# Palvelinpuolen tagitus ja suostumus: mikä muuttuu ja mikä ei

> Palvelinpuolen tagitus vie toimittajien tagit pois selaimesta, mutta suostumussäännöt pätevät yhä. Lue, mikä muuttuu, mikä ei ja miten suostumus välitetään palvelimelle.

Source: https://www.cookiesh.eu/fi/blog/server-side-tagging-and-consent  
Published: 2026-09-01

## Key takeaways

- Palvelinpuolen tagitus muuttaa sitä, missä toimittajien koodi suoritetaan, ei sitä, tarvitsetko suostumuksen tietojen tallentamiseen kävijän laitteelle tai niiden lukemiseen.
- Tagituspalvelimesi asettamat evästeet tallentuvat edelleen kävijän laitteelle, joten ePrivacy-direktiivin suostumussäännöt koskevat myös niitä.
- Jokaisen palvelimellesi lähetetyn tapahtuman pitäisi sisältää kävijän suostumustila, ja palvelimen pitäisi käsitellä puuttuvaa suostumusta evättynä.
- Tagituspalvelin antaa sinulle todellisen mahdollisuuden karsia ja minimoida tietoja ennen kuin ne päätyvät toimittajille.
- Toimittajat, jotka saavat tietoja suoraan palvelimelta palvelimelle, on edelleen ilmoitettava, vaikka kävijät eivät enää näe niitä selaimessa.

Palvelinpuolen tagitus siirtää toimittajien tagit kävijän selaimesta hallitsemallesi palvelimelle: sivu lähettää tapahtumat päätepisteeseesi, ja palvelimesi välittää ne analytiikka- ja mainosalustoille. Tämä voi parantaa suorituskykyä ja tietojen hallintaa, mutta se ei poista suostumusvaatimuksia. Evästeet ja tunnisteet ovat edelleen kävijän laitteella, ja henkilötiedot päätyvät edelleen toimittajille.

## Mitä palvelinpuolen tagitus on?

Se on ratkaisu, jossa sivu lähettää yhden tapahtumavirran tagituspalvelimelle, ja selaimen sijaan tämä palvelin kutsuu kutakin toimittajaa. Palvelin toimii yleensä sivustosi aliverkkotunnuksessa, kuten `metrics.example.com`.

Google Tag Managerin palvelinpuolen säilöt ovat tunnettu esimerkki, mutta sama malli toimii myös edge-funktiolla tai itse kirjoittamallasi pienellä API:lla. Perinteisessä asiakaspuolen ratkaisussa jokaisen toimittajan skripti suoritetaan kävijän selaimessa, ja se päättää, mitä kerätään. Palvelinpuolen ratkaisussa selain lataa vähemmän toimittajien koodia, ja toimittajat saavat sen, minkä palvelimesi päättää lähettää.

## Mikä muuttuu, kun tagit siirretään palvelimelle?

Lähinnä suorituskyky ja hallinta. Tyypilliset hyödyt:

- **Vähemmän koodia selaimessa.** Vähemmän toimittajien skriptejä tarkoittaa vähemmän ladattavaa ja suoritettavaa JavaScriptiä, mikä auttaa latautumisessa ja reagoinnissa.
- **Paikka tietojen siivoamiselle.** Palvelimesi voi tarkastaa jokaisen tapahtuman ennen sen välittämistä: poistaa tai lyhentää IP-osoitteet, karsia URL-parametrit, joissa voi kulkea sähköpostiosoitteita, ja poistaa kentät, joita toimittaja ei tarvitse.
- **Erilainen evästemekaniikka.** Palvelimesi voi asettaa ensimmäisen osapuolen evästeitä HTTP:n `Set-Cookie`-otsakkeilla JavaScriptin sijaan. Selaimet kohtelevat skriptin ja palvelimen asettamia evästeitä joissakin tapauksissa eri tavoin, ja nämä säännöt muuttuvat jatkuvasti, joten älä suunnittele tietyn evästeen elinajan varaan.
- **Vähemmän suoria yhteyksiä kolmansiin osapuoliin.** Kävijän selain on yhteydessä sinun verkkotunnukseesi eikä jokaiseen toimittajaan.

## Mikä ei muutu?

Oikeudellinen arvio. ePrivacy-direktiivi ja tietosuoja-asetus (GDPR) välittävät siitä, mitä laitteella tapahtuu ja mitä henkilötiedoille tapahtuu, eivät siitä, mikä palvelin on välissä.

| Kysymys | Asiakaspuolen tagitus | Palvelinpuolen tagitus |
| --- | --- | --- |
| Tallennetaanko tunnisteita kävijän laitteelle? | Kyllä, toimittajien skriptien asettamina | Yleensä kyllä, oman verkkotunnuksesi asettamina |
| Koskeeko ePrivacy-suostumus muuta kuin välttämätöntä tallentamista ja pääsyä? | Kyllä | Kyllä |
| Päätyvätkö henkilötiedot toimittajille? | Kyllä, selaimesta | Kyllä, palvelimeltasi |
| Tarvitaanko jokaiselle käyttötarkoitukselle tietosuoja-asetuksen mukainen oikeusperuste? | Kyllä | Kyllä |
| Onko vastaanottajat ilmoitettava kävijöille? | Kyllä | Kyllä |
| Kuka päättää, mitä kukin toimittaja saa? | Pitkälti toimittajan skripti | Sinä |

ePrivacy-direktiivin 5 artiklan 3 kohta koskee tietojen tallentamista laitteelle tai niihin pääsyä. Jos palvelimesi asettaa analytiikkatunnisteen sisältävän evästeen ja lukee sen takaisin jokaisen pyynnön yhteydessä, kyse on laitteelle tallentamisesta ja siihen pääsystä riippumatta siitä, mikä verkkotunnus tai koodipolku sen tekee. Poikkeus riippuu käyttötarkoituksesta, eli siitä, onko eväste ehdottoman välttämätön käyttäjän pyytämän palvelun kannalta, eikä siitä, onko se ensimmäisen osapuolen eväste; katso [evästetyypit](/fi/blog/types-of-cookies).

Tietosuoja-asetusta sovelletaan myös tapahtumadataan. Henkilöön liittyvät tunnisteet, IP-osoitteet ja sivujen URL-osoitteet ovat henkilötietoja, joten jokainen toimittajalle kulkeva tietovirta tarvitsee 6 artiklan mukaisen oikeusperusteen, ja kun peruste on suostumus, sen on täytettävä 7 artiklan edellytykset. Jos todella haluat mittausta ilman tunnisteita, [evästeetön analytiikka](/fi/blog/cookieless-analytics) on oma keskustelunsa.

## Miten suostumus välitetään palvelimelle?

Lähetä suostumustila jokaisen tapahtuman mukana, valvo sitä palvelimella ja käsittele kaikkea puuttuvaa evättynä. Palvelimen on päätettävä asia kohdekohtaisesti, koska yksi saapuva tapahtuma voi haarautua useille toimittajille eri käyttötarkoituksiin.

Asiakaspuolella älä lähetä mitään ilman suostumusta ja sisällytä tila hyötykuormaan:

```ts
type ConsentState = { analytics: boolean; marketing: boolean };

export function track(event: string, props: Record<string, unknown>, consent: ConsentState) {
  if (!consent.analytics && !consent.marketing) return; // mitään ei saa lähettää
  navigator.sendBeacon(
    'https://metrics.example.com/collect',
    JSON.stringify({ event, props, consent, ts: Date.now() }),
  );
}
```

Palvelimella välitä kuhunkin kohteeseen vain se, minkä sen kategoria sallii:

```ts
export async function handleCollect(req: Request): Promise<Response> {
  const body = await req.json().catch(() => null);
  const analytics = body?.consent?.analytics === true; // puuttuva tarkoittaa evättyä
  const marketing = body?.consent?.marketing === true;
  if (!analytics && !marketing) return new Response(null, { status: 204 });

  const event = minimize(body); // poista IP-osoitteet ja kyselymerkkijonot sekä käyttämättömät kentät
  const jobs: Promise<unknown>[] = [];
  if (analytics) jobs.push(sendToAnalytics(event));
  if (marketing) jobs.push(sendToAdPlatform(event));
  await Promise.allSettled(jobs);

  return new Response(null, { status: 204 });
}
```

Jos käytät Google-tageja Consent Moden kanssa, suostumustila kulkee tagien lähettämien pyyntöjen mukana, ja Google dokumentoi, miten sen tagit toimivat kunkin signaalin kanssa. Tarkista, että jokainen palvelinsäilösi tagi, erityisesti kolmansien osapuolten mallit, todella noudattaa tätä tilaa, äläkä oleta sitä. [Google Consent Mode v2 -oppaassamme](/fi/blog/google-consent-mode-v2-guide) käydään läpi neljä signaalia.

## Mitä palvelimeni pitäisi tehdä tiedoilla?

Käsittele tagituspalvelinta tietojenkäsittelyjärjestelmänä, jolla on omat sääntönsä, eikä pelkkänä putkena:

1. **Evää oletuksena.** Hylkää tapahtumat, joista suostumuskentät puuttuvat tai joissa ne ovat virheellisiä.
2. **Reititä käyttötarkoituksen mukaan.** Lähetä analytiikkatoimittajille vain tapahtumat, joille on annettu analytiikkasuostumus, ja mainostoimittajille vain tapahtumat, joille on annettu markkinointisuostumus.
3. **Minimoi ennen välittämistä.** Lyhennä tai poista IP-osoitteet, karsi kyselymerkkijonot ja fragmentit ja lähetä kullekin toimittajalle vain sen tarvitsemat kentät.
4. **Rajoita säilytysaikaa.** Palvelimesi raa'at tapahtumalokit ovat myös henkilötietoja. Määritä lyhyt säilytysaika ja rajoita pääsyä.
5. **Dokumentoi jokainen tietovirta.** Luettele jokainen toimittaja, sen saamat tiedot ja käyttötarkoitus tietosuojaselosteessasi ja evästekäytännössäsi, koska kävijät eivät enää näe näitä tietovirtoja selaimessaan.
6. **Auditoi molemmat puolet.** Selainpohjaiset skannerit eivät näe palvelimelta palvelimelle kulkevaa liikennettä, joten yhdistä säännöllinen [evästekartoitus](/fi/blog/how-to-run-a-cookie-audit) palvelinsäilösi tagien ja kohteiden tarkistukseen.

## Yhteenveto

Palvelinpuolen tagitus muuttaa sitä, missä tagit suoritetaan, ja antaa sinulle enemmän hallintaa siihen, mitä toimittajat saavat. Se ei muuta sitä, milloin tarvitset suostumuksen, mitä pidetään henkilötietona tai mitä sinun on ilmoitettava. Tee suostumuksesta osa jokaista tapahtumaa, valvo sitä palvelimella ja minimoi se, mitä palvelimelta lähtee. Cookieshin kaltaiset työkalut voivat tarjota tagiesi ja palvelimesi tarvitseman suostumustilan Google Consent Mode v2 -tuen, Google Tag Manager -mallin ja JavaScript-rajapinnan avulla.

*Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.*

## FAQ

### Vapauttaako ensimmäisen osapuolen aliverkkotunnus seurantaevästeet suostumusvaatimuksesta?

Ei. Se, tarvitseeko eväste suostumuksen, riippuu sen käyttötarkoituksesta, ei sen asettavasta verkkotunnuksesta. Oman metrics-aliverkkotunnuksesi asettama analytiikka- tai mainoseväste tarvitsee saman suostumuksen kuin toimittajan verkkotunnuksen asettama.

### Tarvitsenko yhä evästebannerin, jos kaikki tagini toimivat palvelinpuolella?

Tarvitset, jos käytät muita kuin välttämättömiä evästeitä tai muuta laitteen tallennustilaa tai jos tietojen lähettäminen toimittajille perustuu suostumukseen oikeusperusteena. Tagien siirtäminen palvelimelle muuttaa sitä, minne tiedot menevät keräämisen jälkeen, ei niiden keräämiseen tarvittavaa suostumusta.

### Voiko palvelinpuolen tagituksella kiertää mainosten estäjiä?

Se voi tehdä joistakin pyynnöistä estäjille vaikeammin tunnistettavia, mutta se ei muuta lakisääteisiä velvollisuuksiasi. Sen käyttäminen kävijän valintojen ohittamiseen heikentää läpinäkyvyyttä, josta pätevä suostumus riippuu, joten pidä mahdollisia muutoksia estämisessä sivuvaikutuksena, ei tavoitteena.

### Kuka vastaa tiedoista, joita tagituspalvelin välittää eteenpäin?

Sinä päätät, mitä palvelimesi lähettää kullekin toimittajalle, joten tarvitset jokaiselle tietovirralle oikeusperusteen, asianmukaiset sopimukset toimittajien kanssa ja paikkansapitävät tiedot kävijöille. Toimittajan omat velvollisuudet riippuvat sen roolista ja sopimuksesta.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Google: Consent mode overview](https://developers.google.com/tag-platform/security/guides/consent)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)