Lainsäädäntö · 7. marraskuuta 2026 · Lukuaika 3 min
Evästeet Itävallassa: § 165 TKG 2021 selitettynä
Mitä § 165 Abs. 3 TKG 2021 edellyttää evästeiltä ja seurannalta: suostumus, poikkeukset, yhteys GDPR:ään ja kuka valvoo Itävallassa.
Itävallassa ei ole omaa evästepykälää tietosuojalaissa. Sääntö on televiestintälaissa 2021 (TKG 2021), ja siksi se jää helposti huomaamatta. Tämä artikkeli selittää, mitä § 165 Abs. 3 TKG 2021 edellyttää, mitä poikkeuksia on ja miten säännös toimii yhdessä GDPR:n kanssa.
Mitä laissa lukee
§ 165 Abs. 3 TKG 2021:n teksti on liittovaltion oikeudellisessa tietojärjestelmässä. Se sisältää kaksi velvoitetta tietoyhteiskunnan palvelun tarjoajalle, siis myös verkkosivuston ylläpitäjälle:
- Tiedottaminen. Teidän on informoitava käyttäjää siitä, mitä henkilötietoja käsittelette, millä oikeusperusteella, mihin tarkoituksiin ja kuinka kauan tietoja säilytetään.
- Suostumus. Näiden tietojen hankkiminen on sallittua vain, jos käyttäjä on antanut suostumuksensa aktiivisesti ja selkeiden ja kattavien tietojen perusteella.
Säännös panee täytäntöön sähköisen viestinnän tietosuojadirektiivin (ePrivacy) 5 artiklan 3 kohdan. Saksassa toimiville yrityksille pätee rinnakkaissääntö § 25 TDDDG:ssä.
Mikä tekniikka kuuluu soveltamisalaan?
Lain teksti ei mainitse evästeitä. Tietosuojaviranomainen (DSB) lukee säännöstä evästeitä koskevissa UKK:ssaan laajasti: sen mukaan se kattaa tietojen tallentamisen päätelaitteelle ja pääsyn niihin, ei vain evästeitä. Se kattaa vastaavat tekniikat, kuten selaimen paikallisen muistin.
On myös suppeampi tulkinta. Se kohdistaa sanamuodon (”näiden tietojen hankkiminen”) henkilötietoihin ja kaventaa siten soveltamisalaa. Käytännössä se on riski, ei vapaakirje. Joka nojaa suppeaan tulkintaan, kannattaa käydä se läpi tietosuojaneuvonnan kanssa.
Poikkeukset
Suostumusta ei tarvita, jos
- ainoa tarkoitus on viestin välittäminen viestintäverkon kautta, tai
- tallennus tai pääsy on ehdottoman välttämätön, jotta tarjoaja voi tarjota käyttäjän nimenomaisesti pyytämän palvelun.
Molemmat on rajattu suppeasti. DSB:n mukaan teknisesti välttämättömät evästeet eivät tarvitse suostumusta. Direktiivi ja TKG 2021 eivät kuitenkaan tarjoa luetteloa, DSB nojaa aiemman 29 artiklan tietosuojatyöryhmän kriteereihin. Seurantaevästeet eivät sen käsityksen mukaan kuulu niihin. Tyypillisiä tapauksia ilman edeltävää suostumusta ovat ostoskori, kirjautuminen ja bannerin päätöksen tallennus. Tilasto- ja markkinointityökalut eivät yleensä kuulu niihin.
Yhteys GDPR:ään
Tarkistusvaiheita on kaksi rinnakkain, kuten muualla EU:ssa:
| Tarkistusvaihe | Kysymys | Määräävä sääntö |
|---|---|---|
| 1. Päätelaite | Tallennetaanko tai luetaanko laitteella? | § 165 Abs. 3 TKG 2021 |
| 2. Käsittely | Onko tiedoille oikeusperuste? | GDPR:n 6 artikla |
Läpäisty ensimmäinen vaihe ei korvaa toista. Joka hankkii skriptille suostumuksen, voi usein käyttää sitä myös GDPR:n 6 artiklan 1 kohdan a alakohdan perusteena. Milloin sen sijaan oikeutettu etu kantaa, kerrotaan artikkelissa Oikeutettu etu GDPR:n mukaan: kolme tarkistusvaihetta.
Kuka valvoo ja mitä uhkaa
DSB:n UKK:n mukaan § 165 Abs. 3 TKG 2021:n rikkomusten täytäntöönpano kuuluu televiestintäviranomaisille. DSB voi olla toimivaltainen, jos käytön yhteydessä käsitellään samalla henkilötietoja, esimerkiksi profiileja muodostettaessa. GDPR-rikkomuksiin pätevät GDPR:n 83 artiklan sakot.
TKG 2021 itse säätää §:n 188 Abs. 4 Z 24 mukaan hallinnollisen rangaistuksen enintään 50 000 euroa, jos käyttäjiä ei informoida § 165 Abs. 3:n vastaisesti. Puuttuvan suostumuksen tapaukselle tämä säännös ei mainitse omaa rangaistusta. Se ei tarkoita, että rikkomus jäisi seurauksitta, koska GDPR pätee rinnalla.
Tarkistuslista Itävaltaa varten
- Luetteloikaa kaikki verkkosivustonne skriptit, pikselit ja muistiin pääsyt.
- Lajitelkaa ”ehdottoman välttämättömiin” ja ”kaikkeen muuhun”.
- Ladatkaa kaikki muu vasta aktiivisen suostumuksen jälkeen.
- Informoikaa tietosuojaselosteessa ja bannerissa tiedoista, perusteesta, tarkoituksesta ja säilytysajasta.
- Tarjotkaa hylkääminen ja peruutus yhtä helposti kuin hyväksyminen.
Usein kysytyt kysymykset
Pätevätkö § 165 Abs. 3 TKG 2021 myös saksalaisiin yrityksiin? Se riippuu yksittäistapauksesta, esimerkiksi siitä, missä yrityksenne sijaitsee ja keille tarjonta on suunnattu. Selvittäkää se tietosuojaneuvonnan kanssa. Saksassa pätee § 25 TDDDG, ja molemmissa maissa käytäntö on: ei-välttämättömät skriptit vasta suostumuksen jälkeen.
Riittääkö ilmoitus ”Käyttämällä hyväksytte”? Ei. Laki edellyttää aktiivista suostumusta. Sivun pelkkä jatkokäyttö ei ole aktiivinen teko.
Onko Sveitsi yhtä tiukka? Ei, siellä pätee toinen malli informoinnilla ja hylkäämismahdollisuudella. Sen selittää artikkeli Verkkosivuston seuranta Sveitsissä: revDSG ja FMG.
