# Kävijätunnistus ja GDPR: asiallinen arvio

> Kävijätunnistus ja GDPR DE:ssä, AT:ssa ja CH:ssa: kaksi tarkistusvaihetta, suostumus tai oikeutettu etu sekä tarkistuslista ylläpitäjille.

Quelle: https://whovisit.app/fi/blog/kavijatunnistus-gdpr-asiallinen-arvio
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Joka perehtyy kävijätunnistukseen, lukee ristiriitaisia väitteitä. Jotkut tarjoajat sanovat, että suostumus tarvitaan aina. Toiset lupaavat, ettei ratkaisun kanssa tarvita mitään. Kumpikin on liian yleistävä. Tämä artikkeli näyttää tarkistusvaiheet, joilla valmistelette kysymyksen itse omalle verkkosivustollenne. Se on arvio, ei oikeudellista neuvontaa. Se ei korvaa tietosuojavastaavanne tai asianajajienne tekemää tarkistusta.

Lähteiden tilanne: 06.11.2026. Tarkistakaa ajantasainen sanamuoto ennen päätöstä.

## Kaksi erillistä tarkistusta

Kävijätunnistus herättää kaksi kysymystä, jotka usein sekoitetaan:

1. **Saako skripti päästä kävijän laitteelle?** Sen säätää Saksassa [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html), Itävallassa [§ 165 Abs. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678). Molemmat säännöt perustuvat sähköisen viestinnän tietosuojadirektiiviin (ePrivacy). Tallentaa tai lukea saa periaatteessa vain suostumuksella, ellei pääsy ole ehdottoman välttämätön, jotta nimenomaisesti pyydetty palvelu toimii.
2. **Saako tietojen käsittely tapahtua?** Siihen vastaa [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), kun kyse on henkilötiedoista. Tarvitsette oikeusperusteen 6 artiklan 1 kohdan mukaan, esimerkiksi suostumuksen (a alakohta) tai oikeutetun edun (f alakohta).

Molemmat tarkistukset pätevät rinnakkain. GDPR:n mukainen oikeutettu etu ei korvaa suostumusta laitteelle pääsyyn. Toisaalta skriptiä koskeva suostumus ei tee käsittelystä automaattisesti laillista, jos se menee pidemmälle kuin mihin suostuttiin.

Skripti, joka ei tallenna tai lue laitteelta mitään, ei ehkä kosketa ensimmäistä kysymystä lainkaan. Päteekö tämä, riippuu tekniikasta ja sitä arvioidaan eri tavoin. Kysykää tarjoajaltanne konkreettisesti, mitä skripti tekee. Pyytäkää kuvaus kirjallisena.

## Onko IP-osoite henkilötieto?

Lyhyesti: usein kyllä. EU:n tuomioistuin on ratkaisussa [C-582/14 (Breyer)](https://curia.europa.eu/juris/liste.jsf?num=C-582/14) todennut, että myös dynaaminen IP-osoite voi olla henkilötieto, jos ylläpitäjällä on oikeudellisia keinoja päästä kolmansien (esimerkiksi liittymäoperaattorin) kautta henkilöön. Kysymys riippuu siis yksittäistapauksesta. Viranomaiset asettavat kynnyksen pikemminkin matalalle. Perusteellisen version löydätte artikkelista [IP-osoite ja GDPR: onko se henkilötieto?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

Kävijätunnistukselle tämä tarkoittaa: laskekaa sen varaan, että jo hetki, jolloin osoite saapuu palvelimelle, merkitsee, vaikka osoite hylättäisiin sen jälkeen.

## Yritys, henkilö, pseudonyymi

B2B-kävijätunnistus väittää tunnistavansa vain yrityksiä eikä henkilöitä. Se on hyvä lähtökohta mutta ei vapaakirje:

- **Yritystaso auttaa.** Kun tulos on yrityksen nimi, lopussa ei ole yksittäistä henkilöä. Se pienentää riskiä, varsinkin analysoinnissa.
- **Yksityiset elinkeinonharjoittajat, freelancerit ja pienet toimistot** ovat yritys ja henkilö samanaikaisesti. Tulos kuten ”Schmidt Beratung” voi viitata tiettyyn henkilöön.
- **Kotitoimisto.** Joka selaa kotoa yrityksen VPN:n kautta, ilmestyy yrityksenä, vaikka takana on tietty henkilö. Lisää artikkelissa [Kotitoimisto, VPN ja mobiiliverkko: ketä ette näe](https://whovisit.app/blog/homeoffice-vpn-mobilfunk-besuchererkennung).
- **Yhdistäminen.** Heti kun etsitte yritykselle yhteyshenkilöä tai yhdistätte käyttäytymisen muihin tietoihin, henkilöyhteys voi syntyä.
- **Pseudonymisointi** on suojatoimi, ei pakotie. Pseudonymisoidut tiedot pysyvät henkilötietoina niin kauan kuin henkilö on määritettävissä lisätiedoilla.

Joka käyttää hiirivideoita tai käyttäytymisprofiileja, siirtyy vielä lähemmäs henkilöä. Siitä: [Session replay ja tietosuoja: hiirivideot oikein käytettynä](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Roolit ja sopimukset

- **Te verkkosivuston ylläpitäjänä** olette yleensä rekisterinpitäjä GDPR:n tarkoittamassa mielessä. Päätätte, kerätäänkö tietoja ja mihin tarkoitukseen.
- **Kävijätunnistuksen tarjoaja** käsittelee tietoja yleensä teidän lukuunne ja on silloin henkilötietojen käsittelijä. Siihen tarvitsette GDPR:n 28 artiklan mukaisen sopimuksen. Tarkistakaa, käyttääkö tarjoaja tietoja myös omiin tarkoituksiinsa, sillä silloin rooli muuttuu.
- **Alihankkijat** (palvelinhotellit, tietokannat, yritystietojen tarjoajat) on lueteltava ja sidottava sopimuksella. Kysykää palvelimen sijaintia ja sitä, virtaako tietoja kolmansiin maihin.

## Tiedonantovelvollisuudet

Kävijöiden on saatava tietää, mitä tapahtuu. Tietosuojaselosteessa pitäisi olla vähintään:

- että kävijätunnistusta käytetään ja mihin tarkoitukseen
- mitä tietoja käsitellään (esimerkiksi avatut sivut, ajankohdat, alkuperä, käyntiaika)
- oikeusperuste
- kuinka kauan tietoja säilytetään
- vastaanottaja tai vastaanottajaryhmä, eli tarjoajanne
- rekisteröityjen oikeudet: tiedonsaanti, poisto, vastustaminen, valitus valvontaviranomaiselle

Yleinen lause ”verkkoanalytiikasta” ei riitä, jos sen takana on yritysten kohdennus. Kuvatkaa se omana kohtanaan.

## Sveitsi

Sveitsillä on [tarkistetun tietosuojalain (revDSG)](https://www.fedlex.admin.ch/eli/cc/2022/491/de) mukaiset omat säännöt, jotka ovat voimassa 1. syyskuuta 2023 alkaen. Ne ovat vähemmän suostumuskeskeisiä mutta avoimuuteen suuntautuneita:

- Teidän on informoitava rekisteröityjä asianmukaisesti heidän henkilötietojensa hankinnasta ja käsittelystä.
- Käsittelyn on oltava oikeasuhteista ja käyttötarkoitukseen sidottua.
- Jos joku vastustaa nimenomaisesti, hänen tietojaan saa käsitellä edelleen vain, jos on oikeuttamisperuste.
- Evästeille ja vastaaville tekniikoille tulevat lisäksi tiedonantovelvollisuudet televiestintäoikeudesta.

Jos tarjontanne on suunnattu myös EU:sta tuleville kävijöille, voi lisäksi soveltua GDPR.

## Tarkistuslista ylläpitäjille

1. Kuvatkaa kirjallisesti, mitä tietoja ratkaisu kerää, milloin ja missä ne tallennetaan.
2. Selvittäkää, pääseekö skripti päätelaitteelle. Päättäkää sitten, hankitteko siihen suostumuksen.
3. Valitkaa käsittelylle oikeusperuste ja dokumentoikaa punninta.
4. Tehkää henkilötietojen käsittelysopimus ja pyytäkää alihankkijoiden nimeäminen.
5. Tarkistakaa palvelimen sijainti ja mahdolliset siirrot kolmansiin maihin.
6. Täydentäkää tietosuojaseloste omalla kohdalla.
7. Määrittäkää säilytysajat ja valvokaa, että poistoja tehdään.
8. Estäkää arkaluonteiset alueet kuten kassa, tili ja terveystietoja sisältävät lomakkeet.
9. Perustakaa tapa käsitellä tiedonsaanti- ja poistopyynnöt.
10. Päättäkää, tarvitaanko tietosuojan vaikutustenarviointi. Kirjatkaa tulos.
11. Merkitkää käsittely käsittelytoimien luetteloon.

Miten valintaprosessi rakennetaan, näytetään artikkelissa [Kävijätunnistuksen vertailu: 12 valintakriteeriä](https://whovisit.app/blog/besuchererkennung-vergleich-kriterien).

## Avoimia kysymyksiä oikeudelliselle neuvonnallenne

Jotkin kohdat eivät ole lopullisesti selvillä tai riippuvat tapauksestanne. Ottakaa ne mukaan:

- Riittääkö laitteelle pääsyyn suostumus ”tilastot”-luokkaan vai tarvitaanko erillinen suostumus?
- Kantaako oikeutettu etu yrityksen kohdennusta? Miten punninta ratkeaa pienten yritysten ja yksityisten elinkeinonharjoittajien osalta?
- Minkä kokoisesta tai oikeudelliselta muodoltaan olevasta yrityksestä tulos on yksiselitteisesti ”ei henkilötieto”?
- Kuinka tarkasti kävijöille on kerrottava yritysten kohdennuksesta?
- Miten käsittelette vastustukset, jos IP-osoitetta ei tallenneta?

Vastaus saadaan vain yksittäistapauksessa. Joka lupaa teille yleisesti, ettei oikeudellista riskiä jää, myy teille takuun, jota kukaan ei voi antaa.

## Miten tarjoaja voi toimia

Käytännön esimerkkinä: Whovisit hylkää IP-osoitteen kyselyn jälkeen, tallentaa vain yritykset ja laitokset eikä aseta evästettä. Missä tiedot sijaitsevat ja ketkä ovat mukana, kerrotaan sivulla [Tietosuojaperiaate](https://whovisit.app/datenschutz-prinzip). Kuinka kauan mitäkin säilytetään, kerrotaan ohjeessa kohdassa [Säilytys ja poistaminen](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung). Riittääkö se verkkosivustollenne, päätätte oikeudellisen neuvonnan kanssa.

## Lyhyesti yhteenvetona

Tarkistakaa kävijätunnistus kahdessa vaiheessa: laitteelle pääsy ja käsittely. Yritystaso pienentää riskiä mutta ei poista sitä. Selvittäkää roolit ja sopimukset, informoikaa itsenäisesti ja poistakaa aikaisin. Ja ottakaa avoimet kysymykset mukaan keskusteluun jonkun kanssa, joka tuntee liiketoimintanne.