Cookie Confirm

Google Analytics ja tietosuoja-asetus: saako sitä käyttää Suomessa?

Tarvitaanko Google Analytics 4:lle suostumus, mitä Traficom ja tietosuojavaltuutettu ovat Google Analyticsista päättäneet ja mitä EU:n ja Yhdysvaltojen välinen tietosuojakehys muutti.

Tarkistettu viimeksi 16 lokakuu 2026

Lyhyesti

  • Google Analytics 4 tarvitsee Suomessa suostumuksen ennen kuin se asettaa evästeitä. Traficom edellytti tätä Forecaa koskevassa päätöksessään vuonna 2024.
  • Traficomin mukaan analytiikkaa voi harkita ilman suostumusta vain, jos tietoja ei jaeta kolmansille osapuolille eikä kävijää voi tunnistaa. Google Analytics ei täytä tätä.
  • Tietosuojavaltuutettu on puuttunut Google Analyticsiin ja muihin seurantatyökaluihin kirjastojen, verkkoapteekin ja terveyspalvelun sivustoilla.
  • Siirrot Yhdysvaltoihin ovat heinäkuusta 2023 lähtien perustuneet EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen.

Tarvitseeko Google Analytics suostumuksen?

Kyllä. Google Analytics 4:ään sovelletaan Suomessa kahta sääntökokonaisuutta:

  1. Evästesääntö, sähköisen viestinnän palveluista annetun lain (917/2014) 205 §: GA4 tallentaa kävijän selaimeen evästeitä, kuten _ga. Se vaatii suostumuksen, ellei eväste ole välttämätön käyttäjän pyytämän palvelun kannalta. Tätä valvoo Traficom.
  2. Tietosuoja-asetus: GA4 käsittelee henkilötietoja, kuten evästetunnisteita ja laitetietoja. Käsittelyyn tarvitaan peruste, läpinäkyvyyttä ja, kun tietoja siirretään Euroopan ulkopuolelle, pätevä siirtoperuste. Tätä valvoo tietosuojavaltuutetun toimisto.

Traficomin evästeohjeen mukaan analytiikkaevästeitä ei voida yksiselitteisesti pitää välttämättöminä, koska käyttäjä ei käytä palvelua siksi, että haluaa toimintaansa seurattavan, ja useimmat palvelut toimivat ilman analytiikkaakin. Ilman suostumusta analytiikkaa voi Traficomin mukaan harkita vain, jos palveluntarjoaja pystyy perustelemaan sen välttämättömyyden ja varmistaa esimerkiksi, ettei tietoja jaeta kolmansille osapuolille eikä niistä voi tunnistaa yksittäistä kävijää. Google Analytics lähettää tiedot Googlelle, joten se ei täytä näitä ehtoja.

Jos käytät Analyticsia myös mainontaan, esimerkiksi Google Ads -linkityksen, Google-signaalien tai uudelleenmarkkinoinnin kautta, kyse on mainosseurannasta, joka vaatii suostumuksen joka tapauksessa.

Mitä Traficom on päättänyt?

Traficom on ottanut Google Analyticsiin kantaa valvontapäätöksissään:

  • Foreca Oy (12.6.2024). Foreca perusteli analytiikkaa ilman suostumusta sillä, että se tarvitsee kävijämäärätietoja palvelinkapasiteetin mitoittamiseen ja ettei Google Analyticsin evästeillä voi tunnistaa yksittäistä käyttäjää. Traficom ei hyväksynyt kumpaakaan: välttämättömyyttä arvioidaan käyttäjän eikä palveluntarjoajan näkökulmasta, ja _ga-evästeisiin tallennetaan yksilöiviä tunnisteita, joiden tarkoitus on erottaa käyttäjät toisistaan. Foreca asetti analytiikkaevästeet suostumuksenvaraisiksi maaliskuussa 2024.
  • Suomalainen Kirjakauppa Oy (29.9.2022). Traficom velvoitti yhtiön asettamaan _gaexp-nimisen tilastoevästeen vasta käyttäjän suostumuksella.
  • Sanoma Media Finland Oy (8.6.2023). Traficomin mukaan myöskään sivustojen toimitusanalytiikkaan käytetyt evästeet eivät olleet välttämättömiä.

Traficom ei voi määrätä evästeasioissa hallinnollisia sakkoja, mutta se voi velvoittaa korjaamaan menettelyn uhkasakon uhalla. Lisää: Evästesäännöt Suomessa.

Mitä tietosuojavaltuutettu on päättänyt?

Tietosuojavaltuutetun toimisto arvioi henkilötietojen käsittelyä, ja Google Analytics on ollut mukana ainakin näissä sen päätöksissä:

  • Helmet-kirjastot (13.12.2022). Pääkaupunkiseudun kirjastojen Helmet.fi-sivustolla käytettiin Google Analyticsia ja Google Tag Manageria, ja tietoja haetuista kirjoista päätyi Googlelle. Apulaistietosuojavaltuutettu totesi, että tietoja siirrettiin Yhdysvaltoihin ilman riittäviä suojatoimia, eikä evästebanneri toiminut. Kaupungit saivat huomautuksen ja määräyksen hävittää kerätyt tiedot. Viranomaisille ei Suomessa voi määrätä seuraamusmaksua.
  • Yliopiston Apteekki (27.5.2025). Verkkoapteekin Google- ja Meta-seurantatekniikat välittivät vuosina 2018–2022 tietoja lääkkeitä koskevasta asioinnista. Seuraamuskollegio määräsi 1,1 miljoonan euron seuraamusmaksun. Helsingin hallinto-oikeus kumosi maksun 1.6.2026, koska oli epäselvää, voiko apteekille määrätä maksua, mutta katsoi, että apteekki oli toiminut tietosuoja-asetuksen vastaisesti.
  • Mindemo Oy, aiemmin Heltti Oy (2.10.2026). Terveydenhuollon verkkoajanvarauksen tietoja välitettiin muun muassa Google Analytics 4:n, Google-signaalien ja Google Adsin kautta Googlelle. Seuraamusmaksu oli 33 000 euroa, eikä päätös ole lainvoimainen.

Kahdessa jälkimmäisessä tapauksessa ongelma ei ollut evästebanneri vaan se, mitä tietoja seurantatyökalut lähettivät. Jos sivustollasi käsitellään terveyteen tai muihin arkaluonteisiin asioihin liittyviä tietoja, jätä seurantatagit pois näiltä sivuilta. Lisää: Evästesakot Suomessa.

Mitä tietosuojakehys muutti?

Euroopan komissio antoi 10. heinäkuuta 2023 tietosuojan riittävyyttä koskevan päätöksen EU:n ja Yhdysvaltojen välisestä tietosuojakehyksestä (Data Privacy Framework, DPF). Yhdysvaltalaiset yritykset, jotka sertifioituvat sen mukaisesti, voivat vastaanottaa henkilötietoja EU:sta ilman muita siirtovälineitä. Google LLC on sertifioitu, ja Google kertoo nojaavansa DPF:ään mainos- ja analytiikkatuotteissaan. Helmet-päätöksen kaltainen siirto-ongelma on siis tällä hetkellä katettu.

Kehys on riitautettu. Unionin yleinen tuomioistuin hylkäsi 3. syyskuuta 2025 ranskalaisen kansanedustajan Philippe Latomben kanteen (asia T-553/23). Latombe valitti unionin tuomioistuimeen (asia C-703/25 P), ja lokakuussa 2026 valitus on vireillä. Jos DPF kaatuu, siirtokysymys palaa.

Mitä GA4 tekee tiedoilla?

Googlen oman dokumentaation mukaan:

  • IP-osoitteet: GA4 ei kirjaa eikä tallenna EU:n käyttäjien IP-osoitteita. IP-osoitetta käytetään EU:ssa sijaitsevilla palvelimilla likimääräisen sijainnin päättelemiseen, minkä jälkeen se hävitetään.
  • Tietojenkäsittelyehdot: Google toimii Google Analyticsin osalta henkilötietojen käsittelijänä tietojenkäsittelyehtojen (Data Processing Terms) mukaisesti. Tarkista kohdasta Järjestelmänvalvoja > Tilin asetukset, että ne ovat voimassa.
  • Mainosominaisuudet: jos otat käyttöön Google-signaalit tai mainosominaisuudet tai linkität Analyticsin Google Adsiin, tietoja käytetään myös mainontaan. Tämä vaatii aina suostumuksen.
  • Aluekohtaiset asetukset: voit poistaa Google-signaalit ja tarkat sijainti- ja laitetiedot käytöstä alueittain.

Nämä ovat hyödyllisiä asetuksia, mutta ne eivät muuta lähtökohtaa: _ga-eväste tunnistaa kävijän yksilöllisellä tunnisteella, ja siihen tarvitaan Suomessa suostumus.

Käytännössä

  1. Pyydä suostumus evästebannerissa, tilastot omana luokkanaan ja "Hylkää" "Hyväksy"-painikkeen rinnalla.
  2. Estä GA4 suostumukseen asti, tai käytä Google Consent Mode v2:ta niin, että analytics_storage on oletuksena "denied".
  3. Poista käytöstä ominaisuudet, joita et tarvitse, kuten Google-signaalit ja mainostuotteiden linkitykset, tai pyydä niihinkin suostumus.
  4. Jätä seuranta pois arkaluonteisilta sivuilta, kuten ajanvarauksesta, terveyspalveluista ja verkkoapteekin tuotesivuilta.
  5. Tarkista tietojenkäsittelyehdot Analyticsin tilin asetuksista.
  6. Mainitse Google Analytics evästeselosteessasi ja tietosuojaselosteessasi, evästeet, tarkoitus, toiminta-aika ja siirto Yhdysvaltoihin mukaan lukien.

Cookie Confirm estää Google Analyticsin suostumukseen asti, lähettää kaikki neljä Consent Mode -signaalia ja luo evästeselosteen sivustosi skannauksen perusteella, myös Google Analyticsin evästeet.

Lähteet

Usein kysytyt kysymykset

Onko Google Analytics kielletty Suomessa?

Ei. Sitä saa käyttää, kun pyydät ensin suostumuksen, kerrot käytöstä ja huolehdit, ettei työkalu välitä Googlelle tietoja, joita sille ei kuulu lähettää. Tietosuojavaltuutetun vuoden 2022 päätös pääkaupunkiseudun kirjastoista koski siirtoja Yhdysvaltoihin ennen EU:n ja Yhdysvaltojen välistä tietosuojakehystä.

Voinko käyttää Google Analytics 4:ää ilman evästebanneria?

Käytännössä et. Traficomin mukaan analytiikkaevästeitä ei voida yksiselitteisesti pitää välttämättöminä, ja Foreca Oy:tä koskevassa päätöksessä (12.6.2024) se katsoi, että Google Analyticsin _ga-evästeisiin tallennetaan yksilöiviä tunnisteita ja tiedot siirtyvät Googlelle. Forecan oli asetettava analytiikkaevästeet suostumuksenvaraisiksi.

Tallentaako GA4 IP-osoitteita?

Googlen mukaan GA4 ei kirjaa eikä tallenna EU:n käyttäjien IP-osoitteita. IP-osoitetta käytetään EU:ssa sijaitsevilla palvelimilla vain likimääräisen sijainnin päättelemiseen, minkä jälkeen se hävitetään. Se ei tee _ga-evästeestä suostumuksesta vapaata.

Riittääkö suostumus, jos käytän Google Analyticsia terveyspalvelun sivustolla?

Ei välttämättä. Tietosuojavaltuutetun toimisto määräsi lokakuussa 2026 Mindemo Oy:lle (aiemmin Heltti Oy) 33 000 euron seuraamusmaksun, koska ajanvarauksen tietoja oli välitetty Googlelle ja muille seurantapalveluille, vaikka yrityksen mukaan vain evästeet hyväksyneiden käyttäjien tiedot välitettiin. Arkaluonteisilla sivuilla seurantatyökalut kannattaa rajata pois kokonaan.

Entä siirrot Yhdysvaltoihin, jos tietosuojakehys kumotaan?

Silloin siirrot tarvitsisivat jälleen muun perusteen, kuten vakiosopimuslausekkeet lisäsuojatoimin, kuten ennen vuotta 2023. Valitus unionin yleisen tuomioistuimen ratkaisusta (asia C-703/25 P) oli lokakuussa 2026 yhä vireillä unionin tuomioistuimessa.

Tämä opas on yleistä tietoa, ei oikeudellista neuvontaa. Tarkistamme sen säännöllisesti, mutta lait ja ohjeet muuttuvat. Etkö ole varma omasta tilanteestasi? Kysy juristilta.

Lue lisää

Lisää oppaita

Kaikki oppaat →

Ensimmäiset 7 päivää täysin ilmaiseksi

Luo ilmainen tili ja katso, sopiiko Cookie Confirm sinulle. Käytössä 5 minuutissa.

  • Ei luottokorttia
  • Sen jälkeen 7,95 € kuukaudessa
  • Plug & play -asennus
Aloita ilmainen kokeilu

4,9/5 5 000+ sivustoa