Cloudflare Web Analytics lietošana atbilstoši VDAR

Cloudflare Web Analytics mēra lapu skatījumus ar nelielu bākas skriptu (static.cloudflareinsights.com), neiestatot sīkdatnes un bez pirkstu nospiedumu noteikšanas klienta pusē. Cloudflare Inc. atrodas ASV.

Cloudflare Web Analytics tehniski būtiski atšķiras no Google Analytics: nav klienta identifikatora, nav sīkdatņu un nav apvienošanas starp ierīcēm. „Apmeklējumu“ skaitīšana notiek servera pusē, pamatojoties uz novirzītāju un īslaicīgu, nepastāvīgu signālu. Tādējādi zūd galvenais arguments par piekrišanas pienākumu — piekļuve ierīcē saglabātai informācijai nenotiek.

Diskusija tādējādi pārceļas uz diviem līmeņiem. Pirmkārt, nodošana uz trešo valsti: arī bezsīkdatņu bāka tiek ielādēta no Cloudflare servera, kā rezultātā apmeklētāju IP adrese tiek nodota Cloudflare (ASV). Cloudflare ir sertificēts saskaņā ar Datu privātuma regulējumu, tāpēc nodošana principā ir nodrošināta; tomēr tā ietilpst privātuma politikā. Otrkārt, pašas apstrādes juridiskais pamats — te parasti noturas leģitīmas intereses par datus taupošu aptvēruma mērīšanu, kas jāfiksē īsā interešu izvērtējumā.

Praktiski tas nozīmē: kas lieto Cloudflare Web Analytics noklusējuma bezsīkdatņu režīmā, daudzos gadījumos var atteikties no piekrišanas joslas šim rīkam — ar nosacījumu, ka lapā nav citu piekrišanu prasošu pakalpojumu. Tiklīdz blakus darbojas Google Fonts no Google, iegults YouTube vai mārketinga pikseļi, lapai josla ir vajadzīga jebkurā gadījumā, un tad ir tīrāk iekļaut tajā arī analītiku.

Vai tas ir risks?

Tā kā sīkdatne netiek iestatīta un no ierīces netiek nolasīts identifikators, pamatdarbība saskaņā ar izplatīto interpretāciju atbilstoši TDDDG 25. panta 1. punktam nav pakļauta piekrišanas prasībai. Paliek divi pārbaudes punkti: bākas skripts un apkopotie dati iet caur Cloudflare ASV — šai nodošanai vajadzīgs pamats. Un (apkopoto, bet no IP adreses un lietotāja aģenta atvasināto) datu apstrādei jādokumentē leģitīmas intereses saskaņā ar VDAR 6. panta 1. punkta f) apakšpunktu.

Ko jūs varat darīt

• Pārbaudīt, vai Analytics variants tiešām darbojas bez sīkdatnēm (nav __cf_bm analītikas nolūkiem, nav LocalStorage).
• Noslēgt ar Cloudflare datu apstrādes līgumu; Cloudflare ir sertificēts saskaņā ar ES un ASV datu privātuma regulējumu — dokumentēt to kā nodošanas pamatu.
• Privātuma politikā norādīt Cloudflare kā saņēmēju, mērķi (aptvēruma mērīšana), juridisko pamatu (leģitīmas intereses) un nodošanu uz ASV.
• Pirmkodā pārbaudīt, vai bāka tiek ielādēta pirms iespējamas piekrišanas — tīri bezsīkdatņu darbībā tas ir aizstāvams, bet tam jābūt apzinātam lēmumam.

Biežāk uzdotie jautājumi

Vai Cloudflare Web Analytics vajadzīga sīkdatņu josla?

Noklusējuma bezsīkdatņu darbībā pēc izplatīta viedokļa nē, jo netiek piekļūts ierīcē saglabātai informācijai. Nodošana uz ASV un interešu izvērtējums tomēr jādokumentē.

Ar ko tas atšķiras no Cloudflare botu pārvaldības?

Botu pārvaldība (cita starpā sīkdatne __cf_bm) kalpo drošībai un parasti ir tehniski nepieciešama. Web Analytics ir atsevišķs produkts aptvēruma mērīšanai; te ar to domāts tikai tas.

Vai nodošana Cloudflare uz ASV ir pieļaujama?

Cloudflare Inc. ir sertificēts saskaņā ar ES un ASV datu privātuma regulējumu, ar ko nodošana principā ir nodrošināta. Privātuma politikā jānorāda Cloudflare kā saņēmējs un šī nodošana.

Vai leģitīmas intereses pietiek kā juridiskais pamats?

Datus taupošai, apkopotai aptvēruma mērīšanai bez profilēšanas parasti noturas VDAR 6. panta 1. punkta f) apakšpunkts. Izvērtējums īsi jāfiksē rakstiski, ieskaitot iebilduma iespēju.

Kā palīdz consentglass

Bezmaksas pārbaude analizē piegādāto HTML un parāda, kuri pakalpojumi ir iegulti, vai ir atpazīta sīkdatņu josla un vai ir saites uz privātumu un kontaktinformāciju — ar klasifikāciju pie katra atklājuma. Neaizstāj juridisku konsultāciju.