KHO:2026:65

Korkeimmassa hallinto-oikeudessa oli ratkaistavana, oliko verkkosivuston evästekäytäntö lainvastainen siitä syystä, ettei käyttäjän sivustolla antamaa suostumusta voitu pitää vapaaehtoisesti annettuna.

Verkkosivuston suostumushallintamekanismi oli toteutettu siten, että suostumuksen antaminen oli mahdollista mekanismin ensimmäisellä tasolla huomattavan yksinkertaisesti ja nopeasti. Tähän valintaan käyttäjää oli myös ohjattu. Suostumuksen antamatta jättämistä koskeva mahdollisuus ei sitä vastoin tullut nimenomaisesti heti edes esiin, ja tätä koskevan valinnan tekeminen oli käyttäjälle merkityksellisesti hitaampaa ja hankalampaa.

Suostumushallintamekanismilla oli epäasianmukaisesti vaikutettu käyttäjän valinnanvapauteen olla antamatta suostumustaan, eikä suostumuksen antaminen ollut siten perustunut todelliseen vapaan valinnan mahdollisuuteen. Evästekäytäntö oli lainvastainen.

Laki sähköisen viestinnän palveluista 205 § 1 ja 2 momentti ja 330 §

Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi), sellaisena kuin se on muutettuna direktiivillä 2009/136/EY 1 artikla 1 kohta, 2 artikla toinen kohta f alakohta ja 5 artikla 3 kohta

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 4 artikla 11 kohta ja 7 artikla 4 kohta

Päätös, jota muutoksenhaku koskee

Helsingin hallinto-oikeus 5.2.2026 nro 638/2026

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus myöntää Otavamedia Oy:lle valitusluvan ja tutkii asian.

Vaatimus ennakkoratkaisun pyytämisestä unionin tuomioistuimelta hylätään.

Valitus hylätään. Hallinto-oikeuden päätöksen lopputulosta ei muuteta.

Otavamedia Oy:n vaatimus oikeudenkäyntikulujen korvaamisesta hylätään.

Asian tausta

Liikenne- ja viestintävirasto on päätöksessään 26.4.2024 katsonut, että Otavamedia Oy:n suomenkuvalehti.fi-verkkosivuston evästekäytännöt rikkovat sähköisen viestinnän palveluista annetun lain (viestintäpalvelulaki) 205 §:n 1 momenttia muun muassa siltä osin kuin kaikkien evästeiden hyväksyminen on verkkosivuston suostumushallintamekanismissa helpompaa kuin niistä kieltäytyminen tavalla, joka ei myöskään vastaa suostumukselle yleisessä tietosuoja-asetuksessa asetettuja vaatimuksia. Päätöksessä on tältä osin viitattu muun ohella siihen, että kaikkien evästeiden hyväksyminen on ollut mahdollista mekanismin ensimmäisellä tasolla, jossa tätä koskeva valinta on korostettu vihreällä värillä, kun taas muista kuin välttämättömistä evästeistä kieltäytyminen on edellyttänyt asetuspainikkeen painamista, asetusvalikon selaamista alas asti ja lopuksi kieltäytymistä koskevan painikkeen painamista. Valintojen erilaisella kohtelulla on ollut huomattava merkitys käyttäjien käyttäytymisen kannalta, ja menettelyn tarkoituksena on hyvin todennäköisesti ohjata käyttäjät hyväksymään kaikkien evästeiden käyttö.

Liikenne- ja viestintävirasto on viestintäpalvelulain 330 §:n 1 momentin nojalla velvoittanut yhtiön muuttamaan suostumushallintamekanismiaan siten, että käyttäjälle annetaan kaikkien evästeiden hyväksymisen ohella mahdollisuus kieltää muiden kuin välttämättömien evästeiden käyttö mekanismin ensimmäisellä tasolla.

Hallinto-oikeus on, siltä osin kuin korkeimmassa hallinto-oikeudessa on kysymys, hylännyt Otavamedia Oy:n valituksen sekä vaatimukset ennakkoratkaisun pyytämisestä unionin tuomioistuimelta ja oikeudenkäyntikulujen korvaamisesta.

Hallinto-oikeus on todennut, että yleisessä tietosuoja-asetuksessa on asetettu suostumukselle varsin korkeat vaatimukset, joihin kuuluu muun ohella edellytys vapaaehtoisen valinnan mahdollisuudesta. Hallinto-oikeus on tulkinnut vapaaehtoisuuden sisältöä siten, että käyttäjän suostumuksen katsominen vapaaehtoiseksi edellyttää käyttäjälle annettavien ymmärrettävien ja kattavien tietojen lisäksi sitä, että suostumuksen antamiselle on olemassa vaihtoehto, jonka valitsemista ei ole tehty vaikeammaksi kuin suostumuksen antamista.

Hallinto-oikeus on katsonut, että evästeistä kieltäytyminen on tehty Otavamedia Oy:n suostumushallintatyökalussa hankalammaksi kuin niiden käyttöön suostuminen, sillä kieltäytyminen edellyttää vähintään kahta painallusta, kun taas suostumuksen voi antaa yhdellä painalluksella. Tähän nähden suostumuksen antamista ei voida pitää täysin vapaaehtoisesti annettuna, ja suostumushallintamekanismi on lainvastainen.

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Esa Hakkola, Liisa Selvenius-Hurme, joka on myös esitellyt asian, ja Joonas Ahtonen.

Vaatimukset korkeimmassa hallinto-oikeudessa

Otavamedia Oy on pyytänyt valituslupaa ja vaatinut, että hallinto-oikeuden ja Liikenne- ja viestintäviraston päätökset kumotaan. Yhtiö on lisäksi vaatinut, että korkein hallinto-oikeus pyytää ennakkoratkaisua unionin tuomioistuimelta. Liikenne- ja viestintävirasto on myös velvoitettava korvaamaan yhtiön oikeudenkäyntikulut viivästyskorkoineen.

Liikenne- ja viestintävirasto on vaatinut, että yhtiön valitus sekä vaatimukset ennakkoratkaisun pyytämisestä ja oikeudenkäyntikulujen korvaamisesta hylätään.

Korkeimman hallinto-oikeuden ratkaisun perustelut

Ennakkoratkaisupyynnön esittämistä koskeva vaatimus

Osapuolten keskeiset kannat

Otavamedia Oy on esittänyt, että korkein hallinto-oikeus pyytäisi unionin tuomioistuimelta ennakkoratkaisua yleisen tietosuoja-asetuksen 4 artiklan 11 kohdan ja 7 artiklan 3 kohdan tulkinnasta. Yhtiön mukaan hallinto-oikeus on tehnyt uudenlaisen tulkinnan, ja mainittujen säännösten suhde on epäselvä. Ennakkoratkaisua on pyydettävä siitä, onko säännösten perusteella käyttäjälle tarjottava mahdollisuus kieltää kaikkien muiden kuin välttämättömien evästeiden käyttö täsmälleen samalla toimella kuin niiden hyväksyntä tapahtuu ja edellyttääkö suostumuksen vapaaehtoisuus sitä, että suostumuksen antamisesta kieltäytymisen on oltava yhtä helppoa kuin suostumuksen antaminen. Unionin tuomioistuimen aiemmat tuomiot poikkeavat tosiseikoiltaan ratkaisevasti esillä olevasta asiasta, eikä tuomioistuin ole tarkastellut suostumuksen vapaaehtoisuutta yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan kannalta. Asiassa on lisäksi kyse yhtäältä yksityisyyden suojan ja toisaalta elinkeinovapauden ja sananvapauden välisestä punninnasta.

Liikenne- ja viestintävirasto on esittänyt, että ennakkoratkaisun pyytäminen yhtiön esittämistä kysymyksistä ei ole tarpeen.

Oikeudellinen arviointi ja johtopäätös

Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklan mukaan unionin tuomioistuimella on toimivalta antaa ennakkoratkaisu muun ohella perussopimuksen ja unionin toimielimen säädöksen tulkinnasta. Jos tällainen kysymys tulee esille sellaisessa kansallisessa tuomioistuimessa käsiteltävänä olevassa asiassa, jonka päätöksiin ei kansallisen lainsäädännön mukaan saa hakea muutosta, tämän tuomioistuimen on saatettava kysymys unionin tuomioistuimen käsiteltäväksi. Korkein hallinto-oikeus käyttää Suomessa ylintä tuomiovaltaa hallintolainkäyttöasioissa.

Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että velvollisuutta tehdä Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklassa tarkoitettu ennakkoratkaisupyyntö ei kuitenkaan ole silloin, jos kansallisessa tuomioistuimessa ei esiinny todellista epäilyä unionin tuomioistuimen olemassa olevan oikeuskäytännön soveltamismahdollisuudesta asiaan tai jos on täysin selvää, miten unionin oikeutta on kyseisessä tilanteessa asianmukaisesti sovellettava.

Kun otetaan huomioon jäljempänä tässä päätöksessä mainittu unionin tuomioistuimen oikeuskäytäntö sekä ne perusteet, joilla korkein hallinto-oikeus on ratkaissut asian, asian ratkaisemisen kannalta merkityksellisen unionin oikeuden tulkinnasta ei ole perusteltua epäilystä. Asiassa ei siten ole todettavissa sellaista unionin oikeutta koskevaa kysymystä, jonka johdosta Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklan mukaisen ennakkoratkaisupyynnön esittäminen olisi tarpeen.

Pääasia

Kysymyksenasettelu

Asiassa on keskeisesti kysymys siitä, onko Liikenne- ja viestintäviraston päätöksen kohteena oleva suomenkuvalehti.fi-verkkosivuston evästekäytäntö lainvastainen siitä syystä, ettei käyttäjän sivustolla antamaa suostumusta voida pitää vapaaehtoisesti annettuna.

Liikenne- ja viestintäviraston päätöksen perusteella verkkosivustolla on ollut käytössä käyttäjän suostumuksen pyytämistä varten kaksitasoinen suostumushallintamekanismi. Mekanismin ensimmäinen taso on sisältänyt lähinnä lyhyet yleistiedot evästeiden ja eräiden muiden tietojen käytöstä sekä painikkeet ”Hyväksy kaikki” ja ”Asetukset”. Ensin mainittu painike on korostettu vihreällä taustavärillä, ja sitä painamalla käyttäjä on voinut siirtyä verkkosivuston varsinaiseen sisältöön kaikki evästeet hyväksyen. Asetuspainiketta painamalla käyttäjälle on avautunut mekanismin toinen taso.

Mekanismin toinen taso on sisältänyt muun ohella välilehtiä, alaotsikoita, valikoita, yksityiskohtaista tietoa evästeiden ja muiden tietojen käytöstä sekä painikkeet ”Estä kaikki”, ”Hyväksy valitut” ja ”Hyväksy kaikki”. Viimeksi mainittu painike on korostettu vihreällä taustavärillä. Käyttäjä on voinut tällä tasolla tehdä tarkempia valintoja, kieltää kaikkien muiden kuin välttämättömiksi määriteltyjen evästeiden käytön tai hyväksyä evästeet.

Osapuolten keskeiset kannat

Otavamedia Oy:n mukaan suostumuksen vapaaehtoisuus ei edellytä, että valinnat olisi voitava tehdä suostumushallintamekanismissa yhdellä tasolla. Kaksitasoisella mekanismilla varmistetaan, että käyttäjä voi tehdä informoituja ja eriytettyjä valintoja eri käyttötarkoitusten välillä. Käyttäjän on tehtävä aktiivinen valinta jo mekanismin ensimmäisellä tasolla. Kyse on vapaaehtoisesta ja aidosta valinnanvapaudesta. Kieltäytymisen ilmaiseminen kahdella painalluksella yhden painalluksen sijaan ei merkitse, että suostumusta ei olisi annettu vapaaehtoisesti. Käsitystä suostumuksen vapaaehtoisuudesta ei voida perustaa mekanismin tekniseen toteutukseen kokonaisarvion sijasta. Myös suostumuksen muut osatekijät, kuten tietoisuuden ja yksilöimisen vaatimukset, on otettava huomioon. Monitasoinen mekanismi mahdollistaa täsmällisten, täydellisten ja ymmärrettävien tietojen antamisen. Lainsäädäntö, oikeuskäytäntö tai suostumusta koskevat soveltamisohjeet eivät edellytä hallinto-oikeuden omaksumaa tiukkaa tulkintaa.

Yhtiön mukaan sen suostumushallintamekanismi perustuu laajasti media-alan toimijoiden käytössä olevaan eurooppalaiseen standardiin (IAB Europen TCF-standardi). Evästeiden hyödyntämisellä on merkittävä vaikutus kotimaisten journalististen palvelujen tarjoajien toimintamahdollisuuksille ja siten sananvapaudelle ja tiedonvälitykselle, koska mainosmyynti on alan elinehto. Kotimaisiin medioihin ei tule soveltaa olennaisesti tiukempia vaatimuksia kuin muihin sisältöpalveluihin. Asiassa on arvioitava, merkitsevätkö tehdyt päätökset suhteetonta puuttumista yhtiön elinkeinovapauteen.

Liikenne- ja viestintävirasto on viitannut päätöksessään esitettyihin perusteluihin. Viraston mukaan suostumusta ei voida pitää vapaaehtoisesti annettuna, kun suostumuksen epääminen on vaikeampaa ja vie enemmän aikaa kuin sen antaminen. Asiassa ei ole kysymys siitä, että kaksitasoista suostumushallintamekanismia ei saisi lainkaan käyttää. Kysymys on siitä, että käyttäjälle tulee tarjota mahdollisuus tehdä vapaaehtoisia ja yksilöiviä valintoja evästeiden käytöstä.

Liikenne- ja viestintävirasto on esittänyt, että mekanismin ensimmäisellä tasolla käyttäjälle tarjotaan mahdollisuus hyväksyä kaikki evästeet lukematta toisella tasolla esitettyjä tarkempia tietoja. Käyttäjälle ei tarjota vastaavaa valintaa kieltää kaikkien valinnaisten evästeiden käyttöä eikä kerrota mahdollisuudesta kieltäytyä muiden kuin välttämättömien evästeiden käytöstä.

Sovellettavat ja muutoin huomioon otettavat keskeiset oikeusohjeet

Sähköisen viestinnän palveluista annetun lain (viestintäpalvelulaki) 205 §:n 1 momentin mukaan evästeiden tai muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja näiden tietojen käyttö on sallittua palvelun tarjoajalle, jos käyttäjä on antanut siihen suostumuksensa ja palvelun tarjoaja antaa käyttäjälle ymmärrettävät ja kattavat tiedot tallentamisen tai käytön tarkoituksesta.

Saman pykälän 2 momentin mukaan 1 momentissa säädetty ei koske tietojen sellaista tallentamista tai käyttöä, jonka ainoana tarkoituksena on toteuttaa viestin välittämistä viestintäverkoissa tai joka on välttämätöntä palvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota tilaaja tai palvelun käyttäjä on nimenomaisesti pyytänyt. Pykälän 3 momentin mukaan pykälässä tarkoitettu tallentaminen ja käyttö on sallittua ainoastaan palvelun vaatimassa laajuudessa ja sillä ei saa rajoittaa yksityisyyden suojaa enempää kuin on välttämätöntä.

Viestintäpalvelulain 330 §:n 1 momentin mukaan muun ohella Liikenne- ja viestintävirasto voi kyseisen lain mukaisia tehtäviä hoitaessaan antaa huomautuksen sille, joka rikkoo lakia taikka sen nojalla annettuja säännöksiä, määräyksiä, päätöksiä ja lupaehtoja sekä velvoittaa tämän korjaamaan virheensä tai laiminlyöntinsä kohtuullisessa määräajassa.

Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), sellaisena kuin se on muutettuna direktiivillä 2009/136/EY, 1 artiklan 1 kohdan mukaan direktiivissä säädetään sellaisten kansallisten säännösten yhdenmukaistamisesta, joita tarvitaan samantasoisen perusoikeuksien ja -vapauksien, erityisesti yksityisyyttä ja luottamuksellisuutta koskevan oikeuden, suojan varmistamiseksi henkilötietojen käsittelyssä sähköisen viestinnän alalla sekä tällaisten tietojen ja sähköisten viestintälaitteiden ja -palvelujen vapaan liikkuvuuden varmistamiseksi yhteisössä.

Direktiivin muutetun 5 artiklan 3 kohdan mukaan jäsenvaltioiden on varmistettava, että tietojen tallentaminen tai tilaajan tai käyttäjän päätelaitteelle tallennettujen tietojen käyttäminen sallitaan ainoastaan sillä edellytyksellä, että kyseinen tilaaja tai käyttäjä on antanut suostumuksensa saatuaan selkeät ja kattavat tiedot muun muassa käsittelyn tarkoituksesta direktiivin 95/46/EY mukaisesti. Tämä ei estä teknistä tallentamista tai käyttöä, jonka ainoana tarkoituksena on toteuttaa viestinnän välittäminen sähköisissä viestintäverkoissa tai joka on ehdottoman välttämätöntä tietoyhteiskuntapalvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota tilaaja tai käyttäjä on erityisesti pyytänyt.

Direktiivin 2 artiklan toisen kohdan f alakohdan mukaan direktiivissä tarkoitetaan käyttäjän tai tilaajan ’suostumuksella’ samaa kuin rekisteröidyn suostumuksella direktiivissä 95/46/EY.

Direktiivin johdanto-osan 17 perustelukappaleen mukaan kyseisessä direktiivissä käyttäjän tai tilaajan suostumuksella olisi, siitä riippumatta, onko kyseessä luonnollinen vai oikeushenkilö, tarkoitettava samaa kuin rekisteröidyn suostumuksella direktiivissä 95/46/EY määritellyn ja tarkennetun mukaisesti. Suostumus voidaan antaa käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn täsmällisen ja tietoon perustuvan ilmoituksen käyttäjän toiveista, mukaan lukien ruudun rastittaminen vierailtaessa internetsivustolla.

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 94 artiklan 2 kohdan mukaan viittauksia asetuksella kumottuun direktiiviin 95/46/EY pidetään viittauksina kyseiseen asetukseen.

Asetuksen 4 artiklan 11 kohdan mukaan asetuksessa tarkoitetaan rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.

Asetuksen 7 artiklassa säädetään suostumuksen edellytyksistä. Artiklan 4 kohdan mukaan arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko sopimuksen täytäntöönpanon, mukaan lukien palvelun tarjoamisen, ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.

Asetuksen johdanto-osan 32 perustelukappaleen mukaan suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella, mukaan lukien sähköisellä, tai suullisella lausumalla, josta käy ilmi rekisteröidyn vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla hän hyväksyy henkilötietojensa käsittelyn. Toimi voisi esimerkiksi olla se, että rekisteröity rastittaa ruudun vieraillessaan internetsivustolla, valitsee tietoyhteiskunnan palveluiden teknisiä asetuksia tai esittää minkä tahansa muun lausuman tai toimii tavalla, joka selkeästi osoittaa tässä yhteydessä, että hän hyväksyy henkilötietojensa käsittelyä koskevan ehdotuksen. Suostumusta ei sen vuoksi pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. Jos rekisteröidyn on annettava suostumuksensa sähköisen pyynnön perusteella, pyynnön on oltava selkeä ja tiiviisti esitetty eikä se saa tarpeettomasti häiritä sen palvelun käyttöä, jota varten se annetaan.

Johdanto-osan 42 perustelukappaleessa on muun ohella todettu, että suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. Asetuksen kaikissa kieliversioissa ei ole suomenkielistä sanaa ”myöhemmin” vastaavaa ilmaisua.

Oikeudellinen arviointi ja johtopäätös

Viestintäpalvelulain 205 §:n 1 momentin pääsäännön perusteella evästeiden tai muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja näiden tietojen käyttö edellyttävät käyttäjän suostumusta ja asianmukaista informointia. Pykälän 2 momentissa säädetään tähän liittyvistä poikkeuksista muun ohella säännöksessä tarkoitetun välttämättömän tietojen tallentamisen ja käytön osalta.

Viestintäpalvelulain 205 §:llä on pantu täytäntöön sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohta. Direktiivissä tarkoitettu käyttäjän suostumus voidaan direktiivin johdanto-osassa todetuin tavoin antaa käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn täsmällisen ja tietoon perustuvan ilmoituksen käyttäjän toiveista. Käyttäjän suostumuksella tarkoitetaan direktiivissä samaa kuin nykyisin yleisessä tietosuoja-asetuksessa rekisteröidyn suostumuksella.

Yleisessä tietosuoja-asetuksessa säädetään rekisteröidyn suostumukselle useita laadullisia vaatimuksia. Asetuksen perusteella suostumuksen tulee olla muun ohella vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn.

Unionin tuomioistuimen asiassa C-673/17, Planet49, antaman tuomion mukaan sähköisen viestinnän tietosuojadirektiivissä tarkoitetun suostumuksen on perustuttava käyttäjän aktiiviseen toimintaan (56 kohta). Asiassa C-61/19, Orange România, annetussa tuomiossa on puolestaan käsitelty yleisestä tietosuoja-asetuksesta suostumukselle johtuvia vaatimuksia. Kyseisessä tuomiossa suostumusta koskevan ehdon sisältäneen sopimuksen ei katsottu olleen omiaan osoittamaan vapaaehtoisesti annettua suostumusta. Asiassa rekisterinpitäjä oli vaikuttanut epäasianmukaisesti valinnanvapauteen vastustaa tietojen käsittelyä vaatimalla, että rekisteröidyn oli suostumuksensa epäämiseksi täytettävä lisälomake (50 ja 52 kohta).

Viestintäpalvelulain 205 §:ssä tarkoitettua käyttäjän suostumusta on arvioitava unionin oikeudessa suostumukselle asetetut vaatimukset huomioon ottaen. Edellä viitatusta oikeuskäytännöstä on pääteltävissä, että suostumukselta edellytettävän vapaaehtoisuuden kannalta merkitystä voi olla muun ohella erilaisilla käytännön toimilla, jotka saattavat vaikuttaa henkilön edellytyksiin käyttää valinnanvapauttaan. Myös yleisen tietosuoja-asetuksen johdanto-osassa korostetaan todellista vapaan valinnan mahdollisuutta ja mahdollisuutta kieltäytyä suostumuksesta ilman haittaa.

Evästeisiin suostumista koskevia valintoja on käytännössä tehtävä suurella osalla verkkosivustoja. Tähän nähden suostumuksen antamatta jättämiseen liittyvä suhteellisen vähäinenkin lisävaiva verrattuna suostumuksen antamiseen voi tosiasiassa vaikuttaa käyttäjän valintoihin ja ohjata hänet antamaan suostumuksensa, vaikka hän suhtautuisi tietojen käsittelyyn muutoin kielteisesti. Tämän vaikutuksen voidaan arvioida korostuvan sitä enemmän, mitä yksinkertaisemmaksi ja nopeammaksi suostumuksen antaminen on tehty.

Esillä olevassa asiassa verkkosivustolla on ollut käytössä edellä tarkemmin kuvattu kaksitasoinen suostumushallintamekanismi. Mekanismin ensimmäiseltä tasolta käyttäjän on ollut mahdollista siirtyä suoraan verkkosivuston varsinaiseen sisältöön vain antamalla suostumuksensa eli hyväksymällä kaikki evästeet. Tätä koskeva painike on myös korostettu ensimmäisen tason muusta sisällöstä selkeästi erottuvalla taustavärillä.

Suostumuksen antamatta jättäminen ei sen sijaan ole ollut mahdollista mekanismin ensimmäisellä tasolla. Ensimmäiseltä tasolta ei ole myöskään nimenomaisesti ilmennyt, millä tavoin muista kuin välttämättömistä evästeistä on mahdollista kieltäytyä tai onko sivustoa mahdollista käyttää, jos kieltäytyy evästeistä. Kieltäytymismahdollisuus on tullut esille, mikäli käyttäjä on asetuspainiketta painamalla siirtynyt mekanismin toiselle tasolle. Tällä tasolla kieltäytyminen on edellyttänyt sitä, että käyttäjä on etsinyt tason laajan ja yksityiskohtaisen muun tietosisällön joukosta painikkeen ”Estä kaikki”. Painike ei ole ollut tason muusta tietosisällöstä selkeästi erottuva. Sen sijaan suostumuksen antamista koskeva painike on tälläkin tasolla korostettu selkeästi erottuvalla taustavärillä.

Suostumushallintamekanismi on näin ollen toteutettu siten, että suostumuksen antaminen on ollut mahdollista huomattavan yksinkertaisesti ja nopeasti. Tähän valintaan käyttäjää on myös ohjattu painikkeiden värityksellä. Suostumuksen antamatta jättämistä koskeva mahdollisuus ei sitä vastoin ole tullut nimenomaisesti heti edes esiin, ja tätä koskevan valinnan tekeminen on myös ollut käyttäjälle merkityksellisesti hitaampaa ja hankalampaa johtuen erityisesti mekanismin rakenteesta, tarpeesta etsiä tietoja muun tietosisällön joukosta ja valintojen tekemisen mahdollistavien painikkeiden korostuksesta. Edellä mainitut erot suostumuksen antamisen ja antamatta jättämisen välillä eivät ole selitettävissä yhtiön viittaamalla tarpeella antaa käyttäjälle riittäviä ja asianmukaisesti yksilöityjä tietoja.

Näissä olosuhteissa ja asiaa kokonaisuutena arvioiden korkein hallinto-oikeus katsoo, että suostumushallintamekanismilla on epäasianmukaisesti vaikutettu käyttäjän valinnanvapauteen olla antamatta suostumustaan eikä suostumuksen antaminen ole siten perustunut todelliseen vapaan valinnan mahdollisuuteen. Kun mekanismissa annettua suostumusta ei näin ollen voida pitää viestintäpalvelulain 205 §:n mukaisena vapaaehtoiseen tahdonilmaisuun perustuvana suostumuksena, verkkosivuston evästekäytäntö on ollut mainitun säännöksen vastainen.

Asiaa ei ole arvioitava toisin sen vuoksi, että yhtiön mukaan sen suostumushallintamekanismi on laajasti käytössä olevan eurooppalaisen standardin mukainen. Standardin noudattaminen ei osoita, että yhtiö olisi menetellyt viestintäpalvelulain ja muiden evästeiden käyttöä koskevien säännösten mukaisesti. Asiassa ei ole muutoinkaan todettavissa, että standardin vuoksi yhtiö olisi voinut käytännössä toteuttaa mekanismin vain edellä todetulla tavalla.

Liikenne- ja viestintäviraston päätös on perustunut yhtiötä velvoittavaan sääntelyyn, jonka tarkoituksena on muun ohella varmistaa käyttäjien yksityiselämän suoja sähköisen viestinnän alalla. Päätöksellä on rajoitettu yhtiön verkkosivuston suostumushallintamekanismin toteuttamista tavalla, joka on vaikuttanut epäasianmukaisesti käyttäjän valinnanvapauteen olla antamatta suostumustaan. Päätöksellä ei ole perusteettomasti rajoitettu yhtiön elinkeinovapautta tai puututtu sananvapauden suojaamaan tiedonvälitykseen.

Liikenne- ja viestintävirasto on edellä todetun perusteella voinut viestintäpalvelulain 330 §:n nojalla velvoittaa yhtiön muuttamaan suostumushallintamekanismiaan. Asetetun velvoitteen on voitu katsoa korjaavan päätöksessä tarkoitetun lainvastaisen menettelyn, eivätkä mahdolliset vaihtoehtoiset tavat menettelyn korjaamiselle ole tulleet yhtiön esittämän perusteella virastossa arvioitavaksi.

Tämän vuoksi ja kun otetaan huomioon korkeimmassa hallinto-oikeudessa esitetyt vaatimukset ja asiassa saatu selvitys, hallinto-oikeuden päätöksen lopputuloksen muuttamiseen ei ole perusteita.

Oikeudenkäyntikulut

Asian näin päättyessä ja kun otetaan huomioon oikeudenkäynnistä hallintoasioissa annetun lain 95 §, Otavamedia Oy:lle ei ole määrättävä maksettavaksi korvausta oikeudenkäyntikuluista korkeimmassa hallinto-oikeudessa tai hallinto-oikeudessa.

Asian ovat ratkaisseet oikeusneuvokset Outi Suviranta, Taina Pyysaari, Monica Gullans, Toni Kaarresalo ja Päivi Pietarinen. Asian esittelijä Elina Ranz.