Lukija saa kieltäytyä seurannasta, mutta kuka maksaa uutisista?

Uutissivuston lukija joutuu yhä useammin valitsemaan, hyväksyykö hän mainonnan evästeet vai maksaako hän sivuston käytöstä. Jos hän ei tee kumpaakaan, sivustolle ei pääse. Itävallassa ja Saksassa uutissivustot ovat käyttäneet tätä niin sanottua pay or consent -mallia jo vuosia.

Suomessa malli yleistyi syksyllä 2026, pian sen jälkeen, kun korkein hallinto-oikeus (KHO) oli 27.8.2026 antanut evästeitä koskevat päätöksensä. Päätöksessä KHO 2026:64 katsottiin, että uutissivuston personointi- ja toimitusevästeet sekä osa sen verkkokutsuista edellyttävät lukijan suostumusta. Toimitusevästeillä toimitus seuraa, miten lukijat käyttävät sisältöjä. Esimerkiksi Helsingin Sanomissa evästeistä kieltäytyminen maksaa nyt viisi euroa kuukaudessa. Onko suostumus vapaaehtoinen, jos siitä kieltäytyminen maksaa?

Seuranta tarvitsee lukijan suostumuksen

Suostumuksen vaatimus perustuu sähköisen viestinnän tietosuojadirektiivin (2002/58/EY, ePrivacy-direktiivi) 5(3) artiklaan, joka on Suomessa pantu täytäntöön sähköisen viestinnän palveluista annetun lain (917/2014, viestintäpalvelulaki) 205 §:llä. Tietoa saa tallentaa lukijan puhelimeen tai tietokoneeseen tai lukea sieltä vain hänen suostumuksellaan, ellei se ole välttämätöntä viestin välittämiseksi tai sellaisen palvelun tarjoamiseksi, jota lukija on nimenomaisesti pyytänyt. KHO piti personointi- ja toimitusevästeitä suostumuksenvaraisina (KHO 2026:64, kohta 53). Välttämättömyyspoikkeuksen kynnys on tarkoitettu varsin korkeaksi (KHO 2026:64, kohta 44). Suostumus mainonnan evästeisiin tarvitaan siis joka tapauksessa.

Verkkokutsussa lukijan selain hakee sivulle esimerkiksi kuvan tai skriptin toisen yhtiön palvelimelta. Kutsun mukana välittyy lukijan laitteesta tietoja, kuten IP-osoite sekä selaimen ja käyttöjärjestelmän tiedot. Mediayhtiö vetosi siihen, ettei 205 § koske verkkokutsuja, koska niissä laitteelle ei tallenneta mitään (KHO 2026:64, kohta 61). KHO katsoi toisin. Kun kutsun tiedoista voidaan yhtiön omankin selvityksen mukaan muodostaa lukijaa koskeva tunniste, verkkokutsu on laitteelle tallennettujen tietojen käyttöä (KHO 2026:64, kohdat 69 ja 70).

Mediayhtiö vetosi myös sananvapauteen. Sen mukaan sisällön personointi kuuluu toimitukselliseen päätösvaltaan, joka ei voi olla käyttäjien suostumuksen varassa. KHO:n mukaan sananvapaudesta ei sellaisenaan johdu, että digitaalisen uutispalvelun tarjoajan tulisi saada tallentaa ja käyttää sivustonsa käyttäjien yksityiselämän alaan kuuluvia tietoja (KHO 2026:64, kohta 55). Mediayhtiö saa edelleen päättää, mitä se julkaisee ja milloin (KHO 2026:64, kohta 57).

Samana päivänä ratkaistussa asiassa KHO 2026:65 toinen mediayhtiö vetosi siihen, että evästeet vaikuttavat kotimaisen journalismin toimintamahdollisuuksiin, koska mainosmyynti on alan elinehto. Korkeimman hallinto-oikeuden mukaan Liikenne- ja viestintävirasto Traficomin päätös ei rajoittanut perusteettomasti yhtiön elinkeinovapautta eikä puuttunut sananvapauteen, koska se perustui käyttäjien yksityiselämää suojaavaan sääntelyyn (KHO 2026:65, kohta 43). Mediayhtiö saa siis käyttää lukijoiden tietoja mainonnan rahoittamiseen, jos lukija on antanut siihen suostumuksensa. Kun lukija kieltäytyy mainonnan evästeistä, mediayhtiö menettää mainostuloa. Pay or consent -mallissa lukija korvaa menetyksen maksamalla.

Maksu voi olla vastaava vaihtoehto

EU:n yleisen tietosuoja-asetuksen (GDPR) 4(11) artiklan mukaan suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Asetuksen 7(4) artiklan mukaan vapaaehtoisuutta arvioitaessa on otettava mahdollisimman kattavasti huomioon muun muassa se, onko palvelun ehdoksi asetettu suostumus käsittelyyn, joka ei ole tarpeen palvelun tarjoamiseksi. Artikla ei siis kiellä ehtoa, jonka mukaan palveluun pääsee vain antamalla suostumuksen.

ePrivacy-direktiivin johdanto-osan 25 perustelukappaleen mukaan pääsy tiettyyn sivuston sisältöön voidaan asettaa ehdolliseksi sille, että käyttäjä hyväksyy evästeen tietoisena, jos evästettä käytetään oikeutettuun tarkoitukseen. Kappale on kuitenkin kirjoitettu vuonna 2002, ennen tietosuoja-asetuksen voimaantuloa. Asiassa C-673/17 (Planet49) EU-tuomioistuin (EUT) totesi julkisasiamiehen tavoin, että tietosuoja-asetuksen suostumuskäsite vaikuttaa vielä tiukemmalta kuin aiemman tietosuojadirektiivin 95/46/EY (C-673/17, kohdat 61–63).

Asiassa C-252/21 (Meta Platforms v. Bundeskartellamt) Saksan kilpailuviranomainen oli kieltänyt Facebookia yhdistämästä käyttäjien tietoja yhtiön muista palveluista ja muiden yritysten verkkosivuilta ilman vapaaehtoista suostumusta. Ennakkoratkaisua pyytänyt Düsseldorfin ylioikeus (Oberlandesgericht Düsseldorf) kysyi EUT:lta muun muassa, voiko markkinoita hallitsevan sosiaalisen median palvelun käyttäjä ylipäätään antaa vapaaehtoisen suostumuksen.

EUT:n mukaan määräävä markkina-asema ei sellaisenaan estä pätevää suostumusta (C-252/21, kohta 147). Tietosuoja-asetuksen johdanto-osan 42 perustelukappaleen mukaan suostumus ei kuitenkaan ole vapaaehtoinen, jos käyttäjä ei voi kieltäytyä ilman, että siitä aiheutuu hänelle haittaa. Markkina-asema voi viedä käyttäjältä juuri tämän mahdollisuuden, joten se on otettava huomioon (C-252/21, kohdat 148 ja 149). Käyttäjän on voitava kieltäytyä palvelun kannalta tarpeettomasta käsittelystä ilman, että hänen on luovuttava koko palvelusta, joten hänelle on tarjottava tarvittaessa asianmukaista korvausta vastaan vastaava vaihtoehto ilman tällaista käsittelyä (C-252/21, kohta 150).

Meta-tuomion kohdan 150 mukaan vaihtoehto voi siis olla maksullinen, vaikka asia koski markkinoita hallitsevaa alustaa. Sen, olivatko Facebookin käyttäjät antaneet suostumuksensa vapaaehtoisesti, ratkaisee ennakkoratkaisua pyytänyt tuomioistuin (C-252/21, kohta 153).

Tietosuoja-asetuksen 7(1) artiklan mukaan rekisterinpitäjän eli tietoja käsittelevän yhtiön on pystyttävä osoittamaan, että käyttäjä on antanut suostumuksensa. Asiassa C-61/19 (Orange România) teleyhtiön matkapuhelinsopimuksissa oli valmiiksi rastitettu kohta, jonka mukaan asiakas suostui siihen, että yhtiö ottaa kopion hänen henkilöllisyystodistuksestaan ja säilyttää sen. Kieltäytyvän asiakkaan oli täytettävä erillinen lomake (C-61/19, kohdat 50 ja 52). EUT:n mukaan sopimusehdot eivät saa johtaa asiakasta harhaan siitä, voiko hän tehdä sopimuksen kieltäytymällä suostumuksesta, koska muuten suostumus ei ole vapaaehtoinen eikä tietoinen (C-61/19, kohdat 41 ja 52). Mediayhtiön on vastaavasti pystyttävä osoittamaan, että lukija tiesi maksuvaihtoehdosta tehdessään valintansa.

Mallin kieltämistä on EU:ssa jo yritetty. Euroopan parlamentti ehdotti ePrivacy-direktiivin korvaavan asetuksen käsittelyssä, ettei palvelun käyttöä saisi asettaa ehdolliseksi evästeiden hyväksymiselle (A8-0324/2017, muutosehdotus 92). Neuvosto olisi vuoden 2021 kannassaan sallinut ehdon, kun käyttäjälle tarjotaan vastaava vaihtoehto. Komissio veti asetusehdotuksen pois vuonna 2025, joten mallia arvioidaan tietosuoja-asetuksen mukaan.

Euroopan tietosuojaneuvoston (jäljempänä EDPB) 17.4.2024 antama lausunto 08/2024 koskee suuria verkkoalustoja, kuten sosiaalista mediaa. EDPB:n mukaan alustan käyttäjän voi olla vaikea kieltäytyä, koska hänen ystävänsä, perheensä ja työtoverinsa ovat alustalla eikä heitä saa siirtymään toiseen palveluun (EDPB 08/2024, kohta 91). Jos pitkäaikainen käyttäjä kieltäytyy suostumuksesta ja menettää siksi pääsyn palveluun, hän voi menettää myös yhteytensä, seuraajansa ja sinne tallentamansa sisällön (EDPB 08/2024, kohta 92). Siksi EDPB pitää pelkkää valintaa suostumuksen ja maksun välillä suurilla alustoilla yleensä riittämättömänä (EDPB 08/2024, kohta 179). Unionin yleisen tuomioistuimen mukaan lausunnolla ei kuitenkaan ole sitovia oikeusvaikutuksia (T-319/24, määräys 29.4.2025). Meta on valittanut määräyksestä (C-454/25 P).

Uutissivuston lukija voi sen sijaan lukea samat uutiset muualta. Tietosuoja-asetuksen johdanto-osan 43 perustelukappaleen mukaan suostumuksen ei pitäisi olla pätevä oikeudellinen peruste, jos rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Uutissivuston ja lukijan välinen epäsuhta on pienempi kuin sosiaalisen median alustan ja sen käyttäjän välinen.

Maksamalla lukija välttää mainonnan evästeet ja saa muuten saman sivuston. EDPB:n mukaan maksullista versiota voidaan pitää vastaavana, kun sen laatu ja toiminnot ovat samat kuin suostumuksella saatavan version. Ero saa johtua vain siitä, ettei maksavan lukijan tietoja käsitellä suostumusta edellyttäviin tarkoituksiin (EDPB 08/2024, kohta 123).

Maksun vaihtoehdoksi saa kuitenkin asettaa vain suostumuksen palvelua rahoittaviin käyttötarkoituksiin. Tietosuoja-asetuksen johdanto-osan 43 perustelukappaleen mukaan suostumusta ei katsota vapaaehtoisesti annetuksi, jos ei ole mahdollista antaa erillistä suostumusta eri henkilötietojen käsittelytoimille. EDPB:n mukaan lukijan on voitava valita hyväksymänsä käyttötarkoitukset sen sijaan, että hänen olisi annettava suostumus kaikkiin kerralla (EDPB 08/2024, kohta 139). Tanskan tietosuojaviranomainen katsoi uutismediaa koskeneessa päätöksessään, ettei tilastoinnilla ole suoraa yhteyttä sisällön rahoittamiseen, joten vain markkinointi oli välttämätön osa maksun vaihtoehtoa (Datatilsynet 18.3.2024). Ranskan ja Itävallan tietosuojaviranomaiset ovat edellyttäneet, että maksun vaihtoehtona annettava suostumus rajoittuu palvelua rahoittaviin tarkoituksiin. Mainontaan voidaan EDPB:n mukaan liittää siihen kiinteästi kuuluvat toimet, kuten mainonnan tehon mittaus (EDPB 08/2024, kohta 140, alaviite 120). Sisällön personointiin, toimituksen analytiikkaan ja sivulle upotettuihin ulkopuolisiin palveluihin, kuten videoihin, lukijan on voitava suostua erikseen ja kieltäytyä niistä maksutta. Maksavalta lukijalta niihin on pyydettävä oma suostumus.

KHO:n mukaan suhteellisen vähäinenkin lisävaiva evästeistä kieltäytymisessä voi ohjata käyttäjää antamaan suostumuksensa (KHO 2026:65, kohta 37, ks. aiempi artikkelimme). Maksuvaihtoehdon on siksi näyttävä evästeikkunassa yhtä selvästi kuin hyväksymispainike.

Lukijan on tiedettävä, mihin hän suostuu

Suostumus on pätevä vain, jos lukija tietää, mihin hän suostuu. Viestintäpalvelulain 205 §:n 1 momentin mukaan lukijalle on annettava ymmärrettävät ja kattavat tiedot siitä, mihin evästeitä käytetään. Tietosuoja-asetuksen johdanto-osan 42 perustelukappaleen mukaan lukijan on tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Planet49-tuomion mukaan lukijalle on kerrottava myös, kuinka kauan eväste toimii ja pääsevätkö kolmannet osapuolet sen tietoihin (C-673/17, kohdat 74 ja 75).

Mainonnassa lukijan tiedot menevät mainoskumppaneille, jotka käyttävät niitä omiin tarkoituksiinsa. Lukijalle on silloin kerrottava jokaisesta kumppanista, kuka se on, mihin se käyttää tietoja ja kuinka kauan sen evästeet toimivat. Pitkä luettelo on kattava, mutta lukija ei pysty ymmärtämään sitä.

Traficom on arvioinut tietojen riittävyyttä muun muassa sääpalvelu Foreca Oy:tä koskeneessa valvontapäätöksessä 12.6.2024. Forecan evästeikkunassa oli yli 700 kumppania. Traficomin mukaan luettelo oli sinänsä kattava, mutta käyttäjä ei pystynyt sen perusteella hahmottamaan, minne hänen tietonsa voivat päätyä ja miten niitä käytetään. Suostumus ei siksi ollut tietoinen. Evästeiden toiminta-ajoista Foreca kertoi vain summittaisesti tietosuojailmoituksessaan. Osasta kumppaneista käyttäjän olisi pitänyt hakea tieto kumppanin omalta sivustolta. Traficomin mukaan evästeikkunassa on kerrottava jokaisen evästeen toiminta-aika, myös kumppanien evästeiden.

Vastuu tietojen antamisesta on sivuston ylläpitäjällä. Forecan kumppanit tulivat mainosalan yhteisestä järjestelmästä, jolla evästeikkuna välittää käyttäjän valinnat mainoskumppaneille (IAB Europen Transparency & Consent Framework, TCF). Traficomin mukaan ylläpitäjä valitsee kumppanit silti itse ja vastaa siitä, että käyttäjä saa tiedot myös niiden evästeistä. EUT:n mukaan järjestelmän laatija IAB Europe voi olla yhteisrekisterinpitäjä käyttäjän valintojen tallentamisessa, mutta sen vastuu ei ulotu automaattisesti verkkosivustojen ja muiden kolmansien osapuolten myöhempään käsittelyyn (C-604/22 (IAB Europe), kohta 77).

Viestintäpalvelulain 205 §:n 3 momentin mukaan tietoja saa tallentaa ja käyttää ainoastaan palvelun vaatimassa laajuudessa. Traficomin mukaan mainosten myynti voidaan toteuttaa tehokkaasti huomattavasti pienemmälläkin kumppanimäärällä, joten yli 700 kumppania ylitti palvelun vaatiman laajuuden riippumatta siitä, millaiset tiedot käyttäjälle annettiin. Traficom velvoitti Forecan muuttamaan kumppanien määrää ja niistä annettavia tietoja niin, että käyttäjä voi helposti arvioida suostumuksensa vaikutukset. Tietosuoja-asetuksen 7(1) artiklan mukaan mediayhtiön on pystyttävä osoittamaan, että lukija on antanut suostumuksensa. Mitä useampi kumppani suostumukseen sisältyy, sitä vaikeampi mediayhtiön on osoittaa, että lukija tiesi, mihin hän suostui.

Hinta ratkaisee, onko valinta todellinen

Mallia vastaan esitetty painavin vastaväite on, että yksityisyydestä tulee maksullista. Jos tietosuojan saa vain maksamalla, vähävarainen lukija joutuu antamaan suostumuksensa. EDPB muistuttaa, että henkilötiedot eivät ole kauppatavaraa (EDPB 08/2024, kohta 130) ja että tietosuojasta ei saa tulla varakkaiden etuoikeutta (EDPB 08/2024, kohta 132). EDPB:n mukaan maksu voi aiheuttaa haittaa suostumuksesta kieltäytyvälle lukijalle. Haittaa voisi lieventää maksuton versio, jossa mainonnassa käytetään vähemmän tai ei lainkaan käyttäjän tietoja (EDPB 08/2024, kohdat 73–78).

Unionin oikeudessa käyttäjä voi kuitenkin maksaa digitaalisesta sisällöstä henkilötiedoillaan. Digisisältödirektiivin (EU) 2019/770 johdanto-osan 24 perustelukappaleen mukaan kuluttaja voi antaa henkilötietojaan sisällön vastineeksi, vaikka henkilötietoja ei voida pitää hyödykkeenä. Tietosuoja-asetuksen johdanto-osan 4 perustelukappaleen mukaan oikeus henkilötietojen suojaan ei ole absoluuttinen. Sen on oltava oikeassa suhteessa muihin perusoikeuksiin, kuten elinkeinovapauteen. Lukijallakaan ei ole absoluuttista oikeutta saada kaupallista journalismia ilmaiseksi. Samasta jutusta toinen lukija maksaa rahalla ja toinen tiedoillaan.

Liian suuri maksu voi silti olla tietosuoja-asetuksen johdanto-osan 42 perustelukappaleessa tarkoitettu haitta, joka lukijalle aiheutuu suostumuksesta kieltäytymisestä. EUT:n mukaan vaihtoehto voidaan tarjota tarvittaessa asianmukaista korvausta vastaan. EDPB:n mukaan yritys saa päättää hinnoistaan, mutta sen on dokumentoitava, miksi maksu on asianmukainen (EDPB 08/2024, kohta 136). Yrityksen on myös varmistettava, ettei maksu estä lukijaa kieltäytymästä suostumuksesta eikä saa häntä tuntemaan, että hänen on pakko antaa suostumuksensa (EDPB 08/2024, kohta 134). Jos hinta on tavalliselle lukijalle liian korkea, hänen on käytännössä pakko antaa suostumuksensa, jolloin suostumus ei ole vapaaehtoinen.

Uutismarkkinoilla hintaa rajoittaa lisäksi kilpailu. Mediayhtiö, joka hinnoittelee evästeistä kieltäytymisen liian kalliiksi, menettää maksuhaluiset lukijat kilpailijoille ja Ylelle eikä saa heistä mainostuloakaan. Menetettyyn mainostuloon perustuva hinta on yksi tapa dokumentoida maksun asianmukaisuus, koska lukija maksaa silloin saman, minkä hänen tietonsa muuten tuottaisivat. Lisämaksu voidaan periä myös digitilaajalta, koska mainoksia näytetään myös tilaajille ja evästeistä kieltäytyminen vähentää niistä saatavaa tuloa.

EDPB:n mukaan suurilla alustoilla ei ole velvollisuutta tarjota palvelua aina maksutta, mutta maksuton versio on tärkeä arvioitaessa, onko lukijalla todellinen valinta (EDPB 08/2024, kohdat 76 ja 77). Uutissivustolle maksuton versio voi olla vaikea toteuttaa, jos sivun sisältöön perustuva mainonta ei riitä kattamaan toimituksellisia kuluja. Silloin sivusto voisi siirtää sisältönsä kokonaan maksumuurin taakse ja pääsy uutisiin kapenisi. Suomessa lukijalla on lisäksi jo maksuton vaihtoehto, koska Yle rahoitetaan verovaroin eikä se saa lähettää mainontaa verkossa tarjoamiensa sisältöpalveluiden yhteydessä.

Lukijan peruessa suostumuksensa tietosuoja-asetuksen 7(3) artikla edellyttää, että peruuttaminen on yhtä helppoa kuin suostumuksen antaminen. Pay or consent -mallissa peruminen on maksutonta, mutta sen jälkeen lukija pääsee sivustolle vain maksamalla tai antamalla suostumuksen uudelleen. EDPB:n mukaan lukijalle on kerrottava selvästi, miten peruminen tehdään, jotta hänelle ei synny käsitystä, että peruminen johtaa automaattisesti maksulliseen tilaukseen. Valinnan on oltava silloinkin vapaa, koska muuten suostumus olisi aina pätemätön (EDPB 08/2024, kohta 172). Hinnan ja maksuvaihtoehdon on siis oltava asianmukaiset myös perumisen jälkeen.

Yleisömittaukseen tarvitaan suostumus, ellei mediayhtiö osoita sen välttämättömyyttä

Yleisömittauksella mediayhtiö laskee sivuston kävijät ja juttujen lukijamäärät. Luvut ohjaavat toimituksen työtä ja kertovat mainostajalle sivuston yleisön koon. Mainosrahoitteiselle sivustolle yleisömittaus on siksi mainosmyynnin edellytys. Tanskan tietosuojaviranomaisen mukaan tilastointi ei kuitenkaan ole välttämätön osa maksun vaihtoehtoa (Datatilsynet 18.3.2024). Yleisömittaukseen tarvitaan suostumus myös maksaneelta lukijalta, ellei mittaus ole viestintäpalvelulain 205 §:n 2 momentissa tarkoitetulla tavalla välttämätöntä.

KHO:n mukaan poikkeusta tulkitaan suppeasti, ja poikkeukseen vetoavan on esitettävä riittävä selvitys poikkeuksen soveltumiselle säädettyjen edellytysten täyttymisestä (KHO 2026:64, kohdat 45 ja 73). Välttämättömyyttä ei arvioida yhtiön omien valintojen perusteella (KHO 2026:64, kohta 48). Erityistä merkitystä on sillä, mitä palvelua lukijan on katsottava nimenomaisesti pyytäneen (KHO 2026:64, kohta 49).

Mediayhtiö vetosi valituksessaan siihen, että digipalvelusäädös (EU) 2022/2065 velvoittaa sen mittaamaan käyttäjämääriä ja että mittaus edellyttää verkkokutsuja, joista lukijaa ei voi tunnistaa (KHO 2026:64, kohta 62). Traficom oli katsonut poikkeuksen soveltuvan osaan yhtiön verkkokutsuista, ja velvoite koski vain muita kutsuja (KHO 2026:64, kohta 72). Yhtiö ei ollut toimittanut Traficomille pyydettyjä tietoja verkkokutsuistaan, joten KHO:n mukaan Traficom oli voinut katsoa poikkeuksen edellytysten jääneen selvittämättä (KHO 2026:64, kohta 74). Yleisömittauksen välttämättömyys jäi siis avoimeksi, mutta sen näyttäminen on mediayhtiön vastuulla.

Forecaa koskeneessa päätöksessä Traficom piti yhtiön käyttämiä Google Analytics -evästeitä suostumuksenvaraisina, vaikka Foreca perusteli niitä kävijämäärien seurannalla (Traficom 12.6.2024, s. 5). Traficomin mukaan välttämättömyyttä arvioidaan ensisijaisesti käyttäjän näkökulmasta, eikä käyttäjä todennäköisesti käytä palvelua siksi, että haluaa toimintaansa seurattavan. Tietoa saadaan edelleen suostumuksen antaneilta käyttäjiltä (Traficom 12.6.2024, s. 24–26). Personoinnin osalta KHO totesi, ettei ollut näytetty palvelun olevan taloudellisesti tai muutoin toteuttavissa ainoastaan seurannan avulla (KHO 2026:64, kohta 52). Mediayhtiö voi siis yrittää osoittaa, että mainosrahoitteinen uutispalvelu on taloudellisesti toteutettavissa vain yleisömittauksen avulla.

Mainoskumppanit mittaavat puolestaan, näkeekö lukija mainoksen ja miten hän lukee sivuston juttuja. TCF-järjestelmän säännöissä kumppani voi edelleen ilmoittaa mainonnan ja sisällön tehon mittauksen perusteeksi oikeutetun edun. Silloin kumppani käsittelee tietoja ilman suostumusta, ja käyttäjän on erikseen vastustettava käsittelyä. Foreca piti vuonna 2024 nämä valinnat oletuksena päällä, koska sen mukaan niissä ei tallennettu evästeitä. Traficomin mukaan oikeutettu etu ei voi koskaan olla viestintäpalvelulain 205 §:n mukainen peruste evästeiden asettamiselle, joten valmiiksi päälle kytketyt valinnat antoivat käyttäjälle väärän kuvan. Sitä, koskeeko 205 § myös verkkokutsuja, ei ollut tuolloin vielä ratkaistu. Kun KHO:n mukaan tunnisteen muodostava verkkokutsu on laitteelle tallennettujen tietojen käyttöä, oikeutettu etu ei riitä kumppanin mittaukseen myöskään ilman evästeitä.

Teknisesti yleisömittaus ja mainontaa varten tehtävä seuranta toimivat samalla tavalla. Kummassakin selain lähettää verkkokutsun, josta vastaanottaja saa lukijan IP-osoitteen ja selaimen tiedot. Ero syntyy vasta siinä, mitä tiedoille tapahtuu kutsun jälkeen. Seurannassa niistä muodostetaan lukijaa koskeva profiili, jonka avulla hänet tavoitetaan muillakin sivustoilla, kun taas yleisömittauksessa tiedot yhdistetään luvuiksi, joista yksittäistä lukijaa ei voi erottaa. Viestintäpalvelulain 205 § koskee laitteelle tallennettujen tietojen käyttöä, joten yleisömittaukseen sovelletaan samaa pääsääntöä kuin seurantaan, vaikka seuranta puuttuu yksityisyyteen paljon enemmän.

Mainonnan kohdentamisessa maksu antaa mediayhtiölle keinon noudattaa KHO:n linjausta ja säilyttää tulot. Yleisömittauksessa vastaavaa keinoa ei ole. Suostumusvaatimus rajoittaa mediayhtiön elinkeinovapautta, koska lukijamäärät saadaan mitattua vain suostumuksen antaneilta lukijoilta. Koska oikeus henkilötietojen suojaan ei ole absoluuttinen, sen on oltava oikeassa suhteessa elinkeinovapauteen (tietosuoja-asetuksen johdanto-osan 4 perustelukappale). Perustuslakivaliokunnan käytännön mukaan perusoikeuksien rajoitusten on lisäksi perustuttava lakiin ja oltava tarkkarajaisia ja riittävän täsmällisesti määritettyjä (PeVM 25/1994 vp, s. 5). Viestintäpalvelulain 205 §:stä ei kuitenkaan käy ilmi, milloin yleisömittaus on välttämätöntä, eikä KHO ratkaissut kysymystä. Mediayhtiön pitäisi voida lukea laista, milloin se saa mitata sivustonsa käyttäjämäärät ilman suostumusta. Koska suostumusvaatimus johtuu ePrivacy-direktiivin 5(3) artiklasta, tällaisesta poikkeuksesta päätetään EU:ssa.

EU:n toimielimet ovat toistuvasti ehdottaneet, että anonyymi yleisömittaus erotetaan seurannasta. Komission vuoden 2017 ePrivacy-asetusehdotus olisi sallinut palveluntarjoajan mitata omaa palveluaan ilman suostumusta (8(1)(d) artikla). Digital Omnibus -paketissa komissio ehdottaa samaa tietosuoja-asetukseen lisättävässä 88a(3)(c) artiklassa (COM(2025) 837). Yleisömittaus vapautunee suostumuksesta, koska sekä komissio että neuvosto kannattavat vapautusta. Neuvosto hyväksyi 21.10.2026 neuvottelukantansa, jossa evästesäännöt jäisivät ePrivacy-direktiiviin mutta yleisömittaus lisättäisiin suostumuksesta vapautettuihin tarkoituksiin (neuvoston tiedote). Neuvoston ja Euroopan parlamentin neuvottelut alkavat, kun parlamentti on hyväksynyt oman kantansa. Siihen asti mediayhtiön on pyydettävä yleisömittaukseen suostumus myös maksaneelta lukijalta, ellei se pysty osoittamaan mittauksen välttämättömyyttä.

Komission ehdottamassa 88a(3)(c) artiklassa suostumuksesta vapautettaisiin vain mittaus, jossa sivuston ylläpitäjä kokoaa sivustonsa käytöstä tilastotietoa yksinomaan omaan käyttöönsä. Mainoskumppaneille päätyvät mittaustiedot jäisivät vapautuksen ulkopuolelle.

Tietosuoja-asetuksen johdanto-osan 26 perustelukappaleen mukaan tunnistettavuutta arvioitaessa on otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää henkilön tunnistamiseen. Mittaustiedot voivat siis olla henkilötietoja silloinkin, kun vain tiedon vastaanottaja pystyy tunnistamaan lukijan. Mainonnan reaaliaikaisissa huutokaupoissa tiedot kulkevat datakauppiaille ja mainosalustoille (C-604/22, kohta 23), jotka voivat yhdistää ne muihin aineistoihin esimerkiksi puhelimen mainostunnisteen avulla. Helsingin Sanomat tunnisti 18.10.2026 julkaistussa selvityksessään yksittäisiä ihmisiä, muun muassa upseerin ja kansanedustajan, datakauppiailta hankituista paikannustiedoista, joita myyjät olivat kuvanneet anonyymeiksi. Mittaustiedon anonyymiys on siksi arvioitava myös tiedon vastaanottajien keinoin.

Lopuksi

Pay or consent -malli voi täyttää suostumuksen vaatimukset, kun maksava lukija saa saman sisällön, hinta on asianmukainen ja lukija tietää, kenelle ja mihin hänen tietonsa menevät. Yleisömittaukseen on pyydettävä suostumus myös maksaneelta lukijalta, ellei mediayhtiö pysty osoittamaan mittauksen välttämättömyyttä. Tilanne muuttuu, jos EU vapauttaa yleisömittauksen suostumuksesta. Autamme yrityksiä arvioimaan evästekäytäntöjä ja suostumuksenhallintaa verkkosivustoilla ja mobiilisovelluksissa. Ota yhteyttä, niin käymme läpi, mitä teidän tilanteessanne kannattaa tarkastaa.