Voihan eväste – tiedätkö mitä juuri hyväksyit?

Korkein hallinto-oikeus on ottanut ratkaisussaan KHO:2026:65 kantaa ajankohtaiseen asiaan evästeiden yhteydessä pyydettävän suostumuksen lainmukaisuudesta.

Taustaa

Liikenne- ja viestintävirasto on päätöksessään katsonut, että Otavamedia Oy:n suomenkuvalehti.fi-verkkosivuston evästekäytännöt rikkovat sähköisen viestinnän palveluista annetun lain (viestintäpalvelulaki) 205 §:n 1 momenttia muun muassa siltä osin kuin kaikkien evästeiden hyväksyminen on verkkosivuston suostumushallintamekanismissa helpompaa kuin niistä kieltäytyminen tavalla, joka ei myöskään vastaa suostumukselle yleisessä tietosuoja-asetuksessa asetettuja vaatimuksia.

Asian arviointi korkeimmassa hallinto-oikeudessa

Asiassa on kysymys siitä, onko Liikenne- ja viestintäviraston päätöksen kohteena oleva suomenkuvalehti.fi-verkkosivuston evästekäytäntö lainvastainen siitä syystä, ettei käyttäjän sivustolla antamaa suostumusta voida pitää vapaaehtoisesti annettuna.

Verkkosivuston kaksitasoinen suostumushallintamekanismi

Verkkosivustolla on ollut käytössä käyttäjän suostumuksen pyytämistä varten kaksitasoinen suostumushallintamekanismi. Mekanismin ensimmäinen taso on sisältänyt lähinnä lyhyet yleistiedot evästeiden ja eräiden muiden tietojen käytöstä sekä painikkeet ”Hyväksy kaikki” ja ”Asetukset”. Ensin mainittu painike on korostettu vihreällä taustavärillä, ja sitä painamalla käyttäjä on voinut siirtyä verkkosivuston varsinaiseen sisältöön kaikki evästeet hyväksyen. Asetuspainiketta painamalla käyttäjälle on avautunut mekanismin toinen taso.

Mekanismin toinen taso on sisältänyt muun ohella välilehtiä, alaotsikoita, valikoita, yksityiskohtaista tietoa evästeiden ja muiden tietojen käytöstä sekä painikkeet ”Estä kaikki”, ”Hyväksy valitut” ja ”Hyväksy kaikki”. Viimeksi mainittu painike on korostettu vihreällä taustavärillä. Käyttäjä on voinut tällä tasolla tehdä tarkempia valintoja, kieltää kaikkien muiden kuin välttämättömiksi määriteltyjen evästeiden käytön tai hyväksyä evästeet.

Suostumukselle asetetut oikeudelliset vaatimukset

Viestintäpalvelulain 205 §:n 1 momentin pääsäännön perusteella evästeiden tai muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja näiden tietojen käyttö edellyttävät käyttäjän suostumusta ja asianmukaista informointia. Pykälän 2 momentissa säädetään tähän liittyvistä poikkeuksista muun ohella säännöksessä tarkoitetun välttämättömän tietojen tallentamisen ja käytön osalta.

Viestintäpalvelulain 205 §:llä on pantu täytäntöön sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohta. Direktiivissä tarkoitettu käyttäjän suostumus voidaan direktiivin johdanto-osassa todetuin tavoin antaa käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn täsmällisen ja tietoon perustuvan ilmoituksen käyttäjän toiveista. Käyttäjän suostumuksella tarkoitetaan direktiivissä samaa kuin yleisessä tietosuoja-asetuksessa rekisteröidyn suostumuksella.

Yleisessä tietosuoja-asetuksessa säädetään rekisteröidyn suostumukselle useita laadullisia vaatimuksia. Asetuksen perusteella suostumuksen tulee olla muun ohella vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Unionin tuomioistuimen asiassa C-673/17, Planet49, antaman tuomion mukaan sähköisen viestinnän tietosuojadirektiivissä tarkoitetun suostumuksen on perustuttava käyttäjän aktiiviseen toimintaan (56 kohta). Asiassa C-61/19, Orange România, annetussa tuomiossa on puolestaan käsitelty yleisestä tietosuoja-asetuksesta suostumukselle johtuvia vaatimuksia. Kyseisessä tuomiossa suostumusta koskevan ehdon sisältäneen sopimuksen ei katsottu olleen omiaan osoittamaan vapaaehtoisesti annettua suostumusta. Asiassa rekisterinpitäjä oli vaikuttanut epäasianmukaisesti valinnanvapauteen vastustaa tietojen käsittelyä vaatimalla, että rekisteröidyn oli suostumuksensa epäämiseksi täytettävä lisälomake (50 ja 52 kohta).

Kieltäytyminen oli hyväksymistä hankalampaa

Suostumuksen antamatta jättäminen ei ole ollut mahdollista mekanismin ensimmäisellä tasolla. Ensimmäiseltä tasolta ei ole myöskään nimenomaisesti ilmennyt, millä tavoin muista kuin välttämättömistä evästeistä on mahdollista kieltäytyä tai onko sivustoa mahdollista käyttää, jos kieltäytyy evästeistä. Kieltäytymismahdollisuus on tullut esille, mikäli käyttäjä on asetuspainiketta painamalla siirtynyt mekanismin toiselle tasolle. Tällä tasolla kieltäytyminen on edellyttänyt sitä, että käyttäjä on etsinyt tason laajan ja yksityiskohtaisen muun tietosisällön joukosta painikkeen ”Estä kaikki”.

Suostumushallintamekanismi on näin ollen toteutettu siten, että suostumuksen antaminen on ollut mahdollista huomattavan yksinkertaisesti ja nopeasti. Tähän valintaan käyttäjää on myös ohjattu painikkeiden värityksellä. Suostumuksen antamatta jättämistä koskeva mahdollisuus ei sitä vastoin ole tullut nimenomaisesti heti edes esiin, ja tätä koskevan valinnan tekeminen on myös ollut käyttäjälle merkityksellisesti hitaampaa ja hankalampaa johtuen erityisesti mekanismin rakenteesta, tarpeesta etsiä tietoja muun tietosisällön joukosta ja valintojen tekemisen mahdollistavien painikkeiden korostuksesta.

Korkeimman hallinto-oikeuden johtopäätös

Näissä olosuhteissa ja asiaa kokonaisuutena arvioiden korkein hallinto-oikeus katsoo, että suostumushallintamekanismilla on epäasianmukaisesti vaikutettu käyttäjän valinnanvapauteen olla antamatta suostumustaan eikä suostumuksen antaminen ole siten perustunut todelliseen vapaan valinnan mahdollisuuteen.

Kun mekanismissa annettua suostumusta ei näin ollen voida pitää viestintäpalvelulain 205 §:n mukaisena vapaaehtoiseen tahdonilmaisuun perustuvana suostumuksena, verkkosivuston evästekäytäntö on ollut mainitun säännöksen vastainen.

Blogin on laatinut PTCS:n tietosuojajuristi Visa Tolonen.

Kaipaatko apua evästeisiin liittyvissä kysymyksissä? Me autamme.

Tuntuvatko evästeasiat vaikealta? Tarvitsetko apua evästeasioiden saattamiseksi linjaan oikeuskäytännön kanssa? Voit olla yhteydessä PTCS:n tietosuojajuristiin Visa Toloseen.