Ravintolan verkkosivuston evästeiden tarkistaminen: hyväksyminen, hylkääminen ja suostumuksen peruuttaminen (AEPD:n vuoden 2023 ohjeistuksen tulkinta)

Ravintolan verkkosivuston evästeiden hallinnassa on tarkistettava käyttötarkoitus, käyttöliittymä ja toiminta käytännössä: voiko asiakas yhtä helposti hyväksyä tai hylätä evästeet, mitkä osat lakkaavat toimimasta valinnan jälkeen ja miten suostumuksen voi myöhemmin peruuttaa. Ponnahdusikkunan sulkeminen on vain näkyvä muutos, eikä se korvaa näitä tarkistuksia.

AEPD julkaisi ohjeistuksen päivitystä koskevan ilmoituksen 2023-7-11: hyväksymis- ja hylkäämisvaihtoehtojen tulee olla yhtä selvästi esillä. Käyttäjän itse valitsemaan kieleen tarvittavat tekniset evästeet voidaan jättää suostumuksen ulkopuolelle, jos niitä ei käytetä muihin tarkoituksiin. Päivitys tuli ottaa käyttöön viimeistään 2024-1-11. Tässä käsitellään aiempaa ohjeistusta; ilmoituksen julkaisupäivää ei esitetä uuden lain voimaantulopäivänä.

Selvitä ensin kunkin osan käyttötarkoitus ja ylläpitäjä

Käy sivustolla läpi polku etusivulta ruokalistaan, pöytävaraukseen ja maksamiseen ja kirjaa ylös sekä omat sivut että ulkoiset palvelut. Kartta-, video-, varaus- tai markkinointikomponentin nimi ei kerro kaikkia sen käyttötarkoituksia. Pyydä verkkosivuston palveluntarjoajaa selvittämään, vastaanottaako komponentti laitetietoja, miksi niitä tarvitaan ja kuka vastaa asetuksista sekä niiden myöhemmistä päivityksistä.

• Osa ja palveluntarjoaja: kirjaa käytössä olevat palvelut, älä vain kopioi asennusluetteloa.
• Tarkoitus: erittele esimerkiksi asiakkaan pyynnön toteuttaminen, asetusten tallentaminen, tilastointi ja mainonta. Jos samalla osalla on useita käyttötarkoituksia, kirjaa ne erikseen.
• Lataamisen ehdot: kerro, milloin tietoja pyydetään tai tallennetaan ja minkä toiminnan tulee loppua hylkäämisen jälkeen.
• Ylläpitovastuu: nimeä yhteyshenkilö sekä se, kuka tarkistaa käyttötarkoituksen tai asetusten muuttuessa, että tiedot ovat ajan tasalla.

Käyttäjän itse valitsema kieli ei tarkoita, että verkkosivusto päättelee hänen mieltymyksensä

2023 julkaistussa ilmoituksessa suostumuksesta vapauttamisen ehtona on, että käyttäjä valitsee itse esimerkiksi kieliasetuksen eikä kyseistä teknistä evästettä käytetä muihin tarkoituksiin. Jos verkkosivusto päättelee käyttäjän mieltymyksen keräämiensä tietojen perusteella, samaa tulkintaa ei voi soveltaa suoraan. Mainonnan uudelleenkohdentamista ei myöskään voi yleisesti luokitella välttämättömäksi toiminnoksi vain siksi, että se käyttää samaa osaa kuin ruokalista.

Pätevän tietosuoja-asiantuntijan tulee arvioida poikkeukset ja suostumusvaatimukset todellisten käyttötarkoitusten perusteella. Kaikkia analytiikkatyökaluja ei pidä luokitella samalla tavalla joko välttämättömiksi tai aina suostumusta edellyttäviksi. Jos seurantakomponentilla ei ole todellista käyttötarkoitusta eikä kukaan ylläpidä sitä, sen poistamista voi harkita.

Tarkista käyttöliittymä ja valinnan jälkeinen toiminta erikseen

• Ensimmäinen käynti: tarkista puhelimella ja tietokoneella, ovatko hyväksymis-, hylkäämis- ja asetusten määritysvaihtoehdot selkeitä ja näkyvissä ja vaatiiko hylkääminen useampia vaiheita.
• Hylkäämisen jälkeen: pyydä teknistä palveluntarjoajaa osoittamaan valvotussa selainympäristössä, mitkä verkkopyynnöt ja tallennustoiminnot lakkaavat. Pelkkä kuvakaappaus suljetusta ponnahdusikkunasta ei riitä.
• Erilliset valinnat: tarkista käyttötarkoitus ja tosiasiallinen latautuminen osa kerrallaan ja varmista, että käyttöliittymän valinta todella ohjaa vastaavaa toimintaa.
• Uudelleenvalinta ja suostumuksen peruuttaminen: kerro, mistä asiakas pääsee takaisin asetuksiin ja miten valinnan muuttaminen vaikuttaa toimintaan käytännössä. Älä jätä käyttöön asetusten tallennuspainiketta, joka ei toimi.

Hyväksymisen ja hylkäämisen tulee olla yhtä selkeitä kaikilla kielillä, ja asiakas päättää itse, kumman vaihtoehdon valitsee. Jos ruokalistan tai pöytävarauksen toiminta häiriintyy mainonnan hylkäämisen jälkeen, pyydä ylläpitäjää selvittämään syy. Vikaa ei saa peittää pyytämällä asiakasta hyväksymään kaikki uudelleen. Jos palveluun liittyy erityisehtoja, pyydä niistä erikseen asiantuntijan neuvoa.

Päivitä tarkistukset, kun palveluntarjoaja vaihtuu

Varaus-, kartta- tai mainospalvelun vaihtamisen jälkeen aiemmat tiedot ja valinnat eivät välttämättä enää vastaa todellisuutta. Vastuuhenkilön tulee pyytää palveluntarjoajaa päivittämään osaluettelo, käyttötarkoitukset ja valintojen vaikutukset sekä nimeämään vielä selvittämättömät toiminnot ja niiden selvittämisestä vastaava henkilö. Säilytä sisäisesti tarvittavat tarkistustiedot, mutta älä pyydä asiakkaan laitteelta ongelmaan liittymättömiä selaustietoja.

Evästeiden hallinta ei kata kaikkia varausyhteystietoihin, kanta-asiakasohjelmaan ja maksutietoihin liittyviä velvollisuuksia. Tarkista nämä käyttötarkoitukset erikseen. Henkilökunta voi auttaa asiakasta kyselyissä tai ruoan tilaamisessa. Oikeudelliset kysymykset tulee ohjata asiasta vastaavalle henkilölle. Älä väitä, että jonkin työkalun asentaminen takaa vaatimustenmukaisuuden pysyvästi.