Cloudflare Web Analyticsin käyttö GDPR:n mukaisesti

Cloudflare Web Analytics mittaa sivunäyttöjä pienellä beacon-skriptillä (static.cloudflareinsights.com) asettamatta evästeitä ja ilman asiakaspuolen sormenjälkitunnistusta. Cloudflare Inc. sijaitsee Yhdysvalloissa.

Cloudflare Web Analytics eroaa teknisesti selvästi Google Analyticsista: ei ole asiakastunnistetta, ei evästeitä eikä laitteiden välistä yhdistämistä. „Käyntien“ laskenta tapahtuu palvelinpuolella viittaajan ja lyhytikäisen, ei-pysyvän signaalin perusteella. Näin poistuu tärkein peruste suostumusvelvollisuudelle — päätelaitteeseen tallennettuihin tietoihin ei pääsyä tapahdu.

Keskustelu siirtyy siten kahdelle tasolle. Ensinnäkin kolmansiin maihin siirto: myös evästeetön beacon ladataan Cloudflaren palvelimelta, jolloin kävijöiden IP-osoite siirtyy Cloudflarelle (Yhdysvallat). Cloudflare on sertifioitu Data Privacy Frameworkin mukaisesti, joten siirto on lähtökohtaisesti turvattu; se kuuluu silti tietosuojaselosteeseen. Toiseksi itse käsittelyn oikeusperuste — tässä kestää yleensä oikeutettu etu tietoja säästävään kävijämäärän mittaukseen, joka tulisi kirjata lyhyeen etujen punnintaan.

Käytännössä tämä tarkoittaa: se, joka käyttää Cloudflare Web Analyticsia oletusarvoisessa evästeettömässä tilassa, voi monissa tapauksissa luopua tämän työkalun suostumusbannerista — edellyttäen, ettei sivulla ole muita suostumusta edellyttäviä palveluita. Heti kun rinnalla toimivat Google Fonts Googlelta, upotettu YouTube-video tai markkinointipikselit, sivu tarvitsee bannerin joka tapauksessa, ja silloin on siistimpää sisällyttää siihen myös analytiikka.

Onko tämä riski?

Koska evästettä ei aseteta eikä päätelaitteesta lueta tunnistetta, ydintoiminto ei yleisen tulkinnan mukaan edellytä suostumusta TDDDG:n 25 §:n 1 momentin nojalla. Kaksi tarkistuskohtaa jää: beacon-skripti ja aggregoidut tiedot kulkevat Cloudflaren kautta Yhdysvalloissa — tämä siirto tarvitsee perusteen. Ja (aggregoitujen, mutta IP-osoitteesta ja user agentista johdettujen) tietojen käsittelyä varten on dokumentoitava oikeutettu etu GDPR:n 6 artiklan 1 kohdan f alakohdan nojalla.

Mitä voit tehdä

• Tarkista, toimiiko Analytics-versio todella evästeettömästi (ei __cf_bm-evästettä analytiikkatarkoituksiin, ei LocalStoragea).
• Tee Cloudflaren kanssa tietojenkäsittelysopimus; Cloudflare on sertifioitu EU-US Data Privacy Framework -järjestelyn mukaisesti — dokumentoi tämä siirron perusteeksi.
• Mainitse tietosuojaselosteessa Cloudflare vastaanottajana, tarkoitus (kävijämäärän mittaus), oikeusperuste (oikeutettu etu) ja siirto Yhdysvaltoihin.
• Tarkista lähdekoodista, latautuuko beacon ennen mahdollista suostumusta — puhtaasti evästeettömässä käytössä tämä on puolustettavissa, mutta sen tulisi olla tietoinen päätös.

Usein kysytyt kysymykset

Tarvitseeko Cloudflare Web Analytics evästebannerin?

Oletusarvoisessa evästeettömässä käytössä yleisen käsityksen mukaan ei, koska päätelaitteeseen tallennettuihin tietoihin ei pääsyä tapahdu. Siirto Yhdysvaltoihin ja etujen punninta on silti dokumentoitava.

Miten se eroaa Cloudflaren bottien hallinnasta?

Bottien hallinta (mm. eväste __cf_bm) palvelee tietoturvaa ja on yleensä teknisesti välttämätön. Web Analytics on erillinen tuote kävijämäärän mittaukseen; tässä tarkoitetaan vain sitä.

Onko siirto Cloudflarelle Yhdysvaltoihin sallittu?

Cloudflare Inc. on sertifioitu EU-US Data Privacy Framework -järjestelyn mukaisesti, jolloin siirto on lähtökohtaisesti turvattu. Tietosuojaselosteessa on mainittava Cloudflare vastaanottajana ja tämä siirto.

Riittääkö oikeutettu etu oikeusperusteeksi?

Tietoja säästävään, aggregoituun kävijämäärän mittaukseen ilman profilointia kestää yleensä GDPR:n 6 artiklan 1 kohdan f alakohta. Punninta tulisi kirjata lyhyesti kirjallisesti, mukaan lukien vastustamismahdollisuus.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.