Používat Cloudflare Web Analytics v souladu s GDPR

Cloudflare Web Analytics měří zobrazení stránek malým beacon skriptem (static.cloudflareinsights.com), aniž by nastavoval cookies a bez fingerprintingu na straně klienta. Cloudflare Inc. sídlí v USA.

Cloudflare Web Analytics se technicky výrazně liší od Google Analytics: neexistuje žádný klientský identifikátor, žádné cookies a žádné spojování napříč zařízeními. Počítání „návštěv“ probíhá na straně serveru na základě referreru a krátkodobého, neperzistentního signálu. Tím odpadá hlavní argument pro povinnost souhlasu — k přístupu k informacím uloženým v zařízení nedochází.

Debata se tak přesouvá na dvě roviny. Zaprvé přenos do třetí země: i bezcookie beacon se načítá ze serveru Cloudflare, čímž se IP adresa návštěvníků přenáší na Cloudflare (USA). Cloudflare je certifikován podle Data Privacy Framework, takže přenos je v zásadě zajištěn; přesto patří do zásad ochrany osobních údajů. Zadruhé právní základ pro samotné zpracování — zde zpravidla obstojí oprávněný zájem na úsporném měření návštěvnosti, který by měl být zachycen v krátkém posouzení zájmů.

V praxi to znamená: kdo provozuje Cloudflare Web Analytics ve výchozím bezcookie režimu, může se v mnoha případech obejít bez souhlasového banneru pro tento nástroj — za předpokladu, že na stránce nejsou žádné další služby podmíněné souhlasem. Jakmile vedle toho běží Google Fonts od Googlu, vložené YouTube video nebo marketingové pixely, potřebuje stránka banner tak jako tak, a pak je čistší zahrnout do něj i analytiku.

Je to riziko?

Protože se nenastavuje žádná cookie a nečte se žádný identifikátor ze zařízení, není podle rozšířeného výkladu základní operace podle § 25 odst. 1 TDDDG podmíněna souhlasem. Zůstávají dva body ke kontrole: beacon skript a agregovaná data procházejí přes Cloudflare v USA — tento přenos potřebuje právní základ. A pro zpracování (agregovaných, ale z IP adresy a user agenta odvozených) dat je třeba zdokumentovat oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR.

Co můžete udělat

• Ověřit, zda varianta Analytics skutečně běží bez cookies (žádné __cf_bm pro analytické účely, žádné LocalStorage).
• Uzavřít s Cloudflare smlouvu o zpracování osobních údajů; Cloudflare je certifikován podle rámce EU-US Data Privacy Framework — to zdokumentovat jako základ pro přenos.
• V zásadách ochrany osobních údajů uvést Cloudflare jako příjemce, účel (měření návštěvnosti), právní základ (oprávněný zájem) a přenos do USA.
• Ve zdrojovém kódu ověřit, zda se beacon načítá před případným souhlasem — při čistě bezcookie provozu je to obhajitelné, mělo by to však být vědomé rozhodnutí.

Časté dotazy

Potřebuje Cloudflare Web Analytics cookie lištu?

Ve výchozím bezcookie provozu podle rozšířeného názoru ne, protože nedochází k přístupu k informacím uloženým v zařízení. Přenos do USA a posouzení zájmů je přesto třeba zdokumentovat.

Čím se liší od Cloudflare bot managementu?

Bot management (mimo jiné cookie __cf_bm) slouží bezpečnosti a je většinou technicky nezbytný. Web Analytics je samostatný produkt pro měření návštěvnosti; zde je myšlen pouze ten.

Je přenos k Cloudflare do USA přípustný?

Cloudflare Inc. je certifikován podle rámce EU-US Data Privacy Framework, čímž je přenos v zásadě zajištěn. V zásadách ochrany osobních údajů je třeba uvést Cloudflare jako příjemce a tento přenos.

Stačí oprávněný zájem jako právní základ?

Pro úsporné, agregované měření návštěvnosti bez profilování zpravidla obstojí čl. 6 odst. 1 písm. f) GDPR. Posouzení by mělo být krátce písemně zachyceno, včetně možnosti vznést námitku.

Jak pomáhá consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.