Google Analyticsin upottaminen GDPR:n mukaisesti

Google Analytics 4 asettaa evästeitä tai lukee tunnisteita laitteelta ja siirtää käyttötietoja Googlelle (Yhdysvallat). Se ei ole teknisesti välttämätön toimenpide.

Käytännössä se tarkoittaa: Google Analytics -tunniste saadaan suorittaa vasta kävijöiden aktiivisen suostumuksen jälkeen. Banneri, joka vain näytetään samalla kun GA jo latautuu taustalla, ei täytä § 25 mom. 1 TDDDG:n vaatimusta — ratkaisevaa on, ettei ennen suostumusta ladata mitään skriptiä osoitteista googletagmanager.com tai google-analytics.com eikä aseteta mitään tunnistetta.

Toimivankin suostumuksen kanssa siirto Yhdysvaltoihin on oma tarkistuspisteensä: EU:n ja Yhdysvaltojen tietosuojakehyksen (riittävyyspäätös 10. heinäkuuta 2023) jälkeen siirto Google LLC:lle on lähtökohtaisesti katettu niin kauan kuin Google on sertifioitu kehyksessä. Tietosuojaselosteessa on silti mainittava vastaanottaja, tarkoitus, oikeusperuste (suostumus), säilytysaika ja siirron peruste.

Google Consent Mode v2:ta käyttävän tulisi tuntea ero ”basic”- ja ”advanced”-tilan välillä: advanced-tilassa GA lähettää jo ennen suostumusta anonyymejä, evästeettömiä pingejä. Onko se yhteensopiva § 25 TDDDG:n kanssa, arvioidaan asiantuntijoiden keskuudessa eri tavoin — basic-tila (ei lainkaan viestintää ennen suostumusta) on varovaisempi valinta.

Onko tämä riski?

Pääsy laitteelle analytiikkatarkoituksiin on § 25 mom. 1 TDDDG mukaan sallittu vain ennakkosuostumuksella; sitä seuraava käsittely nojaa GDPR:n 6 art. 1 kohdan a alakohtaan. Ilman toimivaa suostumusta (työkalu latautuu hylkäyksestä huolimatta tai ei banneria) oikeusperuste puuttuu. Valvontaviranomaiset ovat toistuvasti moittineet Analytics-integraatioita ilman suostumusta.

Mitä voit tehdä

• Käytä suostumustyökalua, joka suorittaa Analytics-tunnisteen vasta aktiivisen suostumuksen jälkeen (ei vain näytä banneria).
• Aja GA4 IP-anonymisoinnilla ja ilman Google-signaaleja, aseta tietojen säilytys minimiin.
• Mainitse tietosuojaselosteessa Google vastaanottajana, tarkoitus (kattavuuden mittaus), oikeusperuste (suostumus), säilytysaika ja siirto Yhdysvaltoihin.
• Tarkista, latautuuko GA ennen ”Hyväksy”-napsautusta — kehittäjätyökalut, välilehti ”Verkko”, yksityisessä ikkunassa.

Usein kysytyt kysymykset

Riittääkö Google Analytics IP-anonymisoinnilla ilman evästebanneria?

Ei. GA4 anonymisoi IP-osoitteet oletuksena, mutta asettaa tai lukee edelleen tunnisteita laitteelta. Se on suostumuksenvaraista § 25 mom. 1 TDDDG:n mukaan riippumatta IP:n lyhennyksestä.

Onko Google Analytics 4 taas ongelmaton Data Privacy Frameworkin ansiosta?

Siirto Yhdysvaltoihin on lähtökohtaisesti DPF:n kattama niin kauan kuin Google pysyy sertifioituna. Suostumusvelvollisuus laitteelle pääsyyn on tästä riippumaton.

Miten tarkistan, latautuuko GA ennen suostumusta?

Avaa sivu yksityisessä ikkunassa, suodata kehittäjätyökaluissa ”Verkko”-välilehdellä sanalla ”google” ja lataa sivu vahvistamatta banneria. Jos näkyy pyyntöjä osoitteisiin google-analytics.com tai googletagmanager.com, tunniste laukeaa liian aikaisin.

Mitä tapahtuu rikkomuksen sattuessa?

Valvontaviranomaiset voivat kieltää käsittelyn ja määrätä sakkoja; rekisteröidyt voivat vaatia vahingonkorvausta GDPR:n 82 artiklan nojalla. Käytännössä etusijalla ovat ensin valitukset ja viranomaiskehotukset.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.