SlideShare une entreprise Scribd logo
1  sur  36
Télécharger pour lire hors ligne
Evästystä evästeiden
käyttöön + GA:n tämän
hetken tulkinta
13.1.2023
Harto Pönkä
Innowise
Kuva: Marvin Meyer @Unsplash, 2018
Evästeet = seurantaa
2
Miten evästeet toimivat?
Kuva: Harto Pönkä, 10.3.2020
3
2. Selain lähettää Facebookille:
tunnuksen + salasanan + selaimen tiedot + sivun tiedot
1. Käyttäjä syöttää
tunnuksen ja salasanan
4. Facebook lähettää selaimelle
tunnistamisen mahdollistavan evästeen,
joka tallentuu laitteen muistiin.
3. Facebook
tunnistaa
käyttäjän
Kuvat, videot, mainokset,
upotetut sisällöt,
seurantakoodit jne.
5. Selain lähettää evästeen jatkossa aina,
kun jotakin ladataan samasta domainista.
Käyttäjien verkkotoiminta
Facebook kerää tietoa verkkosivuilta, joilla
käyttäjät ovat vierailleet mm. evästeiden ja
seurantakoodien avulla.
Datan avulla voidaan:
1) näyttää mainoksia yrityksiltä, joiden
sivuilla olet vieraillut
2) näyttää mainoksia juuri siitä tuotteesta,
jota kävit netissä katsomassa
3) kerätä tietoa kiinnostuksen kohteistasi
ja toiminnastasi
4) kerätä tietoa yrityksille niiden
asiakasprofiileista
4
Kuva: GraphicsSC @ Pixabay (Pixabay license)
“
Mainonnan kohteena oleville henkilöille on kerrottava, miksi heille
kohdennetaan tietoa, kuka vastaa mainonnasta ja miten he voivat
käyttää tietosuojaoikeuksiaan.
Jos tietosuojasäännöksiä ei noudateta, kohdennettu mainonta ja
profilointi voivat aiheuttaa vakavia riskejä yksityisyyden suojalle ja
demokratialle. Cambridge Analytica -tapaus osoitti, että henkilötietojen
suojan rikkominen voi vaikuttaa myös muihin perusoikeuksiin, kuten
mielipiteenvapauteen ja mahdollisuuteen ajatella vapaasti ilman
manipulointia.
5
Lähde: Silloinen tietosuojavaltuutettu Reijo Aarnio, 23.9.2019,
https://tietosuoja.fi/-/kohdennettu-poliittinen-mainonta-voi-olla-riski-perusoikeuksille-ja-demokratialle-myos-sosiaalisen-median-kautta-kerattyjen-henkilotietojen-kasittelys
Kolmannen osapuolen evästeet: esimerkkinä Google Analytics
2. Selain lähettää Googlelle:
selaimen tiedot + sivun tiedot + Googlen evästeet
Kuva: Harto Pönkä, 7.4.2022
6
Sivulle ladataan
Google Tag
Managerin skripti
1
Sivulle ladataan
Google
Analyticsin skripti
2
Google seuraa kävijän
toimintaa sivustolla
ja rikastaa sillä tästä
kerättyä profiilia
3
Oy-yritys-ab.com
4. Google palauttaa selaimelle
kävijäseurantaskriptin ja uudet evästeet
3. Google
tunnistaa
käyttäjän* ja
kerää tiedot
1
*) Käyttäjän ei tarvitse olla
kirjautuneena, jos Googlen
eväste on jo laitteella.
1. Käyttäjä
avaa yrityksen
verkkosivun
2
3
5. Kaikki talteen
<!-- Global site tag (gtag.js) - Google Analytics -->
<script async src="https://www.googletagmanager.com/gtag/js?id=UA-
1234567-8"></script>
<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('js', new Date());
gtag('config', 'UA-1234567-8');
</script>
Yhdellä sivulla voi olla lukuisia http-pyyntöjä eri datankerääjille
Esimerkki: Suomiurheilu.com-sivuston request map –kuva, 7.4.2022, tämä kaikki ladataan ennen suostumuksen antoa evästeille.
7
Helppo keino tutkia evästeitä selaimessa: F12 → Application → Cookies
8
Kuvakaappaus: Csc.fi (12.1.2023), evästeiden suostumuksen jälkeen
Evästeitä
9
Kuvitteellinen esimerkki
Lähde: Chiefmartec, 2020, https://chiefmartec.com/2020/04/marketing-technology-landscape-2020-martech-5000/ Kuvasta on näkyvissä alle 1/4 . Yhteensä 8000 databisneksen yritystä.
Tarkista, monenko eri markkinointiyrityksen rekistereissä olet
Toinen vastaava palvelu: https://optout.networkadvertising.org/
11
https://optout.aboutads.info/
Nykyinen evästeiden ohjeistus
12
Mitä on huomioitava evästeiden käytössä?
Lisätietoa: Evästeiden suostumus nettisivuilla GDPR:n ja uusien linjausten mukaan, 3.9.2020,
https://www.innowise.fi/fi/evasteiden-suostumus-nettisivuilla-uusien-linjausten-mukaan/
13
• Monet verkkosivut käyttävät evästeitä, esim.
– Kirjautuminen sivustolle ja valinnat sivustolla
– Google Analyticsin kävijäseurantakoodi
– Googlen AdWordsin sivustotagi/markkinointipikseli
– Facebook-mainonnan pikseli
– Facebookin tykkäysnappula tai kirjautuminen
– Chat-palvelujen evästeet
• EU:n sähköisen viestinnän tietosuojadirektiivin mukaan käyttäjille
1) tulee kertoa evästeiden käytön tarkoituksesta,
2) annettava mahdollisuus kieltäytyä ei-välttämättömistä evästeistä.
• Tietosuojavaltuutetun toimiston v. 2020 päätöksen mukaan ei-välttämättömille evästeille
tarvitaan GDPR:n mukainen suostumus.
• https://finlex.fi/fi/viranomaiset/tsv/2020/20200561
• Liikenne- ja viestintävirasto Traficom antoi TSV:n linjaa vastaavat uudet evästeohjeet
palveluntarjoajille syyskuussa 2021.
• https://www.traficom.fi/fi/toimintamme/saantely-ja-valvonta/evasteet
• Lisäksi on huomioitava EU:n tietosuojaneuvoston ohjeet suostumuksesta ja läpinäkyvyydestä.
Traficom ohjeistus 2021: kysy suostumus ei-välttämättömille evästeille
14
Lähde: Traficom, 2021, Evästeet ja muut käyttäjien päätelaitteille tallennettavat tiedot sekä näiden tietojen käyttö ‒ Opas palveluntarjoajille,
https://www.traficom.fi/sites/default/files/media/file/Ev%C3%A4steohjeistus_palveluntarjoajille.pdf
▪ Välttämättömät evästeet ja tiedot → suostumusta ei tarvita
▪ ”Ainoana tarkoituksena toteuttaa viestin välittämistä” tai ” välttämätöntä palvelun
tarjoajalle sellaisen palvelun tarjoamiseksi, jota käyttäjä on nimenomaisesti pyytänyt”
▪ Käyttäjän kirjautumiseen ja todentamiseen liittyvät evästeet
▪ Käyttäjän valintojen ja syötteiden muistaminen palvelussa
▪ Saavutettavuuteen ja sisältöjen näyttöön liittyvät evästeet
▪ Tietoturvaan liittyvät evästeet (esim. spämmiestot)
▪ Ei-välttämättömät evästeet ja tiedot → pyydä suostumus
▪ Analytiikkaan liittyvät evästeet
▪ Chat-palvelujen evästeet
▪ Sosiaalisen median alustoihin liittyvät evästeet
▪ Kohdennettuun mainontaan ja markkinointiin liittyvät evästeet
▪ Sijainti ja muut päätelaitteesta saatavat tiedot, joita käytetään esim. profilointiin
Suostumuksen antaminen GDPR:n mukaan – yleiset periaatteet
15
▪ Suostumuksen tulee olla vapaaehtoinen, yksilöity,
tietoinen ja yksiselitteinen tahdonilmaisu
▪ Suostumusta ei voi antaa:
▪ Vaikenemalla
▪ Valmiiksi rastitetulla ruudulla
▪ Jättämättä jotakin tekemättä
▪ Suostumukset tulee dokumentoida sekä tarkistaa sopivin väliajoin.
▪ Alaikäisen kohdalla suostumuksen antaa huoltaja
▪ Yli 13-vuotias voi antaa itse suostumuksen henkilötietojen
käsittelylle tietoyhteiskunnan palveluissa (esim. verkko-, some- ja mobiilipalvelut)
▪ Suostumusta ei tule pyytää, jos henkilötietojen käsittelyyn on muu oikeusperuste (esim.
sopimus, rekisterinpitäjän oikeutettu etu tai laki).
Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen?
https://tietosuoja.fi/documents/6927448/9666681/Miten+valmistautua+tietosuoja-asetukseen/
Suostumuksen yhteydessä tapahtuva rekisteröidyn informointi
16
▪ Evästeiden suostumuksessa voidaan käyttää monitasoista rekisteröidyn informointia
▪ 1. taso: evästebanneri/-ilmoitus
▪ 2. taso: tietoa evästeistä-sivu, tietosuojaseloste tms.
▪ Kerro 1. tasolla/evästeilmoituksessa ainakin nämä:
▪ Rekisterinpitäjä
▪ Henkilötietojen käsittelytarkoitukset
▪ Erityisesti käsittely, joka vaikuttaa rekisteröityyn eniten ja joka voi tulla yllätyksenä
▪ Linkki 2. tasolle, esim. tietosuojaselosteelle, jossa muut informoinnin tiedot
▪ Lisätietoa informoinnista TSV:n sivulta: https://tietosuoja.fi/rekisteroidyn-informointi
Lähde: Tietosuojatyöryhmä, 2017, Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat, 36. kohta,
https://tietosuoja.fi/documents/6927448/8316711/L%C3%A4pin%C3%A4kyvyys+fi/c102605b-e386-4661-9b51-bf427875c8db/L%C3%A4pin%C3%A4kyvyys+fi.pdf
Evästeistä kerrottavat tiedot
17
Lähde: Traficom, 2021, Evästeet, https://www.traficom.fi/fi/toimintamme/saantely-ja-valvonta/evasteet
▪ Kerro kaikkien evästeiden käytöstä: välttämättömistä ja ei-välttämättömistä
▪ Evästeet ovat pieniä laitteelle tallennettavia tekstitiedostoja…
▪ Kerro suostumuksen yhteydessä ei-välttämättömistä:
▪ Evästeiden ja muiden tekniikoiden käytöstä selkeästi
▪ Evästeiden ja muiden tekniikoiden käyttötarkoitus ja voimassaoloaika
▪ Millä kolmansilla osapuolilla on oikeus käsitellä evästetietoja
▪ Mikään laki tai asetus ei vaadi monimutkaisia evästevalintoja
Evästebanneri ei saa estää sivuston käyttöä
Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf
18
VR, https://www.vr.fi/ (12.1.2023) Sivustoa ei pääse käyttämään vastaamatta evästebanneriin, mutta se sisältää todellisen valintamahdollisuuden kieltää ei-välttämättömät evästeet.
19
RAJATAPAUS
Palvelun käytön jatkaminen ei ole suostumusta osoittava teko
EI NÄIN:
Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf, alempi kuvakaappaus: OPH, https://www.oph.fi/fi/tietosuoja (15.11.2021)
20
Selvät kyllä- ja ei-vaihtoehdot
EI NÄIN:
Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf, alempi kuvakaappaus: Microsoft Edge –selaimen aloitussivu (15.11.2021)
21
Älä yritä saada suostumusta ns. pimeillä
suunnittelumalleilla (dark patterns)
Kuvakaappaus: Yle Areena, https://areena.yle.fi/tv (15.11.2021)
Lähde: EDPB Guidelines 3/2022, https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-32022-dark-patterns-social-media_en
22
1. Ylikuormittaminen = käyttäjät kohtaavat
ison määrän pyyntöjä, tietoja,
vaihtoehtoja tai mahdollisuuksia.
2. Ohittaminen = käyttäjät eivät ajattele
kaikkia tai osaa tietosuojanäkökohdista.
3. Sekoittaminen = vedotaan käyttäjän
tunteisiin tai harhautetaan visuaalisesti.
4. Estäminen = käyttäjien tiedonsaantia tai
tietojen hallintaa estetään tekemällä
toiminnoista vaikeita.
5. Oikullinen = käyttöliittymän rakenne on
epäjohdonmukainen ja epäselvä, minkä
vuoksi käyttäjän on vaikea navigoida ja
ymmärtää toimintojen tarkoituksia.
6. Pimeyteen jättäminen = käyttöliittymä
on suunniteltu piilottamaan tiedot tai
jättämään käyttäjät epävarmoiksi.
Suostumuksen ja sen perumisen on oltava yhtä helppoa
▪ Älä käske käyttäjää säätämään asetuksiaan esim. Googlen tai Facebookin palvelussa
Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf
23
Esimerkki: Innowise CMS:n suostumusten hallinta
24
2. Suostumus tallentuu
sivuston tietokantaan
(sisältö, IP-osoite, aika)
3. Suostumus tallentuu
selaimen evästeeseen
(eväste-ID)
Peru suostumus
Vierailija voi halutessaan
perua suostumuksen,
jolloin se poistetaan
tietokannasta ja evästeestä
4. Ladataan kolmansien
osapuolten seuranta-
skriptit ja evästeet
Ylläpitäjä voi
katsoa saadut
suostumukset
iw_consent
Tarvittaessa
sähköposti-ilmoitus
ylläpitäjälle
Sivuston vierailijat
1. Ilmoitus evästeistä näytetään, jos:
- siihen ei ole vielä saatu vastausta
- sen sisältö on muuttunut
- vierailija avaa sen itse uudestaan
Innowise CMS:n evästeiden suostumus täyttää GDPR:n ja ePrivacyn vaatimukset
25
Vaatimus tai suositus Toteutuminen
Käyttäjälle on kerrottava selkeästi tietojen käsittelyn tarkoituksesta. √
Käyttäjälle on annettava oikeus kieltää tietojen käsittely ja tallentaminen laitteelle. √
Palvelun välttämättömälle tietojen käsittelylle ei tarvitse olla kieltomahdollisuutta. √
Ei-välttämättömille evästeille tarvitaan yhtä "vahva" GDPR:n mukainen suostumus kuin
henkilötietojen käsittelylle.
√
Suostumukset dokumentoidaan GDPR:n osoitusvelvollisuuden mukaisesti. √
Evästeiden käytöstä kieltäytyminen ei saa aiheuttaa käyttäjälle haittaa. √
Suostumuksesta kieltäytyminen tai sen peruminen tulee olla yhtä helppoa kuin sen anto. √
Suostumuksen peruminen tulee olla mahdollista rekisterinpitäjän omassa palvelussa. √
Palvelua on päästävä käyttämään myös ilman evästeiden hyväksyntää. √
Tieto suostumuksen perumisesta voidaan säilyttää tarvittavan ajan (vahingonkorvausvastuun
vanhentumisajan 3 vuotta).
√
(tarvittaessa)
Lisätietoa: Evästeiden suostumus nettisivuilla GDPR:n ja uusien linjausten mukaan, 3.9.2020,
https://www.innowise.fi/fi/evasteiden-suostumus-nettisivuilla-uusien-linjausten-mukaan/
Yleisiä korjauskohteita
26
YouTube-videoiden upotukset sisältävät ei-välttämättömiä evästeitä
▪ Oletuksena YouTube-videon upotuskoodi käyttää Googlen seuranta- ja
markkinointievästeitä, joita ei saisi ladata ilman käyttäjän suostumusta
▪ Yksinkertainen ratkaisu: muuta upotuskoodista youtube.com → youtube-nocookie.com
27
<iframe width="560" height="315"
src="https://www.youtube.com/embed/fZ4KR7OHXF0"
title="YouTube video player" frameborder="0"
allow="accelerometer; autoplay; clipboard-write;
encrypted-media; gyroscope; picture-in-picture"
allowfullscreen></iframe>
<iframe width="560" height="315" src="
https://www.youtube-nocookie.com/embed/
fZ4KR7OHXF0" title="YouTube video player"
frameborder="0" allow="accelerometer; autoplay;
clipboard-write; encrypted-media; gyroscope;
picture-in-picture" allowfullscreen></iframe>
Pitääkö Google Analytics –kävijäseurannalle pyytää suostumus?
Lähteet: Google Analyticsin käyttöehdot, https://marketingplatform.google.com/about/analytics/terms/fi/, Google analyticsin ohjeet, https://support.google.com/analytics/answer/6004245?hl=fi, Miten Google
käyttää dataa: https://policies.google.com/technologies/partner-sites, Lisätietoa: https://www.cpomagazine.com/data-privacy/the-case-against-google-analytics-for-organizations-collecting-personal-data/
28
▪ Google Analyticsin dataa (eväste, IP, selaintiedot)
käytetään mm. mainosten kohdentamiseen.
▪ Käyttöehdot edellyttävät kertomaan seurannasta.
▪ Ehdot vaativat suostumuksen pyytämistä evästeille,
”kun laki edellyttää”.
▪ Google on Google Analyticsin datan käsittelijä.
Tämä on otettava huomioon tietosuojaselosteessa.
▪ Googlen datansiirroista on tehty useita valituksia.
Ranskan valvontaviranomaisen päätös Google Analyticsistä (10.2.2022)
29
▪ Euroopan tietosuojaviranomaisten päätöksen mukaan
Google Analytics -palvelun käyttö rikkoi GDPR:ää.
▪ Googlen suojatoimet henkilötietojen siirroille Google
Analyticsin kautta eivät ole riittäviä, eivätkä estä
Yhdysvaltojen tiedustelupalvelun pääsyä tietoihin.
▪ Google Analyticsin käyttö aiheuttaa tämän vuoksi riskin
verkkosivuston käyttäjille, joiden tietoja kerätään ja
siirretään Yhdysvaltoihin.
▪ Ranskan valvontaviranomainen (CNIL) on määrännyt
ranskalaisen verkkosivuston saattamaan henkilötietojen
käsittelynsä tietosuoja-asetuksen mukaiseksi ja
tarvittaessa lopettamaan Google Analyticsin käytön.
▪ Taustalla on EU-tuomioistuimen heinäkuussa 2020
antama Schrems II -päätös, jossa se katsoi, että
siirrettävillä henkilötiedoilla on riski päätyä
Yhdysvaltojen tiedustelupalvelun käsiin, ellei
tiedonsiirtoja suojata asianmukaisesti.
Lähde: TSV, 11.2.2022, https://tietosuoja.fi/-/euroopan-tietosuojaviranomaiset-ovat-todenneet-google-analyticsin-kayton-verkkosivuilla-tietosuojalainsaadannon-vastaiseksi
Kuva: Jack-in-the-box.jpg, Wikimedia Commons, public domain, https://commons.wikimedia.org/wiki/File:Jack-in-the-box.jpg
Korjaako Googlen suostumustila (consent mode) Analyticsin GDPR-yhteensopivuuden?
30
▪ Suostumustila vaikuttaa vain
siihen, mihin Googlen tuotteisiin
dataa kerätään. Joka tapauksessa
data menee Googlelle.
▪ Jos suostumustila otetaan
käyttöön, se tekee evästeiden
suostumuksesta
monimutkaisemman lisäämällä
evästeasetukset.
▪ Harva kävijä todellisuudessa on
kiinnostunut säätämään
evästeasetuksia erikseen
kävijäseurannalle, konversioille ja
muulle markkinointiprofiloinnille.
→ Ei todellista hyötyä tietosuojaan
Kuvakaappaus: Google Analytics Ohjeet, 7.4.2022, https://support.google.com/analytics/answer/9976101?hl=fi
Vaihtoehto Google Analyticsille: Matomo
GDPR:n myötä yhä useampi organisaatio etsii vaihtoehtoja Google
Analyticsille, jotka eivät ole yhteydessä nettijättien mainosalustoihin.
▪ Matomo Analytics, https://matomo.org/
▪ Saatavissa hostattuna sekä omalle palvelimelle asennettavana  ilmainen
▪ Monipuoliset raportit ja ominaisuudet
▪ Mahdollistaa seurannan ilman evästeitä, jolloin suostumusta ei tarvita
▪ Evästeetön seuranta tunnistaa myös palaavat vierailijat 24 h:n aikana
▪ Käyttäjäkohtainen raakadata poistetaan automaattisesti raporttien
muodostamisen jälkeen
▪ IP-osoitteista voidaan poistaa 2 viimeistä tavua tai enemmän
Lisätietoa vaihtoehdoista esim. https://hooshmand.net/privacy-focused-alternative-to-google-analytics/
31
Voidaanko luottaa, ettei Google käytä reCaptchan tietoja profilointiin?
Täyttääkö evästeiden minimivaatimukset?
▪ Rekisterinpitäjä/käsittelijä: käy ilmi linkeistä
▪ Käyttötarkoitus: käy selvästi ilmi
▪ Seuraa käyttäjän toimintaa sivulla ja kerää tietoa
▪ Google on vakuuttanut, ettei se käytä reCaptchasta
kertyviä tietoja profilointiin, mutta voidaanko luottaa?
▪ Eväste luodaan vasta, kun klikkaa robottitarkistuksesta
▪ Näyttäisi sisältyvän Traficomin ohjeistuksessa
välttämättömiin evästeisiin, mutta osin epäselvä
▪ Suostumusta ei kysytä, mutta voitaisiinko klikkaus
tulkita sellaiseksi, jos katsotaan ei-välttämättömäksi?
Linkit:
▪ Tietosuoja: https://policies.google.com/privacy?hl=fi
▪ Ehdot: https://policies.google.com/terms?hl=fi
→ Saisi käyttää tietoja muuhunkin tarkoitukseen?!
32
Vaihtoehto Googlen reCaptchalle: hCaptcha
▪ Selkeä tietosuojan kuvaus ja henkilötietojen käsittelyn sopimus
▪ Ei kerää tunnistetietoja loppukäyttäjistä
▪ Tehty niin, että vaihto Googlen reCaptchasta on mahdollisimman helppoa
▪ Lisätietoa: https://www.hcaptcha.com/
33
Entäpä web-fontit?
▪ Googlen fonttien
lataukseen ei käytetä
evästeitä, mutta ne
tallentuvat käyttäjän
laitteelle (vrt. ePrivacy)
▪ Google kertoo
keräävänsä rajallisesti
tietoja palvelun
kehittämistä ja
turvallisuutta varten
▪ Myös fonttien yhteydessä
Google viittaa yleisiin
tietosuojakäytäntöihinsä,
jotka antaisivat sille
oikeuden kerätä muitakin
tietoja sivustojen
vierailijoista
▪ Emme todella tiedä,
käyttääkö Google fontteja
datankeruuseen
→ Ratkaisu: asenna fontit
sivuston palvelimelle
Kuvakaappaus: https://fonts.google.com/?category=Serif,Sans+Serif,Handwriting&subset=latin-
ext&preview.text=Ulkopuolinen%20webfontti%20on%20sivustollanne%20ennen%20kuin%20huomaatkaan...&preview.text_type=custom (8.12.2021)
34
Asentaisitko kiinalaisen vakoiluskriptin nettisivustollenne?
Lähteet & lisätietoa: https://ads.tiktok.com/help/article?aid=10021, https://ads.tiktok.com/help/article?aid=9663
35
36
Kysymyksiä tai
kommentteja?
Yhteystiedot
Harto Pönkä
0400500315
@hponka
harto.ponka@innowise.fi
https://www.innowise.fi/
Kiitos!

Contenu connexe

Tendances

Tendances (20)

Tilannekatsaus sosiaaliseen mediaan ja some-journalismiin
Tilannekatsaus sosiaaliseen mediaan ja some-journalismiinTilannekatsaus sosiaaliseen mediaan ja some-journalismiin
Tilannekatsaus sosiaaliseen mediaan ja some-journalismiin
 
Sosiaalinen media tietosuojan näkökulmasta
Sosiaalinen media tietosuojan näkökulmastaSosiaalinen media tietosuojan näkökulmasta
Sosiaalinen media tietosuojan näkökulmasta
 
Henkilötietojen ja yksityisyyden suojaaminen
Henkilötietojen ja yksityisyyden suojaaminenHenkilötietojen ja yksityisyyden suojaaminen
Henkilötietojen ja yksityisyyden suojaaminen
 
Kuvaaminen oppilaitoksissa
Kuvaaminen oppilaitoksissaKuvaaminen oppilaitoksissa
Kuvaaminen oppilaitoksissa
 
Informaatiovaikuttaminen somessa
Informaatiovaikuttaminen somessaInformaatiovaikuttaminen somessa
Informaatiovaikuttaminen somessa
 
Paljonko digiosaamista on tarpeeksi?
Paljonko digiosaamista on tarpeeksi?Paljonko digiosaamista on tarpeeksi?
Paljonko digiosaamista on tarpeeksi?
 
Digikompassi ja digisivistys
Digikompassi ja digisivistysDigikompassi ja digisivistys
Digikompassi ja digisivistys
 
Mikä se some oikein on?
Mikä se some oikein on?Mikä se some oikein on?
Mikä se some oikein on?
 
Juuri nyt: Somen trendit ja algoritmit
Juuri nyt: Somen trendit ja algoritmitJuuri nyt: Somen trendit ja algoritmit
Juuri nyt: Somen trendit ja algoritmit
 
Evästystä evästeiden käyttöön
Evästystä evästeiden käyttöönEvästystä evästeiden käyttöön
Evästystä evästeiden käyttöön
 
Tietosuoja ja digitaalinen turvallisuus koulussa
Tietosuoja ja digitaalinen turvallisuus koulussaTietosuoja ja digitaalinen turvallisuus koulussa
Tietosuoja ja digitaalinen turvallisuus koulussa
 
Sosiaalinen media, pelit ja ruutuaika
Sosiaalinen media, pelit ja ruutuaikaSosiaalinen media, pelit ja ruutuaika
Sosiaalinen media, pelit ja ruutuaika
 
EU:n yleinen tietosuoja-asetus oppilaitosten ja opettajien näkökulmasta
EU:n yleinen tietosuoja-asetus oppilaitosten ja opettajien näkökulmastaEU:n yleinen tietosuoja-asetus oppilaitosten ja opettajien näkökulmasta
EU:n yleinen tietosuoja-asetus oppilaitosten ja opettajien näkökulmasta
 
Informaatiovaikuttamisen ajankohtaiset aiheet ja keinot
Informaatiovaikuttamisen ajankohtaiset aiheet ja keinotInformaatiovaikuttamisen ajankohtaiset aiheet ja keinot
Informaatiovaikuttamisen ajankohtaiset aiheet ja keinot
 
Tietoturva ja tietosuoja Office 365 -palveluissa
Tietoturva ja tietosuoja Office 365 -palveluissaTietoturva ja tietosuoja Office 365 -palveluissa
Tietoturva ja tietosuoja Office 365 -palveluissa
 
Tietosuoja: rekisterinpitäjän vastuut ja velvollisuudet
Tietosuoja: rekisterinpitäjän vastuut ja velvollisuudetTietosuoja: rekisterinpitäjän vastuut ja velvollisuudet
Tietosuoja: rekisterinpitäjän vastuut ja velvollisuudet
 
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmastaSosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
 
Sosiaalinen media markkinoinnin välineenä
Sosiaalinen media markkinoinnin välineenäSosiaalinen media markkinoinnin välineenä
Sosiaalinen media markkinoinnin välineenä
 
Sosiaalinen media tietosuojan näkökulmasta
Sosiaalinen media tietosuojan näkökulmastaSosiaalinen media tietosuojan näkökulmasta
Sosiaalinen media tietosuojan näkökulmasta
 
Tietosuoja sosiaalisessa mediassa ja somen turvallinen käyttö
Tietosuoja sosiaalisessa mediassa ja somen turvallinen käyttöTietosuoja sosiaalisessa mediassa ja somen turvallinen käyttö
Tietosuoja sosiaalisessa mediassa ja somen turvallinen käyttö
 

Similaire à Evästystä evästeiden käyttöön + GA:n tämän hetken tulkinta

Similaire à Evästystä evästeiden käyttöön + GA:n tämän hetken tulkinta (20)

Evästeet nettisivuilla - aiemmin tapahtunutta ja nykyinen linjaus
Evästeet nettisivuilla - aiemmin tapahtunutta ja nykyinen linjausEvästeet nettisivuilla - aiemmin tapahtunutta ja nykyinen linjaus
Evästeet nettisivuilla - aiemmin tapahtunutta ja nykyinen linjaus
 
Google Analytics, analytiikka ja evästeet -tietosuojanäkökulma
Google Analytics, analytiikka ja evästeet -tietosuojanäkökulmaGoogle Analytics, analytiikka ja evästeet -tietosuojanäkökulma
Google Analytics, analytiikka ja evästeet -tietosuojanäkökulma
 
Some- ja pikaviestisovellusten tietosuoja
Some- ja pikaviestisovellusten tietosuojaSome- ja pikaviestisovellusten tietosuoja
Some- ja pikaviestisovellusten tietosuoja
 
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmastaSosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
Sosiaalinen media, analytiikka ja evästeet tietosuojan näkökulmasta
 
Google Analyticsin ja evästeiden ajojahti
Google Analyticsin ja evästeiden ajojahtiGoogle Analyticsin ja evästeiden ajojahti
Google Analyticsin ja evästeiden ajojahti
 
Digitalisaation vaikutukset markkinointijuridiikkaan ja tietosuojakysymysten ...
Digitalisaation vaikutukset markkinointijuridiikkaan ja tietosuojakysymysten ...Digitalisaation vaikutukset markkinointijuridiikkaan ja tietosuojakysymysten ...
Digitalisaation vaikutukset markkinointijuridiikkaan ja tietosuojakysymysten ...
 
Digijäte ja sosiaalinen media
Digijäte ja sosiaalinen mediaDigijäte ja sosiaalinen media
Digijäte ja sosiaalinen media
 
Verkkopalvelujen datankeruu ja opetuksen tietosuoja
Verkkopalvelujen datankeruu ja opetuksen tietosuojaVerkkopalvelujen datankeruu ja opetuksen tietosuoja
Verkkopalvelujen datankeruu ja opetuksen tietosuoja
 
EU:n yleisen tietosuoja-asetuksen perusteet
EU:n  yleisen tietosuoja-asetuksen perusteetEU:n  yleisen tietosuoja-asetuksen perusteet
EU:n yleisen tietosuoja-asetuksen perusteet
 
Tietosuoja sosiaalisessa mediassa
Tietosuoja sosiaalisessa mediassaTietosuoja sosiaalisessa mediassa
Tietosuoja sosiaalisessa mediassa
 
Tietosuojariskit opetuksen viestinnässä ja etäopetuksessa
Tietosuojariskit opetuksen viestinnässä ja etäopetuksessaTietosuojariskit opetuksen viestinnässä ja etäopetuksessa
Tietosuojariskit opetuksen viestinnässä ja etäopetuksessa
 
Tykkää - sosiaalisen median sovellukset ja tietosuoja
Tykkää - sosiaalisen median sovellukset ja tietosuojaTykkää - sosiaalisen median sovellukset ja tietosuoja
Tykkää - sosiaalisen median sovellukset ja tietosuoja
 
Facebook-pikseli tutuksi maksuttomassa webinaarissa
Facebook-pikseli tutuksi maksuttomassa webinaarissaFacebook-pikseli tutuksi maksuttomassa webinaarissa
Facebook-pikseli tutuksi maksuttomassa webinaarissa
 
EU:n tietosuoja-asetus kaupan alalla
EU:n tietosuoja-asetus kaupan alallaEU:n tietosuoja-asetus kaupan alalla
EU:n tietosuoja-asetus kaupan alalla
 
Tietoturva netissä ja somessa
Tietoturva netissä ja somessaTietoturva netissä ja somessa
Tietoturva netissä ja somessa
 
Verkkoharavoinnin hyödyntäminen tilastotuotannossa, Anna Potila-Kyläkoski, Ti...
Verkkoharavoinnin hyödyntäminen tilastotuotannossa, Anna Potila-Kyläkoski, Ti...Verkkoharavoinnin hyödyntäminen tilastotuotannossa, Anna Potila-Kyläkoski, Ti...
Verkkoharavoinnin hyödyntäminen tilastotuotannossa, Anna Potila-Kyläkoski, Ti...
 
Asetukset 16 hesa_osa_ii
Asetukset 16 hesa_osa_iiAsetukset 16 hesa_osa_ii
Asetukset 16 hesa_osa_ii
 
Sosiaalinen media, digijäte ja yksityisyys
Sosiaalinen media, digijäte ja yksityisyysSosiaalinen media, digijäte ja yksityisyys
Sosiaalinen media, digijäte ja yksityisyys
 
Some, algoritmit ja tekoäly
Some, algoritmit ja tekoälySome, algoritmit ja tekoäly
Some, algoritmit ja tekoäly
 
Webinaari 30.8.2017 - EU:n tietosuoja-asetus tulee ja velvoittaa yrityksiä to...
Webinaari 30.8.2017 - EU:n tietosuoja-asetus tulee ja velvoittaa yrityksiä to...Webinaari 30.8.2017 - EU:n tietosuoja-asetus tulee ja velvoittaa yrityksiä to...
Webinaari 30.8.2017 - EU:n tietosuoja-asetus tulee ja velvoittaa yrityksiä to...
 

Plus de Harto Pönkä

Plus de Harto Pönkä (13)

Tietosuoja ja informaatioturvallisuus Euroopassa
Tietosuoja ja informaatioturvallisuus EuroopassaTietosuoja ja informaatioturvallisuus Euroopassa
Tietosuoja ja informaatioturvallisuus Euroopassa
 
Kriittinen tekoälylukutaito, algoritmit ja disinformaatio
Kriittinen tekoälylukutaito, algoritmit ja disinformaatioKriittinen tekoälylukutaito, algoritmit ja disinformaatio
Kriittinen tekoälylukutaito, algoritmit ja disinformaatio
 
Sosiaalisen median katsaus 02/2024
Sosiaalisen median katsaus 02/2024Sosiaalisen median katsaus 02/2024
Sosiaalisen median katsaus 02/2024
 
Toiminta tietoturvaloukkaustapauksissa
Toiminta tietoturvaloukkaustapauksissaToiminta tietoturvaloukkaustapauksissa
Toiminta tietoturvaloukkaustapauksissa
 
Informaatiovaikuttamisen tunnistaminen somessa
Informaatiovaikuttamisen tunnistaminen somessaInformaatiovaikuttamisen tunnistaminen somessa
Informaatiovaikuttamisen tunnistaminen somessa
 
Tietosuoja perusopetuksessa ja toisella asteella
Tietosuoja perusopetuksessa ja toisella asteellaTietosuoja perusopetuksessa ja toisella asteella
Tietosuoja perusopetuksessa ja toisella asteella
 
Twitter taitekohdassa
Twitter taitekohdassaTwitter taitekohdassa
Twitter taitekohdassa
 
Sosiaalinen media, koulu ja opetus
Sosiaalinen media, koulu ja opetusSosiaalinen media, koulu ja opetus
Sosiaalinen media, koulu ja opetus
 
Opetuksen tietosuoja - mikä muuttui?
Opetuksen tietosuoja - mikä muuttui?Opetuksen tietosuoja - mikä muuttui?
Opetuksen tietosuoja - mikä muuttui?
 
Tietosuojavaatimukset markkinointiviestinnässä
Tietosuojavaatimukset markkinointiviestinnässäTietosuojavaatimukset markkinointiviestinnässä
Tietosuojavaatimukset markkinointiviestinnässä
 
Tietoturva hybridityössä
Tietoturva hybridityössäTietoturva hybridityössä
Tietoturva hybridityössä
 
Tietosuoja varhaiskasvatuksessa
Tietosuoja varhaiskasvatuksessaTietosuoja varhaiskasvatuksessa
Tietosuoja varhaiskasvatuksessa
 
Käsittelytoimien luettelo ja tietosuojainformaation vaatimukset
Käsittelytoimien luettelo ja tietosuojainformaation vaatimuksetKäsittelytoimien luettelo ja tietosuojainformaation vaatimukset
Käsittelytoimien luettelo ja tietosuojainformaation vaatimukset
 

Evästystä evästeiden käyttöön + GA:n tämän hetken tulkinta

  • 1. Evästystä evästeiden käyttöön + GA:n tämän hetken tulkinta 13.1.2023 Harto Pönkä Innowise Kuva: Marvin Meyer @Unsplash, 2018
  • 3. Miten evästeet toimivat? Kuva: Harto Pönkä, 10.3.2020 3 2. Selain lähettää Facebookille: tunnuksen + salasanan + selaimen tiedot + sivun tiedot 1. Käyttäjä syöttää tunnuksen ja salasanan 4. Facebook lähettää selaimelle tunnistamisen mahdollistavan evästeen, joka tallentuu laitteen muistiin. 3. Facebook tunnistaa käyttäjän Kuvat, videot, mainokset, upotetut sisällöt, seurantakoodit jne. 5. Selain lähettää evästeen jatkossa aina, kun jotakin ladataan samasta domainista.
  • 4. Käyttäjien verkkotoiminta Facebook kerää tietoa verkkosivuilta, joilla käyttäjät ovat vierailleet mm. evästeiden ja seurantakoodien avulla. Datan avulla voidaan: 1) näyttää mainoksia yrityksiltä, joiden sivuilla olet vieraillut 2) näyttää mainoksia juuri siitä tuotteesta, jota kävit netissä katsomassa 3) kerätä tietoa kiinnostuksen kohteistasi ja toiminnastasi 4) kerätä tietoa yrityksille niiden asiakasprofiileista 4 Kuva: GraphicsSC @ Pixabay (Pixabay license)
  • 5. “ Mainonnan kohteena oleville henkilöille on kerrottava, miksi heille kohdennetaan tietoa, kuka vastaa mainonnasta ja miten he voivat käyttää tietosuojaoikeuksiaan. Jos tietosuojasäännöksiä ei noudateta, kohdennettu mainonta ja profilointi voivat aiheuttaa vakavia riskejä yksityisyyden suojalle ja demokratialle. Cambridge Analytica -tapaus osoitti, että henkilötietojen suojan rikkominen voi vaikuttaa myös muihin perusoikeuksiin, kuten mielipiteenvapauteen ja mahdollisuuteen ajatella vapaasti ilman manipulointia. 5 Lähde: Silloinen tietosuojavaltuutettu Reijo Aarnio, 23.9.2019, https://tietosuoja.fi/-/kohdennettu-poliittinen-mainonta-voi-olla-riski-perusoikeuksille-ja-demokratialle-myos-sosiaalisen-median-kautta-kerattyjen-henkilotietojen-kasittelys
  • 6. Kolmannen osapuolen evästeet: esimerkkinä Google Analytics 2. Selain lähettää Googlelle: selaimen tiedot + sivun tiedot + Googlen evästeet Kuva: Harto Pönkä, 7.4.2022 6 Sivulle ladataan Google Tag Managerin skripti 1 Sivulle ladataan Google Analyticsin skripti 2 Google seuraa kävijän toimintaa sivustolla ja rikastaa sillä tästä kerättyä profiilia 3 Oy-yritys-ab.com 4. Google palauttaa selaimelle kävijäseurantaskriptin ja uudet evästeet 3. Google tunnistaa käyttäjän* ja kerää tiedot 1 *) Käyttäjän ei tarvitse olla kirjautuneena, jos Googlen eväste on jo laitteella. 1. Käyttäjä avaa yrityksen verkkosivun 2 3 5. Kaikki talteen <!-- Global site tag (gtag.js) - Google Analytics --> <script async src="https://www.googletagmanager.com/gtag/js?id=UA- 1234567-8"></script> <script> window.dataLayer = window.dataLayer || []; function gtag(){dataLayer.push(arguments);} gtag('js', new Date()); gtag('config', 'UA-1234567-8'); </script>
  • 7. Yhdellä sivulla voi olla lukuisia http-pyyntöjä eri datankerääjille Esimerkki: Suomiurheilu.com-sivuston request map –kuva, 7.4.2022, tämä kaikki ladataan ennen suostumuksen antoa evästeille. 7
  • 8. Helppo keino tutkia evästeitä selaimessa: F12 → Application → Cookies 8 Kuvakaappaus: Csc.fi (12.1.2023), evästeiden suostumuksen jälkeen
  • 10. Lähde: Chiefmartec, 2020, https://chiefmartec.com/2020/04/marketing-technology-landscape-2020-martech-5000/ Kuvasta on näkyvissä alle 1/4 . Yhteensä 8000 databisneksen yritystä.
  • 11. Tarkista, monenko eri markkinointiyrityksen rekistereissä olet Toinen vastaava palvelu: https://optout.networkadvertising.org/ 11 https://optout.aboutads.info/
  • 13. Mitä on huomioitava evästeiden käytössä? Lisätietoa: Evästeiden suostumus nettisivuilla GDPR:n ja uusien linjausten mukaan, 3.9.2020, https://www.innowise.fi/fi/evasteiden-suostumus-nettisivuilla-uusien-linjausten-mukaan/ 13 • Monet verkkosivut käyttävät evästeitä, esim. – Kirjautuminen sivustolle ja valinnat sivustolla – Google Analyticsin kävijäseurantakoodi – Googlen AdWordsin sivustotagi/markkinointipikseli – Facebook-mainonnan pikseli – Facebookin tykkäysnappula tai kirjautuminen – Chat-palvelujen evästeet • EU:n sähköisen viestinnän tietosuojadirektiivin mukaan käyttäjille 1) tulee kertoa evästeiden käytön tarkoituksesta, 2) annettava mahdollisuus kieltäytyä ei-välttämättömistä evästeistä. • Tietosuojavaltuutetun toimiston v. 2020 päätöksen mukaan ei-välttämättömille evästeille tarvitaan GDPR:n mukainen suostumus. • https://finlex.fi/fi/viranomaiset/tsv/2020/20200561 • Liikenne- ja viestintävirasto Traficom antoi TSV:n linjaa vastaavat uudet evästeohjeet palveluntarjoajille syyskuussa 2021. • https://www.traficom.fi/fi/toimintamme/saantely-ja-valvonta/evasteet • Lisäksi on huomioitava EU:n tietosuojaneuvoston ohjeet suostumuksesta ja läpinäkyvyydestä.
  • 14. Traficom ohjeistus 2021: kysy suostumus ei-välttämättömille evästeille 14 Lähde: Traficom, 2021, Evästeet ja muut käyttäjien päätelaitteille tallennettavat tiedot sekä näiden tietojen käyttö ‒ Opas palveluntarjoajille, https://www.traficom.fi/sites/default/files/media/file/Ev%C3%A4steohjeistus_palveluntarjoajille.pdf ▪ Välttämättömät evästeet ja tiedot → suostumusta ei tarvita ▪ ”Ainoana tarkoituksena toteuttaa viestin välittämistä” tai ” välttämätöntä palvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota käyttäjä on nimenomaisesti pyytänyt” ▪ Käyttäjän kirjautumiseen ja todentamiseen liittyvät evästeet ▪ Käyttäjän valintojen ja syötteiden muistaminen palvelussa ▪ Saavutettavuuteen ja sisältöjen näyttöön liittyvät evästeet ▪ Tietoturvaan liittyvät evästeet (esim. spämmiestot) ▪ Ei-välttämättömät evästeet ja tiedot → pyydä suostumus ▪ Analytiikkaan liittyvät evästeet ▪ Chat-palvelujen evästeet ▪ Sosiaalisen median alustoihin liittyvät evästeet ▪ Kohdennettuun mainontaan ja markkinointiin liittyvät evästeet ▪ Sijainti ja muut päätelaitteesta saatavat tiedot, joita käytetään esim. profilointiin
  • 15. Suostumuksen antaminen GDPR:n mukaan – yleiset periaatteet 15 ▪ Suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu ▪ Suostumusta ei voi antaa: ▪ Vaikenemalla ▪ Valmiiksi rastitetulla ruudulla ▪ Jättämättä jotakin tekemättä ▪ Suostumukset tulee dokumentoida sekä tarkistaa sopivin väliajoin. ▪ Alaikäisen kohdalla suostumuksen antaa huoltaja ▪ Yli 13-vuotias voi antaa itse suostumuksen henkilötietojen käsittelylle tietoyhteiskunnan palveluissa (esim. verkko-, some- ja mobiilipalvelut) ▪ Suostumusta ei tule pyytää, jos henkilötietojen käsittelyyn on muu oikeusperuste (esim. sopimus, rekisterinpitäjän oikeutettu etu tai laki). Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? https://tietosuoja.fi/documents/6927448/9666681/Miten+valmistautua+tietosuoja-asetukseen/
  • 16. Suostumuksen yhteydessä tapahtuva rekisteröidyn informointi 16 ▪ Evästeiden suostumuksessa voidaan käyttää monitasoista rekisteröidyn informointia ▪ 1. taso: evästebanneri/-ilmoitus ▪ 2. taso: tietoa evästeistä-sivu, tietosuojaseloste tms. ▪ Kerro 1. tasolla/evästeilmoituksessa ainakin nämä: ▪ Rekisterinpitäjä ▪ Henkilötietojen käsittelytarkoitukset ▪ Erityisesti käsittely, joka vaikuttaa rekisteröityyn eniten ja joka voi tulla yllätyksenä ▪ Linkki 2. tasolle, esim. tietosuojaselosteelle, jossa muut informoinnin tiedot ▪ Lisätietoa informoinnista TSV:n sivulta: https://tietosuoja.fi/rekisteroidyn-informointi Lähde: Tietosuojatyöryhmä, 2017, Asetuksen 2016/679 mukaista läpinäkyvyyttä koskevat suuntaviivat, 36. kohta, https://tietosuoja.fi/documents/6927448/8316711/L%C3%A4pin%C3%A4kyvyys+fi/c102605b-e386-4661-9b51-bf427875c8db/L%C3%A4pin%C3%A4kyvyys+fi.pdf
  • 17. Evästeistä kerrottavat tiedot 17 Lähde: Traficom, 2021, Evästeet, https://www.traficom.fi/fi/toimintamme/saantely-ja-valvonta/evasteet ▪ Kerro kaikkien evästeiden käytöstä: välttämättömistä ja ei-välttämättömistä ▪ Evästeet ovat pieniä laitteelle tallennettavia tekstitiedostoja… ▪ Kerro suostumuksen yhteydessä ei-välttämättömistä: ▪ Evästeiden ja muiden tekniikoiden käytöstä selkeästi ▪ Evästeiden ja muiden tekniikoiden käyttötarkoitus ja voimassaoloaika ▪ Millä kolmansilla osapuolilla on oikeus käsitellä evästetietoja ▪ Mikään laki tai asetus ei vaadi monimutkaisia evästevalintoja
  • 18. Evästebanneri ei saa estää sivuston käyttöä Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf 18
  • 19. VR, https://www.vr.fi/ (12.1.2023) Sivustoa ei pääse käyttämään vastaamatta evästebanneriin, mutta se sisältää todellisen valintamahdollisuuden kieltää ei-välttämättömät evästeet. 19 RAJATAPAUS
  • 20. Palvelun käytön jatkaminen ei ole suostumusta osoittava teko EI NÄIN: Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf, alempi kuvakaappaus: OPH, https://www.oph.fi/fi/tietosuoja (15.11.2021) 20
  • 21. Selvät kyllä- ja ei-vaihtoehdot EI NÄIN: Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf, alempi kuvakaappaus: Microsoft Edge –selaimen aloitussivu (15.11.2021) 21
  • 22. Älä yritä saada suostumusta ns. pimeillä suunnittelumalleilla (dark patterns) Kuvakaappaus: Yle Areena, https://areena.yle.fi/tv (15.11.2021) Lähde: EDPB Guidelines 3/2022, https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-32022-dark-patterns-social-media_en 22 1. Ylikuormittaminen = käyttäjät kohtaavat ison määrän pyyntöjä, tietoja, vaihtoehtoja tai mahdollisuuksia. 2. Ohittaminen = käyttäjät eivät ajattele kaikkia tai osaa tietosuojanäkökohdista. 3. Sekoittaminen = vedotaan käyttäjän tunteisiin tai harhautetaan visuaalisesti. 4. Estäminen = käyttäjien tiedonsaantia tai tietojen hallintaa estetään tekemällä toiminnoista vaikeita. 5. Oikullinen = käyttöliittymän rakenne on epäjohdonmukainen ja epäselvä, minkä vuoksi käyttäjän on vaikea navigoida ja ymmärtää toimintojen tarkoituksia. 6. Pimeyteen jättäminen = käyttöliittymä on suunniteltu piilottamaan tiedot tai jättämään käyttäjät epävarmoiksi.
  • 23. Suostumuksen ja sen perumisen on oltava yhtä helppoa ▪ Älä käske käyttäjää säätämään asetuksiaan esim. Googlen tai Facebookin palvelussa Lähde: Europan tietosuojaneuvosto EDPB, 2020, Asetuksen 2016/679 mukaista suostumusta koskevat suuntaviivat 05/2020, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fi.pdf 23
  • 24. Esimerkki: Innowise CMS:n suostumusten hallinta 24 2. Suostumus tallentuu sivuston tietokantaan (sisältö, IP-osoite, aika) 3. Suostumus tallentuu selaimen evästeeseen (eväste-ID) Peru suostumus Vierailija voi halutessaan perua suostumuksen, jolloin se poistetaan tietokannasta ja evästeestä 4. Ladataan kolmansien osapuolten seuranta- skriptit ja evästeet Ylläpitäjä voi katsoa saadut suostumukset iw_consent Tarvittaessa sähköposti-ilmoitus ylläpitäjälle Sivuston vierailijat 1. Ilmoitus evästeistä näytetään, jos: - siihen ei ole vielä saatu vastausta - sen sisältö on muuttunut - vierailija avaa sen itse uudestaan
  • 25. Innowise CMS:n evästeiden suostumus täyttää GDPR:n ja ePrivacyn vaatimukset 25 Vaatimus tai suositus Toteutuminen Käyttäjälle on kerrottava selkeästi tietojen käsittelyn tarkoituksesta. √ Käyttäjälle on annettava oikeus kieltää tietojen käsittely ja tallentaminen laitteelle. √ Palvelun välttämättömälle tietojen käsittelylle ei tarvitse olla kieltomahdollisuutta. √ Ei-välttämättömille evästeille tarvitaan yhtä "vahva" GDPR:n mukainen suostumus kuin henkilötietojen käsittelylle. √ Suostumukset dokumentoidaan GDPR:n osoitusvelvollisuuden mukaisesti. √ Evästeiden käytöstä kieltäytyminen ei saa aiheuttaa käyttäjälle haittaa. √ Suostumuksesta kieltäytyminen tai sen peruminen tulee olla yhtä helppoa kuin sen anto. √ Suostumuksen peruminen tulee olla mahdollista rekisterinpitäjän omassa palvelussa. √ Palvelua on päästävä käyttämään myös ilman evästeiden hyväksyntää. √ Tieto suostumuksen perumisesta voidaan säilyttää tarvittavan ajan (vahingonkorvausvastuun vanhentumisajan 3 vuotta). √ (tarvittaessa) Lisätietoa: Evästeiden suostumus nettisivuilla GDPR:n ja uusien linjausten mukaan, 3.9.2020, https://www.innowise.fi/fi/evasteiden-suostumus-nettisivuilla-uusien-linjausten-mukaan/
  • 27. YouTube-videoiden upotukset sisältävät ei-välttämättömiä evästeitä ▪ Oletuksena YouTube-videon upotuskoodi käyttää Googlen seuranta- ja markkinointievästeitä, joita ei saisi ladata ilman käyttäjän suostumusta ▪ Yksinkertainen ratkaisu: muuta upotuskoodista youtube.com → youtube-nocookie.com 27 <iframe width="560" height="315" src="https://www.youtube.com/embed/fZ4KR7OHXF0" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe> <iframe width="560" height="315" src=" https://www.youtube-nocookie.com/embed/ fZ4KR7OHXF0" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
  • 28. Pitääkö Google Analytics –kävijäseurannalle pyytää suostumus? Lähteet: Google Analyticsin käyttöehdot, https://marketingplatform.google.com/about/analytics/terms/fi/, Google analyticsin ohjeet, https://support.google.com/analytics/answer/6004245?hl=fi, Miten Google käyttää dataa: https://policies.google.com/technologies/partner-sites, Lisätietoa: https://www.cpomagazine.com/data-privacy/the-case-against-google-analytics-for-organizations-collecting-personal-data/ 28 ▪ Google Analyticsin dataa (eväste, IP, selaintiedot) käytetään mm. mainosten kohdentamiseen. ▪ Käyttöehdot edellyttävät kertomaan seurannasta. ▪ Ehdot vaativat suostumuksen pyytämistä evästeille, ”kun laki edellyttää”. ▪ Google on Google Analyticsin datan käsittelijä. Tämä on otettava huomioon tietosuojaselosteessa. ▪ Googlen datansiirroista on tehty useita valituksia.
  • 29. Ranskan valvontaviranomaisen päätös Google Analyticsistä (10.2.2022) 29 ▪ Euroopan tietosuojaviranomaisten päätöksen mukaan Google Analytics -palvelun käyttö rikkoi GDPR:ää. ▪ Googlen suojatoimet henkilötietojen siirroille Google Analyticsin kautta eivät ole riittäviä, eivätkä estä Yhdysvaltojen tiedustelupalvelun pääsyä tietoihin. ▪ Google Analyticsin käyttö aiheuttaa tämän vuoksi riskin verkkosivuston käyttäjille, joiden tietoja kerätään ja siirretään Yhdysvaltoihin. ▪ Ranskan valvontaviranomainen (CNIL) on määrännyt ranskalaisen verkkosivuston saattamaan henkilötietojen käsittelynsä tietosuoja-asetuksen mukaiseksi ja tarvittaessa lopettamaan Google Analyticsin käytön. ▪ Taustalla on EU-tuomioistuimen heinäkuussa 2020 antama Schrems II -päätös, jossa se katsoi, että siirrettävillä henkilötiedoilla on riski päätyä Yhdysvaltojen tiedustelupalvelun käsiin, ellei tiedonsiirtoja suojata asianmukaisesti. Lähde: TSV, 11.2.2022, https://tietosuoja.fi/-/euroopan-tietosuojaviranomaiset-ovat-todenneet-google-analyticsin-kayton-verkkosivuilla-tietosuojalainsaadannon-vastaiseksi Kuva: Jack-in-the-box.jpg, Wikimedia Commons, public domain, https://commons.wikimedia.org/wiki/File:Jack-in-the-box.jpg
  • 30. Korjaako Googlen suostumustila (consent mode) Analyticsin GDPR-yhteensopivuuden? 30 ▪ Suostumustila vaikuttaa vain siihen, mihin Googlen tuotteisiin dataa kerätään. Joka tapauksessa data menee Googlelle. ▪ Jos suostumustila otetaan käyttöön, se tekee evästeiden suostumuksesta monimutkaisemman lisäämällä evästeasetukset. ▪ Harva kävijä todellisuudessa on kiinnostunut säätämään evästeasetuksia erikseen kävijäseurannalle, konversioille ja muulle markkinointiprofiloinnille. → Ei todellista hyötyä tietosuojaan Kuvakaappaus: Google Analytics Ohjeet, 7.4.2022, https://support.google.com/analytics/answer/9976101?hl=fi
  • 31. Vaihtoehto Google Analyticsille: Matomo GDPR:n myötä yhä useampi organisaatio etsii vaihtoehtoja Google Analyticsille, jotka eivät ole yhteydessä nettijättien mainosalustoihin. ▪ Matomo Analytics, https://matomo.org/ ▪ Saatavissa hostattuna sekä omalle palvelimelle asennettavana  ilmainen ▪ Monipuoliset raportit ja ominaisuudet ▪ Mahdollistaa seurannan ilman evästeitä, jolloin suostumusta ei tarvita ▪ Evästeetön seuranta tunnistaa myös palaavat vierailijat 24 h:n aikana ▪ Käyttäjäkohtainen raakadata poistetaan automaattisesti raporttien muodostamisen jälkeen ▪ IP-osoitteista voidaan poistaa 2 viimeistä tavua tai enemmän Lisätietoa vaihtoehdoista esim. https://hooshmand.net/privacy-focused-alternative-to-google-analytics/ 31
  • 32. Voidaanko luottaa, ettei Google käytä reCaptchan tietoja profilointiin? Täyttääkö evästeiden minimivaatimukset? ▪ Rekisterinpitäjä/käsittelijä: käy ilmi linkeistä ▪ Käyttötarkoitus: käy selvästi ilmi ▪ Seuraa käyttäjän toimintaa sivulla ja kerää tietoa ▪ Google on vakuuttanut, ettei se käytä reCaptchasta kertyviä tietoja profilointiin, mutta voidaanko luottaa? ▪ Eväste luodaan vasta, kun klikkaa robottitarkistuksesta ▪ Näyttäisi sisältyvän Traficomin ohjeistuksessa välttämättömiin evästeisiin, mutta osin epäselvä ▪ Suostumusta ei kysytä, mutta voitaisiinko klikkaus tulkita sellaiseksi, jos katsotaan ei-välttämättömäksi? Linkit: ▪ Tietosuoja: https://policies.google.com/privacy?hl=fi ▪ Ehdot: https://policies.google.com/terms?hl=fi → Saisi käyttää tietoja muuhunkin tarkoitukseen?! 32
  • 33. Vaihtoehto Googlen reCaptchalle: hCaptcha ▪ Selkeä tietosuojan kuvaus ja henkilötietojen käsittelyn sopimus ▪ Ei kerää tunnistetietoja loppukäyttäjistä ▪ Tehty niin, että vaihto Googlen reCaptchasta on mahdollisimman helppoa ▪ Lisätietoa: https://www.hcaptcha.com/ 33
  • 34. Entäpä web-fontit? ▪ Googlen fonttien lataukseen ei käytetä evästeitä, mutta ne tallentuvat käyttäjän laitteelle (vrt. ePrivacy) ▪ Google kertoo keräävänsä rajallisesti tietoja palvelun kehittämistä ja turvallisuutta varten ▪ Myös fonttien yhteydessä Google viittaa yleisiin tietosuojakäytäntöihinsä, jotka antaisivat sille oikeuden kerätä muitakin tietoja sivustojen vierailijoista ▪ Emme todella tiedä, käyttääkö Google fontteja datankeruuseen → Ratkaisu: asenna fontit sivuston palvelimelle Kuvakaappaus: https://fonts.google.com/?category=Serif,Sans+Serif,Handwriting&subset=latin- ext&preview.text=Ulkopuolinen%20webfontti%20on%20sivustollanne%20ennen%20kuin%20huomaatkaan...&preview.text_type=custom (8.12.2021) 34
  • 35. Asentaisitko kiinalaisen vakoiluskriptin nettisivustollenne? Lähteet & lisätietoa: https://ads.tiktok.com/help/article?aid=10021, https://ads.tiktok.com/help/article?aid=9663 35