GDPR on tietosuojasääntelyn maailmanlaajuinen mittapuu. Vaikka se on EU:n laki, se koskee jokaista yritystä, jolla on EU:sta tulevia kävijöitä. Analytiikan osalta GDPR on selkeä: tarvitset nimenomaisen suostumuksen ennen useimman käyttäjän käyttäytymisen seurantaa, sinun pitää dokumentoida oikeusperusteesi ja sinun pitää kunnioittaa käyttäjien oikeutta saada pääsy tietoihinsa ja poistaa ne. GDPR:n ymmärtäminen on perusta vaatimustenmukaiselle analytiikalle kaikkialla maailmassa.
GDPR:n keskeiset vaatimukset analytiikalle
GDPR määrittelee henkilötiedot laajasti: kaikki, mikä voi tunnistaa henkilön suoraan tai epäsuorasti. IP-osoite on henkilötieto. Yksilöllinen eväste on henkilötieto. Sähköpostiosoitteet, puhelinnumerot ja tunnisteet kuuluvat kaikki GDPR:n piiriin. Analytiikassa tämä tarkoittaa, että lähes kaikki seuranta aktivoi GDPR:n vaatimukset.
Suostumusvaatimus
GDPR edellyttää nimenomaista, tietoon perustuvaa suostumusta ennen useimpien henkilötietojen keräämistä. Tämä tarkoittaa: käyttäjän pitää aktiivisesti hyväksyä (ei vain jättää kieltäytymättä), hänen pitää ymmärtää, mihin hän suostuu (ei piilotettuna lakikieleen) ja suostumuksen pitää olla vapaaehtoinen (ei pakotettu). Analytiikassa tämä tarkoittaa yleensä evästebanneria, joka selittää selkeästi, mitä seurantaa teet, ja saa aktiivisen "Hyväksyn"-klikkauksen.
Suostumus on yleisin oikeusperuste analytiikalle GDPR:n mukaan. Jotkin yritykset vetoavat sen sijaan "oikeutettuun etuun", mutta tuomioistuimet ovat rajanneet sitä merkittävästi. Useimmissa analytiikan käyttötapauksissa oleta, että tarvitset suostumuksen.
Oikeutettu etu vaihtoehtona
Jotkin analytiikan tarkoitukset, kuten petosten havaitseminen, sivuston tietoturva ja perustason suorituskyvyn seuranta, voivat olla sallittuja "oikeutetun edun" perusteella ilman nimenomaista suostumusta. Oikeutettu etu edellyttää kuitenkin: liiketoiminnan tarpeen pitää olla aito, datan keruun pitää olla oikeasuhtaista tähän tarpeeseen nähden, eikä käyttäjien tietosuojaoikeuksien saa painaa enemmän kuin etusi. Useimmat analytiikkatavat eivät läpäise tätä testiä. Oleta, että tarvitset suostumuksen useimmalle seurannalle.
Tietojenkäsittelysopimus
Jos käytät kolmannen osapuolen analytiikkatyökalua (kuten Google Analyticsia), tarvitset kyseisen toimittajan kanssa tietojenkäsittelysopimuksen (DPA). DPA vahvistaa, että toimittaja on tietojesi käsittelijä, ei itsenäinen rekisterinpitäjä. Ilman DPA:ta voit joutua vastuuseen toimittajan käytännöistä. Sen kanssa vastuu on selkeästi määritelty.
Käyttäjän oikeudet GDPR:n mukaan
GDPR antaa yksilöille kuusi pääoikeutta, jotka vaikuttavat analytiikkaan: oikeus tietää, mitä dataa pidät (tarkastusoikeus), oikeus oikaista virheelliset tiedot, oikeus poistaa tiedot (oikeus tulla unohdetuksi), oikeus rajoittaa käsittelyä, oikeus siirtää tiedot järjestelmästä toiseen ja oikeus vastustaa käsittelyä.
Tarkastusoikeus
Käyttäjät voivat pyytää kaikkia heistä pitämiäsi tietoja. Sinun pitää vastata 30 päivän kuluessa täydellisellä kopiolla. Analytiikassa tämä tarkoittaa, että tarvitset järjestelmät, joilla yksittäisen käyttäjän tiedot voi hakea ja raportoida. Jos analytiikkasi on tallennettu tavalla, jota on vaikea hakea, sinulla on GDPR-vaatimustenmukaisuusongelma.
Oikeus tulla unohdetuksi
Käyttäjät voivat pyytää tietojensa poistamista. Sinun pitää noudattaa pyyntöä 30 päivän kuluessa (joitakin poikkeuksia lakisääteisistä velvoitteista lukuun ottamatta). Analytiikassa tämä tarkoittaa, että tarvitset kyvyn poistaa yksittäisten käyttäjien tietueet. Jos analytiikkadatasi on koottua tai anonymisoitua, tämä on helpompaa. Jos se on sidottu yksittäisiin henkilöllisyyksiin, tarvitset käyttöön poistojärjestelmät.
Vastustamisoikeus
Käyttäjät voivat vastustaa tietojensa mitä tahansa käsittelyä. Sinun pitää lopettaa (ellei sinulla ole pakottavaa oikeudellista syytä jatkaa). Analytiikassa tämä tarkoittaa, että tarvitset helpon tavan, jolla käyttäjät voivat kieltäytyä seurannasta. Kieltäytymisen pitää olla yhtä helppoa kuin suostumuksen antamisen.
GDPR-vaatimustenmukaisuus käytännössä
GDPR-vaatimustenmukaisuus analytiikassa edellyttää: selkeää, helposti löydettävää tietosuojaselostetta; evästebanneria, joka pyytää nimenomaista suostumusta ennen seurantaa; tietojenkäsittelysopimusta analytiikkatoimittajasi kanssa; järjestelmiä, joilla vastaat käyttäjien tarkastus- ja poistopyyntöihin 30 päivän kuluessa; sekä käyttäjien mahdollisuutta perua suostumus milloin tahansa.
Yleisiä GDPR-rikkomuksia analytiikassa
Valmiiksi rastitetut suostumusruudut: Käyttäjän pitää aktiivisesti klikata suostumus. Valmiiksi rastitettu ruutu ei ole pätevä suostumus.
Niputettu suostumus: Käyttäjien pitää antaa analytiikalle erillinen suostumus. Et voi yhdistää suostumusta analytiikkaan, markkinointiin ja muihin tarkoituksiin yhdeksi valitsimeksi.
Ei toimittajasopimuksia: Kolmannen osapuolen analytiikkatyökalun käyttö ilman DPA:ta on rikkomus. Toimittajan käytännöt ovat sinun vastuullasi.
Ei kieltäytymismahdollisuutta: Jos seuranta edellyttää suostumusta, käyttäjillä pitää olla selkeä tapa kieltäytyä. Piilotetut kieltäytymislinkit eivät kelpaa.
Mahdoton poisto: Datan poistamisen lupaaminen ilman järjestelmiä sen toteuttamiseen on rikkomus. Poiston pitää olla teknisesti mahdollinen.
GDPR ja tietosiirrot
GDPR rajoittaa EU:ssa asuvien henkilöiden tietojen siirtämistä EU:n ulkopuolelle, ellei vastaavasta suojasta ole huolehdittu. Jos analytiikkatoimittajasi tallentaa dataa Yhdysvalloissa, tarvitset oikeudellisen mekanismin (vakiolausekkeet, sitovat yrityssäännöt), jotta siirto täyttää GDPR:n vaatimukset. Tämä on analytiikkatiimien yleinen kipukohta. Monet yhdysvaltalaiset työkalut tarjoavat nykyään EU-palvelimia tai takuun datan säilymisestä EU:ssa tämän ratkaisemiseksi.
Miten GDPR-suostumus eroaa oikeutetusta edusta? Miksi analytiikassa ei kannata nojata oikeutettuun etuun?
Suostumus on nimenomainen myöntyminen. Oikeutettu etu tarkoittaa väitettä, että liiketoimintatarpeesi painavat enemmän kuin tietosuojahuolet. Tuomioistuimet ovat rajanneet oikeutettua etua, koska yritykset käyttivät sitä väärin. Analytiikassa: sivunäyttöjen seuranta suorituskykyä varten voi kelvata oikeutetuksi eduksi. Yksityiskohtainen käyttäytymisen seuranta todennäköisesti ei. EU:n viranomaiset sanovat: jos kyse on markkinoinnista tai käyttäytymisanalytiikasta, hanki suostumus. Älä oleta, että oikeutettu etu toimii. Turvallinen tapa: kohtele analytiikkaa suostumusta vaativana.
Mitä selkeä selitys evästebannerissa oikeasti tarkoittaa?
Selkeä tarkoittaa luettavaa arkikieltä, ei lakikieltä. Täsmällinen tarkoittaa, että kerrot, mitä seuraat, et käytä epämääräisiä ilmauksia kuten "parannamme kokemustasi". Esimerkki epämääräisestä: "Käytämme analytiikkaevästeitä." Esimerkki selkeästä: "Käytämme Google Analyticsia mittaamaan sivukäyntejä, painikeklikkauksia ja sivulla vietettyä aikaa sivuston parantamiseksi." Kerro: työkalun nimi, mitä se kerää, miksi keräät sitä, säilytysaika ja jaatko sitä kolmansille osapuolille. Testi: ymmärtäisikö ei-tekninen henkilö, mitä seuraat, ilman että hänen tarvitsee klikata tietosuojaselosteeseesi? Jos kyllä, se on riittävän selkeä.
Tarvitsenko DPA:n Google Analyticsin kanssa vai vain erikoistuneiden toimittajien kanssa?
Tarvitset DPA:n jokaisen henkilötietoja käsittelevän työkalun kanssa. Google Analytics käsittelee henkilötietoja (IP-osoitteet, istunnot, käyttäjätunnukset), joten kyllä. Google tarjoaa DPA:n automaattisesti käyttöehtojensa kautta. Tarkista: kirjaudu Google Analyticsiin ja varmista, että olet hyväksynyt tietojenkäsittelyä koskevan lisäehdon. Erikoistuneet analytiikkatoimittajat käsittelevät myös henkilötietoja, joten tarvitset DPA:t myös niiden kanssa. Useimmat tarjoavat DPA:n käyttöehdoissaan tai erillisenä asiakirjana. Sääntö: jos toimittaja käsittelee henkilötietoja, tarvitset DPA:n. Jos et saa sellaista, älä käytä toimittajaa.
Mikä ero on vakiolausekkeilla ja riittävyyspäätöksillä?
Molemmat ovat mekanismeja, joilla EU-dataa voi siirtää laillisesti EU:n ulkopuolelle. Riittävyyspäätös tarkoittaa, että EU on todennut maalla olevan vastaavan tietosuojan (Yhdysvalloilla ei ole sellaista). Vakiolausekkeet (SCC) ovat sopimuksia toimittajien kanssa, jotka sitovat heidät EU:n standardeihin. Käytännön ero: riittävyyspäätökset ovat yksinkertaisempia, vakiolausekkeet edellyttävät sopimuksia. Analytiikassa useimmat toimittajat (myös Google) tarjoavat vakiolausekkeet DPA:issaan. Varmista toimittajaltasi: tarjoavatko he vakiolausekkeet EU-datan siirtoihin? Jos kyllä, käytä niitä. Jos ei, käytä vain toimittajia, jotka tallentavat datan EU:ssa.
Jos saan tietojen tarkastuspyynnön, mitä analytiikasta täsmälleen pitää antaa?
Kaiken, mitä sinulla on kyseisestä henkilöstä, luettavassa muodossa. Google Analyticsista: kaikki istunnot ja tapahtumat (jos seuraat käyttäjätunnuksia) tai istuntotunnukset. Sisällytä: päivämäärät, katsotut sivut, laukaistut tapahtumat, sivulla vietetty aika ja kaikki henkilötiedot (nimet, sähköpostit). Muista järjestelmistä: lämpökartat, istuntotallenteet, käyttäytymisseuranta. Vie PDF- tai HTML-muodossa, älä raakoina tietokantavedoksina. Käyttäjän pitää ymmärtää se ilman teknistä osaamista. Jos et pysty hakemaan yksittäisen käyttäjän dataa helposti, sinulla on GDPR-ongelma. Useimmat alustat sallivat käyttäjäkohtaisen viennin. Jos omasi ei salli, vaihda alustaa tai rakenna oma vienti.
Kilpailijallani ei ole evästebanneria ja se seuraa käyttäjiä. Miten se noudattaa GDPR:ää?
Syitä voi olla: (1) Se ei oikeasti noudata GDPR:ää ja toivoo, ettei viranomainen huomaa (riskialtista). (2) Se väittää seurantansa olevan oikeutettua etua (tuomioistuimet epäilevät). (3) Se seuraa vain anonymisoitua tai koottua dataa (suostumusta ei tarvita). (4) Se seuraa vain välttämättömiä evästeitä (kirjautuminen, CSRF, suostumusta ei tarvita). (5) Se toimii alueella, jolla GDPR:n valvonta on heikkoa. Totuus: monet rikkovat GDPR:ää eivätkä jää koskaan kiinni. Riski on silti todellinen: yksi valitus käynnistää tutkinnan ja sakot. Fiksu tapa: oleta, että GDPR koskee sinua, jos sinulla on EU-kävijöitä, toteuta suostumus kunnolla äläkä luota kilpailijoiden vaatimustenvastaisuuteen.