Voiko seurata käyttäjiä, jotka hylkäävät evästeet? Mitä GDPR vielä sallii

Kun käyttäjä napsauttaa evästebannerissasi kohtaa ”Hylkää kaikki”, moni verkkosivuston omistaja olettaa, että kaiken on pysähdyttävä: analytiikan, mittauksen, optimoinnin ja raportoinnin.

Se ei ole aivan totta.

GDPR ei edellytä, että verkkosivustot sokeutuvat hylkäämisen jälkeen, mutta se rajoittaa tiukasti sitä, millainen seuranta on sallittua. Avainasemassa on ymmärtää ero välttämättömän käsittelyn ja suostumukseen perustuvan seurannan välillä.

Tässä artikkelissa kerrotaan, mitä voit vielä tehdä sen jälkeen, kun käyttäjä on hylännyt evästeet, ja missä useimmat verkkosivustot ylittävät vaatimustenmukaisuuden rajan.

---

1. Mitä ”hylkää evästeet” todella tarkoittaa

Kun käyttäjä hylkää evästeet, hän kieltäytyy ei-välttämättömästä seurannasta, kuten:

• Analytiikkaevästeet
• Mainosevästeet
• Uudelleenmarkkinoinnin tunnisteet
• Käyttäytymiseen perustuva profilointi

Hylkääminen koskee kaikkia seurantateknologioita, ei vain evästeitä, mukaan lukien seurantapikselit, paikallinen tallennustila ja sormenjälkitunnistuksen kaltaiset tunnisteet.

GDPR edellyttää, että tätä valintaa kunnioitetaan välittömästi ja täysimääräisesti.

---

2. Mitä ei saa seurata hylkäämisen jälkeen

Kun suostumus on evätty, sinun on lopetettava:

• Tunnisteisiin perustuvat analytiikkatyökalut
• Mainonta- ja retargeting-pikselit
• Käyttäjän käyttäytymiseen sidottu konversioseuranta
• Sivustorajat tai istunnot ylittävä seuranta
• Kaikki yksilöihin liitettävä profilointi tai attribuutio

Jopa anonymisoidulta vaikuttava data voi olla laitonta, jos se voidaan yhdistää käyttäjään tai laitteeseen ajan myötä.

---

3. Mitä voit edelleen tehdä ilman suostumusta

GDPR sallii rajatun käsittelyn ilman suostumusta, kun se on ehdottoman välttämätöntä verkkosivuston toiminnan kannalta.

Tähän kuuluvat:

• Tietoturvan valvonta
• Petosten esto
• Kuormantasaus
• Virheiden kirjaus
• Palvelinpuolen käyttölokit
• Tekninen pyyntöjen käsittely

Näiden tietojen on pysyttävä käyttötarkoitukseen sidottuina, eikä niitä saa käyttää uudelleen analytiikkaan tai markkinointiin.

---

4. Koostettu ja anonyymi data: toimi varoen

Monet verkkosivustot nojaavat hylkäämisen jälkeen ”anonyymiin” tai ”evästeettömään” analytiikkaan.

GDPR tekee kuitenkin selvän eron:

• Aidosti anonyymi data on sallittua
• Pseudonymisoitu data lasketaan edelleen henkilötiedoiksi

Jos data:

• Säilyy istuntojen yli
• Käyttää tunnisteita (myös hajautettuja)
• Voidaan yhdistää takaisin laitteeseen tai käyttäytymiseen

suostumus tarvitaan silti.

Tämä on yksi yleisimmistä vaatimustenmukaisuuden virheistä.

---

5. Miksi oikeutettu etu soveltuu tässä harvoin

Jotkin yritykset yrittävät perustella hylkäämisen jälkeistä seurantaa oikeutetulla edulla.

Useimmiten tämä ei onnistu, koska:

• Seuranta ei ole ehdottoman välttämätöntä
• Käyttäjien odotukset ylittävät sen
• Yksityisyyteen kohdistuva vaikutus painaa enemmän kuin liiketoiminnan hyöty

Eurooppalaiset viranomaiset hylkäävät johdonmukaisesti oikeutetun edun oikeusperusteena analytiikka- ja markkinointiseurannalle.

---

6. Hyvä käytäntö: mittaa seuraamatta yksilöitä

Turvallisin GDPR:n mukainen toimintatapa hylkäämisen jälkeen on:

• Lopettaa kaikki käyttäjätason seuranta
• Välttää pysyviä tunnisteita
• Käyttää korkean tason toiminnallisia mittareita
• Erottaa tekniset lokit analytiikkatyökaluista
• Varmistaa, ettei sivuston toiminta muutu hylkäämisen jälkeen

Jos seurantaa tapahtuu hylkäämisen jälkeenkin, vaatimustenmukaisuusriski kasvaa merkittävästi.

---

7. Miten Cookiepal panee hylkäämisen täytäntöön oikein

Cookiepal varmistaa, että kun käyttäjä hylkää evästeet:

• Kaikki ei-välttämättömät skriptit pysyvät estettyinä
• Analytiikka- ja markkinointitunnisteet eivät käynnisty
• Suostumustilat pannaan täytäntöön koko sivustolla
• Seurannan toiminta vastaa käyttäjän valintaa
• Suostumuslokit tallennetaan tarkastusvalmiutta varten

Näin hylkääminen tarkoittaa todella hylkäämistä, ei osittaista seurantaa.

---

Loppupäätelmä

Evästeiden hylkääminen ei tarkoita, että verkkosivustosi pitäisi lakata toimimasta, mutta se tarkoittaa, että sinun on lopetettava käyttäjien seuranta ehdottoman välttämättömän ylittävältä osin.

GDPR sallii rajatun toiminnallisen käsittelyn, mutta analytiikka, mainonta ja profilointi edellyttävät nimenomaista suostumusta. Hylkäämisen kunnioittaminen ei ole vain lakisääteinen vaatimus, vaan myös luottamuksen merkki.

Cookiepalin kaltaisella CMP:llä voit kunnioittaa käyttäjien valintoja ja pitää verkkosivustosi vakaana, läpinäkyvänä ja vaatimustenmukaisena.

---

Lähteet ja viitteet

• GDPR:n 4 artiklan 1 ja 11 kohta – Henkilötiedon ja suostumuksen määritelmä
• GDPR:n 6 artikla – Käsittelyn lainmukaisuus
• GDPR:n 7 artikla – Pätevän suostumuksen edellytykset
• GDPR:n johdanto-osan 32 kappale – Selkeä ja yksiselitteinen suostumus
• GDPR:n johdanto-osan 47 kappale – Oikeutetun edun rajoitukset
• Euroopan tietosuojaneuvoston (EDPB) suuntaviivat 05/2020 suostumuksesta
• CNIL:n (Ranska) evästeiden ja seurannan ohjeistus
• Ison-Britannian ICO:n ohjeistus evästeistä ja vastaavista teknologioista