KHO vahvisti: evästeiden hylkääminen on oltava yhtä helppoa kuin hyväksyminen
Traficomin valvontalinja sai lainvoiman, mutta tuore kartoitus paljasti parinkymmenen uutissivuston evästebannerit yhä epäsymmetrisiksi.
Tiivistelmä
Korkein hallinto-oikeus vahvisti 27. elokuuta kaksi ratkaisua, joiden mukaan evästeiden hylkäämisen on oltava yhtä helppoa kuin hyväksymisen. Ratkaisut koskivat Sanoma Media Finlandia ja Otavamediaa ja perustuvat sähköisen viestinnän palvelulakiin, ei suoraan GDPR:ään. Dawn.fi:n elokuun lopun kartoituksen mukaan parikymmentä suurta uutissivustoa ei vielä täytä vaatimusta.
Noin parikymmentä suurta suomalaista uutissivustoa rikkoo yhä evästekäytäntöjä koskevaa lakia, jonka korkein hallinto-oikeus vahvisti kahdella ratkaisullaan lopulliseksi 27. elokuuta.
Ratkaisut KHO:2026:64 ja KHO:2026:65 hylkäsivät valitukset Traficomin aiemmin antamista valvontapäätöksistä.
Molemmat nojaavat sähköisen viestinnän palvelulain (917/2014) 205 §:ään, ei suoraan GDPR:ään, vaikka tulkinnan mittapuuna käytetään samaa "vapaaehtoisen suostumuksen" vaatimusta. Kyberturvallisuuskeskus kertoo tiedotteessaan, että ratkaisut vahvistavat Traficomin aiemmat linjaukset lopullisiksi.
Kaksi tapausta, sama periaate
Ensimmäinen ratkaisu koski Sanoma Media Finlandia, joka omistaa Helsingin Sanomat ja Ilta-Sanomat. Traficom oli puuttunut yhtiön käytäntöön jo kesäkuussa 2023 personointi- ja analytiikkaevästeiden sekä laitetietoja välittävien "web call" -seurantatekniikoiden vuoksi.
KHO totesi, että sivun kävijän ei voida olettaa hiljaisesti pyytäneen personointievästeitä, poikkeukset suostumusvaatimuksesta on tulkittava suppeasti ja näyttötaakka on sivuston ylläpitäjällä.
Sama vaatimus ulottuu myös evästeitä korvaaviin seurantatekniikoihin riippumatta taustalla olevasta tekniikasta. Sanoman vetoaminen tiedonvälityksen vapauteen ei muuttanut tätä arviota.
Toinen ratkaisu koski Otavamedian suomenkuvalehti.fi-sivustoa ja sen kaksitasoista evästebanneria.
Etusivulla hyväksyminen onnistui yhdellä klikkauksella vihreästä "Hyväksy kaikki" -painikkeesta. Hylkääminen sen sijaan vaati asetusvalikon avaamista ja vierittämistä toiselle tasolle.
Traficom oli katsonut jo huhtikuussa 2024, että rakenne tekee suostumuksesta epävapaaehtoisen, ja KHO vahvisti tulkinnan: käyttäjää hyväksymiseen ohjaava rakenne murtaa vapaaehtoisuuden, vaikka hylkäysvaihtoehto teknisesti olisikin olemassa. Toimialan vakiintunut käytäntö ei kelvannut puolustukseksi.
Vaikutukset näkyvät vasta nyt
Käytännön seuraukset tulivat näkyviin vasta viikko ratkaisujen jälkeen. Mediaseurantasivusto dawn.fi kartoitti suomalaisten uutissivustojen evästebannereita ja havaitsi, että parikymmentä suurta sivustoa, muun muassa Helsingin Sanomat, Iltalehti, MTV Uutiset, Aamulehti ja Kauppalehti, ei vielä täytä symmetrian vaatimusta. Yle ja Turun Sanomat sen sijaan täyttivät sen jo kartoitushetkellä.
Suomen Lehdistö kertoo, että Sanomalla on 90 päivän määräaika korjata käytäntönsä, mutta aikataulu koskee vain kyseistä yhtiötä eikä koko toimialaa.
Suomen Lehdistö toteaa myös, ettei ratkaisu koske niin sanottua suostu tai maksa -mallia, jossa käyttäjä voi ostaa seurannattoman version palvelusta, kuten Iltalehti tekee, ja että mediajuristit arvioivat mallin pysyvän ratkaisuista erillisenä kysymyksenä ja edelleen laillisena, koska KHO puuttui nimenomaan hyväksymisen ja hylkäämisen epäsymmetriaan, ei maksumuuriin.
Vapaaehtoinen suostumus (evästeet)
Sähköisen viestinnän palvelulaki edellyttää, että käyttäjä hyväksyy seurantaevästeet aidosti vapaaehtoisesti. KHO katsoi, että suostumus ei ole vapaaehtoinen, jos hyväksyminen on yhdellä klikkauksella mahdollista mutta hylkääminen vaatii useampia vaiheita. Sääntö koskee myös evästeitä korvaavia seurantatekniikoita, ei vain perinteisiä evästeitä.
Mitä tehdä
Jos sivuston evästebanneri tekee hylkäämisestä hyväksymistä vaikeampaa, ilmoita asiasta ensin sivustolle itselleen. Jos tilanne ei korjaannu, valitus tehdään Traficomille sen valituslomakkeella, ja mukaan kannattaa liittää sivuston osoite, havaintopäivä ja kuvaus ongelmasta.
Tietosuojavaltuutettu käsittelee varsinaisia henkilötietojen käsittelyä koskevia valituksia, ei evästeiden tallennukseen liittyvää suostumuskysymystä, joten kannattaa valita oikea viranomainen heti alkuun.
Lähteet
- Korkein hallinto-oikeus (KHO:2026:64) (27.08.2026)
- Korkein hallinto-oikeus (KHO:2026:65) (27.08.2026)
- Kyberturvallisuuskeskus
- dawn.fi (29.08.2026)
- Suomen Lehdistö