Pitkään valmisteltu EU:n yleinen tietosuoja-asetus (eli GDPR, kuten sitä yleisesti myös Suomessa kutsutaan) on nyt ollut voimassa melko tarkkaan puoli vuotta. Se ei lopulta muuttanut käytäntöjä niin paljon kuin moni luultavasti pelkäsi, vaikka muutoksia toki entiseen tuli.
GDPR:ää täydentävä sähköisen viestinnän tietosuoja-asetus eli ns. ePrivacy-asetus on niin ikään ollut jo varsin pitkään työn alla EU:ssa. Se sääntelee voimaan tultuaan erityisesti nimensä mukaisesti sähköisen viestinnän tietosuojaa. Sen on tarkoitus täsmentää ja täydentää GDPR:ää tältä osin.
EU:n komissio ja parlamentti ovat julkaisseet oman ehdotuksensa ePrivacy-asetukseksi. Neuvoston kantaa ja ehdotusta vielä odotellaan. Nyt näyttää ilmeiseltä, että ePrivacy-asetuksen voimaantulo menee todennäköisesti vähintään vuoden 2020 puolelle. Eri mailla on kovinkin erilaisia käsityksiä ePrivacy-asetuksen sisällöstä ja muutostarpeista, mikä hidastaa ehdotuksen käsittelyä.
Seuraavaksi on odotettavissa ns. trilogivaihe, eli komission, parlamentin ja neuvoston asiaa koskevat neuvottelut. Milloin ne alkavat, on vielä epäselvää, mutta tuskin ennen vuoden 2019 alkupuolta. Ehditäänkö asetuksen sisältö saamaan valmiiksi ennen 2019 toukokuun eurovaaleja, jää nähtäväksi. Mikäli asetusta ei saada valmiiksi ennen eurovaaleja ja uuden EU-parlamentin aloittamista niin asetuksen voimaantulo viivästyy entisestään. On luultavaa, että ePrivacy-asetukseenkin tulee siirtymäaika, kuten oli aikanaan GDPR:n osalta. Se voisi olla eräissä ehdotuksissa esiintuotu 2 vuotta siitä, kun teksti on lopullisesti hyväksytty ja julkaistu.
Erityisesti EU:n jäsenvaltioiden työryhmässä on viime aikoina käyty keskustelua evästeistä. Evästeiden osalta kysymys on muun ohella siitä, onko käyttäjältä saatava aina suostumus evästeiden käyttöön. Tästä eri jäsenmaat ovat esittäneet hyvinkin poikkeavia kantoja. Kysymys on siitä, mitä tietoa sivusto saa kerätä ilman erillistä käyttäjän antamaa suostumusta. Suomessa on omaksuttu ja edelleen voimassa kanta, että suostumus evästeisiin annetaan selainasetusten kautta eli että varsinaista nimenomaista sivustokohtaista suostumasta ei tarvita. Vielä ei siis ole tiedossa, miten ePrivacy tulee evästeisiin ja niiden hyväksyntään suhtautumaan.
Ehdotuksen mukaan selaimen ja muun ohjelmiston pitäisi ohjata heti käytön alussa ja aina yksityisyysasetusten päivityksen yhteydessä käyttäjä läpi yksityisyysasetusten. Tämä tulisi tehdä tämä asetuksen voimaantulon jälkeisessä ensimmäisessä päivityksessä.
GDPR:ssä on oikeutettu etu yhtenä henkilötietojen käsittelyperusteena. Markkinointi muille kuin omille asiakkaille perustuu usein juuri tähän oikeuteen. Sisällytetäänkö ePrivacy-asetukseen vastaava oikeus evästeiden osalta sivuston ylläpitäjälle, on keskustelun alla. Miten suostumus kolmannen osapuolen evästeiden käyttöön voitaisiin antaa, miten tämä tulisi esittää ja velvollisuuksien kohdentuminen ovat niin ikään keskustelun kohteena.
Myös suoramarkkinoinnin osalta on käyty keskustelua muun muassa määritelmästä eli mitä pidettäisiin suoramarkkinointina. Nyt näyttää siltä, että sen aikaisemmassa versiossa ollut sana ”presented”, joka laajentaisi asetuksen soveltamisen kaikkiin medioihin, on poistettu. Nyt käytetty ilmaisu ”being sent or directed to particular individuals” vastannee paremmin nykyistä tilannetta eli suoramarkkinointina pidettäisiin vain kohdennettua suoramarkkinointia.
Telemarkkinointi saatetaan tehdä ePrivacyn myötä luvanvaraiseksi (opt-in), kun se on nykyisin sallittua, jollei henkilö sitä nimenomaisesti kiellä (opt out). Muutos olisi varsin merkittävä. Keskustelua käydään myös automaattisen soittojärjestelmän määrittelystä ja siitä, onko suoramarkkinointipuhelussa käytettävä tunnusta, joka kertoo jo itsessään, että kyse on markkinointipuhelusta. On mahdollista, että näistä päättäminen jäisi jäsenvaltioiden omaan harkintaan. Pääosin suoramarkkinoinnin sääntely vastaisi muilta osin nykyistä. Pääsääntöhän on, että sähköinen suoramarkkinointi kuluttajalle on sallittua vain siihen luvan antaneille. B2B-suoramarkkinoinnin sääntely näyttää jäävän kaikin osin jäsenvaltioiden omaan harkintaan.
Sähköistä suoramarkkinointia koskevat säännökset ovat Suomessa edelleen sähköisen viestinnän palveluista annetussa laissa. Aikanaan voimaan tullessaan ePrivacy-asetus tulee kumoamaan nämä säännökset, mutta siihen menee aikaa vielä luultavasti useita vuosia.
Markku Varhela
asianajaja, osakas
Eversheds Asianajotoimisto Oy
Uutiskirjeen tilaajana saat markkinoinnin ja viestinnän uutiset sekä uusimman MRKTNG-lehden ensimmäisten joukossa. Saat myös viikottain koulutuksistamme kerättyjä vinkkejä käyttöösi sekä tietoa järjestämistämme koulutuksista.