# Evästetyypit: 1. ja 3. osapuolen, istunto- ja pysyvät evästeet

> Tutustu evästeiden päätyyppeihin ensimmäisen ja kolmannen osapuolen evästeistä istunto- ja pysyviin evästeisiin ja siihen, miksi käyttötarkoitus ratkaisee suostumustarpeen.

Source: https://www.cookiesh.eu/fi/blog/types-of-cookies  
Published: 2026-03-12

## Key takeaways

- Evästeet luokitellaan sen mukaan, kuka ne asettaa, kuinka kauan ne säilyvät ja mihin niitä käytetään.
- Ensimmäinen ja kolmas osapuoli kuvaavat evästeen asettavaa verkkotunnusta, eivät sitä, kuka lopulta saa tiedot.
- Istuntoevästeellä ei ole vanhenemispäivää, ja se poistetaan selainistunnon päättyessä; pysyvä eväste säilyy asetettuun päivämäärään asti.
- EU:n säännöissä käyttötarkoitus ratkaisee, tarvitseeko eväste suostumuksen, ja samat säännöt koskevat localStoragea, pikseleitä ja vastaavia tekniikoita.

Evästeet luokitellaan yleensä kolmella tavalla: sen mukaan, kuka ne asettaa (ensimmäinen vai kolmas osapuoli), kuinka kauan ne säilyvät (istunto- vai pysyvä eväste) ja mihin niitä käytetään (välttämättömät, asetukset, analytiikka tai markkinointi). Kaksi ensimmäistä kuvaavat teknistä toimintaa. Kolmas on tietosuojalainsäädännön kannalta tärkein, koska evästeen käyttötarkoitus ratkaisee, tarvitsetko suostumuksen ennen sen asettamista.

## Mikä eväste on teknisesti?

Eväste on pieni tekstinpätkä, jonka verkkosivusto pyytää selainta tallentamaan ja lähettämään takaisin myöhemmissä pyynnöissä samalle sivustolle. Palvelimet asettavat evästeitä `Set-Cookie`-HTTP-otsakkeella, ja sivun skriptit voivat asettaa niitä `document.cookie`-ominaisuuden kautta.

Jokaisella evästeellä on nimi, arvo ja attribuutit, jotka määräävät, missä ja kuinka kauan se elää:

```http
Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax
```

`Domain` ja `Path` määräävät, mitkä pyynnöt kuljettavat evästettä. `Expires` tai `Max-Age` asettaa sen elinajan. `Secure` rajoittaa sen HTTPS-yhteyksiin, `HttpOnly` piilottaa sen JavaScriptiltä, ja `SameSite` määrää, lähetetäänkö se sivustojen välisissä pyynnöissä.
## Mitä eroa on ensimmäisen ja kolmannen osapuolen evästeillä?

Ensimmäisen osapuolen eväste asetetaan selaimen osoiterivillä näkyvälle verkkotunnukselle. Kolmannen osapuolen eväste asetetaan eri verkkotunnukselle, yleensä sivulle upotetun sisällön, kuten mainoksen, videosoittimen tai sosiaalisen median widgetin, toimesta.

Jos kävijä on sivustolla `shop.example` ja verkkotunnuksesta `ads.example-network.com` tuleva upotettu mainos asettaa evästeen, kyseessä on kolmannen osapuolen eväste. Koska sama mainosverkosto on upotettu moniin sivustoihin, sen eväste voi tunnistaa saman selaimen niillä kaikilla. Juuri tämä sivustojen välinen tunnistaminen teki kolmannen osapuolen evästeistä käyttäytymiseen perustuvan mainonnan selkärangan.

Käytännössä on syytä huomata kaksi vivahdetta:

- **Ensimmäinen osapuoli ei tarkoita, että tiedot jäävät sinulle.** Monet analytiikka- ja mainosskriptit toimivat sivullasi ja kirjoittavat evästeitä omalle verkkotunnuksellesi. Ne ovat teknisesti ensimmäisen osapuolen evästeitä, mutta niiden sisältämät tunnisteet lähetetään silti palveluntarjoajalle.
- **Selainten tuki on muutoksessa.** Safari ja Firefox rajoittavat kolmannen osapuolen evästeitä oletuksena, ja Chromen suunnitelmat ovat muuttuneet useaan otteeseen. Tarkista nykytilanne ennen kuin rakennat mitään, mikä on niiden varassa.

## Mitä eroa on istuntoevästeillä ja pysyvillä evästeillä?

Istuntoevästeellä ei ole `Expires`- eikä `Max-Age`-attribuuttia, joten selain poistaa sen istunnon päättyessä. Pysyvällä evästeellä on nimenomainen vanhenemisaika, ja se säilyy selaimen uudelleenkäynnistysten yli siihen päivään asti tai kunnes käyttäjä poistaa sen.

Istunnon päättymisestä päättää selain, ei sivustosi. Jotkin selaimet palauttavat istuntoevästeet avatessaan aiemmat välilehdet uudelleen, joten istuntoeväste voi elää pidempään kuin odotat. Jotkin selaimet myös lyhentävät tiettyjen JavaScriptillä asetettujen evästeiden elinaikaa pyytämästäsi vanhenemisajasta riippumatta.

Elinajalla on merkitystä myös vaatimustenmukaisuuden kannalta. Valvontaviranomaiset odottavat, että evästeiden kesto on oikeassa suhteessa niiden käyttötarkoitukseen, ja evästekäytännössäsi pitäisi kertoa, kuinka kauan kukin eväste säilyy.
## Mitkä ovat evästeiden käyttötarkoituksen mukaiset kategoriat?

Useimmat suostumusbannerit ryhmittelevät evästeet neljään käyttötarkoitukseen perustuvaan kategoriaan. Nimet vaihtelevat, mutta logiikka on sama:

- **Välttämättömät:** tarvitaan käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseen, kuten kirjautuneena pysymiseen, ostoskorin säilyttämiseen tai suostumusvalinnan muistamiseen. Testi on kuvattu artikkelissa [mikä lasketaan välttämättömäksi evästeeksi](/fi/blog/strictly-necessary-cookies).
- **Asetukset (tai toiminnalliset):** muistavat käyttökokemusta parantavia valintoja, kuten kielen, alueen tai näyttöasetukset.
- **Analytiikka (tai tilastot):** mittaavat, miten kävijät käyttävät sivustoa, esimerkiksi sivunkatseluja, liikenteen lähteitä ja konversiopolkuja.
- **Markkinointi (tai mainonta):** rakentavat profiileja, mittaavat mainosten tehoa, kohdentavat mainontaa uudelleen kävijöille tai jakavat tietoja mainosalustoille.
### Miten evästetyypit vertautuvat toisiinsa?

Jokaisella evästeellä on yhtä aikaa osapuoli, elinaika ja käyttötarkoitus, esimerkiksi ensimmäisen osapuolen pysyvä analytiikkaeväste. Taulukosta näkyy, miten kukin tyyppi liittyy suostumukseen EU:n säännöissä.

| Tyyppi | Luokitteluperuste | Tyypillinen esimerkki | Tarvitaanko suostumus EU:n säännöissä? |
|---|---|---|---|
| Ensimmäinen osapuoli | Asettava verkkotunnus | Kirjautumisistunto omalla verkkotunnuksellasi | Riippuu käyttötarkoituksesta |
| Kolmas osapuoli | Asettava verkkotunnus | Upotetun mainoksen mainosverkostoeväste | Riippuu käyttötarkoituksesta; käytännössä yleensä kyllä |
| Istuntoeväste | Elinaika | Ostoskori, joka tyhjenee, kun selain suljetaan | Riippuu käyttötarkoituksesta |
| Pysyvä eväste | Elinaika | Vuoden ajan säilyvä kielivalinta | Riippuu käyttötarkoituksesta |
| Välttämätön | Käyttötarkoitus | Tunnistautuminen, kuormantasaus, suostumustallenne | Ei, vapautettu |
| Asetukset | Käyttötarkoitus | Muistettu kieli tai teema | Yleensä kyllä; kapeita poikkeuksia käyttäjän itse aktiivisesti valitsemille asetuksille |
| Analytiikka | Käyttötarkoitus | Kävijöiden ja sivunkatselujen mittaus | Yleensä kyllä; jotkin kansalliset valvontaviranomaiset sallivat kapeita poikkeuksia |
| Markkinointi | Käyttötarkoitus | Uudelleenkohdentamis- ja mainoskonversioevästeet | Kyllä |

Tekniset tyypit eivät koskaan yksinään ratkaise suostumuskysymystä. Sen ratkaisee vain käyttötarkoitus.

## Kiinnostaako tietosuojalainsäädäntöä evästeen tyyppi vai käyttötarkoitus?

Käyttötarkoitus. ePrivacy-direktiivin 5 artiklan 3 kohtaa sovelletaan minkä tahansa tiedon tallentamiseen käyttäjän päätelaitteelle tai siihen pääsyyn, ja sen poikkeukset on määritelty käyttötarkoituksen mukaan. Ellei tallentaminen ole ehdottoman välttämätöntä käyttäjän pyytämän palvelun kannalta tai sitä käytetä ainoastaan viestin välittämiseen, tarvitset ennakkosuostumuksen.

Tästä seuraa kolme asiaa:

1. **Säännöt ovat teknologianeutraaleja.** localStorage, sessionStorage, IndexedDB, seurantapikselit ja laitteen sormenjälkitunnistus kuuluvat sääntelyn piiriin aivan kuten evästeet. EU:n kahden säädöksen vuorovaikutuksesta kerrotaan artikkelissa [ePrivacy-direktiivi vs. GDPR](/fi/blog/eprivacy-directive-vs-gdpr).
2. **Tietosuoja-asetusta (GDPR) sovelletaan lisäksi, kun tiedot ovat henkilötietoja.** Tietosuoja-asetus mainitsee evästetunnisteet niiden verkkotunnisteiden joukossa, joiden avulla henkilö voidaan tunnistaa, joten useimpiin seurantaevästeisiin liittyy henkilötietoja.
3. **Yhdysvaltojen laeissa on eri malli.** CCPA:n ja CPRA:n mukaan mainosevästeiden käyttö voi olla henkilötietojen ”myymistä” tai ”jakamista”. Aktiivisen suostumuksen keräämisen sijaan sinun on tarjottava mahdollisuus kieltäytyä (opt-out) ja noudatettava Global Privacy Control -signaaleja.

## Miten selvitän, mitä evästeitä sivustoni käyttää?

Aloita selaimen kehittäjätyökaluista, jotka luettelevat evästeet ja muun tallennetun tiedon jokaiselle verkkotunnukselle, jota sivu käyttää. Näin saat nopean tilannekuvan, mutta siitä puuttuvat evästeet, jotka ilmestyvät vain tietyillä sivuilla, kirjautumisen jälkeen tai sen jälkeen, kun kävijä antaa suostumuksen.

Luotettavampi prosessi:

1. Avaa sivusto puhtaassa yksityisessä ikkunassa ja kirjaa kaikki, mitä asetetaan ennen suostumuksen antamista.
2. Hyväksy kaikki evästeet, selaa keskeisiä sivuja ja polkuja ja kirjaa, mitä ilmestyy.
3. Merkitse kunkin evästeen nimi, asettava verkkotunnus, elinaika ja käyttötarkoitus.
4. Määritä jokaiselle käyttötarkoituskategoria ja varmista, ettei mitään muuta kuin välttämätöntä ilmestynyt ennen suostumusta.
5. Toista säännöllisesti, sillä uusia tageja ilmestyy aina, kun markkinointi- tai tuotetiimit ottavat käyttöön uusia työkaluja.

Oppaamme [evästekartoituksen tekemisestä](/fi/blog/how-to-run-a-cookie-audit) käsittelee prosessia perusteellisesti, ja sen tulokset ovat suoraan pohjana [evästekäytännöllesi](/fi/blog/how-to-write-a-cookie-policy).

## Yhteenveto

Ensimmäinen vs. kolmas osapuoli ja istunto vs. pysyvä kuvaavat, miten eväste käyttäytyy. Käyttötarkoitus kertoo, miksi se on olemassa, ja käyttötarkoitus ratkaisee, tarvitsetko suostumuksen. Inventoi evästeesi, luokittele jokainen käyttötarkoituksen mukaan ja estä kaikki muu kuin välttämätön, kunnes kävijät suostuvat. Cookieshin kaltaiset työkalut voivat automatisoida evästeskannauksen ja pitää merkityt skriptit odottamassa, kunnes kävijät antavat suostumuksensa.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Ovatko ensimmäisen osapuolen evästeet vapautettuja suostumuksesta?

Eivät. Eväste ei vapaudu suostumusvaatimuksesta sillä perusteella, että se on ensimmäisen osapuolen eväste. Jos ensimmäisen osapuolen evästettä käytetään analytiikkaan tai mainontaan, EU:n säännöt edellyttävät yleensä aktiivista suostumusta ennen sen asettamista aivan kuten kolmannen osapuolen evästeen kohdalla.

### Kohdellaanko localStoragea EU-oikeudessa eri tavalla kuin evästeitä?

Ei. ePrivacy-direktiivi koskee tietojen tallentamista käyttäjän päätelaitteelle tai niihin pääsyä tekniikasta riippumatta. Seurantaa varten localStorageen tai IndexedDB:hen kirjoitetut tiedot edellyttävät suostumusta samalla tavalla kuin seurantaeväste.

### Tarvitsevatko istuntoevästeet suostumuksen?

Se riippuu siitä, mitä ne tekevät, ei siitä, kuinka kauan ne säilyvät. Ostoskorin toiminnan mahdollistava istuntoeväste on yleensä vapautettu, kun taas lyhytikäinenkin mainontaan käytettävä eväste edellyttää suostumusta.

### Ovatko kolmannen osapuolen evästeet katoamassa?

Safari ja Firefox rajoittavat niitä jo oletuksena, ja Chromen suunnitelmat ovat muuttuneet useaan otteeseen, joten tarkista nykytilanne. Joka tapauksessa suostumussäännöt koskevat mitä tahansa seurantatekniikkaa, joka niiden tilalle tulee.

## Sources

- [MDN: Using HTTP cookies](https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)