Lupaus “banneria ei tarvita”

Yksityisyyteen keskittyvät analytiikkatyökalut markkinoivat itseään usein evästeettöminä, ja jotkut menevät pidemmälle ja vihjaavat, ettei suostumusbanneria enää tarvita. Kevyen infran omaavalle julkaisijalle se on houkutteleva ajatus. Todellisuus on vivahteikkaampi. Se, tarvitaanko suostumusta, riippuu siitä, mitä työkalu todella tekee laitteella, mitä tietoja se käsittelee, missä käyttäjäsi ovat ja mitä muuta sivuillasi toimii.

Tämä artikkeli selittää kysymykset, jotka kannattaa esittää ennen kuin poistat analytiikan suostumusmäärityksestäsi. Se on yleinen ohje, ei oikeudellista neuvontaa.

Evästeet eivät ole ainoa laukaisin

EU:ssa laitteita koskeva suostumussääntö tulee ePrivacy-direktiivin 5 artiklan 3 kohdasta. Se kattaa tietojen tallentamisen käyttäjän laitteelle tai tietojen käyttämisen laitteelta — ei vain evästeitä. Siihen voivat kuulua paikallinen tallennustila, istuntotallennustila, pikselit, jotka aiheuttavat tietojen lukemisen, ja tekniikat, jotka johtavat tunnisteita laitteen ominaisuuksista. Euroopan tietosuojaneuvosto esitti tämän laajan tulkinnan suuntaviivoissaan 2/2023 5 artiklan 3 kohdan teknisestä soveltamisalasta.

Joten “emme aseta evästeitä” on analyysin alku, ei loppu. Sinun on tiedettävä, tallentaako tai lukeeko työkalu laitteella ylipäätään mitään.

Neljä kysymystä mistä tahansa analytiikkatyökalusta

1. Tallentaako tai lukeeko se laitteella mitään?

Tarkista selaimen tallennuspaneelit sivun latauksen jälkeen: evästeet, paikallinen tallennustila, istuntotallennustila, IndexedDB. Tarkista skriptistä koodi, joka kerää laitteen ominaisuuksia tunnisteen muodostamiseksi. Jos analytiikan tarkoituksiin jotain tallennetaan tai luetaan, ePrivacy-sääntö tulee sovellettavaksi, ellei poikkeus päde.

2. Käsitteleekö se henkilötietoja?

Vaikka laitteelle ei tallennettaisi mitään, analytiikka käsittelee yleensä IP-osoitteita, user agenteja ja sivujen URL-osoitteita. GDPR:n mukaan nämä voivat olla henkilötietoja. Se vaatii oikeusperusteen — joka voi olla oikeutettu etu eikä suostumus — sekä läpinäkyvyyttä tietosuojaselosteessasi, tietojen minimointia ja asianmukaista säilytystä. “Ei banneria” ei koskaan tarkoita “ei velvoitteita”.

3. Soveltuuko poikkeus käyttäjiesi maissa?

Jotkin sääntelijät tunnustavat, että rajoitettu yleisömittaus voi olla vapautettu suostumuksesta, jos tiukat ehdot täyttyvät. Ranskan CNIL on julkaissut ehdot yleisömittausseurantojen vapauttamiselle ja ylläpitää ohjelmaa, joka tunnistaa työkalut, jotka voidaan määrittää täyttämään ne. Ehdot sisältävät tyypillisesti tiukasti ensimmäisen osapuolen käytön, vain koottuja tilastoja, ei sivustojen välistä seurantaa ja rajoitetun säilytyksen. Yhdistyneen kuningaskunnan Data (Use and Access) Act 2025 toi uusia poikkeuksia PECR:n suostumusvaatimukseen, mukaan lukien tietyt tilastolliset tarkoitukset, edellyttäen ehtoja kuten selkeä tieto ja mahdollisuus vastustaa. Kaikki maat eivät ota samaa kantaa, joten tarkista tilanne jokaisella palvelemallasi markkinalla ja mitkä säännökset ovat voimassa.

4. Jaetaanko tiedot jonkun muun kanssa?

Jos työkalu lähettää tietoja toimittajalle, joka käyttää niitä omiin tarkoituksiinsa tai yhdistää niitä asiakkaiden välillä, poikkeukset yleensä raukeavat. Lue käsittelyehdot, ei vain markkinointisivua.

Mikä yleensä vaatii edelleen suostumuksen

• Mainostagit. Mainosrahoitteiset julkaisijat tarvitsevat suostumuksen personoituun mainontaan ja mainostoimittajien tekemään laitteelle tallennukseen riippumatta siitä, mitä analytiikkatyökalusi tekee.
• Työkalut, joilla on istuntojen yli kulkevia tunnisteita. Pysyvät kävijätunnisteet, myös ensimmäisen osapuolen, vievät työkalun yleensä useimpien poikkeusten ulkopuolelle.
• Istuntojen toisto ja lämpökartat. Nämä tallentavat yksityiskohtaista käyttäytymistä, ja niitä pidetään harvoin vapautettuna mittauksena.
• Upotettu sisältö ja sosiaalisen median widgetit. Nämä asettavat omat evästeensä ja tunnisteensa.
• Konversio- ja uudelleenmarkkinointipikselit. Ne ovat olemassa käyttäytymisen yhdistämiseksi mainontaan.

Useimmilla mainosrahoitteisilla sivustoilla banneri vaaditaan mainosinfraa varten joka tapauksessa. Todellinen kysymys on, pitäisikö analytiikan olla yksi estetyistä luokista vai voiko se toimia itsenäisesti kapean poikkeuksen nojalla.

Käytännöllinen tapa päättää

1. Luettele jokainen analytiikkaskripti ja mitä se tallentaa, lukee ja lähettää.
2. Tunnista maat, joissa suurin osa käyttäjistäsi on.
3. Tarkista jokaisesta työkalusta, täyttääkö sen määritys niissä maissa tunnustetun poikkeuksen.
4. Määritä työkalu tiukimpaan tarvitsemaasi versioon: IP:n lyhentäminen, ei pysyviä tunnisteita, lyhyt säilytys, ei tietojen jakamista.
5. Dokumentoi perustelu ja pidä analytiikkatyökalu kummassakin tapauksessa mainittuna evästekäytännössäsi ja tietosuojaselosteessasi.
6. Tarkista uudelleen, kun toimittaja muuttaa tuotettaan tai markkinasi muuttuvat.

Vapautetun analytiikan ajaminen CMP:n rinnalla

Jos päätät, että työkalu täyttää ehdot, merkitse se CMP:ssäsi ehdottoman välttämättömäksi tai vapautetuksi, jotta se ilmoitetaan mutta sitä ei estetä, ja varmista, että sen määritys pysyy poikkeuksen rajoissa. Monet julkaisijat pitävät myös suostumuksesta riippuvaa analytiikkamääritystä runsaampaa mittausta varten ja käyttävät Google Consent Mode v2:ta tai vastaavia signaaleja sen säätämiseen käyttäjän valinnan perusteella. FlexyConsent tukee Google Consent Mode v2:ta IAB TCF 2.4:n ja IAB GPP v1.1:n rinnalla.

Keskeiset opit

• “Evästeetön” ei automaattisesti tarkoita “suostumusta ei tarvita”; 5 artiklan 3 kohta kattaa kaiken laitteelle tallennuksen tai sen käytön.
• Analytiikka ilman laitteelle tallennusta voi silti käsitellä henkilötietoja ja tarvitsee oikeusperusteen ja läpinäkyvyyttä.
• Yleisömittauksen poikkeuksia on joissakin maissa, mutta niihin liittyy tiukat ehdot.
• Mainos-, istuntotoisto- ja uudelleenmarkkinointitagit vaativat edelleen suostumuksen.
• Dokumentoi, miksi työkalua pidetään vapautettuna, ja tarkista se säännöllisesti uudelleen.