Evästeet ja muut seurantateknologiat kattokäsitteenä
Vaikka perinteiset evästeet (cookies) ovat tunnetuin ja puhutuin tekniikka, nykyään verkkosivustot hyödyntävät monia muitakin keinoja toimintojen tukemiseksi ja käyttäjien tunnistamiseksi. Näitä ovat esimerkiksi HTML5-paikallinen tallennustila (local storage) sekä erilaiset selainten sormenjälkitekniikat (device fingerprinting).
Tässä oppaassa käytämme termiä ”evästeet” kattokäsitteenä, joka pitää sisällään kaikki teknologiat, joilla tallennetaan tietoa käyttäjän laitteelle tai luetaan sieltä tietoa.
🌍 Huomio maantieteellisistä eroista: Käsittelemme asiaa EU:n tiukkojen yksityisyydensuojan sääntöjen (GDPR ja ePrivacy) näkökulmasta. Nämä säädökset eroavat merkittävästi esimerkiksi Yhdysvaltojen lainsäädännöstä (kuten CCPA/CPRA Kaliforniassa), jossa analytiikan käyttö on vapaampaa. Onkin kriittistä ymmärtää, minkä alueen lait määräävät toimintaasi – globaalissa digimarkkinassa suositus on aina noudattaa korkeinta mahdollista standardia eli GDPR:ää.
Evästeiden neljä pääluokkaa
Ennen kuin siirrytään laillisiin velvollisuuksiin, evästeet on jaettava luokkiin niiden käyttötarkoituksen mukaan. Tämä jako määrittää suoraan sen, tarvitsetko kävijältä aiemman suostumuksen vai et:
- Välttämättömät evästeet: Ovat nimensä mukaisesti pakollisia, jotta verkkosivusto toimii teknisesti oikein. Esimerkiksi verkkokaupan ostoskori tai sivuston evästevalinnan muistaminen vaativat välttämättömiä evästeitä.
- Toiminnalliset evästeet: Helppouttavat sivuston käyttöä ja parantavat asiointikokemusta. Ne muistavat esimerkiksi käyttäjän valitseman kieliasetuksen tai alueen.
- Analyyttiset ja tilastolliset evästeet: Keräävät anonyymia ja koottua tietoa siitä, miten vierailijat käyttävät sivustoa, mitkä sisällöt ovat suosituimpia ja mistä kanavista liikenne saapuu.
- Markkinointi- ja retargetointi-evästeet: Seuraavat käyttäjän digitaalista aktiivisuutta useilla sivustoilla. Niiden tarkoituksena on ymmärtää ostajan tarpeita ja tarjota kohdennettua, relevanttia mainontaa (kuten LinkedIn- tai Google-mainoksia) ostopolun eri vaiheissa.
Leadoo, kuten mikä tahansa muukin edistynyt verkkoanalytiikka- ja konversioalusta, hyödyntää evästeitä tunnistaakseen kävijän käyttäytymisen ja tarjotakseen dynaamisia palveluita. Jokaisen verkkosivuston omistajan vastuu datan hallinnointijoana (data controller) on kerätä vierailijan tietoinen suostumus ennen kuin seuranta ja datan tallennus aloitetaan.
GDPR vs. ePrivacy-direktiivi: Mikä on ero?
Verkkosivujen tietosuojaa ohjaa kaksi eri lakikokonaisuutta, jotka täydentävät toisiaan:
- GDPR (Yleinen tietosuoja-asetus): Määrittää henkilötietojen suojaamisen yleiset perusteet, kuten käsittelyn oikeusperusteet, rekisteröidyn oikeudet sekä rekisterinpitäjän ja alikäsittelijöiden velvollisuudet.
- ePrivacy-direktiivi (Evästelaki): Keskittyy nimenomaan sähköisen viestinnän tietosuojaan ja yksityisyyden suojeluun. Se määrää, miten laitteille saa tallentaa tietoa.
ePrivacy-direktiivin mukaan nyrkkisääntö on selkeä: käyttäjän suostumus on pyydettävä aina ennen evästeiden käyttöä. Sillä ei ole merkitystä, käsitelläänkö kyseisessä evästeessä suoraan henkilötietoja vai ei. Evästeen sijoittamisen käyttäjän laitteelle katsotaan ulottuvan hänen yksityiseen tilaansa, mikä vaatii aina ennakkoluvan.
Millainen on laillinen suostumus?
GDPR määrittää suostumuksen ehdot erittäin tiukasti. Suostumuksen on oltava:
- Vapaaehtoinen ja yksiselitteinen.
- Täsmällinen ja tietoinen (käyttäjän täytyy tietää, mihin luvan antaa).
- Annettu selkeällä, aktiivisella toimenpiteellä (esim. klikkaamalla eväste-bannerista ”Hyväksy kaikki”).
Tämä tarkoittaa sitä, että Euroopassa vanhat passiiviset käytännöt – kuten se, että suostumuksen oletetaan olevan voimassa vain siksi, että käyttäjä jatkaa sivun selaamista – ovat laittomia. Käyttäjällä täytyy myös olla yhtä helppo tapa peruuttaa suostumuksensa tai kieltäytyä evästeistä kuin sen antaminen oli.
