Microsoft Clarityn käyttö GDPR:n mukaisesti

Microsoft Clarity (clarity.ms) tarjoaa lämpökarttoja ja istunnon tallennuksia ja siirtää tietoja Microsoftille (Yhdysvallat).

Se, että Clarity on ilmainen, ei muuta oikeudellista tilannetta: istuntotallennus ja lämpökartat tallentavat yksittäisten kävijöiden käyttäytymistä ja edellyttävät siten selkeästi suostumusta. Microsoft käyttää omien tietojensa mukaan koostettuja tietoja myös omiin tarkoituksiinsa — mikä tekee luokittelusta pelkäksi käsittelijäksi kyseenalaisen ja tekee vankan tietojenkäsittelysopimuksen sekä yhteisrekisterinpidon arvioinnin sitäkin tärkeämmäksi.

Tärkein tekninen vipu on peittäminen. Jos se on asetettu tilaan ”Balanced” tai ”Relaxed”, selkokieliset syötteet ja sivun sisältö voivat päätyä tallenteisiin — mukaan lukien vahingossa näkyvät kolmansien osapuolten henkilötiedot. ”Strict” peittää kaikki tekstit ja syötteet ja on tietoja säästävä perusasetus.

Siirtoon Yhdysvaltoihin sovelletaan samaa kuin muihin Microsoftin palveluihin: EU:n ja Yhdysvaltojen tietosuojakehyksen kautta siirto Microsoftille on lähtökohtaisesti katettu niin kauan kuin sertifiointi on voimassa. Se kuuluu tietosuojaselosteeseen siirron perusteena.

Onko tämä riski?

Kuten muussa istunnon tallennuksessa sovelletaan § 25 mom. 1 TDDDG: käyttö vain ennakkosuostumuksella. Lisäksi tarvitaan henkilötietojen käsittelysopimus Microsoftin kanssa ja kolmannen maan siirto on perusteltava.

Mitä voit tehdä

• Luokittele Clarity suostumusta vaativaan luokkaan ja lataa se vasta sen jälkeen.
• Aseta peittäminen arvoon ”strict”, jotta tekstiä ja syötteitä ei tallenneta.
• Tee henkilötietojen käsittelysopimus; mainitse tietosuojaselosteessa Microsoft vastaanottajana ja siirto Yhdysvaltoihin.

Usein kysytyt kysymykset

Voiko Microsoft Clarityä käyttää ilman evästebanneria?

Ei. Clarity asettaa evästeitä ja tallentaa käyttäytymistä — se on suostumuksenvaraista § 25 mom. 1 TDDDG:n mukaan. Ilman aktiivista suostumusta skriptiä ei saa ladata.

Tarvitsenko Claritylle tietojenkäsittelysopimuksen?

Kyllä. Microsoft tarjoaa sopimusehdot; ne tulisi dokumentoida ja merkitä käsittelytoimien selosteeseen. Koska Microsoft käyttää tietoja osittain omiin tarkoituksiinsa, on lisäksi arvioitava, onko kyseessä yhteisrekisterinpito.

Minkä peittämistason valitsen?

”Strict”. Näin kaikki tekstit ja lomakesyötteet peitetään tallenteissa, mikä vähentää selvästi vahingossa tallentuneiden henkilötietojen riskiä.

Miten Clarity eroaa Google Analyticsistä GDPR:n osalta?

Molemmat ovat suostumuksenvaraisia. Clarity tallentaa lisäksi konkreettisia istuntokulkuja (hiiren liikkeet, klikkaukset, vieritys), mikä puuttuu yksityisyyteen syvemmin kuin GA4:n koostettu mittaus.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.