Analysverktyg: Rekommendationer för GDPR

Google Analytics är det mest populära analyseredskapet, men på grund av GDPR bör det inte användas längre. Alternativa verktyg finns tillgängliga.

Analysverktyg som ett viktigt instrument

Nu vet man vem sin kund är, kan man tillgoda hennes behov på bästa sätt. En webbplats kan bara vara framgångsrik om man känner till marknaden. Därmed också att utvärdera besökare och de sidor som blivit påkallade. Populära verktyg för detta är Google Analytics, Piwik, Webtrekk och ett fåtal andra. Med Google Analytics kan man till och med fastställa åldersstruktur hos besökarna, liksom deras sannolika inkomstförhållanden. Det verkar på första ögonblicket otroligt. Nytten för de flesta webbplatsägare är dock tveksam. Utöver detta förbjuder dataskyddskrav att utvärdera personuppgifter utan användarens samtycke. Många använder analyseringsverktyg främst för att mäta hur ofta vilken sida av webbplatsen blivit påkallad. Att utvärdera en klickspårning, alltså vilka sidor som blivit påkallade i följd, intresserar inte lika många som antalet sidaufringar.

Problem med Google Analytics

Google är känt för sin datainsamlingsskärpa, som bara Facebook kan jämföras med. Google Analytics har faktiskt designats officiellt för att samla in data. Detta var redan problematiskt, men blir ännu mer bråkmakande med införandet av Dataskyddsförordningen (GDPR). Orsakerna är:

Google är ett företag med säte utanför EU, vilket i sig bör ses som kritiskt i ljuset av GDPR.
Register över behandlingsverksamheter enligt GDPR kräver att överföringar av data till tredjeländer anges, tillsammans med garantier för att EU:s dataskyddsförordningar följs
Google Analytics får bara användas med anonymiserade IP-adresser, eftersom IP-adresser anses vara personuppgifter
En skriftlig och båda parter undertecknad avtal med Google om uppdragsprosessering måste finnas
Dataskyddspolicyn för Analytics måste vara fullständig
Speciellt måste det finnas en möjlighet att avregistrera sig, både för stationära datorer (via ett webbläsartillägg) och för smartphones (via ett opt-out-cookie)
Realisationen av opt-out-cookies kräver teknisk kunskap
Det samlas vanligtvis betydligt mer data än vad som egentligen är intressant
Om användaren är inloggad med sitt Google-konto kan Google identifiera användaren direkt

På grund av dessa skäl rekommenderar vi starkt att inte använda Google Analytics och istället föreslår vi att använda bra alternativ. Användandet av konkurrentprodukten Click kanske inte är lika kritiskt, men det är också inte att rekommendera inom ramen för GDPR. En anledning till att inte använda Clicky är att den engelska webbplatsen saknar en uppgift om företaget och på Roxr Software Ltd:s sida saknas alla uppgifter om företagets adress.

Rekommenderade analysverktyg

Det bästa är att använda analyseringsverktyg som körs lokal på din server. Det finns två kategorier av verktyg: de med Javascript-bibliotek och de utan någon skriptinbindning. Till den första kategori hör till exempel det populära Piwik, till den andra kategori till exempel WP Statistics för WordPress. Verktygen utan någon skriptinbindning (kategori två) är mest oskyldiga. Även verktyg i kategori ett kan rekommenderas. Alla verktyg som körs på servrar hos tredje part, rekommenderar vi inte.

WP Statistics

Anpassad för alla webbplatser baserade på världens mest populära innehållshanteringssystem, WordPress. I en extra artikel till WordPress Plugins presenteras WP Statistics i detalj. Pluginet körs helt lokal på webbplatsens server. En script-inbindning är inte nödvändig. Detta säkerställer att inga data överförs direkt från användarens webbläsare till statistikverktyget. Med ett klick kan även anonymisering av IP-adresserna aktiveras. Om du vill vara på den säkra sidan, inför du följande kommando i filen functions.php i WordPress (vissa tekniska kunskaper krävs):

gömma WP Statistics

Matomo (Piwik)

Likewise mycket populärt, men användbart för alla slags webbplatser eftersom det bygger på en Javascript-kod. Den personuppgiftsrelaterade integritetspolicy måste innehålla Opt-Out möjlighet, vilket inte är nödvändigt med det tidigare presenterade verktyget.

Matomo (Piwik) är kostnadsfritt och kan laddas ner från internet. Använd gärna den lokala versionen som ska installeras. Den molnbaserade versionen är åtminstone av dataskyddsskäl något problematisk. Dessutom måste man då klara ut var Piwik-servern befinner sig och vilka garantier tillhandahålls av leverantören av Piwik för dataskyddet. Innan vi säger mer: Om du inte kan använda WP Statistics, bör du välja Piwik. Alla alternativ som nämns nedan anser vi är mindre lämpliga för den stora mängden webbplatser.

AWStats

AWStats körs helt på webbservern och analyserar loggfiler. Installationen är inte alldeles enkel. En förutsättning är att Perl finns tillgängligt. För detta är analysverktyget kostnadsfritt. Utvärderingsmöjligheterna är omfattande. Look & Feel kunde vara lite modernare.

En skripteinfbäddning i HTML-koden sker inte, vilket är mycket bra. Webbplatsbesökaren märker alltså inte ens att AWStats används. Eftersom de flesta tyska leverantörer anonymiserar IP-adresser i serverloggar finns det heller inga problem med dataskydd.

Webtrekk

Företaget har sitt säte i Berlin, alltså inom EU. Webtrekk Analytics är en kommersiell lösning. Eftersom verktyget inte är kostnadsfritt rekommenderar vi det inte här, även om det från ett dataskyddsperspektiv skulle kunna rekommenderas i princip. Kostnaderna bestäms av antalet Page Impressions (sidesidor).

etracker

Av samma anledning som med Webtrekk görs ingen mer ingående undersökning av det webbaserade analysverktyget etracker, eftersom det är betalningsbaserat. Basversionen kostade minst 19 euro per månad vid början av 2018.

Det är mycket pengar för en information om hur ofta en sida har besökts under en viss period (dag, månad). Visst finns det andra intressanta mätvärden. Dessa kan man dock i stort sett också analysera med Piwik. Personligen tyckte jag inte om etrackers instrumentpanel när jag senast tittade in i testversionen. Efter testperioden fick jag ständigt reklam-e-post från etracker.

Ytterligare rekommendationer

Oavsett vilket verktyg som används för webb analys bör följande aspekter beaktas:

Anonymisera alltid IP-adresser
Samla inte in personuppgifter utan absolut nödvändighet, till exempel e-postadresser (eller IP-adresser)
Om man överväger att aktivera ett utökat spårning, bör man noga överväga om det överensstämmer med GDPR. Det kommer åtminstone innebära mer arbete och omsorg (se nästa punkt)
Register över behandlingsaktiviteter måste innehålla en beskrivning av vilket analysverktyg som används
Se till att leverantören av verktyget har sitt säte i Tyskland eller åtminstone i Europeiska unionen
Granska om en uppdragsdatabehandling är nödvändig. Detta bör alltid kontrolleras när man använder en molnlösning eller hyrlösning
En lokal lösning bör alltid föredragas framför en molnlösning
Oftast behövs ingen kommersiell lösning, fria verktyg räcker långt
Den som inte gör analyser behöver inte använda något analysverktyg. Webbmästare installerar gärna Google Analytics av vana, även om ingen gör några analyser
Dataskyddspolicyn måste klargöra vilket analysverktyg som används
Vid lösningar som inte helt körs lokalt, som WP Statistics eller AWStats, måste användaren ges möjlighet att inaktivera och radera sina data. Detta opt-out måste fungera lika bra på datorn som på smartphone eller surfplatta