Onko Google Analytics 4 -kävijäseuranta GDPR:n mukainen? Mitä GA:n tilalle?

Monissa organisaatioissa mietitään kuumeisesti, miten hoitaa nettisivujen kävijäseuranta jatkossa, kun vanha Google Analyticsin versio lopettaa toiminnan 1.7.2023. Oman mausteensa soppaan lisää apulaistietosuojavaltuutetun tammikuinen päätös, jonka perusteella on kyseenalaista, onko myöskään uuden Google Analytics 4-version käyttö GDPR:n mukaista.

Mistä Google Analytics -päätöksessä oli kyse?

Apulaistietosuojavaltuutetun päätös koski Google Analytics -kävijäseurannan käyttöä pääkaupunkiseudun kirjastojen Helmet-verkkopalvelussa. Päätöksestä laadittu tiedote on luettavissa tietosuojavaltuutetun toimiston nettisivuilta ja varsinainen päätös Finlexistä. Päätöksen taustalla vaikuttaa voimakkaasti EU-tuomioistuimen ns. Schrems II -päätös heinäkuussa 2020, joka tiukensi tulkintaa, millä perusteella henkilötietoja voidaan siirtää EU:sta Yhdysvaltoihin.

Lyhyesti: päätös tekee selväksi, että Google Analyticsin käyttö on syytä lopettaa EU:ssa. Suosittelemme vaihtamista esimerkiksi Matomo-kävijäseurataan.

Alla käyn läpi päätöksen perusteluiden tärkeimmät kohdat.

1. Google Analytics -kävijäseurantaa käytettiin ilman pätevää henkilötietojen käsittelyperustetta

Käytännössä kyse on siitä, että Google Analyticsin skripti ladattiin Helmet-sivustolla ennen kuin vierailijat olivat antaneet suostumuksen evästeiden ja muiden seurantateknologioiden käyttöön.

Päätöksessä todetaan:

"Koska Helmet.fi-verkkosivuston evästebanneri, jonka kautta suostumus evästeisiin on ollut tarkoitus hankkia, ei ole toiminut asianmukaisesti, asiassa voidaan kuitenkin pitää ilmeisenä, että pätevää suostumusta ei ole saatu, eikä jatkokäsittely ole ollut tietosuojasääntelyn mukaista."

Toisin sanoen Helmet-sivustolla on ollut käytössä evästebanneri, jolla kävijäseurannalle oli tarkoitus saada vierailijoilta suostumus, mutta se ei ole toiminut oikein.

2. Tietoa vierailijoiden toiminnasta ja henkilötiedoista päätyi Google Analyticsin kautta Googlelle

Mikäli kävijäseurantapalvelujen toimintatapa ei ole ennestään tuttu, seuraava havainnekuva kertoo oleelliset asiat, miten Google Analyticsin seurantateknologia kerää tietoa vierailijoiden toiminnasta verkkosivuilla:

Kävijäseurantapalvelun kyseessä ollessa tämä kohta kuulostaa jopa itsestään selvältä, mutta päätöksessä kiinnitettiin huomiota siihen, että Google Analyticsin kävijäseurannan vuoksi tietoja Helmet-sivuston käyttäjien toiminnasta välittyi Googlelle. Päätöksessä mainitaan erikseen referer-tiedot eli tiedot siitä, mistä osoitteista vierailijat saapuivat GA:tä käyttäville Helmet-sivuille. Tässä tapauksessa Googlelle välittyi tietoa esimerkiksi kirjastojen käyttäjien tekemistä aineistohauista, jotka voivat paljastaa henkilöiden kiinnostuksenaiheita.

Päätöksen mukaan:

"Kirjaston teoksiin kohdistuvat hakutiedot voivat paljastaa huomattavan määrän henkilön yksityiselämästä kertovia seikkoja, ja niitä voidaan käyttää esimerkiksi rekisteröityä koskevan henkilöprofiilin luomiseen. Huolimattomuus henkilötietojen käsittelyssä on nyt arvioitavassa asiassa johtanut näiden tietojen välittymiseen tiedettävästi ainakin Googlen käyttöön."

Kiinnitän erikseen huomiota lainatun kohdan loppuun: "Googlen käyttöön." Päätöksessä on todellakin kyse siitä, että henkilötietojen katsottiin päätyneen sananmukaisesti sivullisille, tässä tapauksessa Googlelle. Apulaistietosuojavaltuutettu siis katsoi, ettei Google käsitellyt tietoja pelkästään henkilötietojen käsittelijän roolissa, vaan - ainakin osittain - ulkopuolisena tahona, jolle sivuston vierailijoiden henkilötietojen ei olisi lainkaan pitänyt päätyä.

3. Informointi henkilötietojen käsittelystä kävijäseurannassa oli puutteellista

Helmet-sivustolla oli ollut kävijäseurantateknologioita koskeva tietosuojainformaatio "Tietoa sivustosta" -linkin takana. Sivulla oli myös kerrottu, että "osa palveluntarjoajista toimii EU:n tai ETA:n ulkopuolella". Apulaistietosuojavaltuutetun mukaan "Tietoa sivustosta" -linkki ei ilmaissut, että sen takaa löytyisi tietoa henkilötietojen käsittelystä. Tämän takia vierailijoiden ei ollut helppo löytää kyseisiä tietoja.

Vaikka linkki olisi nimetty paremmin, se ei olisi tilannetta pelastanut, sillä myös kävijäseurantateknologiasta kerrottu tieto oli riittämätöntä. Päätöksestä:

"Seurantateknologioiden osalta rekisteröidyille annettava informaatio ei puolestaan sisällä tietoa siitä, mitä palveluntarjoajia (kuten Google) seurantateknologioiden avulla tapahtuvaan henkilötietojen käsittelyyn liittyy, ja miten pitkään henkilötietoja säilytetään. Yleisen tietosuoja-asetuksen 13 artikla edellyttää, että rekisteröidylle annetaan tieto esimerkiksi henkilötietojen vastaanottajista tai vastaanottajaryhmistä (13(1)(e) artikla) sekä säilytysajasta (13(2)(a) artikla). Esimerkiksi ratkaisussaan C‑673/17 EU-tuomioistuin on todennut, että internetsivuston käyttäjälle tulee antaa informaatio evästeiden toiminta-ajasta sekä siitä, onko kolmansilla mahdollisuus käyttää näitä evästeitä.

Yleisen tietosuoja-asetuksen 13 artiklan mukaan rekisteröityjä tulee niin ikään informoida henkilötietojen siirroista kolmansiin maihin sekä siirtoperusteesta (13(1)(f) artikla)."

Google Analyticsin käytöstä olisi siis pitänyt kertoa ainakin seuraavat tiedot:

1. Mitä kolmansia osapuolia seurantateknologioihin liittyy
2. Miten pitkään ne käsittelevät henkilötietoja
3. Miten pitkään evästeet säilyvät ja voivatko kolmannet osapuolet käyttää niitä
4. Siirtyykö henkilötietoja kolmansiin maihin
5. Mitä siirtoperusteita käytetään henkilötietojen siirrolle kolmansiin maihin

Erityisesti 2. kohta on vaikea, sillä kuka verkkosivuston ylläpitäjä pystyy sanomaan, kuinka kauaa Google käsittelee vierailijoista keräämäänsä dataa? Myös 5. kohta aiheuttaa ongelmia, mutta siitä lisää jäljessä.

Maallikon korvaan "informoinnin puutteet" saattaa kuulostaa mitättömältä asialta, mutta GDPR:n ja henkilötietojen käsittelyn lainmukaisuuden näkökulmasta kyse on tärkeästä seikasta: jos vaadittavia asioita eri kerrota, ei myöskään käsittelylle pyydetty suostumus ole pätevä.

4. Google Analyticsin vuoksi henkilötietoja siirtyi Yhdysvaltoihin, jossa viranomaisilla on pääsy tietoihin - ja se ei käy

Päätöksen mukaan on selvää, että Google Analyticsin seurantateknologian vuoksi nettisivujen vierailijoiden henkilötietoja siirtyi Googlelle, joka on yhdysvaltalainen yritys.

Yhdysvaltojen lain mukaan maan viranomaisilla on pääsy yhdysvaltalaisyritysten käsittelemiin henkilötietoihin. Apulaistietosuojavastaavan päätöksessä tämä kerrotaan selvästi ja konkreettisesti (lihavointi lisätty):

"Vuonna 2013 kävi ilmi, että eräät maailman suurimmista teknologiayrityksistä, kuten Microsoft, Facebook (Meta), Google, Skype ja Apple, olivat mukana Yhdysvaltojen kansallisen turvallisuusviraston, NSA:n, valvontaohjelmissa.

Näihin ohjelmiin lukeutuva PRISM on mahdollistanut NSA:lle suoran pääsyn teknologiayritysten keskuspalvelimille, ja yhdysvaltalaisviranomaisten on näin mahdollista reaaliajassa nähdä ja kerätä esimerkiksi kaikki Googlelle menevä tavallisten kansalaisten tietoliikenne ilman Googlen myötävaikutusta.

Keräämisen kohteena ovat olleet käytännössä esimerkiksi sähköpostiviestit, valokuvat, nettichatit ja puhelutiedot. Tiedonkeruu on kohdistettu erityisesti ulkomaalaisiin, eli käytännössä esimerkiksi Pohjoismaissa Googlen ja muiden teknologiajättien palveluita käyttäviin henkilöihin.
Yhdysvaltalaisyritysten tulee niin ikään viranomaisen oikeudellisesti sitovasta pyynnöstä luovuttaa henkilötietoja viranomaiselle Yhdysvaltojen kansallisen sääntelyn nojalla. Näin ollen viranomaisten pääsy henkilötietoihin ulottuu myös toimijoihin, jotka eivät ole mukana NSA:n valvontaohjelmissa."

Päätöksen mukaan on selvää, että yllä kuvattu tilanne koskee myös Google Analytics -kävijäseurantatyökalun keräämiä tietoja verkkosivuston vierailijoista. EU:n yleisen tietosuoja-asetuksen kannalta tähän liittyy ongelma, koska se edellyttää, että henkilötiedoille tulee taata GDPR:n mukainen suojataso myös silloin, kun niitä käsitellään EU:n tai ETA-alueen ulkopuolella.

EU-tuomioistuimen päätöksen mukaan Yhdysvaltoihin siirretyillä henkilötiedoilla ei ole riittävää suojaa nimenomaan siksi, että maan viranomaisilla on pääsy niihin. Lisäksi EU-maiden rekisteröidyillä ei ole Yhdysvalloissa käytössä riittäviä oikeussuojakeinoja.

Periaatteessa henkilötietoja voisi siirtää Yhdysvaltoihin, jos käsittelyssä olisi mahdollista käyttää lisäsuojatoimenpiteitä, joilla estettäisiin maan viranomaisten pääsy tietoihin. Tämä on kuitenkin tyhjä periaate, koska Yhdysvaltojen FISA-sääntelyn vuoksi esimerkiksi Google on velvollinen antamaan Yhdysvaltojen viranomaisille myös salausavaimen. Edelleen, vaikka tietoja säilytettäisiin vain yhdysvaltalaisyrityksen Euroopassa sijaitsevilla palvelimilla, yhdysvaltalaisilla viranomaisilla voi olla pääsy niihin Yhdysvaltojen lain CLOUD Act -sääntelyn nojalla.

Tilanne on samanlainen riippumatta siitä, millä perusteella henkilötietoja käytetään kävijäseurannassa. Periaatteessa sama tilanne koskee muitakin yhdysvaltalaisia yrityksiä ja niiden verkko- ja pilvipalveluita, mikäli ne eivät erikseen sopimuksissaan lupaisi, että ne eivät noudata Yhdysvaltojen lainsäädäntöä - mikä taas kuulostaa mahdottomalta vaatimukselta minkä tahansa maalaiselle yritykselle.

Päätöksen esille tuomien asioiden kannalta ei ole merkitystä, onko käytössä vanha Google Analyticsin versio (UA eli Universal Analytics) vai uusi Google Analytics 4.

Käytännössä päätös tekee erittäin selväksi, että Google Analytics -kävijäseurantapalvelua ei tulisi enää käyttää EU:ssa.

Jättääkö päätös mitään mahdollisuuksia Google Analyticsin käytölle jatkossa?

Tietosuoja-asiat ovat monimutkaisia, ja apulaistietosuojavaltuutetun päätöksen jälkeenkin kysymys siitä, voisiko Google Analyticsia käyttää millään tavalla lainmukaisesti, jää ositttain avoimeksi. Näin on siksi, että päätös koski vain Helmet-sivuston tilannetta, eikä siinä ennakoitu tai otettu kantaa muihin mahdollisiin tapauksiin.

Voisiko suostumus Google Analyticsin käyttöön olla pätevä, jos kaikki riskit kerrotaan selvästi?

Yksi EU:n yleisen tietosuoja-asetuksen pääperiaatteista on, että henkilötietojen käsittelyn tulee olla läpinäkyvää, jotta rekisteröidyt tietävät, mitä tietoja heistä käsitellään ja mihin tarkoituksiin. Tämän vuoksi rekisteröityjen informointiin liittyy tiukat vaatimukset silloin, kun henkilötietoja käsitellään suostumuksen perusteella kuten on esimerkiksi silloin, kun pyydetään sivuston vierailijoilta suostumus Googlen kävijäseurantapalvelun käyttöön.

Kun henkilötietojen siirretään kolmansiin maihin kuten Yhdysvaltoihin, yksi mahdollinen siirtoperuste on myös rekisteröidyiltä pyydettävä suostumus, joka on GDPR:n 49 artiklan mukainen poikkeus. Tähän viittaa myös Euroopan tietosuojaneuvosto vastauksissaan Schrems II -päätöstä koskeviin usein kysyttyihin kysymyksiin (PDF). Suora lainaus:

"Voinko soveltaa jotakin yleisen tietosuoja-asetuksen 49 artiklan poikkeuksista tietojen siirtämiseen Yhdysvaltoihin?

Tietoja voidaan edelleen siirtää Euroopan talousalueelta Yhdysvaltoihin yleisen tietosuoja- asetuksen 49 artiklassa säädettyjen poikkeusten perusteella edellyttäen, että mainitussa artiklassa asetetut ehdot täytetään. Euroopan tietosuojaneuvosto viittaa antamiinsa suuntaviivoihin, jotka koskevat tätä säännöstä (5).

Erityisesti on syytä muistaa, että jos siirto perustuu rekisteröidyn suostumukseen, suostumuksen olisi oltava:

- nimenomainen,

- yksilöity koskemaan tiettyä tiedonsiirtoa tai tiedonsiirtojen sarjaa (tietojen viejän on siis varmistettava, että se saa yksilöidyn suostumuksen ennen kuin siirto toteutetaan, vaikka tämä tapahtuisikin tietojen keräämisen jälkeen), ja

- tietoinen, erityisesti siirron mahdollisten riskien suhteen (mikä tarkoittaa, että rekisteröidyille olisi ilmoitettava myös erityisistä riskeistä, joita aiheutuu siitä, että heidän tietojaan siirretään maahan, joka ei tarjoa riittävää tietosuojaa, ja että asianmukaisia suojatoimia tietojen suojaamiseksi ei toteuteta)."

Huomionarvoista on, että jo tässä vuonna 2020 annetussa vastauksessa huomioitiin se, että suostumusta voisi käyttää siirtoperusteena, vaikka riskinä on, että rekisteröidyillä ei ole Yhdysvalloissa riittävää tietosuojaa - edellyttäen, että kaikki siirrosta aiheutuvat riskit kerrotaan avoimesti rekisteröidyille.

Tässä piilee varsinainen ongelma: meillä ei ole ennakkotapausta, jossa 1) siirtoperusteena olisi ollut suostumus ja 2) olisi katsottu, että rekisteröidyille kerrotaan riittävän selvästi riskeistä, joita aiheutuu heidän henkilötietojensa siirrosta Yhdysvaltoihin.

Jos kovapäisesti päätätte jatkaa Google Analyticsin käyttöä, tehkää ainakin nämä asiat oikein

En todellakaan suosittele jatkamaan enää päivääkään Google Analyticsin käyttöä, vaikka jää vielä pieni mahdollisuus, että sen käyttö voisi jossakin tapauksessa olla lainmukaista, jos rekisterinpitäjä/sivuston ylläpitäjä huolehtii tarkasti kaikista velvollisuuksistaan ja yksityiskohdista. Voin kuitenkin antaa neuvoja, mitkä asiat tulee hoitaa oikein, jos kaikesta huolimatta päätätte käyttää yhä Google Analyticsia. Vastuu näiden neuvojen noudattamisesta käytännössä kuuluu kuitenkin GDPR:n mukaan yksinomaan rekisterinpitäjälle.

A) Pyydä erikseen suostumus kaikkiin eri käyttötarkoituksiin ja henkilötietojan siirtoon Yhdysvaltoihin

• Pyydä vierailijoilta suostumus Google Analyticsin seurantateknologian käytölle ja tietojen luovuttamiselle Googlelle
• Pyydä vierailijoilta suostumus sille, että henkilötietoja saadaan siirtää Googlelle Yhdysvaltoihin
• Pyydä vierailijoilta suostumus sille, että henkilötietoja saadaan luovuttaa edelleen Yhdysvaltojen viranomaisille

Huomaa, että tietosuojavaltuutettu on päätöksissään edellyttänyt, että jokaiseen tietojen käyttötarkoitukseen täytyy pyytää erillinen suostumus. Eli tässä tapauksessa tarvittaisiin ainakin kolme suostumus-painiketta tai -valintaa ennen kuin Google Analytics -kävijäseurannan skriptiä saataisiin ladata verkkosivustolla.

B) Kerro, miten eri tahot käyttävät henkilötietoja ja mitä riskejä siihen liittyy

• Kerro, miten te ja Google käsittelette tietoja Google Analytics -kävijäseurannassa (esim. käytetään kävijäseurantaan, analytiikkaan ja mainonnan kohdentamiseen)
• Kerro, mihin muihin tarkoituksiin Google voi käsitellä vierailijoista kerättyjä tietoja ja linkitä Googleen tietosuojakäytäntöön
• Kerro, mihin tarkoituksiin Yhdysvaltojen viranomaiset voivat käyttää henkilötietoja
• Ennen kaikkea kerro riskeistä, joita liittyy henkilötietojen käsittelyyn kuten se, että Yhdysvalloissa ei toteudu EU:n yleisen tietosuoja-asetuksen mukainen tietosuoja ja että rekisteröidyillä ei ole Yhdysvalloissa käytössä tehokkaita oikeussuojakeinoja
• Kerro erityisesti, että jos sivuston vierailija antaa suostumuksen tietojen siirrolle Yhdysvaltoihin, tietojen poistaminen Yhdysvaltojen viranomaisilta ei todennäköisesti ole mahdollista myöhemmin.

Nämä tiedot tulisi kertoa välittömästi siinä yhteydessä, jossa pyydetään A-kohdan mukaisia suostumuksia eli niin sanotusti "ensimmäisellä tasolla", mikä tarkoittaa yleensä evästebanneria. Tarkemmat lisätiedot kuten yrityksen oma tietosuojaseloste voivat olla "toisella tasolla" eli käytännössä omalla sivullaan tai muualla yhden klikkauksen takana.

On sanomattakin selvää, että kaiken vaadittavan kertominen riittävän tarkasti ja laajasti on vaikea tehtävä.

Vaikka tekisit kaikki nämä kohdat "oikein", on silti epävarmaa, olisiko Google Analyticsin käyttö GDPR:n mukaista ja laillista.

Mitä suosittelemme Google Analyticsin tilalle? Vastaus: Matomoa.

Jos päätitte luopua Google Analyticsistä, onnittelen teitä hyvästä päätöksestä! Todellisuudessa ei nimittäin ole mitään hyvää syytä, miksi verkkosivuston kävijäseurannan pitäisi siirtää tietoja isoimmalle datankerääjälle Googlelle sekä Yhdysvaltojen viranomaisten käyttöön. Tietääkseni kukaan verkkosivuston ylläpitäjä ei käytä kävijäseurantaa sen takia, vaan saadakseen tietoa sivuston vierailijoiden toiminnasta ja seuratakseen sivuston kävijämääriä.

Vaihtoehtoja Google Analyticsille löytyy runsaasti. Yllättävää kyllä, vastaus tähänkin kysymykseen löytyy jo apulaistietosuojavastaavan edellä kuvastusta päätöksestä. Sen mukaan Helmet-kirjastojen verkkopalvelussa oli päätetty siirtyä käyttämään Matomo-kävijäseurantatyökalua. Mekin suosittelemme lämpimästi Matomoa, jossa on eritäin kehittyneet ominaisuudet kävijäseurantaan ilman, että se vaarantaa vierailijoiden tietosuojaa.

Miksi suosittelemme Matomo-kävijäseurantaa?

Matomossa on lukuisia hyviä ominaisuuksia varsinaiseen tarkoitukseen eli kävijäseurantaan ja -analyysiin. Jos on aiemmin tottunut käyttämään Google Analyticsia, Matomon käytön oppii nopeasti. Tämä ei kuitenkaan ole tärkein syy suositella sitä, vaan painavammat perusteet löytyvät Matomon tietosuojaominaisuuksista:

• Matomo voidaan asentaa omalle palvelimelle, jolloin data on vain rekisterinpitäjän hallussa. Matomo ei siirrä dataa Googlelle tai jollekin muulle nettijätille, joka käyttäisi sitä mainontaan.
• Matomo käyttää lyhytaikaisia selaintunnisteita, joilla tunnistetaan palaavat vierailijat ilman evästeitä.
• Matomo mahdollistaa myös täysin evästeettömän seurannan, jolloin suostumusta evästeiden käytölle ei tarvitse kysyä.
• Käyttäjäkohtainen raakadata poistetaan automaattisesti raporttien muodostamisen jälkeen
• Myös raakadata voidaan anonymisoida
• Vierailijoista tallentuvista IP-osoitteista voidaan poistaa 2 viimeistä tavua tai enemmän, jolloin ne eivät ole enää tunnistetietoja

Kokonaisuutena Matomo tarjoaa sivuston ylläpitäjille ja kehittäjille juuri sen tiedon, mitä he haluavatkin ilman, että sillä puututaan vierailijoiden yksityisyyteen ja henkilötietoihin liian laajasti. Tietosuojan kannalta Matomo on selvästi parempi vaihtoehto kuin Google Analytics, ja evästeettömällä seurannalla Matomoon saadaan kattavasti tiedot kaikista vierailijoista.

Mitä Matomo-kävijäseurannan kanssa tulee huomioida?

Tähänkin kysymykseen löytyy osittain vastaus Helmet-sivustoa koskevasta päätöksestä:

"Koska Helmet-kirjastot ovat tietosuojavaltuutetun toimistolle antamassaan selvityksessä kertoneet, että käytössä on ollut myös Matomon palvelu ja että Google Analytics tullaan korvaamaan Matomo-analytiikkapalvelulla, apulaistietosuojavaltuutettu nostaa niin ikään esille, että rekisterinpitäjien tulee myös Matomon kohdalla huolehtia siitä, ettei palvelun käytössä tapahdu tietosuojasääntelyn vastaisia kansainvälisiä tiedonsiirtoja ja että henkilötietojen käsittely on muutoinkin palvelua käytettäessä yleisen tietosuoja-asetuksen mukaista. Kyseinen palvelu ei automaattisesti ole sellainen, etteikö sen käyttöön voisi liittyä tällaisia tiedonsiirtoja."

Ensimmäinen huomioitava asia Matomon kanssa on siis se, että ei ajauduta samaan ongelmaan kuin Google Analyticsin osalta, eli ei käytetä palveluntarjoajia tai nettipalvelimia, joilta henkilötietoja siirtyisi Yhdysvaltoihin. Esimerkiksi meidän palveluissa käytetyt nettipalvelimet sijaitsevat aina EU-alueella, eikä tietoja siirretä Yhdysvaltoihin.

Toiseksi jos Matomon kanssa kävijäseurantaan käytetään evästeitä, niistä tulee kertoa vaadittavat asiat sekä saada suostumus ennen evästeiden käyttöä. Lisätietoa evästeiden käytöstä saat aiemmasta blogikirjoituksesta. Lue myös, mitä muuta nettisivujen tietosuojassa on huolehdittava.

Kolmanneksi on tärkeää, että Matomon asennuksen ja käyttöönoton tekee asiantunteva taho, joka osaa säätää sen asetukset niin, ettei kävijäseurantadataan kerry turhaan vierailijoiden henkilötietoja. Kuten aina tämän tyyppisissä työkaluissa, myös säännöllisistä päivityksistä on pidettävä huolta tietoturvan takia.

- Harto Pönkä, 24.3.2023

Tarvitsetteko apua Matomo-kävijäseurannan käyttöönotossa?

Autamme mielellämme, mikäli tarvitsette apua Matomon käyttöönotossa. Tarjoamme myös Matomoa ylläpidettynä palveluna.