Onko Google Analytics laiton? – 3 vaihtoehtoista tapaa reagoida viranomaislinjauksiin
Päivitetty 30.3.2022
Euroopan tietosuojaviranomaiset ovat linjanneet, että Google Analyticsin käyttäminen rikkoo GDPR-asetusta.
Syynä on se, että Google vastaanottaa Analytics-seurannasta IP-osoitteita, muita tunnisteita ja parametreja, jotka ovat käyttäjää yksilöiviä yksinään tai yhdistettyinä muihin tietoihin.
Viranomaiset tulkitsevat nämä yksilöivät tiedot henkilötiedoiksi, joita ei saa lähettää Yhdysvaltoihin. Tiukemman tulkinnan mukaan niitä ei saa lähettää edes yhdysvaltalaisille yrityksille, sillä maan tiedustelupalveluilla on oikeus saada näiden yritysten dataa, vaikka tämä data sijaitsisi eurooppalaisilla palvelimilla.
Tämä artikkeli esittelee 3 vaihtoehtoista toimintalinjaa, joista Google Analyticsia käyttävä organisaatio voi valita oman riskinsietokykynsä ja yksityisyyspolitiikkansa mukaisen.
TÄRKEITÄ UUTISIA ARTIKKELIN ENSIMMÄISEN JULKAISUN JÄLKEEN:
Google Analyticsin vanha versio (Universal Analytics) lopettaa datankeruun 1.7.2023. Sitä käyttävillä organisaatioilla on nyt kiire ottaa käyttöön joko Google Analytics 4 (GA4) tai vaihtoehtoinen ohjelmisto, jotta dataa voi verrata vuotta taaksepäin myös kesäkuun 2023 jälkeen. Jos Google Analytics on otettu käyttöön ennen 14.10.2020, se on todennäköisesti vanha käytöstä poistuva Universal Analytics -versio. Näin voit tarkistaa, kumpi versio teillä on käytössä.
Euroopan komissio ja Yhdysvallat ilmoittivat 25.3.2022, että ne ovat saavuttaneet periaatetason yhteisymmärryksen datasiirroista Yhdysvaltoihin. Tulevan sopimuksen yksityiskohdat ovat vielä hiomatta, mutta mikäli sopimus selviää oikeuskäsittelyistä, Google Analytics voi olla taas laillinen viranomaisnäkökulmasta. Analyticsin laillisuushaasteisiin johtaneet oikeusjutut käynnistänyt Max Schrems on skeptinen.
Google ilmoitti, että Google Analytics 4 tulee saamaan maatason yksityisyysasetuksia, joilla käyttäjistä kerättävää tietoa voi vähentää. Se tulee myös lopettamaan käyttäjien IP-osoitteiden tallentamisen.
[sisallys otsikko=”Sisällys” tausta=”harmaa” tyyppi=”none” rivit=”IP-osoitteet ja muut yksilöivät tiedot id=ip %% Vaihtoehto 1: odotetaan id=v1 %% Vaihtoehto 2: server-side tagging id=v2 %% Vaihtoehto 3: vaihdetaan ohjelmisto id=v3 %% Mikä vaihtoehdoista kannattaa valita? id=valinta”]
IP-osoitteet ja muut yksilöivät tiedot ongelman ytimessä
Google Analytics ja Google Tag Manager ovat jo pitkään tarjonneet mahdollisuutta anonymisoida käyttäjien IP-osoitteet. Se on tapahtunut poistamalla IP-osoitteen viimeiset numerot.
Googlen tarjoama anonymisointi ei ole kuitenkaan estänyt IP-osoitteiden siirtymistä Yhdysvaltoihin: anonymisoiminen tapahtuu vasta sen jälkeen, kun IP-osoite on ensin siirtynyt kokonaisena Googlelle. Henkilötietoa on siis siirtynyt kaikesta huolimatta Yhdysvaltoihin.
IP-osoitteiden lisäksi viranomaiset ovat ottaneet syyniin muitakin Google Analyticsin keräämiä tietoja:
- ID-numerot evästeissä, joita käytetään käyttäjän tunnistukseen.
- 3. osapuolen eväste, joka kerää tietoa Google Adsille (ei oletuksena käytössä).
- Käyttäjän selaimesta kerättävät tiedot, joiden kokonaisuutta pystyisi käyttämään henkilön tunnistamiseen.
Jää nähtäväksi, miten Googlen lupaamat uudet yksityisyysasetukset voivat rajoittaa kaikkien näiden tietojen keräämistä – ja miten käyttökelpoista Analytics-data voi enää olla sen jälkeen.
Vaihtoehto 1: odotetaan
Tällä hetkellä tilanne on karkeasti tämä:
- Google on ilmoittanut tuovansa yksityisyysasetuksia, joilla kävijädatan keräämistä voi rajoittaa.
- Oikeuskäytäntö on melko nuori, eikä viranomaisten linjauksia ole vielä koeteltu korkeimmissa oikeusasteissa.
- EU ja Yhdysvallat ovat hiomassa sopimusta, jonka tarkoitus on mahdollistaa tietojen siirto Yhdysvaltoihin.
Yksi toimintalinja onkin vain odottaa ja seurata rauhassa, mihin nämä kehityskulut johtavat.
Tietosuojan perustason pitää kuitenkin olla kunnossa, vaikka ratkaisuja itse Analyticsin käytön osalta vielä odottelisikin:
- Sivustolla pitää olla toimiva cookie consent -ratkaisu, jotta evästeitä ei käytetä ilman lupaa.
- IP-osoite on syytä anonymisoida Googlen ohjeiden mukaisella tavalla, vaikka tämä ei kokonaan estäkään IP:n lähettämistä Yhdysvaltoihin. Tämä koskee erityisesti vanhempaa Universal Analytics -versiota, kun huomioimme Googlen lupaukset GA4:n tulevista parannuksista.
Odottamisen plussat
- Ei tarvitse ryhtyä rahaa maksaviin kehitysprojekteihin lukuun ottamatta mahdollista Google Analytics 4 -käyttöönottoa.
- Google Analyticsin etuja voi hyödyntää täysimääräisesti, kuten ennenkin.
Odottamisen miinukset
- Mahdolliset sanktiot omalle organisaatiolle, jos viranomaisten linja vahvistetaan tuomioistuimissa.
- Maine- ja goodwill-riski, kun sivustolla on korjaamaton haaste tietosuojassa.
- Jäädään jälkeen web-analytiikan kehityksestä (ks. vaihtoehto 2).
Vaihtoehto 2: server-side tagging ja Google Analytics 4
Henkilöiviä tietoja, kuten IP-osoitteita on mahdollista anonymisoida oikeasti jo ennen niiden lähettämistä Googlelle. Tämä vaatii kuitenkin sitä, että Google Analytics 4 asennetaan ns. server-side tagging -menetelmällä. Siinä seurantakoodit suoritetaan erillisellä palvelimella eikä käyttäjän selaimessa, mikä mahdollistaa tietojen puhdistamisen Googlelle lähtevästä datasta.
Server-side taggingin avulla voi poistaa tai anonymisoida IP-osoitteiden lisäksi myös muita mahdollisesti ongelmalliseksi katsottavia tietoja, kuten evästeiden ID:t. Mutta sillä voi myös rikastaa dataa tavoilla, jotka eivät vaaranna yksittäisten käyttäjien yksityisyyttä.
Server-side taggingin plussat
- Mahdollisuus siivota IP-osoitteet ja haluttaessa muitakin tietoja ennen datan lähettämistä Googlelle.
- Sivut latautuvat nopeammin, kun seurantakoodit eivät rasita käyttäjän selainta.
- Kävijäseurannan evästeet elävät Applen laitteilla ja selaimissa pidempään, jos eväste-ID:t jätetään rauhaan.
Server-side-taggingilla on useita datan kontrolliin ja suojattavuuteen liittyviä hyötyjä, jotka tekivät siitä yhden analytiikan seuraavista kehitysaskelista jo ennen tuoreimpia viranomaislinjauksia.
Server-side taggingin miinukset
- Osa Google Analyticsin hyödyistä katoaa, jos evästeetkin pitää anonymisoida siksi, että dataa lähetetään Yhdysvaltoihin.
- Google Analytics 4 on peruskäyttäjille ja markkinoijille hankalakäyttöinen.
- Asentaminen vaatii senioritason web-analytiikkaosaamista.
- Käyttöönottoon pitää varata muutama tonni.
Vaihtoehto 3: vaihdetaan ohjelmisto
Varma ratkaisukeino viranomaisten linjauksiin on lopettaa Google Analyticsin käyttäminen kokonaan.
Google Analytics voidaan korvata analytiikka-alustalla, jonka ylläpito ja omistus on EU:n sisällä.
Hopkinsin suosittelemat eurooppalaiset vaihtoehdot ovat Matomo ja Piwik PRO:
- Matomo kannattaa valita, jos avoin lähdekoodi on ehdoton vaatimus tai ei ole halua maksaa Piwik PRO:n edistyneemmistä ominaisuuksista ja kehittyneemmästä käyttöliittymästä.
- Piwik PRO kannattaa valita suositulle sivustolle, sillä sellaisen kanssa Matomo toimisi tuskallisen hitaasti. Vähemmän suositulla sivustolla voi käyttää Piwik PRO:n ilmaista lisenssiä.
Käyttöliittymältään sekä Matomo että Piwik PRO ovat helppoja ottaa haltuun, jos on käyttänyt aiemmin Google Analyticsin poistuvaa Universal Analytics -versiota.
On olemassa myös yksinkertaisempia, kävijälaskurihenkisiä ohjelmistoja, kuten Plausible, jotka täyttävät EU-alueen tietosuojavaatimukset. Ne eivät kuitenkaan ominaisuuksiensa puolesta sovellu sellaiseen analyysiin, jossa verkkopalvelua tai markkinointia kehitetään analytiikkadatan avulla.
Vaihtamisen plussat
- Matomo ja Piwik PRO ovat helppokäyttöisempiä kuin Google Analytics 4.
- Kävijäseurannan data on kattavampaa kuin tietosuojasyistä pitkälle anonymisoitu Google Analytics -data.
- Tietosuojakysymykset aiheuttavat vähemmän päänvaivaa analytiikan osalta.
- Tietosuojaorientoitunut ohjelmisto mahdollistaa sopeutumisen viranomaisten ja oikeusistuinten uusiinkin ratkaisuihin.
- Mahdollinen goodwill, kun vallitsevat sensibiliteetit liikkuvat tietosuojaa ja yksityisyyttä korostavaan suuntaan.
Vaihtamisen miinukset
- Google Analyticsin päälle rakennettu infra, kuten dashboardit, Google Ads -yleisöt ja konversioseuranta lakkaavat sellaisenaan toimimasta.
- Uuden sovelluksen käyttöönottoon pitää varata budjettia (asennus ja koulutus).
Mikä vaihtoehdoista kannattaa valita?
Sinun organisaatiollesi oikea vaihtoehto riippuu etenkin kolmesta asiasta:
- riskinsietokyky
- näkemykset tietosuojasta ja yksityisyydestä
- vaatimukset ohjelmiston käytön helppoudesta.
Pienet yritykset
Pienemmät yritykset ja harrastussivustot valitsevat todennäköisesti tilanteen seurannan ja odottamisen.
Korkeintaan moni pienyritys päivittää vanhan Google Analyticsin nelosversioon (ilman server-side taggingia). Valveutuneet tekevät tämän ennen kesäkuuta 2022 kerätäkseen vuoden verran vertailudataa, myöhäiset lähempänä sitä, kun Google Analyticsin vanha versio lakkaa toimimasta 1.7.2023.
Piwik PRO:n ilmaisversio voi olla joillekin pienyrityksille kiinnostava kahdesta syystä:
- rahansäästö, sillä kokonaisuuteen kuuluu maksuton evästelupatyökalu (Google Analyticsin kanssa sellaisesta maksetaan yleensä kk-maksua)
- helppokäyttöisyys, sillä Piwik PRO muistuttaa Google Analyticsin poistuvaa versiota (toisin kuin GA4).
Keskisuuret ja suuret yritykset
Keskisuurille ja suurille yrityksille suosittelemme yleensä valintaa vaihtoehdoista 2 (server-side tagging) ja 3 (vaihto esim. Piwik PRO:hon).
Näistä server-side tagging edustaa web-analytiikan kehityksen tulevaisuutta ja sen hyödyt eivät rajoitu vain sivustovierailijan parempaan tietosuojaan. Toisaalta sen kanssa käytettävä Google Analytics 4 on perukäyttäjille hankalampi kuin Piwik PRO tai Matomo.
Julkishallinto ja sensitiivistä tietoa käsittelevät alat
Julkishallinnon toimijoille ja sensitiivistä tietoa käsitteleville yrityksille suosittelemme yleensä Google Analyticsin korvaamista Piwik PRO:lla tai Matomolla. Erityisesti Piwik PRO sisältää monipuolisia mahdollisuuksia seurannan tietosuoja-asetusten mukauttamiseen.
Matomon ja Piwik PRO:n keräämän kävijädatan voi tallentaa palvelimelle, joka sijaitsee EU:n alueella. Näin vältetään sellaiset datasiirrot EU:n ulkopuolelle, joita GDPR-asetus rajoittaa.
Kun kävijäseurannan data pysyy EU:ssa, sen keräämiseen kohdistuu vähemmän sääntelyä verrattuna Yhdysvaltoihin lähtevään dataan. Sivuston kävijöistä voi siksi kerätä enemmän ja laadukkaampaa dataa rikkomatta lakia.
Jos haluat lisänäkemystä oman päätöksesi tueksi, kuuntele maksuton webinaaritallenteemme tai ota meihin yhteyttä.
Artikkelit samasta aiheesta
Tekoäly ja koneoppiminen rakentavat parempia ostajapersoonia
Ostajapersoona on tuttu työkalu markkinoinnin johtamisen apuna. Suurten kielimallien ja koneoppimisen avulla dataan perustuvien persoonien rakentaminen onnistuu aikaisempaa tehokkaammin. Mitä ostajapersoona tarkoittaa? Ostajapersoonat kuvaavat yrityksen kannalta ideaalisia ostajia. Ostajapersoonan esitys […]
Digianalytiikan käyttäjätunnisteet paljastavat pitkätkin ostopolut
Käyttäjätunnisteet (user ids) auttavat seuraamaan pitkiä ostopolkuja, kun käyttäjät saadaan välillä kirjautumaan sisään tai antamaan sähköpostiosoitteensa. Tässä artikkelissa kerromme, miten käyttäjätunnisteita hyödyntämällä eri markkinointikanavien hyödyistä saadaan luotettavampaa tietoa kuin analytiikan perusasennuksella.
Mitä on evästeetön analytiikka?
Evästeetön web-analytiikka auttaa raportoimaan ja analysoimaan kattavammin sivuston käyttöä: sen avulla saat kerätä dataa myös käyttäjistä, jotka eivät hyväksy evästeitä evästebannerissa.
Kiinnostuitko tästä aiheesta?
Soita meille 020 788 8120 tai täytä alla oleva lomake niin jatketaan juttua!