Cloudflare Web Analytics מודד צפיות בעמודים באמצעות סקריפט beacon קטן (static.cloudflareinsights.com), בלי להגדיר עוגיות ובלי טביעת אצבע בצד הלקוח. Cloudflare Inc. יושבת בארצות הברית.
Cloudflare Web Analytics שונה טכנית באופן ברור מ-Google Analytics: אין מזהה לקוח, אין עוגיות ואין איחוד בין מכשירים. ספירת „הביקורים“ מתבצעת בצד השרת על סמך המפנה ואות קצר טווח ולא מתמיד. בכך נופל הטיעון המרכזי לחובת ההסכמה — גישה למידע המאוחסן במכשיר אינה מתרחשת.
הדיון עובר כך לשתי רמות. ראשית ההעברה למדינה שלישית: גם beacon נטול עוגיות נטען משרת של Cloudflare, וכתובת ה-IP של המבקרים מועברת ל-Cloudflare (ארצות הברית). Cloudflare מאושרת במסגרת מסגרת פרטיות הנתונים, ולכן ההעברה מאובטחת עקרונית; עם זאת מקומה בהצהרת הפרטיות. שנית הבסיס המשפטי לעיבוד עצמו — כאן מחזיק בדרך כלל האינטרס הלגיטימי במדידת טווח חסכונית בנתונים, שיש לתעד באיזון אינטרסים קצר.
מעשית פירוש הדבר: מי שמפעיל את Cloudflare Web Analytics במצב ברירת המחדל נטול העוגיות יכול במקרים רבים לוותר על באנר הסכמה לכלי זה — בתנאי שאין שירותים אחרים הכפופים להסכמה בעמוד. ברגע שלצידו פועלים Google Fonts מ-Google, הטמעת YouTube או פיקסלים שיווקיים, העמוד זקוק לבאנר ממילא, ואז נקי יותר לכלול גם את הניתוח.
מכיוון שלא מוגדרת עוגייה ולא נקרא מזהה מהמכשיר, הפעולה המרכזית לפי הפרשנות הרווחת אינה כפופה להסכמה לפי § 25(1) ל-TDDDG. נותרות שתי נקודות בדיקה: סקריפט ה-beacon והנתונים המצרפיים עוברים דרך Cloudflare בארצות הברית — העברה זו זקוקה לבסיס. ולעיבוד הנתונים (המצרפיים, אך הנגזרים מכתובת IP ומ-user agent) יש לתעד אינטרס לגיטימי לפי סעיף 6(1)(f) ל-GDPR.
הבדיקה החינמית מנתחת את קוד ה-HTML שסופק ומציגה אילו שירותים מוטמעים, האם זוהה באנר העוגיות, והאם קיימים קישורים למדיניות פרטיות ולפרטי יצירת קשר — עם סיווג לכל ממצא. אינה מהווה תחליף לייעוץ משפטי.
טקסט זה הוא מידע כללי למיטב ידיעתנו, ולא ייעוץ משפטי. למקרה פרטני, פנה למשרד עורכי דין המתמחה בדיני מחשבים ומידע.