Cloudflare Web Analytics を GDPR に準拠して利用する

Cloudflare Web Analytics は小さなビーコンスクリプト（static.cloudflareinsights.com）でページビューを計測し、Cookie を設定せず、クライアントサイドのフィンガープリンティングも行いません。Cloudflare Inc. は米国に所在します。

Cloudflare Web Analytics は技術的に Google Analytics とかなり明確に異なります。クライアント識別子も Cookie もデバイス横断の統合もありません。「訪問」のカウントはリファラーと短命で永続しないシグナルに基づきサーバーサイドで行われます。これにより同意義務の主な論拠 — 端末に保存された情報へのアクセス — がなくなります。

そこで議論は2つのレベルに移ります。第一に第三国移転です。Cookie フリーのビーコンでも Cloudflare のサーバーから読み込まれ、訪問者の IP アドレスが Cloudflare（米国）に送信されます。Cloudflare は Data Privacy Framework の認証を受けているため移転は原則としてカバーされますが、それでもプライバシーポリシーに記載すべきです。第二に処理自体の法的根拠 — ここではデータ最小化されたリーチ計測への正当な利益が通常成立し、短い利益衡量に記録すべきです。

実務上、Cloudflare Web Analytics を Cookie フリーの既定モードで運用する場合、多くのケースでこのツールの同意バナーは不要です — ただしページに他の同意が必要なサービスがない場合に限ります。Google からの Google Fonts、YouTube 埋め込み、マーケティングピクセルも動いていれば、ページにはいずれにせよバナーが必要で、その場合は分析も含めた方がすっきりします。

これはリスクですか？

Cookie を設定せず、端末から識別子を読み取らないため、中核となる処理は有力な解釈では TDDDG 第25条第1項による同意の対象になりません。2つの確認点が残ります。ビーコンスクリプトと集約データは米国の Cloudflare を経由します — この移転には根拠が必要です。そして（集約されているが IP とユーザーエージェントから導かれる）データの処理には、GDPR 第6条第1項fによる正当な利益を文書化する必要があります。

対応方法

• アナリティクスの方式が本当に Cookie フリーで動作するか確認します（分析目的の __cf_bm なし、LocalStorage なし）。
• Cloudflare と処理者契約を締結します。Cloudflare は EU-US Data Privacy Framework の認証を受けています — これを移転根拠として文書化します。
• プライバシーポリシーに Cloudflare を受信者として、目的（リーチ計測）、法的根拠（正当な利益）、米国への移転を記載します。
• ビーコンが同意の前に読み込まれるかをソースで確認します — 純粋に Cookie フリーの運用であれば擁護できますが、意識的な判断であるべきです。

よくある質問

Cloudflare Web Analytics に Cookie バナーは必要ですか？

Cookie フリーの既定運用では、有力な見解ではいいえ。端末に保存された情報へのアクセスがないためです。米国移転と利益衡量は依然として文書化が必要です。

Cloudflare のボット管理とどう違いますか？

ボット管理（__cf_bm Cookie を含む）はセキュリティのためで、通常は技術的に必要です。Web Analytics はリーチ計測のための別製品で、ここではこれのみを指します。

Cloudflare への米国移転は許容されますか？

Cloudflare Inc. は EU-US Data Privacy Framework の認証を受けており、移転は原則としてカバーされます。プライバシーポリシーに Cloudflare を受信者として、移転を記載する必要があります。

法的根拠として正当な利益で十分ですか？

プロファイリングのないデータ最小化された集約リーチ計測には、GDPR 第6条第1項fが通常成立します。利益衡量は異議申立ての可能性を含め、簡潔に書面で記録すべきです。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。