Evästeetön analytiikka

Mitä evästeetön analytiikka tarkoittaa?

Evästeetön analytiikka seuraa verkkosivuston liikennettä ilman evästeiden tallentamista kävijöiden laitteille. Sen sijaan, että jokaiselle kävijälle annettaisiin yksilöllinen tunniste, joka seuraa heitä istunnosta toiseen, nämä työkalut käyttävät yksityisyyttä kunnioittavia menetelmiä. Esimerkiksi anonymisoitua dataa, koostettua tilastointia tai palvelinpuolen lokeja liikenneraporttien tuottamiseen.^[1]

Lähestymistapa yleistyi GDPR:n voimaantulon jälkeen vuonna 2018. Evästebannerit loivat kitkaa, heikensivät datan laatua ja herättivät omia lakikysymyksiään. Evästeetön analytiikka ohittaa suostumusvaatimuksen kokonaan.

Miten evästeetön analytiikka toimii?

Perinteiset työkalut, kuten Universal Analytics, tallensivat kävijätunnisteen evästeeseen, joka säilyi jopa kaksi vuotta. Näin ne tunnistivat palaavat kävijät ja seurasivat käyttäytymistä useiden istuntojen yli.

Evästeettömät työkalut toimivat toisin:

Päivittäinen anonymisoitu hajautus. Jotkut työkalut luovat väliaikaisen tunnisteen yhdistämällä kävijän IP-osoitteen, selaimen tyypin ja päivämäärän hajautusarvoksi. Koska hajautus vaihtuu päivittäin, sillä ei voi rakentaa pitkäaikaista profiilia. Käyttäjän laitteelle ei tallenneta mitään.^[2]

Pelkkä koosteraportointi. Jotkut alustat tallentavat vain yhteismääriä. Ne kirjaavat sivunäkymien ja viittaajien lukumäärät ja hylkäävät raakatiedot kokonaan.

Palvelinpuolen seuranta. Tämä käsittelee pyynnöt palvelimella asettamatta mitään selaimeen. Se toimii myös silloin, kun kävijät käyttävät mainosestäjiä. IT-tiimien pitää suodattaa botiliikenne pois, jotta data pysyy puhtaana.

Koska pysyvää tunnistetta ei tallenneta, evästeetön työkalut eivät pysty luotettavasti erottamaan uusia ja palaavia kävijöitä. Liikennemäärät ovat arvioita, eivät tarkkoja lukuja.

Miksi organisaatiot valitsevat evästeettömän analytiikan?

Lakitiimit valitsevat sen vähentääkseen vaatimustenmukaisuusriskiä. GDPR:n ja ePrivacy-direktiivin mukaan ei-olennaisten evästeiden asettaminen vaatii tietoisen suostumuksen. GDPR-yhteensopivan analytiikan valitseminen yksinkertaistaa koko tietosuojakokonaisuutta. Itävallan, Ranskan, Italian ja Tanskan tietosuojaviranomaiset päättivät vuosina 2022–2023, että Google Analyticsin vakiokokoonpanot rikkoivat GDPR:ää siirtämällä henkilötietoja Yhdysvaltoihin.^[3]

IT-tiimit valitsevat sen yksinkertaisemman arkkitehtuurin vuoksi. Ei suostumushallinnan ylläpitoa. Ei evästeskripting-debuggausta. Vähemmän kolmannen osapuolen riippuvuuksia seurattavaksi.

Sisältötiimit valitsevat sen paremman datan laadun vuoksi. Kun 30–40 % kävijöistä hylkää evästesuostumuksen, perinteiset analytiikkatyökalut menettävät suuren osan liikenteestä. Evästeettömät työkalut näkevät kaikki, koska ne eivät tarvitse suostumusta. Tämä antaa kattavamman kuvan sivunäkymistä ja sisällön toimivuudesta.

Säännellyillä aloilla, kuten pankki-, terveydenhuolto- ja julkishallinnon sektoreilla, evästeetön analytiikka poistaa kokonaisen tietosuojariskien kategorian tinkimättä tiimien tarvitsemista liikennetiedoista.

Mitä evästeettömiä analytiikka-alustoja on?

Evästeettömiä analytiikka-alustoja arvioidessa kannattaa etsiä työkaluja, jotka ovat EU:ssa isännöityjä, eivät kerää henkilötietoja oletuksena ja eivät vaadi evästebanneria. Osa on avoimen lähdekoodin ja itse isännöitäviä, osa täysin hallinnoituja SaaS-tuotteita. Keskeisiä kriteerejä ovat, tallentaako työkalu IP-osoitteita, asettaako evästeitä tai siirtääkö dataa EU:n ulkopuolelle.

Mitä kompromisseja siihen liittyy?

Evästeetön analytiikka vaihtaa yksilöseurannan tietosuojavaatimustenmukaisuuteen. Käytännön vaikutukset:

Ei uuden vs. palaavan kävijän dataa. Ilman pysyvää tunnistetta työkalu ei voi vahvistaa, vierailiko tämänpäiväinen kävijä myös viime viikolla.

Arvioidut yksilöllisten kävijöiden määrät. Maanantaina laskettu kävijä ja sama kävijä tiistaina näkyvät kahtena erillisenä.

Ei laitteiden välistä seurantaa. Sama henkilö kannettavalla ja puhelimella näyttää kahdelta eri kävijältä.

Useimmille sisältösivustoille, markkinointisivuille ja julkishallinnon portaaleille nämä kompromissit ovat sen arvoisia. Vastineeksi saa yksinkertaisemman vaatimustenmukaisuuden, puhtaamman datan keruun ja ei evästebannerin kitkaa.

Miten Askem auttaa?

Evästeettömiä analytiikka-alustoja valitessa kannattaa etsiä työkaluja, jotka eivät tallenna IP-osoitteita, eivät aseta evästeitä eivätkä kerää henkilötietoja. EU:ssa isännöidyt alustat välttävät rajat ylittävät siirto-ongelmat, jotka ovat aiheuttaneet vaikeuksia Google Analyticsin kaltaisille työkaluille. Askem ja vastaavat tietosuojakeskeiset alustat noudattavat tätä lähestymistapaa. Viranomaisille, pankeille ja terveydenhuollon organisaatioille nämä työkalut tarjoavat tiimien tarvitseman liikennetiedon ilman tietosuojariskiä tai evästebannerin kitkaa.

Lähteet

1. W3C — Privacy Principles: https://www.w3.org/TR/privacy-principles/
2. CNIL — Alternatives to third-party cookies: https://www.cnil.fr/en/alternatives-third-party-cookies
3. European Data Protection Board — Guidelines on transfers and analytics: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-032022-use-personal-data-context-targeted_en