Suostumustenhallinta-alusta (CMP): mitä sen pitää osata

Mikä on suostumustenhallinta-alusta?

Suostumustenhallinta-alusta, lyhyesti CMP (Consent Management Platform), on ohjelmisto, joka kysyy verkkosivustollasi kävijöiden suostumuksen, tallentaa sen, todentaa sen ja välittää sen kaikille sivustoon liitetyille palveluille. Siitä näkyy vain evästebanneri. Sen takana tehdään varsinainen työ: CMP huolehtii siitä, että Google Analytics, Google Ads, Meta Pixel ja muut palvelut tallentavat evästeitä tai lähettävät tietoja vasta, kun kävijä on sallinut sen. Siitä käytetään usein myös nimiä suostumusten hallintatyökalu tai consent manager. Tarkoitetaan aina samaa asiaa.

Saksassa oikeudellinen perusta on Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzin (TDDDG) 25 §, jonka nimi oli toukokuuhun 2024 asti TTDSG. Pykälä säätelee, milloin käyttäjän päätelaitteeseen saa kohdistaa toimia eli milloin evästeitä saa tallentaa tai lukea. Kaikkeen, mikä ei ole ehdottoman välttämätöntä, tarvitaan yleensä suostumus. Yleinen tietosuoja-asetus (GDPR) edellyttää lisäksi 7 artiklassa, että pystyt osoittamaan suostumuksen ja että suostumuksen peruuttaminen on yhtä helppoa kuin sen antaminen. Tämä artikkeli ei ole oikeudellista neuvontaa, vaan se selittää tekniikkaa.

Mitä tehtäviä suostumusten hallintatyökalulla on?

Suostumusten hallintatyökalu hoitaa kuusi tehtävää, jotka liittyvät tiiviisti toisiinsa. Jos yksi niistä pettää, seurauksena on joko tietosuojaongelmia tai aukkoja luvuissasi.

• Kysyminen: banneri selittää käyttötarkoitukset ymmärrettävästi ja tarjoaa hyväksymisen ja hylkäämisen tasavertaisina vaihtoehtoina.
• Tallentaminen: päätös tallennetaan selaimeen, jotta banneri ei ilmesty uudelleen jokaisella sivulatauksella.
• Todentaminen: jokainen suostumus kirjataan ajankohdan, bannerin version ja valittujen käyttötarkoitusten kanssa.
• Välittäminen: päätös välitetään Googlen suostumustilalle ja kaikille muille tageille, jotka riippuvat siitä.
• Peruuttamisen mahdollistaminen: kävijät voivat muuttaa päätöstään milloin tahansa, esimerkiksi alatunnisteen linkin kautta.
• Skannaus: evästeskannaus näyttää, mitä evästeitä ja palveluita sivulla todellisuudessa on.

→ Cookie-bannerin Consent Mode v2: noudattaa sääntöjä, ei kuukausimaksuja

Suostumusten hallinta ja Google Consent Mode v2

Googlen kannalta CMP:n tärkein tehtävä on välittää päätös Google Consent Mode v2:lle eli suostumustilalle, rajapinnalle, jonka kautta Googlen tagit saavat tiedon kävijän päätöksestä. Suostumustilassa on neljä signaalia: ad_storage ja analytics_storage määräävät, saako mainonnan ja analytiikan evästeitä tallentaa. ad_user_data määrää, saako käyttäjätietoja lähettää Googlelle mainontaa varten, ja ad_personalization, onko personoitu mainonta sallittua. Sivun latautuessa CMP asettaa kaikille neljälle oletusarvon, EU:ssa tavallisesti ”denied”. Kun kävijä klikkaa painiketta, CMP lähettää päivityksen, jossa on todellinen päätös.

Maaliskuusta 2024 lähtien Google on edellyttänyt, että nämä signaalit välitetään Euroopan talousalueen (ETA) kävijöistä, jos tietoja halutaan käyttää mainontaan ja uudelleenmarkkinointiin. Jos ne puuttuvat, Google Ads voi käyttää yleisöjä ja konversioita vain rajoitetusti. Google erottaa kaksi vaihtoehtoa: perustason toteutuksessa Googlen tagit latautuvat vasta suostumuksen jälkeen. Edistyneessä toteutuksessa ne latautuvat heti oletusarvolla ”denied” ja lähettävät ilman suostumusta vain evästeettömiä mittauksia, joiden perusteella Google arvioi puuttuvat arvot. Kumpi vaihtoehto sopii, on punninta, joka kannattaa tehdä tietoisesti.

Muilla palveluilla on omat mekanisminsa. Microsoft Advertising tukee Universal Event Tracking (UET) -seurannassaan omaa suostumussignaalia. Metan, LinkedInin, TikTokin ja Pinterestin tagi määritetään Google Tag Managerissa yleensä niin, että se käynnistyy vasta markkinointisuostumuksen jälkeen. Hyvä CMP tarjoaa tätä varten Google Tag Manager -säilöön oman tapahtuman tai muuttujan, jonka mukaan käynnistimet voivat toimia.

Evästeskannaus on CMP:n toinen tehtävä. Skanneri avaa sivusi automaattisesti ja listaa, mitä evästeitä, paikallista tallennustilaa ja palveluita niillä todellisuudessa on. Tämä on tärkeää, koska verkkosivustot muuttuvat jatkuvasti: uusi lisäosa upottaa kartan, video tulee jaetulta alustalta, chat-ikkuna tallentaa omat evästeensä. Jos palvelu näkyy skannauksessa mutta ei bannerissa, banneri ei kysy lupaa asiaan, joka silti tapahtuu. Skannauksen tulokset kuuluvat lisäksi tietosuojaselosteen evästetaulukkoon, jotta kävijät voivat lukea, mihin he antavat suostumuksensa.

Näin tunnistat hyvän CMP:n

Hyvän CMP:n tunnistat tekniikasta ja siitä, miten se toimii arjessa, et bannerin ulkonäöstä. Nämä kohdat auttavat valinnassa, käytitpä valmista suostumusten hallintatyökalua tai teetätkö ratkaisun.

• Consent Mode v2 on rakennettu suoraan sisään ja asettaa oletusarvon ennen kuin yksikään tagi käynnistyy.
• ”Hylkää kaikki” on tasavertaisena ensimmäisellä tasolla, ei piilossa asetuksissa.
• Banneri latautuu nopeasti: vähän tiedostoja eikä lisälatauksia monilta ulkopuolisilta palvelimilta.
• Suostumustodisteet tallennetaan mahdollisimman vähin tiedoin, mieluiten ilman IP-osoitetta.
• Liitäntä Google Tag Manageriin on dokumentoitu ja toimii ilman omaa koodia.
• Tekstit ovat saatavilla kaikilla kielillä, joita sivustosi käyttää.

CMP:n latausaika unohtuu valinnassa usein. Koska CMP:n on latauduttava hyvin aikaisin, jotta oletusarvo on asetettu ennen kaikkia muita tageja, jokainen ylimääräinen tiedosto viivästyttää mittauksen alkua ja usein myös sivun rakentumista. Tarkista siksi testisivulla, montako tiedostoa banneri lataa ja milloin se tulee näkyviin. Banneri, joka ilmestyy puhelimessa vasta useiden sekuntien kuluttua, karkottaa kävijöitä ja heikentää Core Web Vitals -tuloksia.

→ Google Consent Mode v2 -asetukset oikein: ei varoituksia Tag Assistantissa

Tyypilliset virheet ja miten ne huomaa

Yleinen CMP-virhe on banneri, joka kyllä näkyy mutta ei ohjaa mitään. Google Tag Managerin tagit käynnistyvät sivun latautuessa päätöksestä riippumatta. Huomaat tämän, kun klikkaat yksityisessä ikkunassa ”Hylkää kaikki” ja löydät kehittäjätyökalujen Application-välilehdeltä silti evästeitä, kuten _ga tai _fbp. Toinen virhe on puuttuva oletusarvo: suostumustila saa signaalin vasta klikkauksen jälkeen, ja ensimmäiset osumat lähtevät ilman suostumuksen tilaa.

Joskus suostumus myös tallennetaan, mutta sitä ei koskaan välitetä päivityksenä suostumustilalle. Silloin kaikki jää tilaan ”denied”, ja Google Analytics näyttää tuskin mitään tietoja, vaikka moni kävijä antaa suostumuksen. Myös väärin määritetyt luokat ovat yleisiä: Meta Pixel on luokassa ”Tilastot” eikä ”Markkinointi”, tai jokin palvelu puuttuu bannerista kokonaan. Google Tag Managerin esikatselun suostumusvälilehdeltä näet, mikä tila oli voimassa mihinkin aikaan.

Käytännön esimerkki: pieni WooCommerce-verkkokauppa

Kahvitarvikkeita myyvä verkkokauppa käyttää WooCommercea, Google Analytics 4:ää, Google Adsia ja Meta Pixeliä. Banneri asennettiin vuosia sitten lisäosalla, ja tagit lisättiin myöhemmin Google Tag Managerin kautta. Testi paljastaa: banneri kysyy suostumuksen oikein, mutta Meta Pixel on lisäksi koodattu kiinteästi teemaan ja latautuu aina. Samalla suostumustilan oletusarvo puuttuu, minkä vuoksi Google Ads ei näe EU:sta juuri yhtään konversiota.

Ratkaisussa on kolme vaihetta. Pikseli poistetaan teemasta, ja se käynnistetään vain Google Tag Managerissa markkinointisuostumuksen käynnistimellä. CMP asettaa oletusarvon ”denied” aivan alussa. Sen jälkeen testataan jokainen polku: ilman päätöstä, hylkäämällä ja hyväksymällä. Muutos julkaistaan vasta, kun kaikissa kolmessa tapauksessa tapahtuu oikea asia.

Teetä suostumusten hallinnan käyttöönotto

Trackum määrittää suostumuksen niin, että se todella toimii yrityksesi Google Tag Managerissa: Consent Mode v2 oletusarvoineen, käynnistimet jokaiselle mainosalustalle ja testi esikatselussa suostumuksen kanssa ja ilman ennen kuin mitään julkaistaan. Käyttöönotto Google Analytics 4:n ja Consent Mode v2:n kanssa maksaa kertaluonteisesti 150 €. Trackumin evästebanneri, yksi ainoa 6,6 kt:n tiedosto, joka ei lataa mitään lisää, on saatavilla lisäpalveluna hintaan 50 € sekä 4,90 € kuukaudessa, ja se sisältyy 19 euron kuukausitilaukseen. Hintoihin lisätään ALV.

Jos haluat ensin tietää, toimiiko nykyinen CMP:si oikein, maksuton tarkistus tutkii sivusi 0 eurolla ja ilman rekisteröitymistä oikeassa selaimessa suostumuksen kanssa ja ilman ja näyttää havainnot kiinteine hintoineen.