Naudoti Cloudflare Web Analytics laikantis BDAR

Cloudflare Web Analytics matuoja puslapių peržiūras nedideliu švyturio scenarijumi (static.cloudflareinsights.com), nenustatydamas slapukų ir be pirštų atspaudų kliento pusėje. Cloudflare Inc. įsikūrusi JAV.

Cloudflare Web Analytics techniškai gerokai skiriasi nuo Google Analytics: nėra kliento identifikatoriaus, nėra slapukų ir nėra sujungimo tarp įrenginių. „Apsilankymai“ skaičiuojami serverio pusėje pagal nukreipiantįjį ir trumpalaikį, neišliekantį signalą. Taip išnyksta pagrindinis argumentas dėl sutikimo pareigos — prieigos prie įrenginyje saugomos informacijos nevyksta.

Diskusija taip pasislenka į du lygmenis. Pirma, perdavimas į trečiąją šalį: net beslapukis švyturys įkeliamas iš Cloudflare serverio, todėl lankytojų IP adresas perduodamas Cloudflare (JAV). Cloudflare yra sertifikuota pagal Duomenų privatumo sistemą, todėl perdavimas iš esmės užtikrintas; vis dėlto jis priklauso privatumo politikai. Antra, paties tvarkymo teisinis pagrindas — čia paprastai atlaiko teisėtas interesas duomenis taupančiam pasiekiamumo matavimui, kurį reikėtų užfiksuoti trumpame interesų vertinime.

Praktiškai tai reiškia: kas naudoja Cloudflare Web Analytics numatytuoju beslapukiu režimu, daugeliu atvejų gali atsisakyti sutikimo juostos šiam įrankiui — su sąlyga, kad puslapyje nėra kitų sutikimo reikalaujančių paslaugų. Vos tik greta veikia Google Fonts iš Google, įterptas YouTube ar rinkodaros pikseliai, puslapiui juosta reikalinga vis tiek, ir tada švariau į ją įtraukti ir analitiką.

Ar tai rizika?

Kadangi nenustatomas slapukas ir iš įrenginio neskaitomas identifikatorius, pagrindinė operacija pagal paplitusį aiškinimą pagal TDDDG 25 straipsnio 1 dalį nereikalauja sutikimo. Lieka du tikrinimo taškai: švyturio scenarijus ir apibendrinti duomenys eina per Cloudflare JAV — šiam perdavimui reikia pagrindo. O (apibendrintų, bet iš IP adreso ir naudotojo agento išvestų) duomenų tvarkymui reikia dokumentuoti teisėtą interesą pagal BDAR 6 straipsnio 1 dalies f punktą.

Ką galite padaryti

• Patikrinti, ar Analytics variantas tikrai veikia be slapukų (jokių __cf_bm analitikos tikslais, jokio LocalStorage).
• Sudaryti su Cloudflare duomenų tvarkymo sutartį; Cloudflare yra sertifikuota pagal ES ir JAV duomenų privatumo sistemą — tai dokumentuoti kaip perdavimo pagrindą.
• Privatumo politikoje nurodyti Cloudflare kaip gavėją, tikslą (pasiekiamumo matavimas), teisinį pagrindą (teisėtas interesas) ir perdavimą į JAV.
• Pirminiame kode patikrinti, ar švyturys įkeliamas prieš galimą sutikimą — grynai beslapukiu režimu tai pateisinama, tačiau turėtų būti sąmoningas sprendimas.

Dažni klausimai

Ar Cloudflare Web Analytics reikia slapukų juostos?

Numatytuoju beslapukiu režimu, paplitusia nuomone, nereikia, nes prie įrenginyje saugomos informacijos neprieinama. Perdavimą į JAV ir interesų vertinimą vis tiek reikia dokumentuoti.

Kuo jis skiriasi nuo Cloudflare botų valdymo?

Botų valdymas (be kita ko, slapukas __cf_bm) tarnauja saugumui ir paprastai yra techniškai būtinas. Web Analytics yra atskiras produktas pasiekiamumo matavimui; čia turimas omenyje tik jis.

Ar perdavimas Cloudflare į JAV leidžiamas?

Cloudflare Inc. yra sertifikuota pagal ES ir JAV duomenų privatumo sistemą, todėl perdavimas iš esmės užtikrintas. Privatumo politikoje reikia nurodyti Cloudflare kaip gavėją ir šį perdavimą.

Ar teisėto intereso pakanka kaip teisinio pagrindo?

Duomenis taupančiam, apibendrintam pasiekiamumo matavimui be profiliavimo paprastai atlaiko BDAR 6 straipsnio 1 dalies f punktas. Vertinimą reikėtų trumpai užfiksuoti raštu, įskaitant galimybę nesutikti.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.