EU-US Data Privacy Framework (DPF) -evästeiden suostumusopas julkaisijoille vuonna 2026
The EU-US Data Privacy Framework (DPF) on oikeudellinen rakenne, joka mahdollistaa eurooppalaisten henkilötietojen — mukaan lukien evästetunnisteet, IP-osoitteet, tiivistetyt sähköpostiosoitteet ja mainosten pyyntöpaketit — siirtämisen yhdysvaltalaisille toimittajille ilman, että kunkin julkaisijan tarvitsee neuvotella erikseen vakiosopimuslausekkeista. Euroopan komissio hyväksyi DPF:n heinäkuussa 2023, ja se on nyt ollut todellisessa käytössä jo useita vuosia. Kyseessä on kolmas yritys korvata mitätöity Privacy Shield, ja se on jälleen oikeudellisen haasteen kohteena EU:n tuomioistuimessa. Julkaisijoille, jotka reitittävät EU-liikennettä yhdysvaltalaispohjaisiin SSP:eihin, DSP:eihin, analytiikkatyökaluihin ja CMP:eihin, DPF:n ymmärtäminen — ja sen päällä oleva suostumuskerros — ei ole enää valinnaista. Tämä opas selittää, mitä DPF todella sallii, miten evästeiden suostumus sopii kokonaisuuteen ja mitkä toiminnalliset askeleet pitävät siirtosi puolustettavina, jos kehys taas kumotaan.
Mitä DPF todella tekee
DPF on riittävyyttä koskeva päätös, jonka Euroopan komissio on antanut GDPR:n 45 artiklan nojalla. Riittävyyttä koskeva päätös tarkoittaa, että kolmas maa — tässä tapauksessa Yhdysvallat — tarjoaa henkilötietojen suojan tason, joka on olennaisesti vastaava EU:n tason kanssa, mutta ainoastaan organisaatioille, jotka liittyvät tiettyyn kehykseen. DPF on tuo liittymismekanismi. Yhdysvaltalaiset yritykset sertifioivat itsensä kauppaministeriölle, sitoutuvat yksityisyysperiaatteisiin ja joutuvat FTC:n tai DOT:n valvontaan näiden sitoumusten osalta.
EU-julkaisijalle käytännön vaikutus on se, että henkilötietoja voidaan siirtää DPF-sertifioituun yhdysvaltalaiseen toimittajaan ilman erillisiä vakiosopimuslausekkeita (SCCs), kyseiseen toimittajaan räätälöityjä siirron vaikutustenarviointeja tai Schrems II -tuomion jälkeen vaadittuja täydentäviä toimenpiteitä. DPF tekee raskaan työn oikeusperustakerroksen tasolla.
Kolme asiaa, joita DPF ei tee, ja joissa julkaisijat tekevät jatkuvasti virheitä:
- Se ei korvaa suostumusta. Ei-välttämättömän evästeen asettaminen EU-kävijälle edellyttää silti GDPR/eSähköinen viestintä -tasoista suostumusta riippumatta siitä, mihin data päätyy.
- Se ei kata siirtoja sertifioimattomille yhdysvaltalaisille toimittajille. Jos SSP:si tai analytiikantarjoajasi ei ole aktiivisella DPF-listalla, tarvitset silti SCCs:n ja TIA:n.
- Se ei kata siirtoja yhdysvaltalaisille tytäryhtiöille, jotka toimivat sertifioidun soveltamisalan ulkopuolella. Monet suuret toimittajat sertifioivat vain tietyt liiketoimintalinjat.
Evästeiden suostumus on yhä etummaisena portilla
DPF ratkaisee matkan siirtämisvaiheen. Se ei tee mitään sille hetkelle, jolloin eväste pudotetaan, mainostunnus luetaan tai tapahtuma lähetetään tagille. Tuota hetkeä säätelee sähköisen viestinnän tietosuojadirektiivi (5(3) artikla) ja GDPR (6 ja 7 artiklat). Molemmat vaativat ennakkosuostumuksen, joka on tietoinen, erityinen ja vapaasti annettu, kaikenlaisen ei-tiukasti-välttämättömän pääsyn osalta päätelaitteen tallennustilaan.
Toisin sanoen, vaikka kaikki pinkissäsi olevat toimittajat olisivat DPF-sertifioituja, tarvitset silti Consent Management Platform -alustan, joka:
- Estää ei-välttämättömät evästeet ja tagit ennen suostumuksen keräämistä.
- Esittää selkeän valinnan, jossa kaiken hylkääminen on tasaveroinen kaiken hyväksymisen kanssa (EDPB on ollut tästä selkeäsanainen vuodesta 2022).
- Kirjaa suostumustapahtuman peukaloinninkestävällä aikaleimalla ja kopiolla ilmoituksesta, jonka käyttäjä todella näki.
- Välittää suostumustilan jokaiselle alajuoksun työkalulle TCF v2.3:n, Google Consent Mode v2:n tai toimittajanatiivien API:en kautta.
DPF korvaa siirron oikeusperustan; CMP toimittaa keruun oikeusperustan. Kumman tahansa puolen ohittaminen jättää sinut alttiiksi.
Toimittajan DPF-statuksen todentaminen
Yhdysvaltain kauppaministeriö ylläpitää virallista DPF-listaa osoitteessa dataprivacyframework.gov. Ennen kuin luotat toimittajan DPF-väitteeseen, tarkista kolme asiaa heidän listausmerkinnästään.
Aktiivinen sertifikaatistatus
Sertifikaatit on uusittava vuosittain. Toimittaja, jonka status on Ei aktiivinen, Peruutettu tai Vanhentunut, ei sovellu siirron mekanismiksi, vaikka heidän markkinointisivuillaan edelleen näytettäisiin DPF-merkkiä. Lisää merkintä toimittajainventaarioosi ja tarkista se neljännesvuosittain.
Katetut yksiköt ja tytäryhtiöt
Monet holdingyhtiöt sertifioivat jotkut tytäryhtiöt mutta eivät toiset. Sopimuksesi DPA:n mukaisen sopimuspuolen on vastattava sertifioitua yksikköä. Yleinen virhe on allekirjoittaa Acme Marketing UK Ltd:n kanssa, kun DPF-sertifiointi on Acme Inc.:llä Delawaressa — tietovirta pakenee tällöin sertifioinnin soveltamisalasta.
Katetut datakategoriat
DPF sallii sertifioinnit, jotka on rajattu vain HR-dataan, vain muuhun kuin HR-dataan tai molempiin. Muu kuin HR-sertifiointi kattaa mainonta- ja analytiikkadatasi; pelkkä HR-sertifiointi ei kata. Lue merkintä huolellisesti.
Mitä tehdä, kun toimittaja ei ole DPF-sertifioitu
Monet hyödylliset yhdysvaltalaiset toimittajat — erityisesti pienemmät mainosteknologiapelaajat ja niche-analytiikkatyökalut — eivät ole koskaan sertifioineet tai ovat antaneet sertifikaattinsa vanhentua. Niitä varten DPF on merkityksetön, ja palataan ennen vuotta 2023 käytettyyn työkalupakkiin:
- Vakiosopimuslausekkeet (SCCs) — vuoden 2021 moduulin 2 tai moduulin 3 versiot, molempien osapuolten allekirjoittamina ja DPA:han sisällytettynä.
- Siirron vaikutustenarviointi (TIA) — toimittajakohtainen analyysi Yhdysvaltain valvontalainsäädännöstä, riskialttiista datakategorioista ja altistumista lieventävistä teknisistä ja organisatorisista toimenpiteistä.
- Täydentävät toimenpiteet — salaus siirron aikana ja levossa, pseudonymisointi, sopimusmaiset läpinäkyvyyssitoumuukset ja dokumentoitu vastaussuunnitelma Yhdysvaltain viranomaisten tietopyynnöille.
Pidä rekisteriä, joka luettelee jokaisen yhdysvaltalaisen toimittajan pinkissäsi, kullekin käytetyn oikeusperustan (DPF, SCCs, poikkeus) ja viimeisimmän tarkistuksen päivämäärän. Viranomaiset ja tilintarkastajat pyytävät tätä rekisteriä; sen puuttuminen on itsessään löydös.
Schrems III -riski ja tulevaisuudenturva
Yksityisyydensuojan puolestapuhuja Max Schrems ja hänen järjestönsä NOYB nostivat kanteen DPF:ää vastaan pian sen hyväksymisen jälkeen väittäen, että Yhdysvaltain valvontauudistus toimeenpanomääräyksen EO 14086 nojalla alittaa silti EU:n perusoikeuksien standardit. CJEU-viittaus on laajalti odotettavissa, ja kehyksellä on merkittävä todennäköisyys tulla kumotuksi — kolmantena kahdessa kymmenessä vuodessa.
Julkaisijat, jotka kohtivat Privacy Shieldin ainoana siirtomekanismina vuonna 2020, joutuivat hätähankaan yön yli, kun Schrems II kumosi sen. Sama hätä on vältettävissä tällä kertaa kohtelemalla DPF:ää ensisijaisena mekanismina varamekanismin ollessa valmiina aktivoitumaan.
Pidä SCCs jokaisessa DPA:ssa
Vaadi, että DPA:si sisältävät vuoden 2021 SCCs:n varalausekkeena, joka aktivoituu automaattisesti, jos DPF:n riittävyyspäätös kumotaan tai toimittajan sertifikaatti vanhenee. Tämä on nyt vakiotekstillistä; jos toimittaja kieltäytyy, se on keltainen varoitusmerkki.
Tee TIA joka tapauksessa
DPF poistaa TIA:n lakisääteisen vaatimuksen, mutta kevyen TIA:n tekeminen — erityisesti arkaluonteisten mainossignaalien tai suurten EU-väestöjen kanssa toimiville toimittajille — antaa sinulle puolustettavan dokumentaation, jos kehys romahtaa. Käytä samaa mallipohjaa toimittajien välillä pitääksesi kustannukset alhaisina.
Lokalisoi siellä, missä laskenta toimii
Muutamissa käyttötapauksissa — ensimmäisen osapuolen analytiikka, kirjautuneita käyttäjiä koskeva käyttäytymisdata tai arkaluonteisen sisällön sivustot — siirtyminen EU:ssa isännöityyn ja EU:n valvomaan toimittajaan eliminoi siirtokysymyksen kokonaan. Kustannus-hyötylaskenta toimii vain korkean riskin tai suuren volyymin virroille, mutta sen tulisi olla tiekartan vaihtoehtona.
DPF:n kytkeminen CMP:hen
Moderni CMP ei suoraan täytäntöönpane DPF:ää — ei ole GPP- tai TCF-kenttää, joka sanoo "tämä siirto on DPF-katettu". CMP:n on kerättävä suostumus kullekin toimittajalle tavalla, joka tukee dokumentaatiota, jota viranomainen lopulta pyytää.
Toimittajakohtainen tarkkuus
Kaikkien yhdysvaltalaisten mainosteknologiatoimittajien niputtaminen yhteen "Markkinointi"-kytkimeen ei enää ole puolustettavissa. TCF v2.3:n toimittajalista, jonka useimmat sertifioidut CMP:t synkronoivat, tarjoaa toimittajakohtaiset tarkoitukset ja oikeusperusteet. Käytä sitä. Kun viranomainen kysyy "millä perusteella henkilötiedot virtasivat toimittajalle X päivänä Y", sinun pitäisi pystyä osoittamaan TCF-merkkijonoon, DPF-sertifiointirekisteriin ja DPA:han.
Peilaa tietosuojailmoitus bannerissa
Tietosuojailmoituksessasi olevien vastaanottajien luettelon tulee täsmälleen vastata suostumuksen jälkeen ladattujen toimittajien luetteloa. Ristiriidat ovat helpoin täytäntöönpanon kohde — Espanjan AEPD ja Ranskan CNIL ovat molemmat sakottaneet julkaisijoita vuonna 2024 toimittajalistoista, joista aktiiviset kumppanit puuttuivat.
Kirjaa toimittajan tila suostumuksen hetkellä
Tallenna jokaisen suostumustapahtuman osalta tilannekuva siitä, mitkä toimittajat olivat TCF GVL:ssä, mitkä olivat DPF-sertifioituja ja mihin oikeusperustaan kukin nojasi. Tämä on auditointipolku, joka muuttaa stressaavan viranomaisten kirjeen rutiiniksi vastaukseksi. FlexyConsent ja muut Googlen sertifioimat CMP:t tarjoavat tämän kirjauksen valmiina; monet vanhemmat bannerit eivät.
Käytännön migraatiotarkistuslista
Jos siirrät olemassa olevaa sivustoa ennen DPF:ää tai osittain DPF:ää olevasta asetuksesta puhtaaseen vuoden 2026 konfiguraatioon, käy tämä lista läpi:
- Inventoi jokainen yhdysvaltalainen toimittaja taginhallinnassasi, mainospinkissäsi ja palvelinpuolisessa konteinerissasi.
- Vertaile jokaista aktiiviseen DPF-listaan. Kategorisoi DPF-katettu, SCCs-katettu tai toimenpide tarvitaan.
- Päivitä DPA:t sisältämään vuoden 2021 SCCs:n automaattisena varana.
- Tee TIA korkean riskin toimittajille DPF-statuksesta riippumatta.
- Varmista, että CMP:si tarjoaa toimittajakohtaisen suostumuskäyttöliittymän ja tukee TCF v2.3:a.
- Varmista, että Google Consent Mode v2 on kytketty GA4:ään, Adsiin ja signaalinhäviön työkaluihin.
- Aseta neljännesvuosittainen tarkistus kalenteriin sertifikaattien, GVL-jäsenyyden ja DPA-versioiden uudelleentarkistamista varten.
- Perehdytä lakiasiat ja mainosoperaatiot yhdessä siihen, mitä muuttuu, jos DPF kumotaan, jotta vastaussuunnitelmaa ei keksitä paineen alla.
Yleisiä väärinkäsityksiä
Muutama virhe toistuu julkaisijoiden auditoinneissa ja tarvitsee selkeää korjausta.
"DPF-sertifiointi tarkoittaa, että meillä ei tarvita suostumusta." Ei. DPF on siirtomekanismi. Suostumus on keruuvaatimus. Ne sijaitsevat eri oikeudellisilla tasoilla.
"CDN:mme on yhdysvaltalainen, joten DPF kattaa sen." Vain jos CDN itse on DPF-sertifioitu asianmukaisten datakategorioiden osalta. Monet infrastruktuuritoimittajat tarjoavat EU-alueita, jotka välttävät kysymyksen kokonaan.
"Toimittaja X sanoo olevansa DPF-valmis." Markkinointikieltä. Tarkista virallinen lista, sertifioidun yksikön nimi ja datakategoriat.
"DPF korvaa evästebannerin." Ei. Sähköisen viestinnän tietosuojadirektiivin ennakkosuostumusvaatimus on riippumaton GDPR:n siirtosäännöksistä. Molemmat pätevät.
Lopputulos
DPF tekee transatlanttisesta mainosteknologiasta operatiivisesti yksinkertaisempaa vuonna 2026 kuin se oli vuonna 2021, mutta se ei vapauta julkaisijoita evästeiden suostumuksesta, toimittajan huolellisuusvelvollisuudesta tai siirtojen dokumentoinnista. Kohtele DPF:ää yhtenä kelvollisena siirtomekanismina muiden joukossa, pidä SCCs:t sopimusten varana, käytä CMP:tä, joka kirjaa toimittajakohtaisen suostumuksen ylläpidettävää toimittajainventaariota vasten, ja oleta, että kehyksen oikeudellinen vakaus on ehdollinen. Julkaisijat, jotka rakentavat tämän resilienssiin nyt, eivät joudu tekemään yön yli uudelleensuunnittelua, jos Schrems III -tuomio tulee samaan tapaan kuin kaksi edellistä. Ne, jotka kohtelevat DPF:ää pysyvänä vastauksena, asettavat itsensä alttiiksi samaan hätään, joka seurasi Privacy Shieldin mitätöimistä — vain tällä kertaa viranomaiset ovat vähemmän kärsivällisiä ja sakot suurempia.