Mitä tapahtuu, jos kolmannen osapuolen evästeet muuttuvat tietämättäsi?

Johdanto

Verkkosivustot nojaavat usein kolmannen osapuolen työkaluihin, kuten analytiikkaan, markkinointiin, chatiin ja lisäosiin, ja useimmat niistä käyttävät evästeitä. Mutta mitä tapahtuu, kun nämä evästeet muuttavat käyttötarkoitustaan tietämättäsi?

Tässä artikkelissa kerrotaan, miksi valvomattomat kolmannen osapuolen evästeiden muutokset voivat rikkoa GDPR-vaatimusten täyttymisen ja miten pysyt niiden edellä.

1. ”Hiljaisten muutosten” ongelma

Kolmannen osapuolen toimittajat päivittävät evästeitään säännöllisesti:

• Nimet muuttuvat
• Käyttötarkoitukset siirtyvät (analytiikka → markkinointi)
• Uusia verkkotunnuksia ilmestyy
• Pysyvät tunnisteet kehittyvät

Nämä muutokset tapahtuvat yleensä ilman ilmoitusta.

Jos evästekäytäntösi ja suostumuskategoriasi eivät heijasta näitä päivityksiä, sivustosi ei ole vaatimustenmukainen.

2. Miksi käyttötarkoituksen muutoksilla on merkitystä

GDPR:n mukaan:

• Suostumuksen on oltava käyttötarkoituskohtainen
• Käyttäjien on tiedettävä tarkalleen, miksi tietoja kerätään

Jos eväste, jota alun perin käytettiin analytiikkaan, alkaa myöhemmin kerätä kohdennustietoja, alkuperäinen suostumus ei enää ole pätevä.

Suostumus ei enää vastaa evästeen toimintaa.

3. Yleisiä piilotettujen muutosten tilanteita

Esimerkkejä siitä, miten evästeet voivat muuttua tietämättäsi:

• Toimittaja lisää uudelleenmarkkinointiominaisuuksia
• Lisäosa alkaa seurata sivustorajat ylittävää käyttäytymistä
• Palvelu päivittää SDK:nsa uusilla tunnisteilla
• Pilvifontit tai upotukset asettavat uusia evästeitä

Jokaisessa tapauksessa todellinen käsittely poikkeaa dokumentoidusta toiminnasta.

4. Miksi manuaaliset tarkastukset eivät riitä

Manuaalisiin evästeluetteloihin luottaminen epäonnistuu, koska:

• Muutoksia voi tapahtua päivittäin
• Kehittäjät eivät välttämättä tiedä toimittajien taustajärjestelmien päivityksistä
• Käytännöt vanhenevat usein
• Käyttäjät ovat voineet antaa suostumuksen vanhentuneisiin käyttötarkoituksiin

Manuaaliset päivitykset eivät yksinkertaisesti pysy perässä.

5. Miten evästeskannerit estävät vaatimustenmukaisuuden rikkoutumisen

Säännöllinen, automaattinen evästeskannaus:

• Tunnistaa uudet evästeet
• Merkitsee muuttuneet evästeiden käyttötarkoitukset
• Vertaa toimintaa suostumuskategorioihin
• Käynnistää CMP:n uudelleenmäärityksen tai uuden suostumuksen keruun

Näin suostumusluettelosi pysyy tarkkana ja lainmukaisena.

Loppupäätelmä

Kolmannen osapuolen evästeet voivat muuttaa käyttötarkoitustaan ilman ilmoitusta, mikä mitätöi aiemman suostumuksen ja aiheuttaa GDPR-rikkomusten riskin. Jatkuva skannaus ja tarkka luokittelu ovat välttämättömiä, jotta kuvaukset pysyvät totuudenmukaisina ja olet valmis tarkastuksiin.

Lähteet

• GDPR:n 5 artikla – Käyttötarkoitussidonnaisuus
• EDPB:n suuntaviivat 05/2020 suostumuksesta
• CNIL:n ohjeistus: evästesäännöt ja valvonta
• ICO: evästeet ja seurantateknologiat