Evästeet ja EU:n Digital Omnibus – mikä evästebannereissa muuttuu ja mikä ei vielä?

Evästeet ja evästebannerit eivät ole vielä muuttuneet, vaikka EU:n Digital Omnibus -uudistuksesta on uutisoitu paljon. Lokakuussa 2026 jäsenvaltiot eivät ole päässeet sopuun neuvoston kannasta, eikä Euroopan parlamentilla ole vielä omaa kantaa. Suomessa ovat siis voimassa nykyiset säännöt: ei-välttämättömiin evästeisiin tarvitaan kävijän suostumus ennen niiden käyttöä, ja kieltäytymisen pitää olla helppoa. Tässä artikkelissa käyn läpi, mitä on ehdotettu, missä vaiheessa asia on ja mitä sinun kannattaa tehdä nyt.

Mikä on Digital Omnibus ja miten se koskee evästeitä?

Digital Omnibus on Euroopan komission 19.11.2025 julkaisema ehdotus, jolla yksinkertaistettaisiin EU:n digitaalista sääntelyä. Evästeiden osalta komissio ehdotti, että evästesäännöt siirrettäisiin ePrivacy-direktiivistä tietosuoja-asetukseen (GDPR) uusiksi artikloiksi 88a ja 88b.

Komission ehdotuksessa oli kolme yrittäjän kannalta kiinnostavaa muutosta:

• Yhden klikkauksen hyväksyminen ja hylkääminen samalla tasolla evästebannerissa.
• Uusi suostumuspyyntö samaan tarkoitukseen aikaisintaan kuuden kuukauden kuluttua siitä, kun kävijä on kieltäytynyt.
• Selaimen tai käyttöjärjestelmän asetus (artikla 88b), jonka avulla kävijä voisi ilmoittaa evästevalintansa kerran, eikä jokaisen sivuston tarvitsisi kysyä erikseen.

Lisäksi ehdotuksessa laajennettiin tilanteita, joissa suostumusta ei tarvita, esimerkiksi tietoturvan ja yksinkertaisen ensimmäisen osapuolen kävijämittauksen osalta. Tekoälyasetusta koskeva osa samasta kokonaisuudesta on jo hyväksytty asetuksena (EU) 2026/1744. Tekoälyasetuksen velvoitteista yrittäjälle kirjoitin artikkelissa tekoälyasetus ja sisällön merkitseminen.

Mitä neuvoston kompromissiteksteissä on muuttunut?

Neuvosto on muokannut komission ehdotusta merkittävästi. Neuvoston kompromissitekstit ovat muuttaneet evästesääntöjä vaiheittain:

• 18.6.2026: selaintason suostumussignaali (artikla 88b) poistettiin.
• 3.9.2026: myös artikla 88a poistettiin, ja evästesäännöt palautettiin ePrivacy-direktiivin 5 artiklan 3 kohtaan. Kuuden kuukauden odotusaika säilyi.
• 2.10.2026 (asiakirja 13886/26): uuden suostumuspyynnön odotusaika lyhennettiin neljään kuukauteen kieltäytymisestä.

Lokakuun luonnoksessa on kuusi tarkoitusta, joihin päätelaitteelle tallentaminen sallittaisiin ilman suostumusta, kun se on niihin ehdottoman välttämätöntä: viestin välittäminen verkossa, käyttäjän nimenomaisesti pyytämä palvelu, anonyymia koostetietoa tuottava ensimmäisen osapuolen kävijämittaus, mediapalvelujen yleisömittaus, tietoturvan ylläpito sekä kontekstuaalisen mainonnan näyttökertojen ja tehon mittaus.

Huomaa, että nämä ovat luonnoksia. Lopullinen sisältö ratkeaa vasta neuvoston, parlamentin ja komission välisissä neuvotteluissa.

Missä vaiheessa uudistus on lokakuussa 2026?

Uudistus on jumissa neuvostossa. EU-maiden suurlähettiläiden Coreper-kokous 7.10.2026 päättyi ilman äänestystä, ja sunnuntaiksi 11.10.2026 suunniteltua käsittelyä ei Agence Europen 12.10.2026 julkaiseman uutisen mukaan pidetty. Taustalla ovat Saksan ja Ranskan varaumat, erityisesti datasäädöksen (Data Act) liikesalaisuuksia koskevat kohdat. Seuraavasta käsittelypäivästä ei ole tietoa.

Euroopan parlamentti ei ole vielä hyväksynyt omaa kantaansa. Valiokuntien mietintöluonnos julkaistiin 22.6.2026, ja muutosehdotuksia jätettiin heinäkuun puoliväliin mennessä yli 1 750. Varsinaiset kolmikantaneuvottelut eli trilogit voivat alkaa vasta, kun sekä neuvostolla että parlamentilla on oma kantansa.

Miksi asia etenee hitaasti? Sama säädösehdotus (2025/0360(COD)) muuttaa evästesääntöjen lisäksi GDPR:ää, datasäädöstä ja NIS2-direktiiviä. Jos jäsenvaltiot ovat erimielisiä yhdestäkin osasta, koko paketti odottaa. Kun neuvostolla ja parlamentilla on kannat, ne neuvottelevat komission kanssa yhteisestä tekstistä. Sen jälkeen molemmat hyväksyvät tekstin virallisesti, ja vasta EU:n virallisessa lehdessä julkaisemisen jälkeen alkavat kulua siirtymäajat.

Eurooppa-neuvosto pyysi 19.3.2026, että avoimista omnibus-paketeista sovittaisiin vuoden 2026 loppuun mennessä. Tämänhetkisen tilanteen perusteella aikataulu on tiukka.

Milloin evästebanneri pitää aikaisintaan muuttaa?

Ei vielä. Neuvoston luonnoksessa evästesääntöjen muutos alkaisi soveltua kuusi kuukautta sen jälkeen, kun säädös on julkaistu EU:n virallisessa lehdessä. Direktiiviin tehtävien muutosten saattamiseen kansalliseen lakiin jäsenvaltioilla olisi luonnoksen mukaan 24 kuukautta.

Koska trilogit eivät ole edes alkaneet, oma arvioni on, että muutokset tulisivat sovellettaviksi aikaisintaan vuoden 2027 aikana. Tämä on arvio, ei virallinen päivämäärä. Tilanne kannattaa tarkistaa uudelleen, kun neuvoston ja parlamentin kannat ovat selvillä.

Mitkä evästeet vaativat suostumuksen Suomessa nyt?

Suomessa evästeistä säädetään sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä, joka perustuu ePrivacy-direktiiviin. Jos evästeillä käsitellään henkilötietoja, sovelletaan lisäksi GDPR:ää. Evästeitä valvoo Traficom, ja henkilötietoja koskevissa asioissa toimivaltainen viranomainen on tietosuojavaltuutetun toimisto.

Traficomin linjaukset ovat selkeät:

• Ei-välttämättömiin evästeisiin, myös analytiikkaevästeisiin, tarvitaan suostumus ennen niiden käyttöä.
• Evästeistä kieltäytymisen pitää olla helppoa.
• Hyväksymisruudut tai liukukytkimet eivät saa olla valmiiksi päällä.
• Ilmoitus ”jatkamalla käyttöä hyväksyt evästeet” ei ole pätevä suostumus.
• Oikeutettu etu ei ole peruste evästeiden tallentamiselle.
• Välttämättömiin evästeisiin suostumusta ei tarvita, mutta niistä on suositeltavaa kertoa.

Evästeiden hyväksyminen pitää siis edelleen pyytää ennen kuin analytiikka- tai mainosevästeitä ladataan.

Mitä uudistus tarkoittaisi pk-yrityksen sivustolle?

Jos neuvoston lokakuun luonnos toteutuisi sellaisenaan, muutokset olisivat pienyrityksen sivustolle maltillisia. Evästebanneri ei katoaisi, mutta sen sisältö voisi keventyä.

• Kävijämittaus: anonyymia koostetietoa tuottava oman sivuston kävijämittaus voisi onnistua ilman suostumusta. Tämä ei automaattisesti koske kolmannen osapuolen analytiikkatyökaluja, vaan ratkaisee vasta lopullinen teksti ja sen tulkinta.
• Mainosseuranta: mainospikselit ja kohdennettu mainonta vaatisivat edelleen suostumuksen.
• Uudelleenkysyminen: evästetyökalun pitäisi muistaa kieltäytyminen vähintään luonnoksen mukaisen ajan, ennen kuin suostumusta pyydetään samaan tarkoitukseen uudelleen.
• Kansallinen laki: koska evästesäännöt pysyisivät ePrivacy-direktiivissä, Suomen lakiin tarvittaisiin muutoksia ennen kuin kaikki uudet säännöt näkyvät käytännössä.

Mitä sinun pitää tehdä nyt?

Älä odota uudistusta. Nykyiset säännöt ovat voimassa, ja kunnossa oleva evästebanneri on hyvä pohja myös tuleville muutoksille. Suosittelen tarkistamaan nämä:

1. Testaa evästebanneri. Avaa sivusto yksityisessä selainikkunassa ja katso, latautuuko analytiikka tai mainosseuranta ennen kuin olet hyväksynyt mitään. Tarkista, että hylkääminen on yhtä helppoa kuin hyväksyminen. Suosittelen lisäämään sivun alalaitaan linkin, josta kävijä voi muuttaa evästevalintojaan myöhemmin.
2. Käy läpi upotukset ja lisäosat. Upotetut videot, kartat, chat-ikkunat ja somesyötteet voivat asettaa evästeitä, vaikka et olisi itse lisännyt seurantakoodeja. Tarkista selaimen kehittäjätyökaluista, mitä evästeitä sivu asettaa ennen suostumusta.
3. Tarkista Google Consent Mode. Jos käytät Google Analytics 4:ää tai Google Adsia, consent mode välittää Googlen tageille kävijän valinnat (esimerkiksi analytics_storage, ad_storage, ad_user_data ja ad_personalization). Perustoteutuksessa tagit eivät lataudu ennen bannerin käyttöä, laajennetussa ne latautuvat ja lähettävät evästeettömiä mittauksia, kun suostumusta ei ole annettu. GA4:n asetuksista lisää artikkelissa Google Analytics 4 yritykselle.
4. Päivitä evästekäytäntö ja tietosuojaseloste. Listaa käytössä olevat evästeet ja niiden tarkoitukset. Ohjeet löydät oppaasta tietosuojaseloste ja evästekäytäntö.
5. Tarkista mainonnan seuranta. Meta-pikselit ja Googlen mainostagit vaativat suostumuksen. Mainoskanavien eroista kirjoitin artikkelissa Facebook-mainonta vai Google Ads, ja seurannan rakentamisesta artikkelissa konversioseuranta.
6. Harkitse ensimmäisen osapuolen analytiikkaa. Jos uudistus hyväksytään luonnoksen mukaisena, anonyymi oman sivuston kävijämittaus saattaa jatkossa onnistua ilman suostumusta. Nyt analytiikkaevästeisiin tarvitaan aina suostumus.

Varmista samalla, että evästebanneri on käytettävissä myös näppäimistöllä ja ruudunlukijalla – siitä lisää artikkelissa verkkosivujen saavutettavuus.

Tämä artikkeli on yleiskatsaus EU:n evästesääntelyn tilanteeseen 13.10.2026 eikä ole oikeudellista neuvontaa. Tarkista oman yrityksesi tilanne tarvittaessa lakimieheltä.