Sisältöjen upottaminen ja lataus verkkosivujen ulkopuolelta

Sisällön upottaminen omille verkkosivuille toiselta ulkopuoliselta verkkosivustolta (esim. YouTube) on melko yleinen käytäntö, mutta samalla se herättää verkkosivuston käyttäjän tietosuojaan liittyviä kysymyksiä. Yleiset asenteet sekä lait ja ohjeistukset henkilötietojen käsittelystä ja siirrosta esimerkiksi Yhdysvaltalaisille yrityksille ovat tiukentuneet viime vuosina.

Ulkopuoliselta verkkosivustolta upotetun sisällön avaaminen käyttäjän selaimessa on siis verrattavissa siihen, että verkkosivustosi käyttäjä itse vierailisi ulkopuolisella sivustolla. Jos verkkosivuillesi esimerkiksi upotetaan videoita YouTubesta, verkkosivustosi käyttäjän IP-osoite välittyy verkkosivua ladattaessa YouTubelle ja sen emoyhtiölle, Alphabetille (joka omistaa Googlen).

Jokainen laite, joka on yhdistetty internetiin, tarvitsee IP-osoitteen. Se toimii ikään kuin laitteen osoitteena, jotta tietoliikenne voidaan reitittää oikein lähtöpisteestä määränpäähän. GDPR (Yleinen tietosuoja-asetus) mukaan IP-osoite voidaan tulkita henkilötiedoksi, erityisesti silloin kun sitä käytetään yhdessä muiden tietojen kanssa, kuten verkkosivuston käyttäjän tunnistamiseksi tai paikantamiseksi.

Saksalainen tuomioistuin on linjannut että pelkkä IP-osoitteen välittäminen on riittävä peruste oikeustoimille. Tämä johtuu siitä, että IP-osoitteen perusteella voidaan muodostaa käyttäjäprofiili ja näin yhdistää käyttäjän toimintaa muihin Googlen tietoihin käyttäjästä.

Suomessa ei vielä ole ennakkotapausta esim. Google Fonttien tai YouTube-upotusten lataamisesta verkkosivuille. Google Analyticsin latauksesta ilman käyttäjän lupaa on Suomessa jo annettu huomautuksia / sakkorangaistuksia apulaistietosuojavaltuutetun toimesta.

Jos siis upotat suoraan omalle verkkosivullesi sisältöä toiselta verkkosivustolta, ei verkkosivusi käyttäjä pysty estämään (ilman erillisiä selaimeen asennettavia lisäosia) henkilötietojensa lähetystä ulkopuoliselle verkkosivustolle.

Uusissa verkkosivuprojekteissamme olemme siirtyneet käytäntöön, jossa Google Fontit ladataan suoraan verkkosivuston omalta palvelimelta ja muut verkkosivuston ulkopuoliset sisältöjen lataukset on hyväksyttävä, ennen kuin ne ladataan ja käyttäjän IP-osoite välittyy ulkopuoliselle verkkosivustolle.

Verkkosivuilla ei siis näy heti suoraan esimerkiksi YouTube-video, vaan laatikko, jossa on ”Lataa ulkoista sisältöä”- painike (kts. yllä oleva kuva). Vasta kun käyttäjä napsauttaa painiketta niin video latautuu verkkosivulle YouTubesta.

Jos verkkosivustolla on evästeponnahdusikkuna käytössä, voidaan tämä ulkoisten sisältöjen lataus liittää evästeponnahdusikkunan ”Hyväksy evästeet” -painikkeeseen. Kun käyttäjä on kerran hyväksynyt evästeet evästeponnahdusikkunasta ei jokaista ulkopuolista upotusta tarvitse erikseen kuitata.

Muistilista

1. Google Analytics: vanha Google Universal Analytics on lakannut toimimasta heinäkuussa 2023. Jos verkkosivustonne on tehty ennen lokakuuta 2020, on verkkosivuille mahdollisesti alunperin asennettu tämä vanha Google Universal Analytics. Tämä vanhentunut Google Universal Analytics olisi hyvä poistaa nyt kokonaan ja korvata uudella Google Analytics 4 koodilla. Jos verkkosivustonne on tehty lokakuun 2020 jälkeen on verkkosivuillanne mahdollisesti uudempi Google Analytics 4. Jos Google Analytics seuranta edelleen halutaan verkkosivuille, tulisi sivuille asentaa evästeponnahdusikkuna ja käyttäjältä kysyä lupa, ennen kuin Google Analytics seuranta aloitetaan. Lue kirjoittamani artikkeli tästä aiheesta.
2. Google Fonts: Jos teillä on Muuksin tekemät verkkosivut ja ne on tehty ennen vuotta 2023 ja sivustolla on Google fontteja käytössä, on todennäköistä että verkkosivuillenne ladataan Google fontit suoraan Googlen palvelimilta. Suosittelemme että Google fontit ladataan suoraan verkkosivuston palvelimelta. Tämä muutos lisää myös ainakin teoriassa verkkosivuston latausnopeutta.
3. Sivuston ulkopuoliset sisällöt kuten Youtube-videot, Google Maps, someseinät yms: suosittelemme että sivuston ulkopuolisten sisältöjen lataus on toteutettu niin, että verkkosivujen käyttäjällä on mahdollisuus kieltäytyä ulkopuolisten sisältöjen lataamisesta.
4. Markkinointiin liittyvät pikselit kuten Facebook Pixel / LinkedIn Pixel, Chatbotit, Hotjar, CRM-järjestelmien pikselit ja muut seurantaan liittyvät evästeet: verkkosivustolle tulisi asentaa evästeponnahdusikkuna, jolloin käyttäjältä kysytään lupa ennen kuin evästeitä ja pikseleitä ladataan käyttäjän selaimessa.
5. Muista päivittää verkkosivustosi tietosuojaseloste ajantaselle.

Jos olet epävarma onko verkkosivuillanne Google Analytics / Google Fonts tai muita ulkopuolisia upotuksia tai haluat että teemme yllä kuvattuja muutoksia verkkosivuillenne, ota yhteyttä ja saat meiltä ehdotuksen mahdollisista muutostöistä.