asettamista.

Mikä eväste on teknisesti?

Eväste on pieni tekstinpätkä, jonka verkkosivusto pyytää selainta tallentamaan ja lähettämään takaisin myöhemmissä pyynnöissä samalle sivustolle. Palvelimet asettavat evästeitä Set-Cookie-HTTP-otsakkeella, ja sivun skriptit voivat asettaa niitä document.cookie-ominaisuuden kautta.

Jokaisella evästeellä on nimi, arvo ja attribuutit, jotka määräävät, missä ja kuinka kauan se elää:

Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax

Domain ja Path määräävät, mitkä pyynnöt kuljettavat evästettä. Expires tai Max-Age asettaa sen elinajan. Secure rajoittaa sen HTTPS-yhteyksiin, HttpOnly piilottaa sen JavaScriptiltä, ja SameSite määrää, lähetetäänkö se sivustojen välisissä pyynnöissä.

Mitä eroa on ensimmäisen ja kolmannen osapuolen evästeillä?

Ensimmäisen osapuolen eväste asetetaan selaimen osoiterivillä näkyvälle verkkotunnukselle. Kolmannen osapuolen eväste asetetaan eri verkkotunnukselle, yleensä sivulle upotetun sisällön, kuten mainoksen, videosoittimen tai sosiaalisen median widgetin, toimesta.

Jos kävijä on sivustolla shop.example ja verkkotunnuksesta ads.example-network.com tuleva upotettu mainos asettaa evästeen, kyseessä on kolmannen osapuolen eväste. Koska sama mainosverkosto on upotettu moniin sivustoihin, sen eväste voi tunnistaa saman selaimen niillä kaikilla. Juuri tämä sivustojen välinen tunnistaminen teki kolmannen osapuolen evästeistä käyttäytymiseen perustuvan mainonnan selkärangan.

Käytännössä on syytä huomata kaksi vivahdetta:

• Ensimmäinen osapuoli ei tarkoita, että tiedot jäävät sinulle. Monet analytiikka- ja mainosskriptit toimivat sivullasi ja kirjoittavat evästeitä omalle verkkotunnuksellesi. Ne ovat teknisesti ensimmäisen osapuolen evästeitä, mutta niiden sisältämät tunnisteet lähetetään silti palveluntarjoajalle.
• Selainten tuki on muutoksessa. Safari ja Firefox rajoittavat kolmannen osapuolen evästeitä oletuksena, ja Chromen suunnitelmat ovat muuttuneet useaan otteeseen. Tarkista nykytilanne ennen kuin rakennat mitään, mikä on niiden varassa.

Mitä eroa on istuntoevästeillä ja pysyvillä evästeillä?

Istuntoevästeellä ei ole Expires- eikä Max-Age-attribuuttia, joten selain poistaa sen istunnon päättyessä. Pysyvällä evästeellä on nimenomainen vanhenemisaika, ja se säilyy selaimen uudelleenkäynnistysten yli siihen päivään asti tai kunnes käyttäjä poistaa sen.

Istunnon päättymisestä päättää selain, ei sivustosi. Jotkin selaimet palauttavat istuntoevästeet avatessaan aiemmat välilehdet uudelleen, joten istuntoeväste voi elää pidempään kuin odotat. Jotkin selaimet myös lyhentävät tiettyjen JavaScriptillä asetettujen evästeiden elinaikaa pyytämästäsi vanhenemisajasta riippumatta.

Elinajalla on merkitystä myös vaatimustenmukaisuuden kannalta. Valvontaviranomaiset odottavat, että evästeiden kesto on oikeassa suhteessa niiden käyttötarkoitukseen, ja evästekäytännössäsi pitäisi kertoa, kuinka kauan kukin eväste säilyy.

Mitkä ovat evästeiden käyttötarkoituksen mukaiset kategoriat?

Useimmat suostumusbannerit ryhmittelevät evästeet neljään käyttötarkoitukseen perustuvaan kategoriaan. Nimet vaihtelevat, mutta logiikka on sama:

• Välttämättömät: tarvitaan käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseen, kuten kirjautuneena pysymiseen, ostoskorin säilyttämiseen tai suostumusvalinnan muistamiseen. Testi on kuvattu artikkelissa mikä lasketaan välttämättömäksi evästeeksi.
• Asetukset (tai toiminnalliset): muistavat käyttökokemusta parantavia valintoja, kuten kielen, alueen tai näyttöasetukset.
• Analytiikka (tai tilastot): mittaavat, miten kävijät käyttävät sivustoa, esimerkiksi sivunkatseluja, liikenteen lähteitä ja konversiopolkuja.
• Markkinointi (tai mainonta): rakentavat profiileja, mittaavat mainosten tehoa, kohdentavat mainontaa uudelleen kävijöille tai jakavat tietoja mainosalustoille.

Miten evästetyypit vertautuvat toisiinsa?

Jokaisella evästeellä on yhtä aikaa osapuoli, elinaika ja käyttötarkoitus, esimerkiksi ensimmäisen osapuolen pysyvä analytiikkaeväste. Taulukosta näkyy, miten kukin tyyppi liittyy suostumukseen EU:n säännöissä.

Tyyppi	Luokitteluperuste	Tyypillinen esimerkki	Tarvitaanko suostumus EU:n säännöissä?
Ensimmäinen osapuoli	Asettava verkkotunnus	Kirjautumisistunto omalla verkkotunnuksellasi	Riippuu käyttötarkoituksesta
Kolmas osapuoli	Asettava verkkotunnus	Upotetun mainoksen mainosverkostoeväste	Riippuu käyttötarkoituksesta; käytännössä yleensä kyllä
Istuntoeväste	Elinaika	Ostoskori, joka tyhjenee, kun selain suljetaan	Riippuu käyttötarkoituksesta
Pysyvä eväste	Elinaika	Vuoden ajan säilyvä kielivalinta	Riippuu käyttötarkoituksesta
Välttämätön	Käyttötarkoitus	Tunnistautuminen, kuormantasaus, suostumustallenne	Ei, vapautettu
Asetukset	Käyttötarkoitus	Muistettu kieli tai teema	Yleensä kyllä; kapeita poikkeuksia käyttäjän itse aktiivisesti valitsemille asetuksille
Analytiikka	Käyttötarkoitus	Kävijöiden ja sivunkatselujen mittaus	Yleensä kyllä; jotkin kansalliset valvontaviranomaiset sallivat kapeita poikkeuksia
Markkinointi	Käyttötarkoitus	Uudelleenkohdentamis- ja mainoskonversioevästeet	Kyllä

Tekniset tyypit eivät koskaan yksinään ratkaise suostumuskysymystä. Sen ratkaisee vain käyttötarkoitus.

Kiinnostaako tietosuojalainsäädäntöä evästeen tyyppi vai käyttötarkoitus?

Käyttötarkoitus. ePrivacy-direktiivin 5 artiklan 3 kohtaa sovelletaan minkä tahansa tiedon tallentamiseen käyttäjän päätelaitteelle tai siihen pääsyyn, ja sen poikkeukset on määritelty käyttötarkoituksen mukaan. Ellei tallentaminen ole ehdottoman välttämätöntä käyttäjän pyytämän palvelun kannalta tai sitä käytetä ainoastaan viestin välittämiseen, tarvitset ennakkosuostumuksen.

Tästä seuraa kolme asiaa:

1. Säännöt ovat teknologianeutraaleja. localStorage, sessionStorage, IndexedDB, seurantapikselit ja laitteen sormenjälkitunnistus kuuluvat sääntelyn piiriin aivan kuten evästeet. EU:n kahden säädöksen vuorovaikutuksesta kerrotaan artikkelissa ePrivacy-direktiivi vs. GDPR.
2. Tietosuoja-asetusta (GDPR) sovelletaan lisäksi, kun tiedot ovat henkilötietoja. Tietosuoja-asetus mainitsee evästetunnisteet niiden verkkotunnisteiden joukossa, joiden avulla henkilö voidaan tunnistaa, joten useimpiin seurantaevästeisiin liittyy henkilötietoja.
3. Yhdysvaltojen laeissa on eri malli. CCPA:n ja CPRA:n mukaan mainosevästeiden käyttö voi olla henkilötietojen ”myymistä” tai ”jakamista”. Aktiivisen suostumuksen keräämisen sijaan sinun on tarjottava mahdollisuus kieltäytyä (opt-out) ja noudatettava Global Privacy Control -signaaleja.

Miten selvitän, mitä evästeitä sivustoni käyttää?

Aloita selaimen kehittäjätyökaluista, jotka luettelevat evästeet ja muun tallennetun tiedon jokaiselle verkkotunnukselle, jota sivu käyttää. Näin saat nopean tilannekuvan, mutta siitä puuttuvat evästeet, jotka ilmestyvät vain tietyillä sivuilla, kirjautumisen jälkeen tai sen jälkeen, kun kävijä antaa suostumuksen.

Luotettavampi prosessi:

1. Avaa sivusto puhtaassa yksityisessä ikkunassa ja kirjaa kaikki, mitä asetetaan ennen suostumuksen antamista.
2. Hyväksy kaikki evästeet, selaa keskeisiä sivuja ja polkuja ja kirjaa, mitä ilmestyy.
3. Merkitse kunkin evästeen nimi, asettava verkkotunnus, elinaika ja käyttötarkoitus.
4. Määritä jokaiselle käyttötarkoituskategoria ja varmista, ettei mitään muuta kuin välttämätöntä ilmestynyt ennen suostumusta.
5. Toista säännöllisesti, sillä uusia tageja ilmestyy aina, kun markkinointi- tai tuotetiimit ottavat käyttöön uusia työkaluja.

Oppaamme evästekartoituksen tekemisestä käsittelee prosessia perusteellisesti, ja sen tulokset ovat suoraan pohjana evästekäytännöllesi.

Yhteenveto

Ensimmäinen vs. kolmas osapuoli ja istunto vs. pysyvä kuvaavat, miten eväste käyttäytyy. Käyttötarkoitus kertoo, miksi se on olemassa, ja käyttötarkoitus ratkaisee, tarvitsetko suostumuksen. Inventoi evästeesi, luokittele jokainen käyttötarkoituksen mukaan ja estä kaikki muu kuin välttämätön, kunnes kävijät suostuvat. Cookieshin kaltaiset työkalut voivat automatisoida evästeskannauksen ja pitää merkityt skriptit odottamassa, kunnes kävijät antavat suostumuksensa.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.