CRM:n seurantakoodi, evästeet ja sähköpostin avausseuranta: mitä Suomessa vaaditaan

Moni CRM ja markkinoinnin automaatio tarjoaa seurantakoodin, joka asennetaan yrityksen verkkosivulle. Se tunnistaa palaavat kävijät, liittää käynnit kontakteihin ja näyttää, mitä sivuja liidi on lukenut. Koodi tallentaa yleensä evästeitä tai vastaavia tunnisteita kävijän laitteelle. Sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:n mukaan tällainen tallentaminen ja käyttö on sallittua vain käyttäjän suostumuksella, paitsi jos se on välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi. Traficomin evästeohjeistuksen mukaan analytiikka- ja markkinointievästeet eivät ole välttämättömiä. Tämä opas kertoo, mitä se tarkoittaa CRM:n asetuksissa. Kokonaisuus on oppaassa Miksi CRM jää käyttämättä.

Mitä 205 § sanoo

Lain 205 §:n mukaan evästeiden tai muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja niiden käyttö on sallittua, jos käyttäjä on antanut siihen suostumuksensa ja palvelun tarjoaja antaa ymmärrettävät ja kattavat tiedot tarkoituksesta. Suostumusta ei tarvita, kun tallentamisen ainoa tarkoitus on viestin välittäminen viestintäverkossa tai kun se on välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi.

Traficomin evästeohjeistus pähkinänkuoressa

Traficomin Kyberturvallisuuskeskuksen ohjeistus palveluntarjoajille on ollut voimassa 13.9.2021 alkaen. Sen keskeiset linjaukset:

Linjaus	Mitä se tarkoittaa CRM:n seurantakoodille
Analytiikka- ja markkinointievästeet eivät ole välttämättömiä	CRM:n kävijäseuranta vaatii suostumuksen
Oikeutettu etu ei ole peruste evästeille	GDPR:n oikeutettu etu ei korvaa suostumusta
Selaimen asetukset tai sivuston käytön jatkaminen eivät ole suostumus	"Jatkamalla hyväksyt" -banneri ei riitä
Valmiiksi valittuja ruutuja tai päälle kytkettyjä valintoja ei saa käyttää	Oletuksena seuranta pois päältä
Kieltäytymisen on oltava helppoa	Hylkää-valinta yhtä helposti kuin hyväksy
Suostumuksen peruminen on oltava yhtä helppoa	Asetukset avattavissa uudelleen esimerkiksi linkistä

Traficom valvoo evästesäännöksiä, mutta ohjeistuksen mukaan se ei voi määrätä evästerikkomuksista seuraamusmaksuja. Kun evästeillä kerätään henkilötietoja, toimivaltainen viranomainen henkilötietojen osalta on tietosuojavaltuutettu. Lue ajantasainen ohje Kyberturvallisuuskeskuksen sivuilta.

CRM:n seurantakoodin asetukset

Tarkista CRM:n ja evästebannerin asetuksista:

Seurantakoodi latautuu vasta suostumuksen jälkeen. Koodin pitää olla sidottu suostumuksenhallintaan niin, ettei se aseta evästeitä ennen hyväksyntää.
Kategoriat ovat oikein. CRM:n seuranta kuuluu markkinointi- tai analytiikkakategoriaan, ei välttämättömiin.
Lomakkeet toimivat ilman seurantaa. Yhteydenottolomakkeen lähettäminen ei saa edellyttää markkinointievästeiden hyväksymistä.
Chat-ikkuna: jos chat asettaa seurantaevästeitä, tarkista, voiko sen ladata vasta, kun kävijä avaa chatin.
Evästeseloste kertoo, mikä palvelu evästeen asettaa, mihin tarkoitukseen ja kuinka kauan se säilyy.
Tietosuojaseloste mainitsee CRM-toimittajan vastaanottajana ja mahdolliset siirrot EU:n ulkopuolelle.

Sähköpostin avausseuranta ja linkkien seuranta

CRM ja markkinoinnin automaatio seuraavat usein sähköpostien avauksia näkymättömällä kuvalla (seurantapikseli) ja linkkien klikkauksia uudelleenohjauksella. Pikseli on tekniikka, joka hakee tietoa vastaanottajan laitteelta. Euroopan tietosuojaneuvoston (EDPB) suuntaviivat 2/2023 sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohdan teknisestä soveltamisalasta (versio 2.0, hyväksytty 7.10.2024) käsittelevät sähköpostin seurantapikseleitä ja seurantalinkkejä kohdassa 3.1 ja katsovat, että säännös, jonka Suomessa panee täytäntöön 205 §, soveltuu niihin. Suuntaviivat eivät ole sitovia, eivätkä ne ota kantaa siihen, milloin suostumuspoikkeus soveltuu; Suomessa tapauskohtainen tulkinta kuuluu valvoville viranomaisille. Varovainen käytäntö pienyritykselle:

kerro tietosuojaselosteessa ja uutiskirjeen tilauksessa, että avauksia ja klikkauksia seurataan
pyydä uutiskirjeen tilauksen yhteydessä erillinen suostumus myös avaus- ja klikkausseurantaan; jos suostumusta ei ole, lähetä viestit ilman seurantaa
älä tee yksittäisestä avauksesta johtopäätöksiä, joiden perusteella henkilöä kohdellaan eri tavalla ilman perustetta
tarkista CRM:stä, voiko seurannan kytkeä pois kontaktikohtaisesti.

Tarkista ajantasainen tulkinta tietosuojavaltuutetun toimistosta ja Kyberturvallisuuskeskuksesta. Avausluvut ovat lisäksi epätarkkoja, koska osa sähköpostiohjelmista lataa kuvat automaattisesti ja osa estää ne.

Kävijätunnistus ja yritystietopalvelut

Osa työkaluista tunnistaa verkkosivun vierailijan yrityksen IP-osoitteen perusteella ja näyttää myyjälle, mistä yrityksistä on käyty. Yrityksen nimi ei sinänsä ole henkilötieto, mutta IP-osoite ja selaintunnisteet voivat olla. Jos työkalu käyttää evästeitä tai vastaavia tunnisteita, sovelletaan 205 §:ää. Tarkista käsittelysopimus ja se, mitä tietoja palvelu tallentaa.

Kustannusvaikutus

Suostumusvaatimus vaikuttaa CRM:n hyötyihin ja hintaan:

Seurattujen kävijöiden määrä pienenee, koska osa hylkää evästeet. Älä laske takaisinmaksua oletuksella, että kaikki kävijät tunnistetaan.
Suostumuksenhallinta voi maksaa erikseen, jos sitä ei ole verkkosivualustassa. Havainnollisesti suostumuksenhallintapalvelut maksavat ilmaisesta muutamiin kymmeniin euroihin kuukaudessa.
Integraatiotyö: seurantakoodin sitominen bannerin valintoihin vaatii usein verkkosivutoimittajan työtä.

Kirjaa nämä kolmen vuoden kustannusarvion kertakuluihin ja toistuviin kuluihin.

Esimerkki: pienyrityksen verkkosivu (havainnollinen)

Konsulttitoimiston sivulla on CRM:n seurantakoodi, yhteydenottolomake ja chat. Korjattu toteutus:

Elementti	Ennen	Jälkeen
Seurantakoodi	Latautuu heti	Latautuu markkinointisuostumuksen jälkeen
Banneri	"Jatkamalla hyväksyt"	Hyväksy kaikki / Hylkää / Asetukset
Lomake	Vaatii markkinointievästeet	Toimii ilman niitä
Chat	Latautuu heti	Latautuu, kun kävijä avaa sen
Uutiskirjeen tilaus	Valmiiksi rastitettu	Tyhjä valintaruutu ja selite

Suostumusten dokumentointi

Suostumus on voitava osoittaa jälkikäteen. Suostumuksenhallinnan työkalun pitäisi tallentaa ainakin

milloin suostumus annettiin tai sitä muutettiin
mihin kategorioihin se annettiin
bannerin versio ja kieli, joka kävijälle näytettiin.

Kun sivustolle lisätään uusi seurantakoodi tai evästeiden tarkoitus muuttuu, bannerin tiedot päivitetään ja suostumus pyydetään tarvittaessa uudelleen. Tee tarkistus vähintään kerran vuodessa: avaa sivusto uudessa selainikkunassa, hylkää kaikki valinnaiset evästeet ja tarkista selaimen kehittäjätyökaluista, ettei CRM:n tai mainospalvelujen tunnisteita tallennu. Tarkistus kannattaa tehdä myös aina, kun verkkosivu uudistetaan tai CRM vaihtuu.

Usein kysytyt kysymykset

Tarvitaanko evästebanneri, jos sivulla on vain CRM:n lomake?

Jos lomake asettaa vain toiminnan kannalta välttämättömiä tunnisteita, suostumusta ei tarvita. Jos lomakkeen mukana latautuu seurantakoodi, tarvitaan.

Voiko seurantatiedot yhdistää kontaktiin?

Kun kävijä on antanut suostumuksen ja tietosuojaseloste kertoo yhdistämisestä, yleensä voi. Yhdistäminen on henkilötietojen käsittelyä, ja sille tarvitaan GDPR:n mukainen peruste.

Kuka vastaa, jos CRM-toimittajan koodi asettaa evästeitä ilman suostumusta?

Verkkosivun ylläpitäjä vastaa sivustaan. Tarkista koodin toiminta itse tai verkkosivutoimittajan kanssa.

Saako evästeitä hylänneen kävijän tunnistaa lomakkeen lähettämisen jälkeen?

Kun kävijä lähettää lomakkeen, hän antaa tiedot itse, ja niiden käsittelyyn sovelletaan GDPR:ää. Lomakkeen tietoja saa tallentaa CRM:ään yhteydenoton hoitamiseksi. Sen sijaan aiempaa selailuhistoriaa ei pidä yhdistää kontaktiin, jos se on kerätty ilman evästesuostumusta.

Lähteet

Kyberturvallisuuskeskus (Traficom) – evästeohjeistus palveluntarjoajille
Finlex – laki sähköisen viestinnän palveluista 917/2014, 205 §
Tietosuojavaltuutetun toimisto – henkilötiedot ja seuranta
Euroopan tietosuojaneuvosto – seurantateknologioita koskevat suuntaviivat