Avatkaa satunnaisen suomalaisen pk-yrityksen kotisivu ja katsokaa selaimen kehittäjätyökaluista, mitä sivu tallentaa koneellenne. Hyvin usein Google Analyticsin ja Meta-pikselin evästeet ovat siellä jo ennen kuin olette klikanneet mitään. Evästebanneri joko puuttuu kokonaan tai ilmestyy ruudulle vasta sen jälkeen, kun seuranta on jo käynnistynyt.
Tämä ei yleensä johdu välinpitämättömyydestä. Sivuston tekijä asensi analytiikan, joku lisäsi myöhemmin bannerin, eikä kukaan tarkistanut, pysäyttääkö banneri oikeasti mitään. Lopputulos on silti lain vastainen.
Tällä sivulla käydään läpi, mitä laki evästeistä vaatii, milloin banneria tarvitaan, miten Google Analytics toimii suostumuksen kanssa ja mitä tietosuojaselosteeseen kuuluu. Lopuksi näytetään, miten oman sivuston tilanteen tarkistaa viidessä minuutissa.
Mitä laki vaatii
Evästeitä koskee kaksi eri lakia, ja ne sekoittuvat keskusteluissa jatkuvasti.
Sähköisen viestinnän palveluista annetun lain 205 § säätelee sitä, saako käyttäjän laitteelle tallentaa tietoa tai lukea sitä sieltä. Evästeet ovat tällaista tallentamista, samoin paikallinen tallennustila ja monet seurantatekniikat. Pykälän mukaan tallentaminen edellyttää käyttäjän suostumusta, ellei se ole välttämätöntä käyttäjän pyytämän palvelun tarjoamiseksi. Tätä valvoo Liikenne- ja viestintävirasto Traficom.
EU:n yleinen tietosuoja-asetus (GDPR) säätelee henkilötietojen käsittelyä. Se koskee evästeitä silloin, kun niiden avulla kerätään henkilötietoja, mutta myös kaikkea muuta: yhteydenottolomakkeita, uutiskirjeen tilaajia, chatbotin keskusteluja ja asiakasrekisteriä. Tätä valvoo tietosuojavaltuutetun toimisto.
Pk-yrityksen kannalta käytännön johtopäätös on yksinkertainen: kaikkiin muihin kuin välttämättömiin evästeisiin tarvitaan suostumus ennen kuin ne asetetaan. Traficomin evästeohjeistuksen mukaan analytiikkaevästeitä ei voida automaattisesti pitää välttämättöminä, eli niihinkin tarvitaan suostumus.
Evästeet jaetaan käytännössä kolmeen ryhmään:
| Ryhmä | Esimerkkejä | Tarvitaanko suostumus? |
|---|---|---|
| Välttämättömät | Ostoskorin sisältö, kirjautuminen, evästevalinnan tallennus, kuormantasaus | Ei |
| Analytiikka | Google Analytics, Hotjar, Microsoft Clarity | Kyllä |
| Markkinointi | Meta-pikseli, Google Ads, LinkedIn Insight, YouTube-upotus | Kyllä |
Välttämättömyyden raja tulkitaan tiukasti. Eväste on välttämätön, jos palvelu, jota käyttäjä itse pyytää, ei toimi ilman sitä. Se, että yritys tarvitsee kävijätilastoja sivuston kehittämiseen, ei tee analytiikasta käyttäjän kannalta välttämätöntä.
Tarvitseeko sivustonne evästebannerin?
Kaikki sivustot eivät tarvitse. Banneria ei tarvita, jos sivusto käyttää vain välttämättömiä evästeitä. Käytännössä tällainen sivusto on harvinainen, koska lähes jokaisessa on jotain seuraavista:
- Google Analytics tai muu analytiikka, joka käyttää evästeitä
- Meta-pikseli, Google Ads -seuranta tai LinkedIn Insight
- YouTube- tai Vimeo-upotus
- Google Maps -kartta
- Chat-widget tai chatbot, joka tallentaa tunnisteen
- Some-jakopainikkeet, jotka lataavat palvelun skriptin
- Upotettu ajanvaraus- tai lomakepalvelu kolmannelta osapuolelta
Jos listalta löytyy yksikin kohta, banneri todennäköisesti tarvitaan. Toinen vaihtoehto on poistaa suostumusta vaativat elementit tai korvata ne sellaisilla, jotka eivät tallenna mitään ennen käyttäjän omaa toimenpidettä. Pienellä esittelysivustolla tämä on usein järkevämpi ratkaisu kuin banneri, joka ärsyttää jokaista kävijää.
Hyvä ja huono evästebanneri
Pelkkä banneri ei riitä. Sen pitää toimia niin, että suostumus on vapaaehtoinen, tietoinen ja käyttäjän oma aktiivinen valinta. Traficomin ohjeistuksessa korostetaan erityisesti, ettei valintaruutuja saa olla valmiiksi rastitettuina ja että muista kuin välttämättömistä evästeistä kieltäytymisen pitää olla helppoa.
| Piirre | Hyvä banneri | Huono banneri |
|---|---|---|
| Evästeiden asettaminen | Vasta hyväksynnän jälkeen | Heti sivun latautuessa |
| Valintaruudut | Tyhjinä | Valmiiksi rastitettuina |
| Kieltäytyminen | Painike samalla tasolla kuin hyväksyminen | Piilotettu asetusten taakse |
| Painikkeiden ulkoasu | Tasavertaiset | "Hyväksy" kirkas, "Hylkää" harmaa linkki |
| Jatka selaamista = hyväksyntä | Ei | Kyllä |
| Suostumuksen peruminen | Linkki alatunnisteessa | Ei mahdollista |
| Näppäimistökäyttö | Toimii | Banneria ei saa suljettua |
Viimeinen rivi liittyy myös saavutettavuuteen: banneri, jota ei voi sulkea näppäimistöllä, estää koko sivuston käytön. Saavutettavuusvaatimuksia käsitellään tarkemmin sivulla saavutettavuus kotisivuilla ja verkkokaupassa.
Banneri on asennettu, mutta analytiikka ja markkinointipikselit latautuvat sivun koodista suoraan, bannerin ohi. Banneri näyttää toimivan, mutta se ei estä mitään. Tämä on helppo tarkistaa itse, ohjeet ovat alempana.
Google Analytics 4 ja Consent Mode v2
Google Analytics 4 on edelleen yleisin analytiikkatyökalu suomalaisilla pk-yritysten sivustoilla. Sen käyttö on mahdollista lainmukaisesti, kunhan se ladataan suostumuksen mukaisesti.
Googlen Consent Mode v2 on tapa kertoa Googlen työkaluille, mihin käyttäjä on suostunut. Evästebanneri välittää valinnan Googlelle, ja Analytics sekä Ads toimivat sen mukaan. Consent Mode on käytännössä edellytys Googlen mainostyökalujen täydelle käytölle Euroopan talousalueella.
Consent Modessa on kaksi tapaa toimia:
- Perustila: Googlen tagit eivät lataudu lainkaan ennen suostumusta. Jos kävijä kieltäytyy, hänestä ei lähetetä Googlelle mitään.
- Laajennettu tila: tagit latautuvat heti, mutta ilman suostumusta ne lähettävät evästeettömiä signaaleja, joiden perusteella Google mallintaa puuttuvaa dataa.
Perustila on selvempi ja turvallisempi valinta pk-yritykselle. Laajennetun tilan tulkinta on epävarmempi, koska tagit lataavat koodia ja lähettävät tietoja jo ennen kuin käyttäjä on tehnyt valintaa.
Mitä luvuille tapahtuu? Kun analytiikka latautuu vain suostumuksella, osa kävijöistä katoaa tilastoista. Osuus vaihtelee sivustoittain ja bannerin toteutuksen mukaan, mutta merkittävä osa kävijöistä kieltäytyy, kun kieltäytyminen on yhtä helppoa kuin hyväksyminen. Luvut eivät siis ole enää täydellisiä. Pk-yrityksen kannalta tämä on pienempi ongelma kuin miltä kuulostaa: suuntaukset näkyvät edelleen, ja tärkein mittari eli yhteydenottojen määrä kannattaa joka tapauksessa laskea omasta sähköpostista tai asiakasrekisteristä eikä analytiikasta.
Vaihtoehto: evästeetön analytiikka
Plausible, Fathom ja Matomo evästeettömässä tilassa ovat analytiikkatyökaluja, jotka eivät tallenna käyttäjän laitteelle mitään. Ne kertovat kävijämäärät, suosituimmat sivut ja liikenteen lähteet ilman yksittäisen kävijän seurantaa.
Koska 205 § koskee laitteelle tallentamista, evästeetön analytiikka voi olla toteutettavissa ilman suostumusta, kun tietoja ei tallenneta laitteelle eikä niitä yhdistetä yksittäiseen henkilöön tai jaeta kolmansille osapuolille. Tulkinta riippuu työkalun todellisesta toiminnasta, joten asetukset kannattaa käydä läpi huolellisesti. Pienelle esittelysivustolle, jolla ei mainosteta Googlessa tai Metassa, tämä on usein paras ratkaisu: ei banneria, ja luvut ovat täydellisemmät kuin suostumuksella rajatussa Analyticsissa.
Mitä kävijätiedoista kannattaa ylipäätään seurata, käydään läpi oppaamme osiossa mittaaminen ja analytiikka.
Upotukset: kartat, videot ja chat
Upotetut sisällöt ovat evästekeskustelun unohdettu osa. YouTube-video, Google Maps -kartta tai Facebook-syöte lataa palvelun omat skriptit ja evästeet heti, kun sivu avautuu, vaikka kävijä ei koskaan klikkaisi videota.
Ratkaisuja on kolme:
- Kaksi klikkausta. Upotuksen paikalla näytetään esikatselukuva ja teksti "Video ladataan YouTubesta". Upotus latautuu vasta, kun kävijä klikkaa. Tämä on usein käyttäjäystävällisin tapa.
- Yksityisyyttä suojaava tila. YouTubella on
youtube-nocookie.com-osoite, joka vähentää evästeiden käyttöä ennen toistoa. Se ei kuitenkaan poista kaikkea tallentamista, joten suostumuksen tarve kannattaa arvioida silti. - Kytkeminen suostumukseen. Evästetyökalu estää upotuksen, kunnes markkinointievästeet on hyväksytty, ja näyttää sen tilalla ilmoituksen.
Kartan voi usein korvata pelkällä osoitteella ja linkillä Google Mapsiin. Puhelimella linkki on käyttäjälle jopa parempi, koska se avaa navigoinnin suoraan.
Chat-widgetit ja chatbotit ovat oma tapauksensa. Keskustelun ylläpitämiseen tarvittava tunniste voi olla välttämätön, kun käyttäjä itse avaa keskustelun, mutta widget, joka tallentaa seurantatunnisteita jokaiselle kävijälle heti sivun latautuessa, tarvitsee suostumuksen. Keskustelujen sisältö on puolestaan henkilötietoa, jota koskee GDPR. Aihetta käsitellään tarkemmin artikkelissa chatbotin tietoturva ja asiakastiedot sekä sivulla tekoälyn tietoturva ja GDPR.
Tietosuojaseloste
Evästeistä erillinen kysymys on tietosuojaseloste. GDPR edellyttää, että henkilötietoja keräävä yritys kertoo käsittelystä selkeästi. Kotisivuilla henkilötietoja kerätään lähes aina: yhteydenottolomake, tarjouspyyntö, uutiskirje, ajanvaraus, chatbot ja analytiikka keräävät kaikki tietoja, joista ainakin osa on henkilötietoja.
Tietosuojaselosteessa kerrotaan ainakin:
- rekisterinpitäjän nimi ja yhteystiedot
- mitä henkilötietoja kerätään ja mistä lähteistä
- mihin tarkoitukseen tietoja käsitellään ja millä oikeusperusteella (esimerkiksi suostumus, sopimus tai oikeutettu etu)
- kenelle tietoja luovutetaan tai kuka niitä käsittelee yrityksen puolesta, kuten sähköpostipalvelu, CRM-järjestelmä tai chatbotin toimittaja
- siirretäänkö tietoja EU:n ja ETA:n ulkopuolelle ja millä perusteella
- kuinka kauan tietoja säilytetään
- käyttäjän oikeudet: tarkastaminen, oikaisu, poistaminen ja käsittelyn vastustaminen
- oikeus tehdä valitus tietosuojavaltuutetun toimistoon.
Tietosuojavaltuutetun toimiston sivuilta löytyy ohjeet siitä, miten informointi tehdään. Mallipohjasta aloittaminen on järkevää, mutta pelkkä kopiointi ei ole. Seloste, jossa luetellaan palveluita, joita yritys ei käytä, tai jossa ei mainita sivustolla oikeasti toimivaa chatbottia, ei täytä tarkoitustaan.
Evästeistä kannattaa tehdä erillinen evästeseloste tai oma osio tietosuojaselosteeseen, jossa luetellaan käytetyt evästeet, niiden tarkoitus ja säilytysaika. Useimmat evästetyökalut tuottavat tämän listan automaattisesti sivuston skannauksen perusteella.
Selosteen päivittäminen unohtuu helposti. Kun sivustolle lisätään uusi työkalu, esimerkiksi ajanvarausjärjestelmä tai chatbot, myös seloste päivitetään. Tämä kuuluu luontevasti kotisivujen ylläpitoon.
Näin tarkistatte oman sivuston
Tarkistus ei vaadi teknistä osaamista. Tarvitaan Chrome, Edge tai Firefox ja viisi minuuttia.
- Avatkaa selaimessa yksityinen ikkuna. Silloin aiemmat evästevalinnat eivät vaikuta tulokseen.
- Avatkaa kehittäjätyökalut ennen sivua. Näppäimellä F12 tai valikosta. Valitkaa Chromessa ja Edgessä Application-välilehti, Firefoxissa Storage.
- Kirjoittakaa sivustonne osoite ja avatkaa sivu. Älkää klikatko banneria.
- Katsokaa Cookies-kohtaa. Jos siellä näkyy evästeitä, joiden nimet alkavat esimerkiksi
_ga(Google Analytics),_fbp(Meta) tai_gcl(Google Ads), seuranta käynnistyi ennen suostumusta. - Klikatkaa "Hylkää" ja ladatkaa sivu uudelleen. Evästeiden ei pitäisi ilmestyä nytkään.
- Tarkistakaa sivu, jolla on upotuksia. Esimerkiksi yhteystietosivu, jossa on kartta. Näkyykö Googlen tai YouTuben evästeitä ennen hyväksyntää?
- Etsikää alatunnisteesta linkki, jolla evästevalinnan voi muuttaa jälkikäteen.
Jos kohdassa 4 tai 5 näkyy seurantaevästeitä, banneri ei toimi oikein. Korjaus on yleensä tagien kytkeminen evästetyökaluun Google Tag Managerissa tai sivuston koodissa.
Ilmainen vai maksullinen evästetyökalu?
Evästebannerin voi toteuttaa monella tavalla. Ilmaisia vaihtoehtoja on sekä WordPressin lisäosina että avoimen lähdekoodin kirjastoina, joita voi käyttää räätälöidyssä sivustossa. Maksulliset palvelut, kuten Cookiebot ja CookieYes, maksavat pieneltä sivustolta tyypillisesti muutamasta eurosta muutamaan kymmeneen euroon kuukaudessa, ja ne sisältävät automaattisen evästeskannauksen, evästeselosteen ja suostumusten kirjaamisen.
Työkalua tärkeämpää on se, että se on kytketty oikein. Kalliskaan palvelu ei auta, jos analytiikka ladataan sen ohi. Jos sivustolla ei ole mainontaa eikä useita kolmansien osapuolten palveluita, evästeetön analytiikka ilman banneria on usein yksinkertaisin ratkaisu.
Valvonta ja seuraamukset
Traficom valvoo evästesäännösten noudattamista ja on antanut valvontapäätöksiä myös suurille suomalaisille mediayhtiöille. Traficom voi velvoittaa korjaamaan puutteet ja tehostaa päätöstä uhkasakolla. Tietosuojavaltuutetun toimiston seuraamusten käsittelevä kokoonpano voi puolestaan määrätä GDPR:n rikkomisesta hallinnollisen sakon.
Pk-yritykselle todennäköisempi riski kuin viranomaisen sakko on kuitenkin luottamus. Asiakas, joka huomaa sivuston seuraavan häntä, vaikka hän painoi "Hylkää", ei yleensä tee tarjouspyyntöä.
Autonova tekee sen kerralla kuntoon
Otamme käyttöön evästebannerin, kytkemme analytiikan ja markkinointitagit suostumukseen, määritämme Consent Mode v2:n ja tarkistamme upotukset. Kun sivustolle ei tarvita mainosseurantaa, ehdotamme evästeetöntä analytiikkaa, jolloin bannerin voi usein jättää kokonaan pois.
Autamme myös tietosuojaselosteen kanssa: käymme läpi, mitä tietoja sivustonne oikeasti kerää ja mihin palveluihin ne kulkevat, ja kirjaamme sen selosteeseen. Emme anna juridista neuvontaa, mutta teknisen toteutuksen ja sen kuvauksen teemme niin, että ne vastaavat toisiaan. Ottakaa yhteyttä, niin tarkistamme sivustonne nykytilan. Laajempi kuva kotisivuista löytyy oppaastamme kotisivut yritykselle.