GDPR에 맞게 Cloudflare Web Analytics 사용하기

Cloudflare Web Analytics는 작은 비콘 스크립트(static.cloudflareinsights.com)로 페이지 조회수를 측정하며, 쿠키를 설정하지 않고 클라이언트 측 핑거프린팅도 하지 않습니다. Cloudflare Inc.는 미국에 있습니다.

Cloudflare Web Analytics는 기술적으로 Google Analytics와 뚜렷이 다릅니다: 클라이언트 식별자가 없고 쿠키가 없으며 기기 간 통합이 없습니다. „방문“ 집계는 리퍼러와 단기적이고 비영구적인 신호를 바탕으로 서버 측에서 이루어집니다. 이로써 동의 의무의 주요 논거가 사라집니다 — 단말기에 저장된 정보에 대한 접근이 발생하지 않기 때문입니다.

논의는 이에 따라 두 가지 차원으로 옮겨갑니다. 첫째, 제3국 이전: 쿠키 없는 비콘도 Cloudflare 서버에서 로드되므로 방문자의 IP 주소가 Cloudflare(미국)로 전송됩니다. Cloudflare는 데이터 프라이버시 프레임워크에 따라 인증되어 있어 이전이 원칙적으로 보호되지만, 그럼에도 개인정보 처리방침에 포함되어야 합니다. 둘째, 처리 자체의 법적 근거 — 여기서는 대개 데이터 절약적 도달 범위 측정에 대한 정당한 이익이 유효하며, 이는 짧은 이익 형량으로 기록되어야 합니다.

실무적으로 이는 다음을 의미합니다: Cloudflare Web Analytics를 기본 쿠키 없는 모드로 운영하는 사람은 많은 경우 이 도구에 대한 동의 배너를 생략할 수 있습니다 — 단, 페이지에 동의가 필요한 다른 서비스가 없어야 합니다. Google의 Google Fonts, YouTube 임베드 또는 마케팅 픽셀이 함께 실행되는 즉시 페이지에는 어차피 배너가 필요하며, 그때는 분석도 함께 포함하는 편이 더 깔끔합니다.

이것은 위험한가요?

쿠키가 설정되지 않고 단말기에서 식별자를 읽지 않으므로, 핵심 처리는 일반적 해석상 TDDDG 제25조 제1항에 따른 동의 대상이 아닙니다. 두 가지 점검 지점이 남습니다: 비콘 스크립트와 집계 데이터는 미국의 Cloudflare를 거칩니다 — 이 이전에는 근거가 필요합니다. 그리고 (집계되었지만 IP와 사용자 에이전트에서 도출된) 데이터의 처리를 위해서는 GDPR 제6조 제1항 (f)호에 따른 정당한 이익을 문서화해야 합니다.

할 수 있는 조치

• Analytics 방식이 정말로 쿠키 없이 작동하는지 확인한다(분석 목적의 __cf_bm 없음, LocalStorage 없음).
• Cloudflare와 데이터 처리 계약을 체결한다. Cloudflare는 EU-US 데이터 프라이버시 프레임워크에 따라 인증되어 있으며 — 이를 이전 근거로 문서화한다.
• 개인정보 처리방침에 Cloudflare를 수신자로, 목적(도달 범위 측정), 법적 근거(정당한 이익), 미국 이전을 명시한다.
• 소스 코드에서 비콘이 동의 이전에 로드되는지 확인한다 — 순수하게 쿠키 없는 운영이라면 정당화될 수 있으나 의식적인 결정이어야 한다.

자주 묻는 질문

Cloudflare Web Analytics에 쿠키 배너가 필요한가요?

기본 쿠키 없는 운영에서는 일반적 견해상 필요하지 않습니다. 단말기에 저장된 정보에 접근하지 않기 때문입니다. 미국 이전과 이익 형량은 그럼에도 문서화해야 합니다.

Cloudflare 봇 관리와 무엇이 다른가요?

봇 관리(그중 __cf_bm 쿠키)는 보안을 위한 것이며 대개 기술적으로 필요합니다. Web Analytics는 도달 범위 측정을 위한 별도 제품이며 여기서는 이것만을 가리킵니다.

Cloudflare로의 미국 이전은 허용되나요?

Cloudflare Inc.는 EU-US 데이터 프라이버시 프레임워크에 따라 인증되어 있어 이전이 원칙적으로 보호됩니다. 개인정보 처리방침에 Cloudflare를 수신자로, 그리고 이 이전을 명시해야 합니다.

정당한 이익이 법적 근거로 충분한가요?

프로파일링 없는 데이터 절약적·집계적 도달 범위 측정에는 대개 GDPR 제6조 제1항 (f)호가 유효합니다. 형량은 이의 제기 가능성을 포함하여 간단히 서면으로 기록해야 합니다.

consentglass가 도와드리는 방법

무료 검사는 제공된 HTML을 분석하여 어떤 서비스가 내장되어 있는지, 쿠키 배너가 감지되는지, 개인정보처리방침 및 사업자 정보 링크가 있는지 각 발견 사항에 대한 분류와 함께 보여줍니다. 법률 자문을 대체하지 않습니다.