reCAPTCHA ja tietosuoja Suomessa
Suomessa on Pohjoismaiden selvin viranomaislinja captchoista. Traficomin evästeohjeen mukaan mekanismit, joilla tunnistetaan, onko sivuston käyttäjä ihminen, voivat olla palvelun turvallisen käytön kannalta välttämättömiä, jolloin suostumusta ei tarvitse pyytää. Ratkaisevaa on kuitenkin, milloin ja mihin tarkoitukseen captcha toimii. Kauppias, jonka sivustolla reCAPTCHA-evästeet asetettiin heti sivulle saavuttaessa ja joka oli itse luokitellut ne toiminnallisiksi, joutui vuonna 2023 muuttamaan ne suostumuksenvaraisiksi.
Mitä laki sanoo
Sähköisen viestinnän palveluista annetun lain 205 §:n mukaan evästeiden ja muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja niiden käyttö edellyttää käyttäjän suostumusta ja ymmärrettäviä tietoja tarkoituksesta. Poikkeus koskee tallentamista, joka on välttämätöntä palvelun tarjoamiseksi, kun käyttäjä on nimenomaisesti pyytänyt palvelua, ja silloinkin vain palvelun vaatimassa laajuudessa. Valvova viranomainen on Traficom; henkilötietojen käsittelyssä toimivaltainen on tietosuojavaltuutetun toimisto. Traficomin evästeohjeen mukaan oikeutettu etu ei ole lainmukainen peruste evästeiden käyttämiselle.
Traficomin kaksi päätöstä
Joulukuussa 2021 Traficom arvioi Innowisen sivustoa. Kolmannen osapuolen kuvavarmennus, päätöksen aikaan hCaptcha, ei käynnistynyt sivustolle saavuttaessa, vaan kutsu palveluun lähti vasta, kun yhteydenottolomake avattiin ja sitä käytettiin. Traficom piti perusteluja riittävinä ja evästeitä välttämättöminä. Se suositteli silti kertomaan tarkemmin evästeen tarkoituksesta ja kestosta.
Marraskuussa 2023 Traficom velvoitti XXL:n muuttamaan reCAPTCHA-evästeen _GRECAPTCHA sekä selaimen paikalliseen tallennustilaan tallennetut reCAPTCHA-tiedot suostumuksenvaraisiksi. Ne asetettiin päätelaitteelle ennen kuin käyttäjä oli ilmaissut tahtonsa, ja XXL oli itse luokitellut evästeen toiminnalliseksi. Sakkoa ei tullut, koska Traficomilla ei ole evästeasioissa sanktiovaltaa.
Elokuussa 2026 korkein hallinto-oikeus linjasi päätöksessä KHO:2026:64, että myös verkkokutsut, joissa välittyy esimerkiksi IP-osoite, käyttöjärjestelmä- ja selaintiedot, ovat 205 §:ssä tarkoitettua tietojen käyttöä. Traficom totesi päätöksen jälkeen, että suostumuksesta poikkeamisen kynnys on korkea ja poikkeukseen vetoavan on esitettävä riittävä selvitys. Tapaus koski personointia, mutta se tarkoittaa myös, ettei evästeetön captcha automaattisesti jää 205 §:n ulkopuolelle.
Tietosuojavaltuutetun toimisto antoi vuonna 2023 Ilmatieteen laitokselle huomautuksen Google Analyticsista ja palautelomakkeen reCAPTCHA-tunnistuksesta, koska IP-osoitteita oli voinut siirtyä Googlelle Yhdysvaltoihin ilman pätevää siirtoperustetta. Tämä tiedetään laitoksen omasta tiedotteesta. Tilanne oli ennen EU–US Data Privacy Frameworkia, jonka piirissä Google LLC nykyään on.
Mitä 2.4.2026 muuttui
Google on siirtynyt reCAPTCHAn osalta rekisterinpitäjästä henkilötietojen käsittelijäksi. Googlen mukaan sivuston omistaja on nyt ainoa rekisterinpitäjä, ja palveluehtojensa kohdassa 45 Google sitoutuu käyttämään tietoja vain palvelun tarjoamiseen ja sen turvallisuuteen, ei esimerkiksi henkilökohtaiseen mainontaan. Eväste _GRECAPTCHA on silti edelleen käytössä, ja reCAPTCHA v3:lle Google suosittelee yhä tarkistusta myös taustalla sivuilla, joilla ei ole lomaketta.
Näin toimit
Lataa captcha vasta lomakkeen tai kirjautumisen yhteydessä, älä koko sivustolla. Innowise-päätöksessä Traficom piti captchaa välttämättömänä juuri siksi, että se käynnistyi vasta lomaketta käytettäessä. Kerro tietosuojaselosteessa tai evästeilmoituksessa, mihin captcha tallentaa tai lukee tietoja ja kuinka kauan. Jos et voi perustella välttämättömyyttä, pyydä suostumus ja varaudu siihen, että kieltäytyvä kävijä pääsee tarkistuksen ohi.
Sama arvio koskee myös meitä. Myra Security GmbH:n Münchenissä kehittämä Myra EU CAPTCHA kerää selaimen ja laitteen ominaisuuksia jo sivun latautuessa, myös käyttäytymistietoja kuten hiiren liikkeitä. KHO:n linjan mukaan siihen sovelletaan siis 205 §:ää, vaikka widget ei tallenna evästeitä. Myra toimii henkilötietojen käsittelijänä ja tekee käsittelysopimuksen.
Usein kysytyt kysymykset
Kieltääkö Traficom reCAPTCHAn?
Ei. Traficom velvoitti vuonna 2023 yhden kauppiaan muuttamaan reCAPTCHA-evästeet suostumuksenvaraisiksi. Ne asetettiin heti sivustolle saavuttaessa, ja yritys oli itse luokitellut evästeen toiminnalliseksi. Traficomilla ei ole toimivaltaa määrätä evästeasioissa hallinnollisia sanktioita, joten kyse oli velvoitteesta korjata käytäntö.
Riittääkö, ettei captcha käytä evästeitä?
Ei välttämättä. Korkein hallinto-oikeus katsoi päätöksessään KHO:2026:64, että myös verkkokutsut, joissa välittyy esimerkiksi IP-osoite, selain- ja kieliasetustiedot, ovat 205 §:ssä tarkoitettua päätelaitteelle tallennettujen tietojen käyttöä. Asia koski personointia, mutta periaate koskee myös captchaa, joka lukee selaimen ominaisuuksia.
Onko reCAPTCHA nyt kunnossa, kun Google on käsittelijä?
Se ei ratkaise päätelaitekysymystä. Googlen mukaan se on 2.4.2026 alkaen reCAPTCHAn osalta henkilötietojen käsittelijä eikä käytä tietoja esimerkiksi henkilökohtaiseen mainontaan. Eväste _GRECAPTCHA on kuitenkin edelleen käytössä, ja 205 § koskee tallentamista ja käyttöä riippumatta siitä, kuka on rekisterinpitäjä.
Lähteet
- Laki sähköisen viestinnän palveluista (917/2014), finlex.fi, haettu 11.10.2026
- Traficom, Evästeet ja muut päätelaitteelle tallennettavat tiedot: Opas palveluntarjoajille (2021), haettu 11.10.2026
- Traficom, Evästeet: sääntely ja valvonta, haettu 11.10.2026
- Traficom, XXL Sports & Outdoor Oy, 21.11.2023, haettu 11.10.2026
- Traficom, Innowise, valvontapäätös 29.12.2021, haettu 11.10.2026
- KHO:2026:64 (27.8.2026), finlex.fi, haettu 11.10.2026
- Ilmatieteen laitos, uutinen 22.5.2023 (päivitetty 2.6.2023), haettu 11.10.2026
- Google Cloud, reCAPTCHA FAQ (data processing), haettu 11.10.2026
- Google Cloud, Service Specific Terms, kohta 45, haettu 11.10.2026