Bruke Cloudflare Web Analytics i tråd med personvernforordningen

Cloudflare Web Analytics måler sidevisninger via et lite beacon-skript (static.cloudflareinsights.com), uten å sette informasjonskapsler og uten fingeravtrykk på klientsiden. Cloudflare Inc. holder til i USA.

Cloudflare Web Analytics skiller seg teknisk tydelig fra Google Analytics: det finnes ingen klientidentifikator, ingen informasjonskapsler og ingen sammenkobling på tvers av enheter. Telling av „besøk“ skjer på serversiden basert på henviseren og et kortvarig, ikke-vedvarende signal. Dermed faller hovedargumentet for samtykkeplikt bort — tilgang til informasjon lagret på enheten skjer ikke.

Debatten flytter seg dermed til to nivåer. For det første overføringen til et tredjeland: også et informasjonskapselfritt beacon lastes fra en Cloudflare-server, slik at de besøkendes IP-adresse overføres til Cloudflare (USA). Cloudflare er sertifisert under Data Privacy Framework, så overføringen er i prinsippet sikret; den hører likevel hjemme i personvernerklæringen. For det andre rettsgrunnlaget for selve behandlingen — her holder som regel den berettigede interessen i en datasparsom rekkeviddemåling, som bør nedfelles i en kort interesseavveining.

I praksis betyr dette: den som driver Cloudflare Web Analytics i standard informasjonskapselfri modus, kan i mange tilfeller klare seg uten et samtykkebanner for dette verktøyet — forutsatt at det ikke finnes andre samtykkepliktige tjenester på siden. Så snart Google Fonts fra Google, en YouTube-innebygging eller markedsføringspiksler kjører ved siden av, trenger siden et banner uansett, og da er det renere å ta med analysen også.

Er dette en risiko?

Fordi ingen informasjonskapsel settes og ingen identifikator leses fra enheten, er kjerneoperasjonen etter utbredt tolkning ikke samtykkepliktig etter § 25 nr. 1 TDDDG. Det gjenstår to kontrollpunkter: beacon-skriptet og de aggregerte dataene går via Cloudflare i USA — denne overføringen trenger et grunnlag. Og for behandlingen av dataene (aggregerte, men avledet fra IP og user agent) må en berettiget interesse etter artikkel 6 nr. 1 bokstav f dokumenteres.

Hva du kan gjøre

• Kontroller om Analytics-varianten virkelig kjører uten informasjonskapsler (ingen __cf_bm til analyseformål, ingen LocalStorage).
• Inngå en databehandleravtale med Cloudflare; Cloudflare er sertifisert under EU-US Data Privacy Framework — dokumenter dette som grunnlag for overføringen.
• Nevn Cloudflare i personvernerklæringen som mottaker, formålet (rekkeviddemåling), rettsgrunnlaget (berettiget interesse) og overføringen til USA.
• Kontroller i kildekoden om beaconet lastes før et eventuelt samtykke — ved rent informasjonskapselfri drift er dette forsvarlig, men bør være en bevisst beslutning.

Vanlige spørsmål

Trenger Cloudflare Web Analytics et informasjonskapselbanner?

I standard informasjonskapselfri drift etter utbredt oppfatning ikke, fordi det ikke skjer tilgang til informasjon lagret på enheten. Overføringen til USA og interesseavveiningen gjenstår likevel å dokumentere.

Hva skiller det fra Cloudflares bot-håndtering?

Bot-håndteringen (blant annet informasjonskapselen __cf_bm) tjener sikkerheten og er som regel teknisk nødvendig. Web Analytics er et eget produkt for rekkeviddemåling; her menes bare det.

Er overføringen til Cloudflare i USA tillatt?

Cloudflare Inc. er sertifisert under EU-US Data Privacy Framework, slik at overføringen i prinsippet er sikret. I personvernerklæringen må Cloudflare nevnes som mottaker og denne overføringen.

Holder berettiget interesse som rettsgrunnlag?

For en datasparsom, aggregert rekkeviddemåling uten profilering holder som regel artikkel 6 nr. 1 bokstav f. Avveiningen bør nedfelles kort skriftlig, inkludert innsigelsesmuligheten.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.