Suostumus ja bannerit

Evästeen kehitys: Perusseurannasta tiukkaan vaatimustenmukaisuuteen

7. heinäkuuta 2026 · 16 min lukuaika

Lyhyt vastaus

Selaimen evästeet alkoivat vuonna 1994 yksinkertaisena ratkaisuna ostoskorin tilan ylläpitämiseen verkkosessioiden välillä, mutta evästeen kehitys perusseurannasta tiukkaan vaatimustenmukaisuuteen on muuttanut ne yhdeksi digitaalisen historian säännellyimmistä teknologioista. Nykyään evästeiden käyttöönotto ilman käyttäjän nimenomaista suostumusta voi altistaa organisaatiot merkittäville sääntelysakkoille GDPR:n ja CCPA:n kaltaisten kehysten nojalla. Tämän kehityksen ymmärtäminen on olennaista kaikille verkkosivustojen omistajille, kehittäjille tai tietosuojan ammattilaisille, jotka toimivat vuonna 2026.

Tärkeimmät huomiot

Evästeet keksi Lou Montulli Netscapessa vuonna 1994 ratkaistakseen tilattoman HTTP-ongelman, ei käyttäjien seuraamiseksi
Kolmannen osapuolen evästeet mahdollistivat sivustojen välisen käyttäytymisprofiilien luomisen, mikä laukaisi maailmanlaajuisia sääntelytoimia 2000-luvun puolivälistä lähtien
GDPR (2018) ja CCPA (2020) muuttivat perustavanlaatuisesti sitä, miten verkkosivustojen on hankittava ja dokumentoitava evästesuostumus
Googlen kolmannen osapuolen evästeiden poistaminen Chromesta on nopeuttanut yksityisyyttä suojaavien vaihtoehtojen, kuten ensimmäisen osapuolen datastrategioiden ja palvelinpuolen analytiikan, käyttöönottoa
Suostumuksenhallintajärjestelmät (CMP) ovat nyt vaatimustenmukaisuusvaatimus, eivät valinnainen parannus, useimmille kaupallisille verkkosivustoille
Ensimmäisen osapuolen evästeet ovat edelleen laillisia ja toimivia; vaatimustenmukaisuusvelvoite kohdistuu ensisijaisesti seuranta- ja mainosevästeisiin
Evästesuostumusbannerien on täytettävä tietyt oikeudelliset standardit: esivalitut ruudut, niputettu suostumus ja pimeät kuviot ovat kiellettyjä GDPR:n nojalla
Käyttäjät voivat poistaa evästeet milloin tahansa, mutta tämä vaikuttaa personointiin, kirjautumisen pysyvyyteen ja analytiikan tarkkuuteen

Mitä evästeet ovat ja miten ne toimivat?

Evästeet ovat pieniä tekstitiedostoja, jotka verkkopalvelin ohjeistaa selaimen tallentamaan paikallisesti käyttäjän laitteelle. Kun käyttäjä vierailee samalla sivustolla uudelleen, selain lähettää tallennetun evästeen takaisin palvelimelle, jolloin se voi tunnistaa istunnon, muistaa asetukset tai yhdistää käyttäytymisen sivujen välillä.

Teknisesti eväste koostuu nimi-arvo-parista sekä valinnaisista attribuuteista: vanhenemispäivä, verkkotunnuksen laajuus, polku ja suojausliput, kuten HttpOnly ja Secure. Istuntoevästeet vanhenevat, kun selain suljetaan; pysyvät evästeet säilyvät määritettyyn vanhenemispäivään asti tai kunnes käyttäjä poistaa ne. [8]

Tärkeimmät evästetyypit toiminnon mukaan:

Tyyppi	Tarkoitus	Tyypillinen elinkaari
Istunto	Ylläpitää kirjautumistilaa	Selaimen istunto
Pysyvä	Muistaa asetukset	Päivistä vuosiin
Ensimmäisen osapuolen	Asetettu vieraillun verkkotunnuksen toimesta	Vaihtelee
Kolmannen osapuolen	Asetettu ulkoisten verkkotunnusten toimesta	Usein 1-2 vuotta
Analytiikka	Mittaa liikenteen käyttäytymistä	13-26 kuukautta
Markkinointi/seuranta	Luo mainosprofiileja	Jopa 2 vuotta

Evästeiden historia verkkoselaimissa

Evästeen kehitys perusseurannasta tiukkaan vaatimustenmukaisuuteen alkaa suoraviivaisesta teknisestä ongelmasta. Vuonna 1994 Lou Montulli, Netscape Communicationsin insinööri, tarvitsi tavan toteuttaa virtuaalinen ostoskori tallentamatta istuntodataa palvelinpuolelle. Hänen ratkaisunsa oli HTTP-eväste, joka johdettiin olemassa olevasta Unix-konseptista nimeltä "magic cookie". [7]

Netscapen selain toimitettiin evästetuella vuonna 1994, ja Internet Explorer otti standardin käyttöön vuoteen 1995 mennessä. Vuoteen 1997 mennessä IETF oli virallistanut spesifikaation RFC 2109:ssä. [8] Se, mikä alkoi tilattoman protokollan kiertotienä, tuli nopeasti personoinnin, todennuksen ja, mikä tärkeintä, mainonnan selkärangaksi.

Tärkeimmät virstanpylväät evästeiden historiassa:

1994: Lou Montulli keksii HTTP-evästeen Netscapessa [5]
1996: Financial Times julkaisee yhden ensimmäisistä julkisista varoituksista evästepohjaisesta seurannasta [7]
2000-luku: Mainosverkostot ottavat käyttöön kolmannen osapuolen evästeitä luodakseen sivustojen välisiä käyttäytymisprofiileja
2011: EU:n evästedirektiivi edellyttää tietoon perustuvaa suostumusta ei-välttämättömille evästeille
2018: GDPR nostaa vaatimustenmukaisuusvaatimuksia dramaattisesti, edellyttäen nimenomaista, yksityiskohtaista suostumusta
2020: CCPA antaa Kalifornian kuluttajille oikeuden kieltäytyä evästepohjaisesta datan myynnistä
2024: Google aloittaa kolmannen osapuolen evästeiden vaiheittaisen poistamisen Chromesta [10]

Ensimmäisen osapuolen vs. kolmannen osapuolen evästeet: Mitä eroa niillä on?

Ensimmäisen osapuolen evästeet asettaa verkkotunnus, jolla käyttäjä aktiivisesti vierailee. Kolmannen osapuolen evästeet asettaa eri verkkotunnus, tyypillisesti mainosverkosto, analytiikan tarjoaja tai sosiaalisen median alusta, joka on upotettu sivulle.

Tällä erolla on valtava merkitys sekä toiminnallisuuden että vaatimustenmukaisuuden kannalta. Ensimmäisen osapuolen evästeitä pidetään yleensä vähäriskisempinä, koska käyttäjällä on suora suhde asettavan verkkotunnuksen kanssa. Kolmannen osapuolen evästeet puolestaan mahdollistavat yhden mainostahon seuraavan käyttäjän käyttäytymistä tuhansilla toisiinsa liittymättömillä verkkosivustoilla, luoden yksityiskohtaisia käyttäytymisprofiileja ilman käyttäjän merkityksellistä tietoisuutta. [6]

"Kolmannen osapuolen evästeestä tuli valvontatalouden moottori, ei siksi, että se olisi suunniteltu tähän tarkoitukseen, vaan siksi, että sen tekninen arkkitehtuuri teki sivustojen välisen seurannan triviaalisen helpoksi toteuttaa laajassa mittakaavassa."

Useimmat nykyaikaiset tietosuojasäännökset kohdistuvat erityisesti kolmannen osapuolen seurantaevästeisiin, vaikka suostumusvaatimukset koskevat kaikkia ei-välttämättömiä evästeitä alkuperästä riippumatta.

Mikä on GDPR ja miten se vaikuttaa evästeisiin?

Toukokuussa 2018 voimaan tullut yleinen tietosuoja-asetus (GDPR) käsittelee evästetunnisteita henkilötietoina, kun niitä voidaan käyttää henkilön tunnistamiseen tai profilointiin. GDPR:n mukaan EU:n asukkaille palveluja tarjoavien verkkosivustojen on hankittava vapaaehtoinen, erityinen, tietoon perustuva ja yksiselitteinen suostumus ennen kuin ne asettavat ei-välttämättömiä evästeitä. [2]

GDPR:n evästevaatimukset sisältävät:

Suostumus on hankittava ennen evästeiden asettamista, ei sen jälkeen
Käyttäjien on voitava kieltäytyä suostumuksesta yhtä helposti kuin he voivat hyväksyä sen
Esivalitut suostumusruudut ovat nimenomaisesti kiellettyjä
Suostumuksen on oltava yksityiskohtainen: käyttäjät voivat hyväksyä analytiikkaevästeet, mutta hylätä mainosevästeet
Suostumusrekisterit on tallennettava ja niiden on oltava tarkastettavissa
Käyttäjien on voitava peruuttaa suostumus milloin tahansa

Rikkomuksista voi seurata sakkoja, jotka ovat enintään 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta tai 20 miljoonaa euroa, riippuen siitä, kumpi on suurempi. Sääntelyn valvonta on tehostunut vuodesta 2020 lähtien, ja tietosuojaviranomaiset Ranskassa, Irlannissa, Italiassa ja Espanjassa ovat määränneet huomattavia sakkoja vaatimustenvastaisista suostumusbannereista. [4]

CCPA:n evästevaatimukset

Kalifornian kuluttajien tietosuojalaki (CCPA), joka tuli voimaan tammikuussa 2020 ja jota vahvistettiin Kalifornian tietosuojaoikeuslailla (CPRA) vuonna 2023, lähestyy asiaa eri tavalla, mutta täydentävästi. Sen sijaan, että se edellyttäisi opt-in-suostumusta kaikille seurantaevästeille, CCPA antaa kuluttajille oikeuden kieltäytyä henkilötietojensa "myynnistä" tai "jakamisesta", mikä sisältää evästepohjaisen käyttäytymisdatan, joka lähetetään kolmannen osapuolen mainosalustoille.

CCPA:n velvoitteet evästeiden käytölle sisältävät:

"Älä myy tai jaa henkilötietojani" -linkin on oltava näkyvästi esillä
Yritysten on kunnioitettava Global Privacy Control (GPC) -signaaleja pätevänä kieltäytymismekanismina
Tietosuojakäytäntöjen on ilmoitettava evästeiden kautta kerättyjen henkilötietojen luokat
Kuluttajilla on oikeus pyytää evästeiden kautta kerättyjen tietojen poistamista

CCPA:n alaisten yritysten, jotka palvelevat myös EU-käyttäjiä, on sovitettava yhteen molemmat kehykset, tyypillisesti toteuttamalla suostumuksenhallintaratkaisu, joka pystyy käsittelemään lainkäyttöaluekohtaisia sääntöjä.

Miten käyttäjän suostumus evästeille hankitaan

Pätevän evästesuostumuksen hankkiminen edellyttää enemmän kuin bannerin asettamista sivulle. Suostumuksen on täytettävä sovellettavan lainkäyttöalueen oikeudelliset standardit ennen kuin mitään ei-välttämättömiä evästeitä aktivoidaan.

Vaatimustenmukainen suostumusvirta noudattaa näitä vaiheita:

Estä kaikkien ei-välttämättömien evästeiden käynnistyminen, kunnes suostumus on tallennettu
Näytä selkeä, selkokielinen suostumusilmoitus, jossa selitetään, mitä evästeitä käytetään ja miksi
Tarjoa aidot hyväksy ja hylkää -vaihtoehdot samalla näkyvyystasolla
Tarjoa yksityiskohtaiset luokkakohtaiset hallintalaitteet (analytiikka, markkinointi, asetukset)
Tallenna suostumustapahtuma aikaleimalla, versiolla ja käyttäjätunnisteella
Kunnioita suostumuksen peruuttamista välittömästi ja levitä muutos kaikkiin aktiivisiin tunnisteisiin

Alustat, kuten Biscotti CMP, on suunniteltu käsittelemään tätä työnkulkua, hallitsemaan suostumuksen keräämistä, tallennusta ja signaalien jakelua alavirran markkinointi- ja analytiikkatyökaluihin useilla lainkäyttöalueilla.

Parhaat käytännöt evästesuostumusbannereille

Huonosti suunniteltu suostumusbanneri on itsessään vaatimustenmukaisuusriski. Sääntelyviranomaiset ovat kohdistaneet erityisesti pimeisiin kuvioihin, mukaan lukien suunnittelut, jotka tekevät hylkäämisestä vaikeaa, piilottavat hylkäämisvaihtoehdon useiden napsautusten taakse tai käyttävät värikontrastia ohjatakseen käyttäjiä hyväksymään.

Vaatimustenmukaisen suostumusbannerin ominaisuudet:

Yhtä suuri visuaalinen paino hyväksy- ja hylkää-painikkeille
Ei esivalittuja kytkimiä ei-välttämättömille luokille
Selkeä kieli ilman lakijargonia
Pysyvä mekanismi suostumusasetusten tarkistamiseen ja muuttamiseen
Mobiiliresponsiivinen asettelu, joka ei peitä sivun sisältöä

Suostumusbannerin suunnittelua tulisi testata asiaankuuluvan tietosuojaviranomaisen antamien erityisohjeiden mukaisesti. Esimerkiksi Ranskan CNIL on julkaissut yksityiskohtaisia teknisiä suosituksia hyväksyttävistä bannerimuodoista, jotka ylittävät GDPR:n perusvaatimukset. [9]

Mikä korvasi kolmannen osapuolen evästeet Googlen poistettua ne käytöstä?

Googlen kolmannen osapuolen evästeiden poistaminen Chromesta, joka alkoi toden teolla vuonna 2024, on nopeuttanut toimivien vaihtoehtojen etsintää. Yksikään korvaaja ei ole saavuttanut yleistä hyväksyntää, mutta useat lähestymistavat ovat saaneet jalansijaa. [10]

Johtavat evästeiden vaihtoehdot vuonna 2026:

Ensimmäisen osapuolen datastrategiat: Käyttäytymisdatan kerääminen suoraan omistettujen ominaisuuksien ja todennettujen istuntojen kautta
Palvelinpuolen analytiikka: Tunnisteiden suorituksen siirtäminen palvelimelle asiakaspuolen evästeriippuvuuden vähentämiseksi
Privacy Sandbox API:t: Googlen selainpohjaisten API:en (Topics API, Protected Audience API) sarja, joka on suunniteltu mahdollistamaan kiinnostuksen kohteisiin perustuva mainonta ilman sivustojen välisiä tunnisteita
Kontekstuaalinen mainonta: Kohdentaminen sivun sisällön perusteella käyttäjän historian sijaan
Tietojen puhdistushuoneet: Yksityisyyttä suojaavat ympäristöt, joissa useiden osapuolten ensimmäisen osapuolen tietojoukkoja voidaan yhdistää ilman raakadatavaihtoa
Universaalit tunnisteet: Hashed-sähköpostipohjaiset tunnisteet, jotka jaetaan julkaisijaverkostojen kesken käyttäjän suostumuksella

Jokaisella vaihtoehdolla on omat suostumus- ja vaatimustenmukaisuusvaikutuksensa. Kontekstuaalinen mainonta ei vaadi käyttäjätietoja; todennetut ID-ratkaisut vaativat edelleen nimenomaista suostumusta GDPR:n nojalla.

Ovatko evästeet turvallisia ja mitä yksityisyysriskejä niihin liittyy?

Evästeet itsessään eivät ole suoritettavaa koodia eivätkä ne voi asentaa haittaohjelmia. Niihin liittyy kuitenkin merkittäviä yksityisyysriskejä, erityisesti kun niitä käytetään sivustojen väliseen seurantaan tai kun ne siepataan epävarmojen yhteyksien kautta.

Tärkeimmät evästeisiin liittyvät yksityisyysriskit:

Sivustojen välinen profilointi: Kolmannen osapuolen evästeet mahdollistavat yksityiskohtaisten käyttäytymisprofiilien luomisen ilman käyttäjän tietoisuutta
Istunnon kaappaus: Salaamattomien HTTP-yhteyksien kautta lähetetyt evästeet voivat joutua hyökkääjien sieppaamiksi jaetuissa verkoissa
Evästeiden synkronointi: Mainosverkostot jakavat evästetunnisteita keskenään, laajentaen seurannan ulottuvuutta yhden alustan ulkopuolelle
Zombievästeet: Jotkut seurantateknologiat yrittävät luoda uudelleen poistettuja evästeitä käyttämällä selaimen sormenjälkeä tai paikallista tallennustilaa

HttpOnly- ja Secure-liput lieventävät joitakin hyökkäysvektoreita, mutta ne eivät käsittele käyttäytymisseurannan rakenteellisia yksityisyysriskejä. [8]

Miten tarkistaa, mitä evästeitä verkkosivusto käyttää

Kuka tahansa käyttäjä tai kehittäjä voi tarkastaa verkkosivuston evästeet selaimen omilla työkaluilla. Chromessa tai Firefoxissa kehittäjätyökalujen (F12) avaaminen ja siirtyminen Sovellus- tai Tallennus-välilehdelle paljastaa kaikki aktiiviselle verkkotunnukselle asetetut evästeet, mukaan lukien niiden nimet, arvot, verkkotunnukset, vanhenemispäivät ja suojausliput.

Jäsennellympää tarkastusta varten työkalut, jotka indeksoivat sivuston ja luokittelevat evästeet tyypin ja tarkoituksen mukaan, tarjoavat täydellisemmän kuvan, mikä on erityisen hyödyllistä vaatimustenmukaisuusdokumentaatiossa. Verkkosivustojen tulisi suorittaa säännöllisiä evästetarkastuksia, koska tunnistehallintajärjestelmien kautta lisätyt kolmannen osapuolen skriptit voivat tuoda uusia evästeitä ilman nimenomaista tarkastelua.

Miten evästeet vaikuttavat verkkosivuston suorituskykyyn?

Evästeillä on mitattavissa oleva, mutta tyypillisesti vaatimaton vaikutus sivun latautumisen suorituskykyyn. Jokainen HTTP-pyyntö verkkotunnukselle sisältää kaikki kyseiselle verkkotunnukselle asetetut evästeet pyynnön otsikossa, mikä lisää yleiskustannuksia suhteessa evästeiden määrään ja kokoon.

Merkittävämmät suorituskykyvaikutukset tulevat evästeitä asettavasta JavaScriptistä: kolmannen osapuolen tunnisteskriptit, suostumuksenhallintajärjestelmät ja analytiikkakirjastot lisäävät kaikki sivun painoa ja suoritusaikaa. Huonosti hallitut tunnisteiden toteutukset voivat lisätä satoja millisekunteja Time to First Byte (TTFB) -aikaan ja Largest Contentful Paint (LCP) -aikaan, jotka molemmat vaikuttavat Core Web Vitals -pisteisiin.

Paras käytäntö on ladata ei-välttämättömät skriptit asynkronisesti, käyttää tunnistehallintajärjestelmää käynnistysjärjestyksen hallintaan ja tarkastaa kolmannen osapuolen evästeskriptit säännöllisesti redundanssin varalta.

Voivatko käyttäjät poistaa evästeet ja mitä silloin tapahtuu?

Kyllä, käyttäjät voivat poistaa evästeet milloin tahansa selaimen asetusten kautta, ja tämä tapahtuu välittömästi ja täydellisesti tallennettujen evästeiden osalta. Seuraukset riippuvat poistetun evästeen tyypistä.

Istuntoevästeiden poistaminen kirjaa käyttäjän ulos aktiivisista istunnoista
Asetusevästeiden poistaminen nollaa tallennetut asetukset, kuten kielen tai näyttövalinnat
Analytiikkaevästeiden poistaminen nollaa kävijän tunnistuksen, jolloin palaavat käyttäjät näkyvät uusina kävijöinä analytiikka-alustoilla
Mainosevästeiden poistaminen poistaa mainosten kohdentamisprofiilit, vaikka sormenjälkipohjainen seuranta voi osittain säilyä

Käyttäjät, jotka poistavat evästeet, mutta eivät muuta suostumusasetuksiaan, saavat tyypillisesti uudet evästeet seuraavalla vierailullaan, koska suostumusrekisteri voi itsessään olla tallennettu evästeenä. Jotkut CMP:t käyttävät palvelinpuolen suostumuksen tallennusta tämän ongelman ratkaisemiseksi.

Can Users Delete Cookies and What Happens?

Johtopäätös: Evästeiden vaatimustenmukaisuuden tulevaisuudessa navigoiminen

Evästeen kehitys perusseurannasta tiukkaan vaatimustenmukaisuuteen heijastaa laajempaa pohdintaa siitä, miten digitaalinen infrastruktuuri rakennettiin ilman riittäviä yksityisyyden suojatoimia. Se, mikä alkoi 30 rivin teknisenä ratkaisuna vuonna 1994, tuli miljardin dollarin mainosekosysteemin perustaksi, ja sitten siitä tuli yksi sääntelyhistorian eniten riitautetuista teknologioista. [1]

Toiminnalliset seuraavat vaiheet verkkosivustojen omistajille ja kehittäjille vuonna 2026:

Suorita täydellinen evästetarkastus verkkosivustollasi, mukaan lukien kaikki tunnistehallintajärjestelmien kautta ladatut kolmannen osapuolen skriptit
Ota käyttöön suostumuksenhallintajärjestelmä, kuten Biscotti CMP, hoitamaan lainkäyttöaluekohtaista suostumuksen keräämistä ja dokumentointia
Tarkista suostumusbannerisi nykyisten sääntelyohjeiden mukaisesti, tarkista erityisesti pimeät kuviot ja yhtä painavat hyväksy/hylkää-vaihtoehdot
Kehitä ensimmäisen osapuolen datastrategia vähentääksesi riippuvuutta kolmannen osapuolen seurantaevästeistä
Aseta toistuva kalenterimuistutus evästeiden tarkastamiseksi neljännesvuosittain, koska kolmannen osapuolen skriptit muuttuvat usein
Varmista, että tietosuojakäytäntösi heijastaa tarkasti kaikkien käytössä olevien evästeiden luokkia ja tarkoituksia

Vaatimustenmukaisuusympäristö kehittyy edelleen. Tietosuojasäännökset laajenevat maantieteellisesti, valvonta tehostuu, ja selaintoimittajat rakentavat lisärajoituksia suoraan alustoihinsa. Organisaatiot, jotka käsittelevät evästeiden hallintaa jatkuvana operatiivisena toimintana pikemminkin kuin kertaluonteisena toteutusprojektina, ovat parhaiten asemissa säilyttääkseen sekä käyttäjien luottamuksen että sääntelyaseman.

UKK

Mitä eroa on istuntoevästeellä ja pysyvällä evästeellä? Istuntoeväste poistetaan, kun selain suljetaan, ja sitä käytetään tilan ylläpitämiseen yhden vierailun aikana, kuten käyttäjän pitämiseen kirjautuneena. Pysyvällä evästeellä on määritetty vanhenemispäivä ja se säilyy laitteella istuntojen välillä, ja sitä käytetään asetuksiin, analytiikkaan ja mainontaan.

Vaativatko kaikki evästeet suostumuksen GDPR:n nojalla? Ei. Ehdottoman välttämättömät evästeet, kuten ne, jotka tarvitaan kirjautumisen todennukseen tai ostoskorin toiminnallisuuteen, ovat vapautettuja suostumusvaatimuksista GDPR:n nojalla. Kaikki ei-välttämättömät evästeet, mukaan lukien analytiikka- ja mainosevästeet, vaativat nimenomaisen ennakkosuostumuksen.

Mikä on Consent Management Platform (CMP)? CMP on ohjelmistotyökalu, joka hallitsee käyttäjän evästesuostumuksen keräämistä, tallennusta ja täytäntöönpanoa. Se esittää suostumusbannerin, tallentaa käyttäjän valinnat ja välittää nämä valinnat alavirran markkinointi- ja analytiikkatunnisteisiin. Biscotti CMP (www.biscotti-cmp.com) on yksi tällainen alusta, joka on rakennettu usean lainkäyttöalueen vaatimustenmukaisuutta varten.

Voiko verkkosivusto toimia ilman evästeitä? Kyllä, mutta merkittävin rajoituksin. Ydintoiminnot, kuten kirjautumisen pysyvyys, ostoskorit ja personoitu sisältö, riippuvat tyypillisesti ensimmäisen osapuolen evästeistä. Analytiikka- ja mainostoiminnot voidaan osittain korvata evästeettömillä vaihtoehdoilla, mutta tarkkuus on heikompi.

Mikä on pimeä kuvio evästesuostumusbannerissa? Pimeä kuvio on suunnittelutekniikka, joka manipuloi käyttäjiä hyväksymään evästeet, jotka he muuten hylkäisivät. Esimerkkejä ovat "Hyväksy kaikki" -painikkeen tekeminen näkyväksi ja värikkääksi, kun taas "Hylkää kaikki" piilotetaan useiden valikoiden taakse, tai esivalittujen valintaruutujen käyttäminen ei-välttämättömissä luokissa.

Kuinka kauan suostumusrekisterit on säilytettävä? GDPR:n mukaan suostumusrekisterit tulisi säilyttää niin kauan kuin käsittelytoiminta jatkuu, plus kohtuullinen aika vaatimustenmukaisuuden osoittamiseksi sääntelytutkimuksen yhteydessä. Monet organisaatiot säilyttävät suostumuslokeja vähintään kolme vuotta.

Mikä on Global Privacy Control (GPC)? GPC on selainkohtainen signaali, joka välittää käyttäjän kieltäytymisasetuksen verkkosivustoille automaattisesti. CCPA/CPRA:n mukaan Kalifornian yritysten on kunnioitettava GPC-signaaleja pätevänä kieltäytymisenä henkilötietojen myynnistä tai jakamisesta.

Pidetäänkö analytiikkaevästeitä henkilötietoina GDPR:n nojalla? Yleensä kyllä. Analytiikkaevästeet, jotka antavat selaimelle yksilöllisen tunnisteen, voidaan käyttää yksilöllisen käyttäytymisen profilointiin ajan mittaan, mikä muodostaa henkilötietojen käsittelyä GDPR:n nojalla, edellyttäen laillista perustetta, kuten suostumusta.

Mitä tapahtuu, jos verkkosivusto ei noudata GDPR:n evästesääntöjä? Tietosuojaviranomaiset voivat antaa varoituksia, huomautuksia ja sakkoja. GDPR:n evästesakkojen suuruus on vaihdellut kymmenistä tuhansista satoihin miljooniin euroihin riippuen vakavuudesta, kestosta ja asianomaisten henkilöiden määrästä.

Onko implisiittinen suostumus (selaamisen jatkaminen) pätevä GDPR:n nojalla? Ei. Euroopan unionin tuomioistuin ja useat tietosuojaviranomaiset ovat vahvistaneet, että selaamisen jatkaminen ei muodosta pätevää suostumusta. Suostumuksen on oltava myönteinen, yksiselitteinen teko.