KHO 2026:65: Evästeistä kieltäytymisen pitää olla yhtä helppoa kuin niiden hyväksymisen

Evästeistä kieltäytymisen pitää olla yhtä helppoa kuin niiden hyväksymisen. Näin linjasi korkein hallinto-oikeus (KHO) 27.8.2026 antamassaan ennakkopäätöksessä KHO 2026:65. Ratkaisu koskee Otavamedia Oy:n suomenkuvalehti.fi-sivustoa, mutta sen mittapuu koskee jokaista suomalaista verkkosivustoa.

Kysymys oli siitä, ohjaako käyttöliittymän rakenne käyttäjän hyväksymään. Kun hyväksyminen on yhden korostetun painikkeen takana ja kieltäytyminen valikon ja tekstimassan takana, suostumus ei perustu vapaaseen valintaan.

Ratkaisu vahvistaa Liikenne- ja viestintävirasto Traficomin tulkinnan ja pysyttää Helsingin hallinto-oikeuden (HAO) 5.2.2026 antaman päätöksen 638/2026 lopputuloksen. Hallinto-oikeus oli ratkaissut asian painallusten määrällä, KHO kokonaisarvioinnilla.

Asian tausta

Traficom katsoi 26.4.2024 antamassaan valvontapäätöksessä, että suomenkuvalehti.fi-verkkosivuston evästekäytännöt rikkoivat sähköisen viestinnän palveluista annetun lain (917/2014, viestintäpalvelulaki) 205 §:n 1 momenttia. Traficom velvoitti yhtiön muun ohella muuttamaan suostumuksenhallintamekanismiaan siten, että käyttäjälle annetaan kaikkien evästeiden hyväksymisen ohella mahdollisuus myös kieltää muiden kuin välttämättömien evästeiden käyttö mekanismin ensimmäisellä tasolla.

Otavamedia valitti Traficomin päätöksestä hallinto-oikeuteen, joka hylkäsi valituksen 5.2.2026. Yhtiö haki valituslupaa KHO:lta ja vaati ennakkoratkaisun pyytämistä EU-tuomioistuimelta. KHO myönsi valitusluvan mutta hylkäsi sekä ennakkoratkaisupyynnön että valituksen.

Ensimmäisellä tasolla ei voinut kieltäytyä

KHO:n perustelujen mukaan mekanismin ensimmäinen taso sisälsi lyhyet yleistiedot sekä painikkeet “Hyväksy kaikki” ja “Asetukset” (kohta 14). Ensin mainittu painike oli korostettu vihreällä taustavärillä. Sitä painamalla käyttäjä pääsi suoraan sivuston sisältöön kaikki evästeet hyväksyen.

Suostumuksen antamatta jättäminen ei sen sijaan ollut mahdollista ensimmäisellä tasolla lainkaan, eikä tasolta käynyt ilmi, miten muista kuin välttämättömistä evästeistä voisi kieltäytyä. Kieltäytymisvaihtoehto (“Estä kaikki”) löytyi vasta toiselta tasolta, laajan ja yksityiskohtaisen tietosisällön joukosta, eikä kyseinen painike erottunut visuaalisesti samalla tavalla kuin hyväksymispainike, joka oli korostettu myös toisella tasolla.

Viestintäpalvelulain 205 § kytkeytyy tietosuoja-asetuksen suostumuskäsitteeseen

Viestintäpalvelulain 205 §:n 1 momentin mukaan evästeiden tallentaminen käyttäjän päätelaitteelle edellyttää käyttäjän suostumusta ja ymmärrettäviä ja kattavia tietoja käytön tarkoituksesta. Säännöksellä on pantu täytäntöön sähköisen viestinnän tietosuojadirektiivin (2002/58/EY, muutettu direktiivillä 2009/136/EY) 5 artiklan 3 kohta. Direktiivin suostumuskäsite (2 artiklan toisen kohdan f alakohta) viittasi alun perin kumottuun direktiiviin 95/46/EY.

Artikla koskee viestinnän luottamuksellisuutta. Direktiivin johdanto-osan 24 perustelukappaleen mukaan käyttäjien päätelaitteet ja niille tallennetut tiedot kuuluvat käyttäjien yksityiselämän alueeseen, jota Euroopan ihmisoikeussopimus suojaa. Suostumusta tarvitaan siksi tallentamiseen ja päätelaitteelle pääsyyn riippumatta siitä, syntyykö toimenpiteessä henkilötietoa.

Säännös on rakennettu kiellolle. Tallentaminen ja pääsy ovat sallittuja vain suostumuksella, joten lain oletus on, ettei laitteeseen mennä. Käyttöliittymä, jossa hyväksyminen vie yhden painalluksen ja kieltäytyminen kolme, kääntää oletuksen tosiasialliseksi vastakohdakseen.

Direktiivin viittaus direktiiviin 95/46/EY on tietosuoja-asetuksen 94 artiklan 2 kohdan mukaan nykyisin luettava viittauksena yleiseen tietosuoja-asetukseen. Kansallista evästesäännöstä on siten tulkittava tietosuoja-asetuksen suostumusta koskevien vaatimusten valossa. Käytännössä arvioinnissa korostuvat erityisesti tietosuoja-asetuksen 4 artiklan 11 kohdan suostumuskäsite sekä 7 artiklan suostumuksen edellytykset.

Yleisen tietosuoja-asetuksen 4 artiklan 11 kohdan mukaan pätevän suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Euroopan tietosuojaneuvoston suostumussuuntaviivojen 05/2020 mukaan vapaaehtoisuus edellyttää, että rekisteröidyllä on aito tilaisuus valita, hyväksyykö hän tarjotut ehdot vai hylkääkö ne, eikä hylkäämisestä aiheudu hänelle haittaa (kohdat 3 ja 13). KHO:n käsiteltävänä oli lopulta enää kysymys suostumuksen vapaaehtoisuudesta.

Kysymys oli epäsymmetriasta

Otavamedia katsoi, että Traficom ja HAO olivat kieltäneet kaksitasoiset suostumuksenhallintamekanismit kategorisesti. KHO:n ratkaisu koski kuitenkin hyväksymisen ja kieltäytymisen epäsymmetriaa. Kaksitasoisuus sinänsä oli sallittua.

Hyväksyminen ja kieltäytyminen olivat käyttäjän näkökulmasta epätasapainossa. Suostumuksen antaminen oli tehty huomattavan yksinkertaiseksi ja nopeaksi, kun taas kieltäytyminen edellytti asetuspainikkeen etsimistä, valikon selaamista ja vähemmän korostetun painikkeen löytämistä laajasta tietosisällöstä. KHO totesi, että “erot suostumuksen antamisen ja antamatta jättämisen välillä eivät ole selitettävissä yhtiön viittaamalla tarpeella antaa käyttäjälle riittäviä ja asianmukaisesti yksilöityjä tietoja” (kohta 40).

Vaivaa mitataan käyttäjän kokonaistilanteesta. Evästevalintoja on tehtävä suurella osalla verkkosivustoja, joten suhteellisen vähäinenkin lisävaiva kieltäytymisessä voi ohjata käyttäjän antamaan suostumuksensa. Vaikutus korostuu sitä enemmän, mitä nopeammaksi hyväksyminen on tehty (kohta 37).

Arvioinnin mittapuu on siten se, ohjaako mekanismi käyttäjän suostumaan, kun hän tekee saman valinnan suurella osalla sivustoista. Yhden ylimääräisen klikkauksen vähäisyys yksittäisellä sivustolla menettää tällöin merkityksensä.

Palveluntarjoaja määrittää kysymyksen, vaihtoehdot, niiden järjestyksen ja ulkoasun, kun taas käyttäjä voi vain vastata. Juuri siksi muotoilu on sääntelyn kohde. KHO:n ratkaisusta seuraa, että pääsy laitteeseen on voitava evätä yhtä helposti kuin sallia.

Kieltäytymisen kokonaisvaiva ratkaisee

Asiassa C-673/17 (Planet49) oli kyse valmiiksi rastitetusta ruudusta (kohta 56). Asiassa C-61/19 (Orange România) oli kyse siitä, että kieltäytyminen edellytti erillisen lomakkeen täyttämistä (kohdat 50 ja 52). Kummassakaan ei ollut kyse saman käyttöliittymän sisäisestä klikkausten erosta, johon Otavamedia vetosi.

KHO luki tuomioista yleisemmän kriteerin, jonka mukaan merkitystä on sillä, vaikuttavatko käytännön toimet henkilön tosiasiallisiin edellytyksiin käyttää valinnanvapauttaan (kohta 36). Rasti, lomake ja piilotettu painike tuottavat saman lopputuloksen eri keinolla. Kriteeri kohdistuu lopputulokseen.

Sama päättely ulottuu keinoihin, joita ratkaisussa ei arvioitu, kuten kieltäytymisen jälkeen toistuvaan kyselyyn tai kieltäytymisvalinnan lyhyeen voimassaoloaikaan. KHO ei vaatinut, että hyväksyminen ja kieltäytyminen vaatisivat täsmälleen saman määrän klikkauksia. Arvioinnissa tarkasteltiin kokonaisuutena, ohjasiko käyttöliittymä käyttäjää hyväksymään evästeet tekemällä kieltäytymisestä olennaisesti hitaamman tai hankalamman.

Samat keinot on nimetty Euroopan tietosuojaneuvoston suuntaviivoissa 03/2022 harhaanjohtavista suunnittelumalleista (deceptive design patterns). Suuntaviivat koskevat sosiaalisen median alustoja, mutta niiden mukaan samat mallit esiintyvät myös evästebannereissa.

Elinkeinovapaus ja sananvapaus eivät kaataneet Traficomin tulkintaa

Otavamedia korosti koko prosessin ajan, että evästeiden hyödyntäminen on kotimaisen journalismin mainosrahoituksen elinehto. Tiukka tulkinta voisi yhtiön mukaan ohjata mainosmyyntiä ulkomaisille toimijoille. Tämä loukkaisi EU:n perusoikeuskirjan 16 artiklassa turvattua elinkeinovapautta ja sananvapautta.

KHO totesi, ettei Traficomin päätöksellä ollut perusteettomasti rajoitettu elinkeinovapautta eikä puututtu sananvapauden suojaamaan tiedonvälitykseen, koska päätös perustui käyttäjien yksityiselämän suojaa varmistavaan sääntelyyn (kohta 43). Punnintaa ei sen tarkemmin perusteltu.

Suostumusvaatimuksen vastapainona ovat perusoikeuskirjan 7 ja 8 artikla. Perustelusta ei ilmene, missä tilanteessa liiketoiminnan rahoitusmallilla olisi merkitystä suostumuksen pätevyyttä arvioitaessa. Rahoitusmalli ei muuta sitä, kenelle päätösvalta laitteeseen pääsystä kuuluu.

Tarkistuslista palveluntarjoajalle

1. Voiko ensimmäisellä tasolla kieltää kaikki muut kuin välttämättömät evästeet?
2. Käykö ensimmäiseltä tasolta ilmi, että kieltäytyminen on mahdollista?
3. Ovatko hyväksymis- ja kieltäytymispainike samanlaiset väriltään, kooltaan, sijainniltaan ja kontrastiltaan?
4. Kuinka monta painallusta ja kuinka paljon luettavaa hyväksyminen ja kieltäytyminen vaativat?
5. Onko välttämättömiksi luokiteltujen evästeiden joukossa analytiikkaa tai mainonnan mittausta?
6. Kuinka pian suostumusta kysytään uudelleen käyttäjältä, joka on kieltäytynyt?
7. Kuka vastaa suostumuksenhallintaohjelmiston oletusasetuksista sopimuksen mukaan?

Mitä tehdä nyt

Ratkaisu ja samana päivänä annettu KHO 2026:64 vahvistavat Traficomin valvontalinjan ylimmässä asteessa. Viraston seuraavat päätökset nojaavat jatkossa ennakkopäätökseen, joten kynnys riitauttaa ne nousee.

Jos ensimmäisellä tasolla ei voi kieltäytyä, painikkeet näyttävät erilaisilta tai hyväksymisen polku on lyhyempi, mekanismi on todennäköisesti lainvastainen. Nämä kolme asiaa näkee avaamalla bannerin.

Jos pätevää suostumusta ei ole hankittu, evästeiden ja vastaavien seurantateknologioiden avulla kerätyiltä henkilötiedoilta puuttuu samalla tietosuoja-asetuksen edellyttämä käsittelyperuste. Lainvastaista on tällöin evästeiden asettamisen lisäksi niillä kerättyjen tietojen käsittely, esimerkiksi mainonnan kohdentaminen.

Autamme yrityksiä auditoimaan digitaalisia palveluita, ml. tarkastamalla teknisesti evästekäytäntöjä ja seurantateknologioita niin verkkosivustoilla kuin mobiilisovelluksissa. Ota yhteyttä, niin käymme läpi, mitä teidän tilanteessanne kannattaa tarkastaa.

Artikkelin laadintaan osallistui juristiharjoittelijamme Emma Hermanson.