Korištenje Cloudflare Web Analyticsa u skladu s GDPR-om

Cloudflare Web Analytics mjeri preglede stranica malom beacon skriptom (static.cloudflareinsights.com), bez postavljanja kolačića i bez fingerprintinga na strani klijenta. Cloudflare Inc. ima sjedište u SAD-u.

Cloudflare Web Analytics tehnički se znatno razlikuje od Google Analyticsa: nema klijentskog identifikatora, nema kolačića i nema povezivanja među uređajima. Brojanje „posjeta“ odvija se na strani poslužitelja na temelju referrera i kratkotrajnog, nepersistentnog signala. Time otpada glavni argument za obvezu privole — pristup informacijama pohranjenima na uređaju ne odvija se.

Rasprava se tako premješta na dvije razine. Prvo, prijenos u treću zemlju: i beskolačićni beacon učitava se s Cloudflareova poslužitelja, čime se IP adresa posjetitelja prenosi Cloudflareu (SAD). Cloudflare je certificiran prema Data Privacy Frameworku, pa je prijenos načelno osiguran; ipak pripada u izjavu o zaštiti podataka. Drugo, pravna osnova za samu obradu — ovdje u pravilu drži legitiman interes za štedljivo mjerenje dosega, koji bi trebalo zabilježiti u kratkoj procjeni interesa.

U praksi to znači: tko koristi Cloudflare Web Analytics u zadanom beskolačićnom načinu, u mnogim se slučajevima može odreći trake za privolu za taj alat — pod uvjetom da na stranici nema drugih usluga koje zahtijevaju privolu. Čim uz to rade Google Fonts od Googlea, ugrađeni YouTube ili marketinški pikseli, stranici je traka ionako potrebna, i tada je čišće u nju uključiti i analitiku.

Je li ovo rizik?

Budući da se ne postavlja kolačić i ne čita identifikator s uređaja, temeljna radnja prema raširenom tumačenju ne zahtijeva privolu prema § 25. st. 1. TDDDG-a. Ostaju dvije točke provjere: beacon skripta i agregirani podaci idu preko Cloudflarea u SAD-u — taj prijenos treba osnovu. A za obradu (agregiranih, ali iz IP adrese i korisničkog agenta izvedenih) podataka treba dokumentirati legitiman interes prema čl. 6. st. 1. t. (f) GDPR-a.

Što možete učiniti

• Provjeriti radi li Analytics varijanta doista bez kolačića (bez __cf_bm u analitičke svrhe, bez LocalStoragea).
• Sklopiti s Cloudflareom ugovor o obradi podataka; Cloudflare je certificiran prema okviru EU-US Data Privacy Framework — to dokumentirati kao osnovu za prijenos.
• U izjavi o zaštiti podataka navesti Cloudflare kao primatelja, svrhu (mjerenje dosega), pravnu osnovu (legitiman interes) i prijenos u SAD.
• U izvornom kodu provjeriti učitava li se beacon prije eventualne privole — pri isključivo beskolačićnom radu to je branjivo, ali bi trebala biti svjesna odluka.

Česta pitanja

Treba li Cloudflare Web Analytics traku za kolačiće?

U zadanom beskolačićnom radu prema raširenom mišljenju ne, jer se ne pristupa informacijama pohranjenima na uređaju. Prijenos u SAD i procjena interesa ipak ostaju za dokumentirati.

Po čemu se razlikuje od Cloudflare upravljanja botovima?

Upravljanje botovima (među ostalim kolačić __cf_bm) služi sigurnosti i uglavnom je tehnički nužno. Web Analytics je zaseban proizvod za mjerenje dosega; ovdje se misli samo na njega.

Je li prijenos Cloudflareu u SAD dopušten?

Cloudflare Inc. certificiran je prema okviru EU-US Data Privacy Framework, čime je prijenos načelno osiguran. U izjavi o zaštiti podataka treba navesti Cloudflare kao primatelja i taj prijenos.

Je li legitiman interes dovoljan kao pravna osnova?

Za štedljivo, agregirano mjerenje dosega bez profiliranja u pravilu drži čl. 6. st. 1. t. (f) GDPR-a. Procjenu bi trebalo kratko pisano zabilježiti, uključujući mogućnost prigovora.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.