A Cloudflare Web Analytics GDPR-konform használata

A Cloudflare Web Analytics egy kis beacon szkripttel (static.cloudflareinsights.com) méri az oldalletöltéseket, sütik beállítása és kliensoldali ujjlenyomatképzés nélkül. A Cloudflare Inc. székhelye az USA-ban van.

A Cloudflare Web Analytics technikailag jelentősen eltér a Google Analyticstől: nincs ügyfélazonosító, nincsenek sütik és nincs eszközök közötti összekapcsolás. A „látogatások“ számlálása szerveroldalon, a hivatkozó és egy rövid életű, nem tartós jel alapján történik. Ezzel elesik a hozzájárulási kötelezettség fő érve — az eszközön tárolt információkhoz való hozzáférés nem történik meg.

A vita így két szintre tolódik. Először a harmadik országba történő továbbítás: a süti nélküli beacon is a Cloudflare szerveréről töltődik be, amivel a látogatók IP-címe a Cloudflare-hez (USA) kerül. A Cloudflare a Data Privacy Framework szerint tanúsított, így a továbbítás elvben biztosított; mégis az adatvédelmi tájékoztatóba tartozik. Másodszor magának a kezelésnek a jogalapja — itt rendszerint megállja a helyét az adattakarékos látogatottságmérés iránti jogos érdek, amelyet egy rövid érdekmérlegelésben kell rögzíteni.

A gyakorlatban ez azt jelenti: aki a Cloudflare Web Analyticset az alapértelmezett süti nélküli módban üzemelteti, sok esetben lemondhat az eszközhöz tartozó hozzájárulási sávról — feltéve, hogy az oldalon nincsenek más, hozzájáruláshoz kötött szolgáltatások. Amint emellett a Google Fonts a Google-től, egy beágyazott YouTube vagy marketingpixelek futnak, az oldalnak amúgy is szüksége van sávra, és akkor tisztább az analitikát is felvenni bele.

Kockázat ez?

Mivel nem állítanak be sütit és nem olvasnak ki azonosítót az eszközről, az alapművelet az elterjedt értelmezés szerint a TDDDG 25. § (1) bekezdése alapján nem hozzájáruláshoz kötött. Két ellenőrzési pont marad: a beacon szkript és az összesített adatok a Cloudflare-en át az USA-ba futnak — ehhez a továbbításhoz jogalap kell. És az (összesített, de IP-címből és user agentből származtatott) adatok kezeléséhez a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeket kell dokumentálni.

Mit tehet

• Ellenőrizni kell, hogy az Analytics változat valóban süti nélkül fut-e (nincs __cf_bm analitikai célra, nincs LocalStorage).
• Adatfeldolgozási szerződést kell kötni a Cloudflare-rel; a Cloudflare az EU-US Data Privacy Framework szerint tanúsított — ezt kell a továbbítás alapjaként dokumentálni.
• Az adatvédelmi tájékoztatóban meg kell nevezni a Cloudflare-t címzettként, a célt (látogatottságmérés), a jogalapot (jogos érdek) és az USA-ba történő továbbítást.
• A forráskódban ellenőrizni kell, hogy a beacon egy esetleges hozzájárulás előtt betöltődik-e — tisztán süti nélküli működésnél ez védhető, de tudatos döntésnek kell lennie.

Gyakori kérdések

Szüksége van a Cloudflare Web Analyticsnek sütisávra?

Az alapértelmezett süti nélküli működésnél az elterjedt vélemény szerint nincs, mert nem történik hozzáférés az eszközön tárolt információkhoz. Az USA-ba történő továbbítást és az érdekmérlegelést ettől függetlenül dokumentálni kell.

Miben különbözik a Cloudflare botkezeléstől?

A botkezelés (többek között a __cf_bm süti) a biztonságot szolgálja és általában technikailag szükséges. A Web Analytics egy különálló termék a látogatottságméréshez; itt csak erről van szó.

Megengedett a Cloudflare-hez az USA-ba történő továbbítás?

A Cloudflare Inc. az EU-US Data Privacy Framework szerint tanúsított, amivel a továbbítás elvben biztosított. Az adatvédelmi tájékoztatóban meg kell nevezni a Cloudflare-t címzettként és ezt a továbbítást.

Elegendő a jogos érdek jogalapként?

Adattakarékos, összesített, profilalkotás nélküli látogatottságméréshez rendszerint megállja a helyét a GDPR 6. cikk (1) bekezdés f) pontja. A mérlegelést röviden írásban rögzíteni kell, beleértve a tiltakozás lehetőségét.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.