Euroopan komissio julkaisi 19. marraskuuta 2025 ehdotuksen, joka voi lopulta hävittää tutun eväste-bannerin suurelta osalta eurooppalaisia verkkosivuja. Ehdotus tunnetaan nimellä Digital Omnibus, ja sen ytimessä on kaksi uutta GDPR-artiklaa, 88a ja 88b, jotka siirtävät eväste- ja seurantasäännöt suoraan tietosuoja-asetukseen ja tekevät selaintason suostumussignaaleista oikeudellisesti sitovia. Kesällä 2026 ehdotus on trilogi-neuvotteluissa Euroopan parlamentin, neuvoston ja komission välillä, ja lopullista äänestystä odotetaan vielä tämän vuoden aikana. Suomalaisille ja pohjoismaisille käyttäjille muutos tarkoittaisi käytännössä sitä, että kertaalleen selaimeen tallennettu yksityisyysvalinta riittäisi jatkossa jokaisella sivustolla erikseen klikkailtavan bannerin sijaan.
Muutos ei koske ainoastaan evästeitä. Digital Omnibus on osa laajempaa pakettia, jolla komissio pyrkii keventämään digitaalisen sääntelyn hallinnollista taakkaa ja tavoittelee jopa 37,5 miljardin euron säästöjä hallinnollisissa kustannuksissa nykyisen komission toimikauden loppuun mennessä. Samalla ehdotus on herättänyt voimakasta vastustusta tietosuojajärjestöiltä, jotka pitävät sitä pikemminkin GDPR:n purkamisena kuin sen yksinkertaistamisena. Tässä artikkelissa käydään läpi, mitä 88a ja 88b tarkoittavat käytännössä, miksi aiemmat yritykset ratkaista sama ongelma epäonnistuivat, ja mitä muutos merkitsee suomalaisille yrityksille ja käyttäjille.
Mikä Digital Omnibus on ja miksi se syntyi
Digital Omnibus -asetusehdotus (virallisesti COM(2025)0837) on komission vastaus vuosia jatkuneeseen valitukseen siitä, että eväste-bannerit ovat muuttuneet käyttäjille pelkäksi rasitteeksi. Nykyinen sääntely, sähköisen viestinnän tietosuojadirektiivi eli niin sanottu “eväste-laki” vuodelta 2002 ja sen vuoden 2009 tiukennus, edellyttää erillistä suostumusta lähes jokaiselle sivustolle erikseen. Digital Omnibus purkaisi tämän kahden säädöksen limittäisyyden siirtämällä terminaalilaitteiden käyttöä koskevat säännöt suoraan GDPR:ään uusina artikloina 88a ja 88b, jolloin sekä evästeet että laajempi tietosuoja kulkisivat yhden asetuksen alla yhden valvontaviranomaisen tulkittavana.
Taustalla on myös mitattavissa oleva ongelma: erään 2024 eurooppalaisen tutkimuksen mukaan eurooppalaiset käyttävät yhteensä noin 575 miljoonaa tuntia vuodessa eväste-bannereiden kanssa näpertelyyn, ja yksittäisen bannerin käsittelyyn kuluu keskimäärin noin viisi sekuntia. Kun tämä kerrotaan miljoonilla päivittäisillä sivustokäynneillä, hallinnollinen ja käyttäjäkokemuksellinen hukka on merkittävä. Komission oma vaikutusarvio (SWD(2025)836) laskee, että pelkästään kohdennetut GDPR-muutokset voisivat tuoda yrityksille jopa noin 1,3 miljardin euron vuotuiset hallinnolliset säästöt, ja koko Digital Omnibus -paketin laajempi tavoite on yksinkertaistaa digisääntelyä ilman että tietosuojan taso laskee, kuten komissio itse asian muotoilee.
Artikla 88a: kuuden kuukauden uudelleenkysymiskielto
Artikla 88a on ehdotuksen ensimmäinen ja nopeammin voimaan tuleva osa. Se astuisi voimaan kuusi kuukautta sen jälkeen, kun Digital Omnibus on hyväksytty ja tullut voimaan, ja se koskisi kaikkia 27 EU-jäsenmaata suoraan ilman erillistä kansallista lainsäädäntöä. Tämä tarkoittaa, että Suomessa, Ruotsissa, Tanskassa, Norjassa (ETA-maana) ja Virossa sovellettaisiin täsmälleen samaa sääntöä samana päivänä, mikä poistaisi nykyisen tilanteen, jossa kansalliset tietosuojaviranomaiset ovat tulkinneet eväste-sääntöjä hieman eri tavoin.
Artiklan käytännön sisältö on yksinkertainen mutta merkittävä: jos käyttäjä kieltäytyy tietyn tarkoituksen mukaisesta evästeiden tai muun terminaalilaitedatan käsittelystä, sivusto ei saa kysyä samaa suostumusta uudelleen vähintään kuuteen kuukauteen. Tällä hetkellä moni sivusto kysyy suostumusta joka istunnossa tai jopa joka sivulatauksella, mikä on yksi keskeisistä syistä bannerien koettuun ärsyttävyyteen. Kuuden kuukauden sääntö ei poista banneria kokonaan, mutta se rajoittaa merkittävästi sitä, kuinka usein käyttäjä joutuu tekemään saman valinnan uudelleen.
Artikla 88b: selaintason suostumussignaalit pakollisiksi
Artikla 88b on ehdotuksen kunnianhimoisempi osa. Se tekisi selaimen, käyttöjärjestelmän tai digitaalisen lompakon lähettämästä koneellisesti luettavasta suostumussignaalista oikeudellisesti sitovan, kun 24 kuukauden siirtymäaika on kulunut asetuksen voimaantulosta. Käytännössä tämä tarkoittaisi, että käyttäjä asettaisi yksityisyysvalintansa kerran selaimen asetuksista, ja jokaisen vierailemansa sivuston olisi luettava ja kunnioitettava tätä signaalia sen sijaan, että se näyttäisi oman bannerinsa uudelleen. Selainvalmistajien, poikkeuksena pienet ja keskisuuret yritykset, olisi rakennettava tekninen infrastruktuuri tällaisten signaalien lähettämiseksi ja vastaanottamiseksi.
Tekninen toteutus muistuttaisi jo olemassa olevaa HTTP-otsaketta, jota Yhdysvalloissa käytetään Global Privacy Control -signaalin välittämiseen. Yksinkertaistettuna selain voisi lähettää palvelimelle pyynnön yhteydessä otsakkeen, joka kertoo käyttäjän kieltäytyneen ei-välttämättömästä datankäsittelystä:
GET / HTTP/1.1
Host: esimerkki.fi
Sec-GPC: 1
DNT: 1Ero aiempiin yrityksiin on se, että Artikla 88b tekisi tällaisen signaalin kunnioittamisesta lakisääteisen velvollisuuden koko EU:ssa, ei vapaaehtoista hyvää tapaa, johon sivustot voivat suostua tai olla suostumatta.
Nykyinen malli versus Digital Omnibus: mikä muuttuu
Alla oleva taulukko kokoaa keskeiset erot nykyisen sähköisen viestinnän tietosuojadirektiivin mukaisen mallin ja Digital Omnibusin ehdottaman mallin välillä. Taulukko perustuu komission omaan ehdotustekstiin ja Euroopan parlamentin lainsäädäntöjunan (Legislative Train) yhteenvetoon.
| Ominaisuus | Nykyinen malli (ePrivacy-direktiivi) | Digital Omnibus (GDPR 88a/88b) |
|---|---|---|
| Oikeusperusta | Erillinen ePrivacy-direktiivi, kansallisesti implementoitu | Suoraan sovellettava GDPR-asetus, sama kaikissa jäsenmaissa |
| Suostumuksen kysyntätiheys | Käytännössä joka sivustolla, usein toistuvasti | Kerran kieltäydyttyä sama pyyntö kielletty 6 kuukaudeksi (88a) |
| Selaintason signaali | Ei sitova (DNT-otsake ohitettiin laajalti) | Oikeudellisesti sitova 24 kuukauden siirtymän jälkeen (88b) |
| Valvova viranomainen | Kansalliset tietosuojaviranomaiset, tulkinnat vaihtelevat | Yhtenäinen GDPR-valvonta, sama tulkintakehys koko EU:ssa |
| Selainvalmistajan velvoite | Ei lakisääteistä velvoitetta tukea signaaleja | Velvollisuus rakentaa tekninen infrastruktuuri (pl. pk-yritykset) |
| Arvioitu hallinnollinen säästö | – | Noin 1,3 mrd. €/vuosi yrityksille (komission arvio) |
Aikataulu: mitä tapahtuu seuraavaksi
Digital Omnibus ei ole vielä voimassa olevaa lakia, vaan se etenee tavallista EU-lainsäädäntömenettelyä. Alla oleva taulukko kokoaa keskeiset virstanpylväät marraskuusta 2025 tähän päivään ja eteenpäin arvioituun täytäntöönpanoon asti.
| Ajankohta | Tapahtuma |
|---|---|
| 11.11.2025 | noyb, EDRi ja ICCL lähettävät avoimen kirjeen komissiolle ja varoittavat vuotaneesta luonnoksesta |
| 19.11.2025 | Komissio julkaisee virallisen Digital Omnibus -ehdotuksen (COM(2025)0837) |
| 11.2.2026 | EDPB ja EDPS hyväksyvät yhteisen lausunnon 2/2026 ehdotuksesta |
| 24.2.2026 | noyb julkaisee yksityiskohtaisen “Digital Omnibus Report V3” -analyysin |
| 27.4.2026 | EDRi julkaisee kriittisen arvion ehdotuksen vaikutuksista perusoikeuksiin |
| Kesä 2026 | Trilogi-neuvottelut parlamentin, neuvoston ja komission välillä käynnissä |
| Loppuvuosi 2026 (arvio) | Lopullinen äänestys odotettavissa |
| +6 kk hyväksynnästä | Artikla 88a astuu voimaan |
| +24 kk hyväksynnästä | Artikla 88b:n selainsignaalivelvoite tulee sitovaksi |
Jos trilogi saadaan päätökseen vielä vuoden 2026 loppuun mennessä, Artikla 88a voisi olla voimassa jo alkuvuodesta 2027 ja Artikla 88b täydessä laajuudessaan vasta vuosien 2028–2029 taitteessa. Näin pitkä siirtymä selittyy sillä, että selainvalmistajien on rakennettava kokonaan uusi tekninen infrastruktuuri, ja sivustojen ylläpitäjien on muutettava seuranta- ja analytiikkakäytäntönsä vastaamaan uutta velvoitetta.
Miksi Do Not Track epäonnistui vuosikymmen sitten
Digital Omnibusia on syytä peilata aiempaan, epäonnistuneeseen yritykseen ratkaista sama ongelma teknisellä signaalilla. World Wide Web Consortiumin (W3C) kehittämä Do Not Track -otsake (DNT) syntyi vuonna 2011 ja sen piti antaa käyttäjälle mahdollisuus kertoa selaimen kautta, ettei hän halua seurantaa. W3C lopetti työryhmän toiminnan virallisesti 17. tammikuuta 2019, koska otsakkeelle ei syntynyt riittävää käyttöä eikä merkkejä siitä, että selaimet, kolmannet osapuolet tai mainosekosysteemi aikoisivat tukea sitä laajemmin.
DNT:n epäonnistumisen keskeinen syy oli yksinkertainen: signaalin kunnioittaminen oli täysin vapaaehtoista, eikä sen taakse ollut lainsäädännöllistä pakkoa. Tilannetta pahensi vuonna 2012 tehty päätös, jossa Microsoft otti DNT-otsakkeen oletuksena päälle Internet Explorer 10:ssä. Mainosalan järjestöt ilmoittivat tuolloin, etteivät ne enää kunnioittaisi Internet Explorerin lähettämää DNT-signaalia, koska se ei heidän mukaansa enää edustanut käyttäjän tietoista valintaa vaan selaimen oletusasetusta. Digital Omnibusin Artikla 88b eroaa tästä juuri siinä, että signaalin noudattaminen olisi lakisääteinen velvollisuus, ei vapaaehtoinen käytäntö, jonka mainostajat voivat sivuuttaa mielensä mukaan.
Yhdysvaltain malli: Global Privacy Control näyttää, että sitova signaali toimii
Toisin kuin DNT, Yhdysvalloissa käytössä oleva Global Privacy Control (GPC) -signaali on onnistunut esimerkki siitä, että selaintason yksityisyyssignaali voi toimia, kun sille annetaan lain tuki. Kalifornian osavaltiossa GPC muuttui oikeudellisesti sitovaksi opt-out-signaaliksi 1. tammikuuta 2023, kun California Privacy Rights Act (CPRA) tuli voimaan. Kalifornian säädösten (11 CCR § 999.315(c)) mukaan yritysten on kohdeltava käyttäjän aktivoimaa selain- tai laitetason yksityisyyssignaalia pätevänä pyyntönä kieltäytyä henkilötietojen myynnistä.
Säännön purevuudesta kertoo se, että Kalifornian oikeuskansleri sakotti kosmetiikkaketju Sephoraa 1,2 miljoonalla dollarilla vuonna 2022 osittain siksi, että yritys ei käsitellyt GPC-signaalien kautta tulleita opt-out-pyyntöjä asianmukaisesti. Vuoteen 2026 mennessä GPC tunnustetaan sitovana opt-out-signaalina jo noin kahdessatoista Yhdysvaltain osavaltiossa. Tämä on käytännön todiste siitä, että Digital Omnibusin kaltainen malli, jossa selainsignaalin noudattaminen on pakollista, voi todella vähentää yksittäisten sivustokohtaisten pyyntöjen määrää tehokkaammin kuin DNT:n kaltainen vapaaehtoinen järjestelmä.
Selainten markkinaosuudet Suomessa: kenen harteilla vastuu on
Artikla 88b:n toteutumisen kannalta olennaista on, mitkä selaimet suomalaiset ja pohjoismaiset käyttäjät valitsevat, sillä juuri selainvalmistajien pitäisi rakentaa tekninen tuki sitoville signaaleille. StatCounterin heinäkuun 2026 datan mukaan Chromen osuus Suomessa on ylivoimainen, mikä tarkoittaa, että Googlen tekemät ratkaisut vaikuttaisivat käytännössä suurimpaan osaan suomalaisista käyttäjistä heti, kun velvoite astuu voimaan.
| Selain | Markkinaosuus Suomessa (7/2026) |
|---|---|
| Chrome | 62,98 % |
| Safari | 15,78 % |
| Firefox | 5,46 % |
| Edge | 5,41 % |
| Opera | 3,24 % |
| Samsung Internet | 3,20 % |
Lähde: StatCounter Global Stats, selainten markkinaosuus Suomessa. Chromen, Safarin, Edgen ja Firefoxin on yhdessä katettava yli 90 prosenttia suomalaisista käyttäjistä, mikä tekee näistä neljästä selainvalmistajasta Artikla 88b:n käytännön onnistumisen ratkaisijoita. Jos yksikin suurista selaimista viivyttelee tuen rakentamisessa, sen käyttäjät jäisivät edelleen vanhan, sivustokohtaisen bannerimallin varaan siitäkin huolimatta, että laki jo velvoittaisi muuta.
Suomen ja Pohjoismaiden valvontaviranomaisten kanta
Euroopan tietosuojaneuvosto (EDPB) ja Euroopan tietosuojavaltuutettu (EDPS) hyväksyivät 11. helmikuuta 2026 Brysselissä yhteisen lausunnon 2/2026 Digital Omnibus -ehdotuksesta. Lausunnossa viranomaiset tukevat komission tavoitetta ratkaista eväste-bannereihin liittyvät ongelmat ja pitävät ehdotettuja teknisiä ratkaisuja lähtökohtaisesti kannatettavina, mutta esittävät samalla useita huomautuksia. Ne suosittelevat rajattuja poikkeuksia suostumusvaatimukseen tietyissä tapauksissa ja kehottavat lainsäätäjiä kannustamaan sisältöpohjaiseen mainontaan käyttäytymiseen perustuvan seurantamainonnan sijaan.
Suomen tietosuojavaltuutetun toimisto on välittänyt EDPB:n ja EDPS:n yhteisen kannan suomalaisille toimijoille omilla verkkosivuillaan, mikä kertoo siitä, että Suomen kansallinen valvoja seuraa asiaa tarkasti mutta ei toistaiseksi ole julkaissut omaa, erillistä kansallista kantaansa ehdotuksesta. Tämä on odotettavaa, sillä Digital Omnibus on GDPR-muutos, joka koskisi kaikkia jäsenmaita identtisesti eikä jätä kansallista harkintavaraa samaan tapaan kuin nykyinen ePrivacy-direktiivi. Aihe liittyy suoraan myös laajempaan kehitykseen, jossa GDPR-valvonta on yhtenäistymässä Pohjoismaiden välillä muillakin osa-alueilla kuin evästesäännöissä.
Kansalaisjärjestöjen kritiikki: deregulaatiota simplifikaation varjolla
Ei kaikki ole ollut yksimielistä kannatusta. Itävaltalainen tietosuojajärjestö noyb, jonka perusti aktivisti Max Schrems, yhdisti voimansa Euroopan digitaalisten oikeuksien järjestön EDRin ja Irlannin kansalaisvapauksien neuvoston ICCL:n kanssa jo 11. marraskuuta 2025, ennen ehdotuksen virallista julkaisua, ja lähetti komissiolle avoimen kirjeen, jossa varoitettiin sisäisen luonnoksen uhkaavan eurooppalaisten perusoikeuksia. Järjestöjen mukaan muutokset ulottuisivat paljon pidemmälle kuin pelkkä yksinkertaistaminen.
noyb julkaisi 24. helmikuuta 2026 laajan “Digital Omnibus Report V3” -analyysin, jossa se katsoo GDPR:ää ja ePrivacy-direktiiviä muuttavien osioiden johtavan useisiin ristiriitoihin EU:n perusoikeuskirjan kanssa, heikentävän rekisteröityjen oikeuksia ja loittonevan nykyisestä GDPR:n ja EU-tuomioistuimen oikeuskäytännön logiikasta. EDRi puolestaan julkaisi 27. huhtikuuta 2026 oman arvionsa, jonka mukaan GDPR:n ja ePrivacyn uudelleenavaaminen on riskialtis polku eurooppalaisille digitaalisille oikeuksille: vaikka muutos on paketoitu yksinkertaistamiseksi, järjestön mukaan lopputulos on tosiasiassa deregulaatiota, joka heikentää perusoikeuksien suojatoimia ja lisää oikeudellista epävarmuutta. Molemmat järjestöt korostavat erityisesti huolta siitä, että ehdotus muuttaisi henkilötiedon määritelmää GDPR:n 4 artiklan 1 kohdassa tavalla, joka antaisi tekoälyä kehittäville yrityksille enemmän liikkumavaraa pseudonymisoidun datan käytössä.
Muut GDPR-muutokset piilossa eväste-uutisoinnin takana
Vaikka Artikla 88a ja 88b saavat eniten julkisuutta, Digital Omnibus sisältää useita muitakin GDPR-muutoksia, jotka vaikuttavat suoraan yrityksiin ja kehittäjiin. Ehdotus muuttaisi henkilötiedon määritelmää siten, että pseudonymisoitua dataa ei enää pidettäisi henkilötietona sellaisen toimijan kannalta, jolla ei ole keinoja tunnistaa yksilöä uudelleen. Lisäksi ehdotukseen lisättäisiin johdanto-osan kohta, joka selventää, että “oikeutettu etu” voi olla asianmukainen oikeusperusta tekoälymallien kouluttamiselle ja käytölle.
Kolmas merkittävä muutos koskee tietoturvaloukkausten ilmoittamista: Digital Omnibus yksinkertaistaisi tietosuojan vaikutustenarviointeja (DPIA) ja loisi yhden yhteisen ilmoituspisteen tietoturvaloukkauksille, joka kattaisi useita kehyksiä samanaikaisesti, mukaan lukien GDPR:n, NIS2-direktiivin, DORA-asetuksen, eIDAS-asetuksen ja CER-direktiivin. Tämä voisi vähentää huomattavasti päällekkäistä raportointia yrityksissä, jotka joutuvat tänä päivänä ilmoittamaan samasta tietomurrosta useaan eri viranomaiseen eri lomakkeilla ja eri aikatauluilla. Lisäksi paketti kokoaisi Data Act -sääntelyn yhteen Data Governance -asetuksen, avoimen datan direktiivin ja muun kuin henkilötiedon vapaata liikkuvuutta koskevan asetuksen kanssa.
Markkinavaikutus: mitä tämä tarkoittaa yrityksille ja mainostajille
Digital Omnibusin taloudellinen vaikutus jakautuu karkeasti kahtia. Yhtäältä komission oma vaikutusarvio lupaa yrityksille noin 1,3 miljardin euron vuotuiset hallinnolliset säästöt pelkästään kohdennetuista GDPR-muutoksista, kun päällekkäinen raportointi ja jatkuva bannerien ylläpito vähenevät. Tämä hyödyttäisi erityisesti pieniä ja keskisuuria pohjoismaisia ohjelmistoyrityksiä, jotka toimivat useassa EU-maassa ja ovat joutuneet tähän asti soveltamaan eri kansallisia tulkintoja samasta ePrivacy-direktiivistä.
Toisaalta mainos- ja adtech-ala kohtaisi merkittävän rakenteellisen muutoksen, jos selaintason kieltäytymissignaalista tulisi todella laajasti käytetty. Käyttäytymiseen perustuvan kohdennetun mainonnan sijaan EDPB ja EDPS ovat itse suositelleet siirtymistä sisältöpohjaiseen mainontaan, mikä tarkoittaisi tulonlähteen siirtymistä pois käyttäjäprofiloinnista. Samalla tekoälyyritykset saisivat lähes välittömän hyödyn “oikeutettu etu” -oikeusperustan ja pseudonymisoidun datan selkeytyksen kautta, mikä helpottaisi mallien kouluttamista eurooppalaisella datalla ilman yhtä tiukkaa suostumusvaatimusta kuin nykyisin. Aihe kytkeytyy myös siihen, miten suuret teknologiayhtiöt ovat jo joutuneet muuttamaan seurantakäytäntöjään EU:ssa aiempien sääntelytoimien seurauksena.
Kilpailuasetelma: EU:n sitova malli versus Yhdysvaltain osavaltiokohtainen lähestyminen
EU:n ja Yhdysvaltain lähestymistavat eroavat rakenteellisesti. Yhdysvalloissa ei ole liittovaltiotason tietosuojalakia, vaan GPC-signaalin sitovuus perustuu osavaltiokohtaisiin lakeihin, joista Kalifornian CCPA/CPRA on ollut edelläkävijä vuodesta 2023 lähtien ja nyt noin kaksitoista osavaltiota tunnustaa signaalin sitovana. Tuloksena on pirstaleinen kartta, jossa saman selainsignaalin oikeudellinen painoarvo riippuu käyttäjän sijainnista osavaltioiden rajojen sisällä.
EU:n Digital Omnibus tavoittelee sen sijaan yhtenäistä, kaikkia 27 jäsenmaata koskevaa sääntöä kertaheitolla, mikä on kunnianhimoisempi mutta myös hitaampi tie: yksimielisyys 27 maan ja Euroopan parlamentin välillä vie enemmän aikaa kuin yksittäisen osavaltion lainsäädäntöprosessi. Jos EU onnistuu, tuloksena olisi maailman ensimmäinen mannerlaajuinen, oikeudellisesti sitova selainsignaalijärjestelmä, joka olisi kokoluokaltaan huomattavasti Kalifornian mallia laajempi ja koskisi suoraan myös Suomea ja muita Pohjoismaita. Vertailun vuoksi Suomessa GDPR-valvonta rikkoi ennätyksiä jo ilman tätä uudistusta, mikä kertoo, että valvonnan resurssit ovat jo nyt kovilla nykysääntelyn alla.
Mitä suomalaisten yritysten ja käyttäjien kannattaa tehdä nyt
Koska trilogi-neuvottelut ovat vielä kesken eikä lopullista tekstiä ole hyväksytty, suomalaisten yritysten ei ole vielä pakko muuttaa mitään. Fiksuinta on kuitenkin seurata neuvottelujen etenemistä ja varautua siihen, että kuuden kuukauden uudelleenkysymiskielto (88a) voi tulla voimaan jo vuoden 2027 alkupuolella. Tietosuojasta vastaavien on syytä käydä läpi, miten omat evästehallintatyökalut (consent management platform) tukevat toistuvien kyselyjen rajoittamista, sillä useimmat nykyiset työkalut on rakennettu oletuksella, että suostumus kysytään uudelleen jokaisen istunnon alussa. Julkishallinnon toimijoiden kannattaa lisäksi huomioida, että GDPR-sakkojen piiri on laajentunut myös julkishallintoon, joten sääntelyn noudattaminen ei ole enää vain yksityisen sektorin huoli.
Yksittäisen käyttäjän kannalta muutosta ei kannata vielä odottaa arkeen: nykyiset bannerit eivät katoa hetkessä, ja täysimittainen selainsignaalivelvoite on vuosien päässä. Sitä ennen paras keino vähentää seurantaa on hyödyntää jo nyt olemassa olevia suojauskeinoja, kuten selaimen sisäänrakennettuja yksityisyysasetuksia tai mainoksia ja seurantaskriptejä estäviä laajennuksia. Lisää käytännön keinoja oman yksityisyyden suojaamiseen löytyy shattered.io:n yksityisyys-aihealueelta.
Ennusteet: mihin suuntaan sääntely on menossa
- Trilogi-neuvottelut todennäköisesti kestävät pidempään kuin komissio alun perin toivoi, ja lopullinen hyväksyntä siirtyy vuoden 2026 lopulta alkuvuoteen 2027 kansalaisjärjestöjen ja osan parlamentin jäsenten vastustuksen vuoksi.
- Chrome rakentaa selainsignaali-infrastruktuurin ensimmäisten joukossa, koska sen noin 63 prosentin markkinaosuus Suomessa tarkoittaisi suurinta yksittäistä vastuuta velvoitteen toteutumisesta.
- Eväste-bannerien määrä ei vähene merkittävästi ennen Artikla 88b:n täyttä voimaantuloa; lähivuosien näkyvin muutos on 88a:n tuoma kuuden kuukauden uudelleenkysymiskielto.
- noyb ja muut järjestöt todennäköisesti vievät henkilötiedon uutta määritelmää koskevia kysymyksiä EU-tuomioistuimeen samaan tapaan kuin aiemmissa Schrems-tapauksissa, jos lopullinen teksti säilyttää nykyisen 4 artiklan muutoksen.
- Pohjoismaiset ja suomalaiset rajat ylittävää liiketoimintaa harjoittavat SaaS-yritykset hyötyvät yhtenäistymisestä eniten, kun taas tekoälyä kehittävät yritykset saavat lähes välittömän hyödyn oikeutettu etu -oikeusperustan selkeytyksestä.
Historiallinen konteksti: eväste-sääntelyn kaksi vuosikymmentä
Eväste-sääntelyn juuret ulottuvat vuoteen 2002, jolloin sähköisen viestinnän tietosuojadirektiivi (2002/58/EY) tuli voimaan. Vuonna 2009 direktiiviä tiukennettiin niin, että käyttäjän suostumus muuttui pakolliseksi ennen evästeiden asettamista, mikä johti nykyisin tuttuun banneri-kulttuuriin. GDPR:n voimaantulo 25. toukokuuta 2018 nosti suostumusvaatimusten valvonnan aivan uudelle tasolle ja teki sakoista merkittävän riskin, mikä puolestaan kiihdytti bannerien yleistymistä entisestään sen sijaan, että se olisi vähentänyt niitä.
Digital Omnibus on siis järjestyksessään kolmas suuri yritys ratkaista sama perusongelma: miten tasapainottaa käyttäjän oikeus yksityisyyteen ja verkkopalvelujen tarve kerätä dataa ilman, että käyttäjäkokemus kärsii toistuvista kyselyistä. Ensimmäinen yritys, Do Not Track, epäonnistui vapaaehtoisuuden vuoksi. Toinen, nykyinen banneri-malli, on tekninen mutta käyttäjäkokemuksellisesti raskas ratkaisu. Digital Omnibus pyrkii yhdistämään aiempien yritysten opit: se ottaa GPC:n kaltaisen teknisen signaalin, mutta antaa sille DNT:ltä puuttuneen lainsäädännöllisen selkärangan.
Usein kysytyt kysymykset
Mikä on EU:n Digital Omnibus -ehdotus?
Digital Omnibus on Euroopan komission 19. marraskuuta 2025 julkaisema asetusehdotus, joka yksinkertaistaa useita digisäädöksiä, muun muassa GDPR:ää, siirtämällä eväste- ja seurantasäännöt suoraan GDPR:ään uusina artikloina 88a ja 88b.
Milloin Artikla 88a ja 88b tulevat voimaan?
Artikla 88a tulisi voimaan kuusi kuukautta Digital Omnibusin hyväksymisen jälkeen, ja Artikla 88b:n selainsignaalivelvoite tulisi sitovaksi 24 kuukauden siirtymäajan jälkeen. Koska trilogi-neuvottelut ovat vielä kesken kesällä 2026, tarkkoja päivämääriä ei ole vielä vahvistettu.
Katoavatko eväste-bannerit kokonaan?
Eivät ainakaan heti. Artikla 88a rajoittaa vain sitä, kuinka usein sama pyyntö voidaan esittää uudelleen. Bannerit voisivat käydä tarpeettomiksi laajemmin vasta, kun Artikla 88b:n selainsignaalivelvoite on täysin voimassa ja sivustot ovat mukauttaneet järjestelmänsä sitä tunnistamaan.
Mitä selaintason suostumussignaali tarkoittaa käytännössä?
Käyttäjä asettaisi yksityisyysvalintansa kerran selaimen tai käyttöjärjestelmän asetuksista, ja selain välittäisi tämän valinnan sivustoille automaattisesti esimerkiksi HTTP-otsakkeen kautta, samaan tapaan kuin Yhdysvaltain Global Privacy Control -signaali toimii jo tänä päivänä.
Miksi Do Not Track epäonnistui aiemmin?
Do Not Track -otsakkeen noudattaminen oli täysin vapaaehtoista eikä sen tueksi ollut lainsäädäntöä. W3C lopetti kehitystyön 17. tammikuuta 2019 riittämättömän käyttöönoton vuoksi, ja suuri osa mainosalasta ilmoitti jättävänsä signaalin huomiotta erityisesti sen jälkeen, kun Microsoft otti sen oletuksena päälle Internet Explorer 10:ssä vuonna 2012.
Miten Yhdysvaltain Global Privacy Control eroaa EU:n mallista?
GPC on sitova vain niissä yhdysvaltalaisissa osavaltioissa, jotka ovat erikseen säätäneet sen tunnustavan lain, Kalifornia ensimmäisenä vuodesta 2023. Digital Omnibus tavoittelee sen sijaan yhtä yhtenäistä, kaikkia 27 EU-jäsenmaata koskevaa sitovaa sääntöä.
Mitä kritiikkiä ehdotus on saanut?
noyb, EDRi ja ICCL ovat varoittaneet, että ehdotus voisi tosiasiassa heikentää GDPR:n suojatasoa erityisesti henkilötiedon määritelmän muutoksen ja tekoälyn koulutusdataa koskevan oikeutettu etu -perusteen kautta, vaikka se on paketoitu yksinkertaistamiseksi.
Mitä suomalaisten yritysten pitäisi tehdä nyt?
Kannattaa seurata trilogi-neuvottelujen etenemistä ja tarkistaa, tukeeko oma evästehallintatyökalu kuuden kuukauden uudelleenkysymiskiellon kaltaisia rajoituksia, jotta muutoksiin ei tarvitse reagoida kiireessä lain tullessa voimaan.
