The General Data Protection Regulation (GDPR) on ollut olemassa jo yli kaksi vuotta, eikä olisi liioiteltua sanoa, että se on ravistellut koko markkinoinnin alaa. Tässä postauksessa käsittelemme, miten erilaisia seurantatekniikoita voi käyttää yhteensopivasti GDPR:n kanssa – tarjotaksemme kiinnostuksenkohteisiin perustuvaa mainontaa ja pysyen samalla vastuullisina.
Evästeet ja tietosuojalainsäädännön noudattaminen
Vaikka evästeet ovatkin tunnetuin tekniikka, käyttävät verkkosivustot muitakin keinoja toimintojen tukemiseksi ja käyttäjien jäljittämiseksi — esimerkiksi HTML5-paikallinen tallennustila ja sormenjälkitekniikat. Tässä postauksessa puhutaankin evästeistä kattokäsitteenä, joten on hyvä pitää mielessä, että se kattaa myös muut tekniikat.
On myös huomionarvoista, että käsittelemme evästeiden käyttöä EU:n määrittämien yksityisyydensuojan sääntöjen näkökulmasta, ja nämä eivät välttämättä päde samoin California Consumer Privacy Act (CCPA) -säädökseen ja Lei Geral de Proteção de Dados (LGPD) -säädökseen. Verkkoanalytiikan käyttö esimerkiksi Yhdysvalloissa on vapaampaa eikä vaadi aiempaa suostumusta. Onkin tärkeää ymmärtää hyvin, mitkä lait määräävät toimintaasi.
Ennen kuin siirrytään laillisiin kysymyksiin, on tärkeää erotella evästeet luokittain niiden käyttötarkoitusten perusteella:
- Välttämättömät evästeet ovat nimensä mukaisesti välttämättömiä, jotta verkkosivu toimii oikein. Yleisin esimerkki tästä on shoppailu verkkokaupoissa, jolloin sivu muistaa ostoskoriin siirretyt tuotteet.
- Toiminnalliset evästeet helpottavat verkkosivun käyttöä ja parantavat käyttäjäkokemusta. Ne esimerkiksi muistavat kieliasetukset ja mahdollistavat muut ylimääräiset toiminnot.
- Analyyttiset evästeet keräävät tietoa siitä, miten vierailijat käyttävät sivuja sekä vierailijoista itsestään. Nämä voidaan jakaa kahteen alakategoriaan:
- Tilastolliset evästeet: analysoivat liikennettä ja tarjoavat kootun yleiskatsaukset käyttäjien vuorovaikutuksesta verkkosivun kanssa.
- Evästeet markkinointiin: seuraavat käyttäjän online-aktiivisuutta ymmärtääkseen käyttäjien tarpeita paremmin ja tarjotakseen olennaista mainontaa.
Leadoo ja mikä tahansa muu verkkoanalytiikkapalvelin käyttää evästeitä tunnistaakseen vierailijan käyttäytymistä ja tarjotakseen palvelujaan. Kuitenkin jokaisen verkkosivun omistajan vastuu datan hallitsijana on kysyä ja kerätä vierailijan suostumus ennen datan seuraamisen aloittamista. Luvan kysyminen on välttämätöntä, ja alempana tarkastelemmekin, edellyttävätkö kaikki evästeet hyväksyntää.
GDPR ja ePrivacy-direktiivi
GDPR:ssä esitetään henkilötietojen suojaamisen perusteet: käsittelyn periaatteet, rekisteröidyn oikeudet, rekisterinpitäjän ja käsittelijän velvollisuudet jne. Sitä vastoin ePrivacy-direktiivi (eli sähköisen viestinnän tietosuojadirektiivi tai evästelaki) takaa yksityiselämän kunnioittamisen ja suojaa henkilötietoja erityisesti sähköisessä viestinnässä.
Evästeiden lupien perusta
ePrivacy-direktiivin mukaan yleinen vaatimus on pyytää käyttäjän suostumus ennen evästeiden käyttöä. Olennaista on se, ettei sillä ole merkitystä, käsitelläänkö henkilötietoja vai ei; evästeiden sijoittamisen käyttäjän laitteeseen katsotaan häiritsevän käyttäjän yksityistä tilaa ja vaatiikin siten ennakkolupaa.
Erityisesti GDPR määrittelee suostumuksen. Siksi tarvitaankin mikä tahansa asianmukainen vapaaehtoisesti annettu, täsmällinen, tietoinen ja yksiselitteinen osoitus käyttäjän toiveesta, jossa rekisteröity siis ilmaisee lausunnolla tai selkeästi myöntävällä toimenpiteellä suostumuksensa henkilötietojen käsittelyyn.
Leadoo on valmistellut yksityiskohtaisen, päivitetyn oppaan evästeiden käyttöön ja niiden luvan pyytämiseen auttaakseen asiakkaitaan toimimaan yhteensopivasti tämän kanssa. Esikatseluna on jo hyvä ottaa huomioon, että yleinen käytäntö olettaa tai vihjata käyttäjän antaneen suostumuksensa ainoastaan verkkosivua selaamalla ei ole enää laillista Euroopassa.
Poikkeukset evästeiden lupakäytännöissä
Edellä mainituista kategorioista vain välttämättömät evästeet kuuluvat sellaisiin, joiden ePrivacy-direktiivin mukaisia lupakäytänteitä voi soveltaa. Asiakirjassa viitataankin niihin ehdottoman välttämättöminä tarjotakseen tietoa, jota yhteiskunnan palvelut ovat nimenomaisesti pyytäneet tilaajalta tai käyttäjältä. On otettava huomiooon, että tämä on hyvin suppea poikkeus: vaikka suuri osa evästeistä helpottaisi verkkosivun käyttöä, ne vaativat edelleen käyttäjän suostumuksen, mikäli ne eivät ole välttämättömän tarpeellisia ja niitä ei nimenomaisesti pyydetä. Edes analyyttisille evästeille ei tässä tapauksessa anneta armoa.
Yhteenveto
Kaiken kaikkiaan on siis pakollista pyytää vierailijalta lupaa kaikkien sellaisten evästeiden käyttöön, jotka eivät ole äärimmäisen pakollisia. Lisäksi kerättäessä henkilötietoja (esimerkiksi lomakkeen yhteydessä) on verkkosivuvierailijalle esitettävä tietosujaseloste ja siinä rekisterinhaltija sekä alikäsittelijät.
