Usare Cloudflare Web Analytics in conformità al GDPR

Cloudflare Web Analytics misura le visualizzazioni di pagina tramite un piccolo script beacon (static.cloudflareinsights.com), senza impostare cookie e senza fingerprinting lato client. Cloudflare Inc. ha sede negli USA.

Cloudflare Web Analytics si distingue tecnicamente da Google Analytics in modo abbastanza netto: non c'è un identificatore client, non ci sono cookie e non c'è unione tra dispositivi. Il conteggio delle «visite» avviene lato server sulla base del referrer e di un segnale effimero e non persistente. Ciò elimina l'argomento principale a favore dell'obbligo di consenso — l'accesso alle informazioni memorizzate nel dispositivo non avviene.

Il dibattito si sposta quindi su due livelli. Primo, il trasferimento verso un paese terzo: anche un beacon senza cookie viene caricato da un server Cloudflare, il che trasmette l'indirizzo IP dei visitatori a Cloudflare (USA). Cloudflare è certificata ai sensi del Data Privacy Framework, quindi il trasferimento è in linea di principio coperto; va comunque indicato nell'informativa privacy. Secondo, la base giuridica del trattamento stesso — qui il legittimo interesse a una misurazione dell'audience che minimizza i dati regge di norma, il che andrebbe registrato in un breve bilanciamento.

In pratica: chi gestisce Cloudflare Web Analytics in modalità senza cookie predefinita può in molti casi fare a meno di un banner di consenso per questo strumento — a condizione che non ci siano altri servizi soggetti a consenso nella pagina. Non appena girano anche Google Fonts da Google, un embed YouTube o pixel di marketing, la pagina necessita comunque di un banner, e allora è più pulito includere anche l'analisi.

È un rischio?

Poiché non viene impostato alcun cookie e non viene letto alcun identificatore dal dispositivo, il processo centrale, secondo l'interpretazione prevalente, non è soggetto a consenso ai sensi dell'art. 25 c. 1 TDDDG. Restano due punti di verifica: lo script beacon e i dati aggregati passano tramite Cloudflare negli USA — questo trasferimento necessita di una base. E per il trattamento dei dati (aggregati, ma derivati da IP e user agent) va documentato un legittimo interesse ai sensi dell'art. 6 c. 1 lett. f GDPR.

Cosa puoi fare

• Verifica se la variante analytics funziona davvero senza cookie (nessun __cf_bm a fini di analisi, nessun LocalStorage).
• Stipula un contratto di responsabile del trattamento con Cloudflare; Cloudflare è certificata ai sensi dell'EU-US Data Privacy Framework — documentalo come base di trasferimento.
• Nell'informativa privacy indica Cloudflare come destinatario, la finalità (misurazione dell'audience), la base giuridica (legittimo interesse) e il trasferimento verso gli USA.
• Verifica nel codice sorgente se il beacon si carica prima di qualsiasi consenso — per un funzionamento puramente senza cookie è difendibile, ma dovrebbe essere una decisione consapevole.

Domande frequenti

Cloudflare Web Analytics ha bisogno di un banner cookie?

In funzionamento senza cookie predefinito, secondo l'opinione prevalente, no, perché non c'è accesso alle informazioni memorizzate nel dispositivo. Il trasferimento verso gli USA e il bilanciamento vanno comunque documentati.

In cosa si distingue dalla gestione dei bot di Cloudflare?

La gestione dei bot (incluso il cookie __cf_bm) serve alla sicurezza ed è di norma tecnicamente necessaria. Web Analytics è un prodotto separato per la misurazione dell'audience; solo questo è inteso qui.

È ammesso il trasferimento a Cloudflare negli USA?

Cloudflare Inc. è certificata ai sensi dell'EU-US Data Privacy Framework, il che copre in linea di principio il trasferimento. L'informativa privacy deve indicare Cloudflare come destinatario e il trasferimento.

Basta il legittimo interesse come base giuridica?

Per una misurazione dell'audience aggregata che minimizza i dati senza profilazione, l'art. 6 c. 1 lett. f GDPR regge di norma. Il bilanciamento andrebbe registrato brevemente per iscritto, inclusa la possibilità di opposizione.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.