# Planet49-tapaus – Evästeet ja suostumus

2019-10-11 — Max Atallah

Tags: tietosuoja, data, privacy, kaikki, artikkelit, newsroom

Oikeustapauskommentaari

#### Asia

Euroopan unionin tuomioistuin (jäljempänä ”EUT”) otti ns. Planet49-tapauksen [ennakkoratkaisussa](http://curia.europa.eu/juris/document/document.jsf;jsessionid=EC22FBA0E95302C2D4F9616AB7726E1B?text=&docid=218462&pageIndex=0&doclang=FI&mode=req&dir=&occ=first&part=1&cid=1669487) kantaa niihin edellytyksiin, joita voidaan asettaa evästeiden tallentamiselle käyttäjän päätelaitteelle. Asia koski pääasiallisesti suostumus-käsitteen tulkintaa [ePrivacy-direktiivin](https://eur-lex.europa.eu/legal-content/FI/TXT/HTML/?uri=CELEX:32002L0058&from=EN), GDPR:ää edeltäneen [henkilötietodirektiivin](https://eur-lex.europa.eu/legal-content/FI/TXT/HTML/?uri=CELEX:31995L0046&from=EN) ja [GDPR:n](https://eur-lex.europa.eu/legal-content/FI/TXT/HTML/?uri=CELEX:32016R0679&from=EN) näkökulmasta.

#### Evästeiltä vaadittavan suostumuksen on täytettävä GDPR:n mukaisen suostumuksen vaatimukset

Koska EU-jäsenvaltioiden on tullut implementoida ePrivacy-direktiivi osaksi heidän kansallista lainsäädäntöänsä, jokaisen jäsenvaltion kansallinen lainsäädäntö edellyttää, että pääsääntöisesti evästeitä voi tallentaa käyttäjän päätelaitteelle laillisesti ainoastaan käyttäjän antamalla suostumuksella. Suostumusta ei kuitenkaan edellytetä esim. sellaisten evästeiden tallentamiselle, jotka ovat ehdottoman välttämättömiä palvelun tarjoamiseksi. Tällaisia evästeitä voivat olla esim. evästeet, jotka mahdollistavat verkkokaupan ostoskorin käyttämisen verkkosivuilla.

EPrivacy-direktiivin mukaan käyttäjän suostumuksella tarkoitetaan samaa kuin rekisteröidyn suostumuksella henkilötietodirektiivissä. Tässä kohtaa on kuitenkin tärkeää huomata, että henkilötietodirektiivi on kumottu 25.5.2018 voimaantulleen GDPR:n myötä. Tämän johdosta katse on siirrettävä GDPR:ään, jonka artiklassa 94(2) säädetään, että viittauksia kumottuun henkilötietodirektiiviin pidetään viittauksina GDPR:ään. Näin ollen evästeiden tallentamiseen on ePrivacy-direktiivin mukaisesti saatava GDPR:n edellytysten mukainen suostumus.

#### Tapauksen taustat

Tapauksessa saksalainen Planet49-yhtiö oli järjestänyt internetissä mainostarkoituksessa arvontoja, joiden yhteyteen se oli asettanut evästeitä koskevan _valmiiksi rastitetun ruudun_, johon asetetun tekstin perusteella _valmiiksi rastitettu ruutu_ ilmensi käyttäjän suostumusta evästeiden tallentamiselle.

Saksan kuluttajaneuvontajärjestöjen keskusjärjestö riitautti Planet49:n evästekäytännön, sillä sen mielestä _valmiiksi rastitettu ruutu_ ei täytä lain suostumukselta edellytettäviä vaatimuksia.

Asia eteni Saksan liittovaltion ylimpään tuomioistuimeen (Bundesgerichtshof), joka vuorostaan pyysi EUT:ta tulkitsemaan asiaa ennakkoratkaisulla.

#### EUT:n ennakkoratkaisu

EUT:n 1.10.2019 antamassa ennakkoratkaisussa todettiin, että evästeiltä vaadittavan suostumuksen tulee täyttää GDPR:n artiklan 7 suostumuksen vaatimukset. Ratkaisussa myös yksiselitteisesti todettiin, että _valmiiksi rastitettu ruutu_ ei täytä suostumukselta edellytettäviä vaatimuksia, sillä lainmukaiselta suostumukselta edellytetään aina aktiivista toimenpidettä. Näin ollen EUT totesi, että käyttäjät eivät olleet antaneet lainmukaista suostumustaan evästeiden tallentamiselle.

#### Planet49-tapauksen vaikutus evästeitä koskevaan oikeustilaan Suomessa

Sinänsä, kuten yllä tuodaan ilmi, Planet49-tapaus ei tuonut mitään uutta lainmukaiseen tapaan soveltaa evästeitä koskevaa lainsäädäntöä EU:ssa. Huomattakoon kuitenkin, että ennen Planet49-tapausta Suomessa ei ollut yleistä tietoisuutta siitä, kuinka evästeitä koskeva suostumus tulisi lainmukaisesti antaa, eikä evästeitä koskevaa lainsäädäntöä käytännössä valvottu.

Planet49-tapaus selvensi ja vahvisti sen, mitä edellytetään lainmukaiselta suostumukselta evästeiden tallentamiseen, ja tapaus on lisännyt valtavasti tietoisuutta siitä, kuinka suostumus evästeiden tallentamiseen annetaan lainmukaisesti. Lisäksi, kentältä kuullun perusteella Planet49-tapauksen myötä tietosuojavaltuutetun toimisto on ryhtynyt kartoittamaan yrityksiä, jotka eivät pyydä lainmukaista suostumusta käyttäjiltä evästeiden tallentamiseen. Planet49-tapauksella on siten ollut jo nyt merkittävä oikeusvaikutus Suomeen.

On tärkeää kuitenkin huomata, että evästeitä koskeva oikeuskäytäntö tulee (lähi)tulevaisuudessa muuttumaan, jos ja kun ePrivacy-asetuksen sisällöstä päästään yksimielisyyteen. Palaamme myöhemmissä artikkeleissamme ePrivacy-asetukseen, jotta evästeitä koskevat tulevaisuuden muutokset eivät pääsisi yllättämään ketään meidän sivuilla vierailevaa!

_Kommentaarin laatimiseen osallistui myös toimistomme lakimiesharjoittelija Jere Lehtimäki_.

**11.10.2019 MAX**