Onko Google Analytics laillinen?

Kyllä. Google Analyticsia voi käyttää EU:ssa laillisesti, kun se on konfiguroitu oikein. Käytännössä tämä tarkoittaa GA4:ää, suostumuksen keräämistä ennen mittausta, Consent Mode v2:ta ja sitä, että tiedonsiirto Yhdysvaltoihin nojaa EU:n ja USA:n tietosuojakehykseen (Data Privacy Framework). Työkalu itsessään ei ole laillinen tai laiton, käyttötapa ratkaisee.

Miksi Google Analyticsin laillisuutta alettiin epäillä

EU-tuomioistuin kaatoi heinäkuussa 2020 Privacy Shield -järjestelyn (Schrems II -päätös), johon henkilötietojen siirto Yhdysvaltoihin oli siihen asti nojannut. Sen jälkeen siirroille ei ollut selkeää oikeusperustaa, ja Yhdysvaltain tiedusteluviranomaisten pääsy eurooppalaisten tietoihin nousi keskusteluun.

Vuonna 2022 muun muassa Itävallan ja Ranskan tietosuojaviranomaiset katsoivat, että silloisen Google Analyticsin eli Universal Analyticsin käyttö rikkoi GDPR:ää. Perustelu oli, että evästetunnisteet ja IP-osoitteet ovat henkilötietoja ja ne siirtyivät Yhdysvaltoihin ilman riittäviä suojatoimia. Tästä syntyi otsikoita tyyliin “Google Analytics on laiton”, ja moni yritys harkitsi työkalun vaihtoa.

Mikä on muuttunut sen jälkeen

Kolme isoa asiaa.

Ensimmäinen: Euroopan komissio hyväksyi heinäkuussa 2023 EU:n ja USA:n tietosuojakehyksen (Data Privacy Framework). Se on GDPR:n mukainen vastaavuuspäätös, jonka nojalla henkilötietoja saa siirtää kehykseen sertifioituneille yhdysvaltalaisille yrityksille. Google on sertifioitunut. Kehys on yhä voimassa: EU:n yleinen tuomioistuin hylkäsi siihen kohdistuneen kanteen syyskuussa 2025, joskin valitus on vireillä EU-tuomioistuimessa.

Toinen: Universal Analytics poistui käytöstä 2023 ja tilalle tuli GA4. GA4 ei tallenna kävijöiden kokonaisia IP-osoitteita, vaan anonymisointi on sisäänrakennettu oletus eikä erillinen asetus. Juuri IP-osoitteiden käsittely oli viranomaispäätösten ytimessä.

Kolmas: Consent Mode v2 tuli maaliskuussa 2024 pakolliseksi kaikille, jotka käyttävät Googlen mainosominaisuuksia EU-yleisöille. Se välittää Googlelle tiedon kävijän suostumuksesta ja säätää mittausta sen mukaan.

Mitä Google Analyticsin laillinen käyttö vaatii vuonna 2026

Laillisuus ei synny työkalusta vaan asetuksista ja prosessista. Vähintään nämä kuuluvat kuntoon:

• Suostumus ennen mittausta: suostumuksenhallinta (CMP), joka estää analytiikkaevästeet kunnes kävijä hyväksyy ne.
• Consent Mode v2 kytkettynä suostumuksenhallintaan, jotta Google saa oikean tiedon suostumuksen tilasta.
• GA4:n asetukset harkitusti: tietojen säilytysaika lyhyeksi, Google Signals ja mainosominaisuudet päälle vain suostumuksen kanssa.
• Tietosuojaseloste ajan tasalla: kertokaa mitä mittaatte, millä perusteella ja minne tieto siirtyy.

Yksi varaus on syytä sanoa ääneen. Tietosuojakehyksen kohtalosta on valitus vireillä EU-tuomioistuimessa, joten oikeustila voi vielä muuttua, kuten se on muuttunut ennenkin. Tämä kirjoitus ei ole oikeudellista neuvontaa: varmistakaa oma tilanteenne tarvittaessa tietosuojaan erikoistuneen juristin kanssa, erityisesti jos käsittelette arkaluonteisia tietoja.

Jos haluatte varmistaa, että mittauksenne on sekä lainmukainen että oikeasti hyödyllinen, tutustukaa analytiikkaan.