Използване на Cloudflare Web Analytics в съответствие с GDPR

Cloudflare Web Analytics измерва посещенията на страници чрез малък beacon скрипт (static.cloudflareinsights.com), без да поставя бисквитки и без снемане на отпечатък от страна на клиента. Cloudflare Inc. е със седалище в САЩ.

Cloudflare Web Analytics се различава технически значително от Google Analytics: няма клиентски идентификатор, няма бисквитки и няма обединяване между устройства. Броенето на „посещения“ става от страна на сървъра въз основа на референта и краткотраен, непостоянен сигнал. Така отпада основният аргумент за задължението за съгласие — достъп до информация, съхранена в крайното устройство, не се извършва.

Дебатът се измества така на две нива. Първо, трансферът към трета държава: и безбисквитен beacon се зарежда от сървър на Cloudflare, при което IP адресът на посетителите се предава на Cloudflare (САЩ). Cloudflare е сертифициран по Data Privacy Framework, така че трансферът по принцип е обезпечен; въпреки това мястото му е в декларацията за поверителност. Второ, правното основание за самата обработка — тук по правило издържа легитимният интерес от икономично измерване на обхвата, който трябва да се закрепи в кратка преценка на интересите.

На практика това означава: който използва Cloudflare Web Analytics в стандартния безбисквитен режим, в много случаи може да се откаже от банер за съгласие за този инструмент — при условие че на страницата няма други услуги, изискващи съгласие. Щом наред с това работят Google Fonts от Google, вграждане на YouTube или маркетингови пиксели, страницата и без това се нуждае от банер и тогава е по-чисто в него да се включи и анализът.

Това риск ли е?

Тъй като не се поставя бисквитка и не се чете идентификатор от крайното устройство, основната операция според разпространеното тълкуване не изисква съгласие по чл. 25, ал. 1 TDDDG. Остават две точки за проверка: beacon скриптът и агрегираните данни минават през Cloudflare в САЩ — този трансфер се нуждае от основание. А за обработката на (агрегираните, но изведени от IP и потребителски агент) данни трябва да се документира легитимен интерес по чл. 6, ал. 1, буква е) от GDPR.

Какво можете да направите

• Да се провери дали вариантът Analytics наистина работи без бисквитки (без __cf_bm за аналитични цели, без LocalStorage).
• Да се сключи договор за обработка на данни с Cloudflare; Cloudflare е сертифициран по рамката EU-US Data Privacy Framework — това да се документира като основание за трансфера.
• В декларацията за поверителност да се посочат Cloudflare като получател, целта (измерване на обхвата), правното основание (легитимен интерес) и трансферът към САЩ.
• В изходния код да се провери дали beacon зарежда преди евентуално съгласие — при чисто безбисквитен режим това е допустимо, но трябва да е съзнателно решение.

Често задавани въпроси

Нуждае ли се Cloudflare Web Analytics от банер за бисквитки?

В стандартния безбисквитен режим според разпространеното мнение — не, защото не се осъществява достъп до информация, съхранена в крайното устройство. Трансферът към САЩ и преценката на интересите въпреки това остават за документиране.

По какво се различава от управлението на ботове на Cloudflare?

Управлението на ботове (сред другото бисквитката __cf_bm) служи за сигурност и обикновено е технически необходимо. Web Analytics е отделен продукт за измерване на обхвата; тук се има предвид само той.

Допустим ли е трансферът към Cloudflare в САЩ?

Cloudflare Inc. е сертифициран по рамката EU-US Data Privacy Framework, с което трансферът по принцип е обезпечен. В декларацията за поверителност Cloudflare трябва да се посочи като получател, както и трансферът.

Достатъчен ли е легитимният интерес като правно основание?

За икономично, агрегирано измерване на обхвата без профилиране по правило издържа чл. 6, ал. 1, буква е) от GDPR. Преценката трябва да се закрепи накратко писмено, включително възможността за възражение.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.