Server-side tracking ja suostumus

Mitä server-side tracking eli palvelinpuolen seuranta on, miten se eroaa selaimessa tapahtuvasta seurannasta ja miksi palvelinpuolen Google Tag Manager, GA4 palvelinkontin kautta tai Metan Conversions API tarvitsevat Suomessa yhä suostumuksen. Lisäksi mitä se parantaa ja miten se kytketään evästebanneriin.

Tarkistettu viimeksi 16 lokakuu 2026

Lyhyesti

Server-side tracking siirtää osan työstä kävijän selaimesta palvelimelle, jota itse hallitset. Tiedot lähtevät silti kävijän selaimesta.
Sähköisen viestinnän palveluista annetun lain 205 § koskee tietojen tallentamista päätelaitteelle ja niiden käyttöä. Palvelinkontin kautta asetettu ensimmäisen osapuolen eväste tarvitsee suostumuksen kuten mikä tahansa muu seurantaeväste.
Palvelimella tapahtuvaan käsittelyyn tarvitaan tietosuoja-asetuksen mukainen oikeusperuste. Mainonnassa ja profiloinnissa se on käytännössä suostumus.
Server-side tracking antaa paremman hallinnan siihen, mitä tietoja palveluntarjoajille päätyy, mutta se ei ole keino kiertää evästebanneria.

Mitä server-side tracking on?

Tavallisessa seurannassa kaikki tapahtuu selaimessa. Sivusi lataa Googlen, Metan ja muiden palveluntarjoajien skriptit, ja jokainen skripti lähettää tietoja suoraan kävijän selaimesta oman palveluntarjoajansa palvelimille.

Server-side trackingissa eli palvelinpuolen seurannassa selain lähettää tiedot ensin yhteen paikkaan: palvelimelle, jota itse hallitset, yleensä oman sivustosi aliverkkotunnuksessa, kuten metrics.esimerkki.fi. Palvelin vastaanottaa pyynnön, muuttaa sen tapahtumiksi ja päättää, mitä se välittää millekin palveluntarjoajalle. Tunnetuin esimerkki on palvelinpuolen Google Tag Manager: "palvelinkontti", joka toimii Google Cloudissa tai erikoistuneen palveluntarjoajan palvelimella selaimessa toimivan tavallisen verkkokontin rinnalla. Tyypillisiä käyttötapoja ovat GA4 palvelinkontin kautta ja Metan Conversions API, jonka avulla palvelimesi lähettää konversiot suoraan Metalle.

	Selainpohjainen (client-side)	Palvelinpuolen (server-side)
Missä tagit toimivat	Kävijän selaimessa	Hallitsemallasi palvelimella
Kuka saa tiedot ensin	Jokainen palveluntarjoaja suoraan	Oma palvelimesi, joka välittää ne eteenpäin
Evästeet	Usein palveluntarjoajien skriptien asettamia	Palvelimesi voi asettaa ne omalle verkkotunnuksellesi
Hallinta siihen, mitä palveluntarjoajat saavat	Vähäinen: jokainen skripti kerää mitä haluaa	Voit poistaa tai muuttaa tietoja ennen niiden lähettämistä

Olennaista on, että useimmissa toteutuksissa kävijän selain ajaa yhä skriptiä ja lähettää yhä tiedot. Ero on siinä, minne ne menevät ensin.

Tarvitseeko server-side tracking suostumuksen?

Palvelinpuolen seurantaan sovelletaan samoja kahta sääntökokonaisuutta kuin muuhunkin seurantaan:

Evästesääntö, sähköisen viestinnän palveluista annetun lain (917/2014) 205 §: tietojen tallentaminen käyttäjän päätelaitteelle ja niiden käyttö edellyttää suostumusta, ellei se ole välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi. Sitä valvoo Traficom. Lisää: Evästesäännöt Suomessa.
Tietosuoja-asetus: henkilötietojen käsittelyyn tarvitaan oikeusperuste, läpinäkyvyyttä ja suojatoimia. Sitä valvoo tietosuojavaltuutetun toimisto.

Server-side tracking ei vie seurantaa evästesäännön ulkopuolelle. Sääntö koskee sitä, mitä kävijän laitteella tapahtuu, ei sitä, minne tiedot lopulta päätyvät. Traficomin evästeohjeen mukaan samaa sääntelyä sovelletaan evästeiden lisäksi esimerkiksi selaimen paikalliseen tallennustilaan, seurantapikseleihin ja muihin verkkokutsuihin perustuviin seurantatekniikoihin sekä laitteen sormenjälkitunnistukseen. Taustalla oleva EU:n sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 kohta koskee kaikkea tietoa, oli se henkilötietoa tai ei, kuten EU:n tuomioistuin vahvisti Planet49-ratkaisussa (2019).

Euroopan tietosuojaneuvosto (EDPB) täsmentää tätä 5 artiklan 3 kohdan teknistä soveltamisalaa koskevissa ohjeissaan 2/2023:

kun sivusto saa JavaScriptillä selaimen lähettämään tietoja, se saa pääsyn niihin, ja sääntö soveltuu;
tunnisteiden lisääminen URL-osoitteisiin tai seurantapikseleihin on käsky laitteelle lähettää tunniste takaisin, ja sekin on pääsyä tietoihin;
myös yksilöllisen tunnisteen, kuten hashatun sähköpostiosoitteen, kerääminen selaimessa toimivalla koodilla kuuluu säännön piiriin;
jopa pelkkään IP-osoitteeseen perustuva seuranta voi kuulua sen piiriin, ellei voida varmistaa, ettei osoite tule kävijän laitteelta.

Palvelinpuolen toteutus tekee juuri näitä asioita: selaimen Google-tagi lähettää tapahtumia palvelimellesi, ja palvelinkontti voi asettaa evästeen omalle verkkotunnuksellesi tunnistaakseen kävijän. Palvelinkontin kautta asetettu ensimmäisen osapuolen eväste tarvitsee siis analytiikkaa ja markkinointia varten suostumuksen samalla tavalla kuin skriptin asettama. Traficomin mukaan välttämättömyyttä arvioidaan käyttäjän eikä palveluntarjoajan näkökulmasta, eikä oikeutettu etu ole koskaan peruste evästeille. Poikkeukset riippuvat käyttötarkoituksesta, eivät tekniikasta.

Tietosuoja-asetus pätee myös palvelimella

Kun tiedot ovat palvelimellasi, tietosuoja-asetus koskee kaikkea, mitä niillä teet: niiden välittämistä Googlelle tai Metalle, yhdistämistä tilaus- tai asiakasrekisterin tietoihin ja yleisöjen rakentamista. Jokaiselle käyttötarkoitukselle tarvitaan oikeusperuste, ja EDPB:n suostumusohjeiden mukaan suostumus on saatava ennen kuin käsittely alkaa, jos se on perusteena.

Mainonnassa ja profiloinnissa peruste on käytännössä suostumus. Asiassa Meta Platforms v. Bundeskartellamt (C-252/21, 4.7.2023) EU:n tuomioistuin katsoi, ettei personoitu mainonta oikeuta Metaa käsittelemään käyttäjien tietoja oikeutetun edun perusteella ilman suostumusta. Sivuston, joka lähettää kävijätietoja mainosalustalle kohdentamista tai konversioiden mittaamista varten, on vaikea vedota oikeutettuun etuun, jos alusta itsekään ei voi.

Suomessa tietosuojavaltuutetun toimisto on puuttunut nimenomaan siihen, mitä tietoja seurantatyökalut välittävät. Yliopiston Apteekin (2025) ja Mindemo Oy:n (2026) tapauksissa verkkopalvelun seurantatyökalut välittivät Googlelle ja muille seurantapalveluille tietoja lääkkeitä tai terveydenhuollon ajanvarausta koskevasta asioinnista. Palvelimella tietojen karsiminen on helpompaa, mutta vain jos se oikeasti tehdään. Lisää: Evästesakot Suomessa.

Mitä server-side tracking muuttaa

Server-side tracking ei ole keino kiertää suostumusta, mutta se voi tehdä seurannasta tietosuojaystävällisempää ja helpommin hallittavaa:

Hallinta siihen, mitä palveluntarjoajat saavat. Googlen mukaan vain sinulla on pääsy palvelinkontin tietoihin, kunnes päätät lähettää ne eteenpäin. Voit poistaa kenttiä, lyhentää URL-osoitteita tai pudottaa tapahtumia ennen kuin ne lähtevät palvelimeltasi.
IP-osoitteet ja tunnisteet. Voit jättää koko IP-osoitteen välittämättä tai korvata tunnisteet ennen tietojen lähettämistä. Tämä tukee tietojen minimointia (tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohta).
Vähemmän kolmannen osapuolen pyyntöjä selaimessa. Kun sivulla on vähemmän palveluntarjoajien skriptejä, harvempi taho voi lukea tietoja suoraan kävijän laitteelta.
Siirrot Euroopan ulkopuolelle. Jos palvelimesi toimii EU:ssa ja karsii tiedot ennen niiden välittämistä, vähemmän henkilötietoja päätyy Euroopan ulkopuolisille palveluntarjoajille. Ranskan valvontaviranomainen CNIL kuvaa tällaisen kävijämittauksen "välityspalvelimen" tiukoin ehdoin: IP-osoitetta ei välitetä, tunniste korvataan, viittaaja- ja URL-parametrit poistetaan, sivustojen välisiä tunnisteita ei käytetä ja palvelin estää siirrot EU:n ulkopuolelle. CNIL esittää tämän keinona ratkaista siirtokysymys, ei syynä jättää suostumus pyytämättä.

Server-side tracking, evästebanneri ja Consent Mode

Toimiva kokonaisuus on sama kuin ilman palvelinkonttia, yhdellä lisävaiheella:

Evästebanneri kerää valinnan ja estää analytiikka- ja markkinointitagit, kunnes kävijä antaa suostumuksensa.
Google Consent Mode v2 välittää valinnan eteenpäin (ks. Google Consent Mode v2 selitettynä). Googlen dokumentaation mukaan Consent Mode tarvitsee määrittää vain verkkokontissa: Google-tagi lisää suostumustilan jokaiseen palvelinkonttiin lähettämäänsä pyyntöön.
Googlen tagit palvelinkontissa noudattavat suostumustilaa. Perustilassa Analytics-tagit estetään kokonaan, eikä Analytics-evästeitä aseteta tai lueta selaimessa eikä palvelimella. Edistyneessä tilassa Analytics-tagit lähettävät sen sijaan anonyymejä mittauksia. Ilman suostumusta Google Adsin konversiotagit eivät lue eivätkä kirjoita evästeitä, ja Google Adsin uudelleenmarkkinointi- ja Floodlight-pyynnöt estetään.
Muiden palveluntarjoajien tagit vaativat huomiota. Google lupaa tämän vain omille tageilleen. Metan Conversions API -tagin tai minkä tahansa muun palvelinkontin tagin pitää käynnistyä vain, kun suostumustila sen sallii; määritä se itse triggereillä tai ehdoilla.

Jos käytät Google Analytics 4:ää palvelinkontin kautta, samat Traficomin ja tietosuojavaltuutetun linjaukset pätevät kuin selaimessa toimivaan GA4:ään.

Cookie Confirmin kaltainen banneri asettaa Consent Moden oletusarvot ennen kuin yksikään Google-tagi latautuu ja päivittää ne kävijän valinnan jälkeen, joten suostumustila kulkee palvelinkonttiin jokaisen pyynnön mukana.

Metan Conversions API ja suostumus

Metan Conversions API yhdistää palvelimesi Metaan, joten voit lähettää sivuston tapahtumia, kuten ostoja ja liidejä, ilman että olet pelkän selaimessa toimivan Meta-pikselin varassa. Meta käyttää näitä tapahtumia mainosten mittaamiseen ja optimointiin.

Kyse on siis mainontaan liittyvästä käsittelystä. Metan Business Tools -ehdot edellyttävät, että sinulla on kaikki tarvittavat oikeudet ja laillinen peruste jakamillesi tiedoille, ja maissa, joissa tietojen tallentaminen laitteelle tai niihin pääsy edellyttää suostumusta (ehdoissa mainitaan EU), että hankit kävijöiltä todennettavan suostumuksen. Näiden ehtojen mukaan olet EU:ssa näiden tietojen rekisterinpitäjä. Käytännössä:

lähetä Conversions API -tapahtumia vain kävijöistä, jotka ovat hyväksyneet markkinoinnin bannerissasi;
älä käytä Conversions APIa kieltäytyneiden kävijöiden konversioiden "palauttamiseen";
mainitse Meta ja Conversions API evästeselosteessasi ja tietosuojaselosteessasi.

Metan Limited Data Use -asetus on tarkoitettu tiettyjä Yhdysvaltojen osavaltioiden tietosuojalakeja varten. Se ei ole EU:n suostumusmekanismi.

Yleisimmät virheet

"Se on evästeetöntä, joten suostumusta ei tarvita." Sääntely kattaa muutakin kuin evästeet: Traficomin mukaan myös seurantapikselit ja muut verkkokutsuihin perustuvat tekniikat, ja EDPB:n mukaan skriptit, jotka saavat selaimen lähettämään tietoja, URL-tunnisteet ja yksilölliset tunnisteet.
"Nyt se on ensimmäisen osapuolen seurantaa." Laki ei erottele ensimmäistä ja kolmatta osapuolta eikä skriptin ja palvelimen asettamia evästeitä. Käyttötarkoitus ratkaisee.
Tietojen lähettäminen ennen valintaa. Jos palvelinkontti välittää sivunlatauksia tai konversioita palveluntarjoajille ennen kuin kävijä on tehnyt valintansa bannerissa, käsittelet tietoja ilman oikeusperustetta.
"Hashattu sähköposti on anonyymi." Hashattu sähköpostiosoite on pseudonymisoitua tietoa, jota tietosuoja-asetus pitää yhä henkilötietona (johdanto-osan 26 kappale). Se hashataan juuri siksi, että Metan kaltainen alusta voi yhdistää sen henkilöön.
Muiden kuin Googlen tagien unohtaminen. Consent Mode ohjaa vain Googlen tageja. Jokainen muu palvelinkontin tagi tarvitsee oman suostumustarkistuksensa.
Arkaluonteisten tietojen välittäminen. Palvelin ei muuta sitä, että esimerkiksi terveyteen liittyviä tietoja ei pidä päätyä mainosalustoille. Karsi ne ennen välittämistä tai jätä seuranta pois näiltä sivuilta.
Evästeselosteen päivittämättä jättäminen. Kävijöille on kerrottava, mitkä palveluntarjoajat saavat heidän tietonsa, myös silloin, kun tiedot kulkevat ensin palvelimesi kautta.

Lähteet

Usein kysytyt kysymykset

Onko server-side tracking GDPR:n mukaista?

Voi olla, mutta ei siksi, että se toimii palvelimella. Samat säännöt pätevät kuin selaimessa tapahtuvaan seurantaan: suostumus tietojen tallentamiseen kävijän laitteelle ja niiden lukemiseen (Suomessa sähköisen viestinnän palveluista annetun lain 205 §), tietosuoja-asetuksen mukainen oikeusperuste, läpinäkyvyys ja, kun tietoja siirretään Euroopan ulkopuolelle, pätevä siirtoperuste. Server-side tracking helpottaa osaa tästä, esimerkiksi tietojen karsimista ennen kuin ne päätyvät palveluntarjoajalle, mutta se ei korvaa suostumusta.

Tarvitsenko evästebannerin, jos käytän palvelinpuolen Google Tag Manageria?

Analytiikka- ja markkinointitageille kyllä. Google-tagi toimii edelleen kävijän selaimessa ja lähettää tietoja palvelinkonttiisi, ja palvelinkontti voi asettaa evästeitä omalle verkkotunnuksellesi. Traficomin evästeohjeen mukaan sääntely koskee evästeiden lisäksi myös seurantapikseleitä ja muita verkkokutsuihin perustuvia seurantatekniikoita. Banneri kerää valinnan, ja Consent Mode välittää sen palvelinkonttiin.

Tarvitseeko Metan Conversions API suostumuksen?

EU:ssa kyllä, kun sitä käytetään mainontaan. Metan Business Tools -ehtojen mukaan vastaat siitä, että sinulla on käsittelylle laillinen peruste ja, kun laki sitä edellyttää, todennettava suostumus. EU:n tuomioistuin katsoi vuonna 2023, ettei Meta voi perustaa personoitua mainontaa oikeutettuun etuun ilman suostumusta. Lähetä tapahtumia vain kävijöistä, jotka ovat hyväksyneet markkinoinnin.

Ovatko palvelimen asettamat ensimmäisen osapuolen evästeet vapaita suostumuksesta?

Eivät. Lain 205 § ei erottele ensimmäisen ja kolmannen osapuolen evästeitä eikä JavaScriptin tai palvelimen asettamia evästeitä. Ratkaisevaa on, onko eväste välttämätön käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi. Kävijän analytiikkaa tai mainontaa varten tunnistava eväste ei ole.

Onko hashattu sähköpostiosoite anonyymi tieto?

Ei. Hashaus muuttaa sähköpostiosoitteen kiinteäksi koodiksi, mutta sama osoite tuottaa aina saman koodin, joten sen voi yhdistää. Tietosuoja-asetuksen kannalta kyse on pseudonymisoidusta tiedosta, joka on edelleen henkilötietoa. Meta pyytää hashattuja sähköpostiosoitteita juuri siksi, että se voi yhdistää ne käyttäjiinsä.

Toimiiko server-side tracking Google Consent Mode v2:n kanssa?

Kyllä. Consent Mode määritetään verkkokontissa; Google-tagi lisää suostumustilan jokaiseen palvelinkonttiin lähettämäänsä pyyntöön, ja Googlen omat tagit mukautuvat siihen. Muiden palveluntarjoajien tagit palvelinkontissa eivät tee tätä automaattisesti, joten niiden on noudatettava valintaa sinun määrittämilläsi ehdoilla.

Tämä opas on yleistä tietoa, ei oikeudellista neuvontaa. Tarkistamme sen säännöllisesti, mutta lait ja ohjeet muuttuvat. Etkö ole varma omasta tilanteestasi? Kysy juristilta.

Lue lisää

Lisää oppaita

Kaikki oppaat →

Ensimmäiset 7 päivää täysin ilmaiseksi

Luo ilmainen tili ja katso, sopiiko Cookie Confirm sinulle. Käytössä 5 minuutissa.

Ei luottokorttia
Sen jälkeen 7,95 € kuukaudessa
Plug & play -asennus

Aloita ilmainen kokeilu

4,9/5 5 000+ sivustoa