Ei automaattisesti. Jos sivusto käyttää vain teknisesti välttämättömiä evästeitä tai vastaavia tekniikoita, niiden käyttöön ei Traficomin ohjeen mukaan tarvitse pyytää suostumusta. Jos sivusto käyttää ei-välttämättömiä tekniikoita esimerkiksi analytiikkaan, mainonnan kohdentamiseen tai tiettyihin kolmannen osapuolen sisältöihin, suostumus on yleensä pyydettävä ennen niiden käyttöä.
Ratkaisu ei siis riipu siitä, onko yritys pieni tai suuri. Ratkaisevaa on, mitä sivusto tekee käyttäjän laitteella.
Mikä eväste on?
Eväste on pieni tieto, jonka verkkopalvelu voi tallentaa käyttäjän selaimeen tai lukea sieltä myöhemmin.
Samaan sääntelyyn voi kuulua myös muita tekniikoita kuin varsinaiset cookie-tiedostot. Siksi pelkkä selaimen evästeluettelon katsominen ei aina kerro koko tilannetta.
Mitkä evästeet eivät vaadi suostumusta?
Traficomin mukaan suostumusta ei tarvitse pyytää, jos tallentaminen tai tietojen käyttö on välttämätöntä:
- viestin välittämiseksi viestintäverkossa tai
- käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi
Esimerkkejä voivat olla tietyt kirjautumiseen, tietoturvaan, ostoskorin toimintaan tai käyttäjän pyytämän lomakkeen toimintaan aidosti tarvittavat tekniset ratkaisut.
Näistäkin on hyvä kertoa avoimesti.
Milloin suostumusta yleensä tarvitaan?
Tavallisia tarkistettavia asioita ovat:
- kävijäanalytiikka
- markkinointipikselit
- uudelleenmarkkinointi
- käyttäytymisen seuranta
- sosiaalisen median upotukset
- video- tai karttaupotukset, jotka lataavat kolmannen osapuolen seurantaa
- chat- ja muut lisäpalvelut
Se, että jokin työkalu on yritykselle hyödyllinen, ei tee siitä teknisesti välttämätöntä käyttäjälle.
Jos suostumus vaaditaan, ei-välttämättömiä tekniikoita ei pitäisi käynnistää ennen käyttäjän valintaa.
Mitä Suomessa tarkentui vuonna 2026?
Korkein hallinto-oikeus vahvisti elokuussa 2026 Traficomin linjaa kahdessa ennakkopäätöksessä, KHO:2026:64 ja KHO:2026:65.
Yrityksen kannalta niistä kannattaa muistaa kolme asiaa:
- Poikkeusta suostumuksen pyytämisestä tulkitaan suppeasti. Tekniikan pitää olla aidosti välttämätön käyttäjän nimenomaisesti pyytämän palvelun toteuttamiseksi.
- Säännöt eivät koske vain perinteisiä cookie-tiedostoja. Myös muut käyttäjän päätelaitteelta tietoa lukevat verkkokutsut voivat kuulua saman sääntelyn piiriin.
- Ei-välttämättömistä tekniikoista kieltäytymisen pitää olla yhtä helppoa kuin niiden hyväksymisen. Käyttäjää ei saa ohjata hyväksymään valinnoilla, jotka tekevät kieltäytymisestä selvästi hankalampaa.
Tämä tekee työkalujen todellisen käytön tarkistamisesta tärkeämpää kuin sen, näkyykö sivulla vain jonkinlainen banneri.
Evästebanneri ei ole vain ilmoitus
Huono toteutus näyttää tekstin "käytämme evästeitä" mutta lataa analytiikan ja markkinoinnin jo ennen kuin käyttäjä tekee mitään.
Jos suostumusta tarvitaan, bannerin tai muun hallintaratkaisun pitää oikeasti hallita, mitä teknologioita käynnistetään.
Traficom painottaa myös, että käyttäjälle pitää kertoa selkeästi muun muassa käytetyistä tekniikoista, niiden tarkoituksista ja voimassaoloajoista sekä mahdollisista kolmansista osapuolista.
Tarvitaanko banneria, jos käytössä ei ole analytiikkaa?
Mahdollisesti ei, jos sivustolla ei ole muitakaan suostumusta vaativia tekniikoita.
Tämä pitää kuitenkin tarkistaa toteutuksesta eikä olettaa. Esimerkiksi ulkopuolinen video, chat, kartta tai roskapostisuoja voi tuoda mukanaan omia teknisiä ratkaisujaan.
Sivuston työkalut kannattaa siis kartoittaa kokonaisuutena.
Entä Google Analytics?
Kävijäanalytiikka kannattaa arvioida suostumuksen kannalta erikseen. Suomessa Traficomin lähtökohta on, että vain välttämättömät evästeet ovat vapautettuja suostumuksesta.
Siksi analytiikkaa ei kannata käynnistää automaattisesti vain sillä ajatuksella, että "kaikilla sivuilla on Analytics".
Mitä yrittäjän kannattaa tehdä?
- Listaa kaikki sivuston ulkopuoliset työkalut, upotukset ja seurantatekniikat.
- Selvitä, tallentavatko tai lukevatko ne tietoa käyttäjän laitteelta.
- Erottele aidosti välttämättömät ja muut käyttötarkoitukset.
- Jos suostumusta tarvitaan, estä ei-välttämättömien tekniikoiden käynnistyminen ennen valintaa.
- Tee hyväksymisestä ja kieltäytymisestä yhtä helppoa.
- Kerro käytöstä selkeästi evästeselosteessa tai tietosuojatiedoissa.
- Tee jo annettujen valintojen muuttamisesta helppoa.
- Tarkista toteutus uudelleen, kun sivustolle lisätään uusia työkaluja.
Tämä artikkeli antaa yleiskuvan. Jos käsittelyyn liittyy epäselvyyttä tai liiketoiminnassa käsitellään arkaluonteista tietoa, tilanne kannattaa arvioida erikseen asiantuntijan kanssa.
Lähteet: Liikenne- ja viestintävirasto Traficom / Kyberturvallisuuskeskus, Evästeet sekä Korkein hallinto-oikeus vahvisti Traficomin tulkintoja evästeiden käytöstä (28.8.2026). KHO:2026:64 ja KHO:2026:65. EU:n Your Europe -palvelu, Yksityisyyden suoja verkossa.