Menggunakan Cloudflare Web Analytics sesuai GDPR

Cloudflare Web Analytics mengukur tampilan halaman melalui skrip beacon kecil (static.cloudflareinsights.com), tanpa menyetel cookie dan tanpa fingerprinting sisi klien. Cloudflare Inc. berkedudukan di AS.

Cloudflare Web Analytics secara teknis berbeda jelas dari Google Analytics: tidak ada pengenal klien, tidak ada cookie, dan tidak ada penggabungan lintas perangkat. Penghitungan „kunjungan“ terjadi di sisi server berdasarkan referrer dan sinyal berumur pendek yang tidak persisten. Dengan demikian argumen utama untuk kewajiban persetujuan gugur — akses ke informasi yang tersimpan di perangkat tidak terjadi.

Perdebatan dengan demikian bergeser ke dua tingkat. Pertama, transfer ke negara ketiga: beacon tanpa cookie pun dimuat dari server Cloudflare, sehingga alamat IP pengunjung ditransfer ke Cloudflare (AS). Cloudflare bersertifikat berdasarkan Data Privacy Framework, sehingga transfer pada dasarnya terlindungi; meski begitu tetap termasuk dalam kebijakan privasi. Kedua, dasar hukum untuk pemrosesan itu sendiri — di sini biasanya bertahan kepentingan yang sah atas pengukuran jangkauan yang hemat data, yang sebaiknya dicatat dalam penimbangan kepentingan singkat.

Secara praktis ini berarti: siapa yang menjalankan Cloudflare Web Analytics dalam mode standar tanpa cookie, dalam banyak kasus dapat melepaskan banner persetujuan untuk alat ini — dengan syarat tidak ada layanan lain yang memerlukan persetujuan di halaman tersebut. Segera setelah di sampingnya berjalan Google Fonts dari Google, sematan YouTube, atau piksel pemasaran, halaman tetap membutuhkan banner, dan kemudian lebih rapi untuk memasukkan analitik juga.

Apakah ini risiko?

Karena tidak ada cookie yang disetel dan tidak ada pengenal yang dibaca dari perangkat, operasi inti menurut penafsiran yang umum tidak memerlukan persetujuan berdasarkan § 25 ayat 1 TDDDG. Tersisa dua titik pemeriksaan: skrip beacon dan data agregat berjalan melalui Cloudflare di AS — transfer ini membutuhkan dasar. Dan untuk pemrosesan data (yang teragregasi, tetapi diturunkan dari IP dan user agent) perlu didokumentasikan kepentingan yang sah menurut Pasal 6 ayat 1 huruf f GDPR.

Apa yang dapat Anda lakukan

• Periksa apakah varian Analytics benar-benar berjalan tanpa cookie (tidak ada __cf_bm untuk tujuan analitik, tidak ada LocalStorage).
• Buat perjanjian pemrosesan data dengan Cloudflare; Cloudflare bersertifikat berdasarkan kerangka EU-US Data Privacy Framework — dokumentasikan ini sebagai dasar transfer.
• Dalam kebijakan privasi sebutkan Cloudflare sebagai penerima, tujuan (pengukuran jangkauan), dasar hukum (kepentingan yang sah), dan transfer ke AS.
• Dalam kode sumber periksa apakah beacon dimuat sebelum kemungkinan persetujuan — pada operasi murni tanpa cookie hal ini dapat dipertanggungjawabkan, tetapi harus merupakan keputusan yang disadari.

Pertanyaan yang sering diajukan

Apakah Cloudflare Web Analytics membutuhkan banner cookie?

Pada operasi standar tanpa cookie menurut pendapat yang umum tidak, karena tidak terjadi akses ke informasi yang tersimpan di perangkat. Transfer ke AS dan penimbangan kepentingan tetap perlu didokumentasikan.

Apa bedanya dengan manajemen bot Cloudflare?

Manajemen bot (antara lain cookie __cf_bm) berfungsi untuk keamanan dan umumnya diperlukan secara teknis. Web Analytics adalah produk terpisah untuk pengukuran jangkauan; di sini yang dimaksud hanya itu.

Apakah transfer ke Cloudflare di AS diperbolehkan?

Cloudflare Inc. bersertifikat berdasarkan kerangka EU-US Data Privacy Framework, sehingga transfer pada dasarnya terlindungi. Dalam kebijakan privasi Cloudflare harus disebut sebagai penerima beserta transfernya.

Apakah kepentingan yang sah cukup sebagai dasar hukum?

Untuk pengukuran jangkauan yang hemat data, teragregasi tanpa pembentukan profil, biasanya bertahan Pasal 6 ayat 1 huruf f GDPR. Penimbangan sebaiknya dicatat singkat secara tertulis, termasuk kemungkinan keberatan.

Bagaimana consentglass membantu

Pemeriksaan gratis menganalisis HTML yang disajikan dan menunjukkan layanan apa yang tersemat, apakah banner cookie terdeteksi, dan apakah ada tautan ke privasi dan informasi kontak — dengan klasifikasi untuk setiap temuan. Tidak menggantikan nasihat hukum.