Utilizarea Cloudflare Web Analytics conform RGPD

Cloudflare Web Analytics măsoară afișările de pagină printr-un mic script beacon (static.cloudflareinsights.com), fără a seta cookieuri și fără amprentare pe partea de client. Cloudflare Inc. are sediul în SUA.

Cloudflare Web Analytics diferă tehnic net de Google Analytics: nu există un identificator de client, niciun cookie și nicio îmbinare între dispozitive. Numărarea „vizitelor“ are loc pe partea de server, pe baza referrerului și a unui semnal de scurtă durată, nepersistent. Astfel dispare principalul argument pentru obligația de consimțământ — accesul la informațiile stocate în dispozitiv nu are loc.

Dezbaterea se mută astfel pe două niveluri. În primul rând transferul într-o țară terță: și un beacon fără cookieuri se încarcă de pe un server Cloudflare, prin care adresa IP a vizitatorilor este transferată către Cloudflare (SUA). Cloudflare este certificat în cadrul Data Privacy Framework, așa că transferul este în principiu asigurat; totuși aparține politicii de confidențialitate. În al doilea rând temeiul juridic pentru prelucrarea în sine — aici rezistă de regulă interesul legitim pentru o măsurare a audienței economă în date, care ar trebui consemnat într-o scurtă evaluare a intereselor.

Practic aceasta înseamnă: cine folosește Cloudflare Web Analytics în modul standard fără cookieuri poate renunța în multe cazuri la un banner de consimțământ pentru acest instrument — cu condiția să nu existe alte servicii supuse consimțământului pe pagină. De îndată ce alături rulează Google Fonts de la Google, un embed YouTube sau pixeli de marketing, pagina are oricum nevoie de un banner, și atunci este mai curat să incluzi și analiza.

Este un risc?

Deoarece nu se setează niciun cookie și nu se citește niciun identificator din dispozitiv, operațiunea de bază, conform interpretării răspândite, nu este supusă consimțământului potrivit art. 25 alin. (1) TDDDG. Rămân două puncte de verificat: scriptul beacon și datele agregate trec prin Cloudflare în SUA — acest transfer are nevoie de un temei. Iar pentru prelucrarea datelor (agregate, dar derivate din IP și user agent) trebuie documentat un interes legitim potrivit art. 6 alin. (1) lit. (f) RGPD.

Ce puteți face

• Verificați dacă varianta Analytics rulează într-adevăr fără cookieuri (fără __cf_bm în scop de analiză, fără LocalStorage).
• Încheiați cu Cloudflare un contract de prelucrare a datelor; Cloudflare este certificat în cadrul EU-US Data Privacy Framework — documentați acest lucru ca temei al transferului.
• În politica de confidențialitate menționați Cloudflare ca destinatar, scopul (măsurarea audienței), temeiul juridic (interes legitim) și transferul în SUA.
• În codul sursă verificați dacă beaconul se încarcă înainte de un eventual consimțământ — în funcționarea pur fără cookieuri acest lucru este justificabil, dar ar trebui să fie o decizie conștientă.

Întrebări frecvente

Are Cloudflare Web Analytics nevoie de un banner de cookieuri?

În funcționarea standard fără cookieuri, conform opiniei răspândite, nu, deoarece nu are loc niciun acces la informațiile stocate în dispozitiv. Transferul în SUA și evaluarea intereselor rămân totuși de documentat.

Prin ce se deosebește de gestionarea boților Cloudflare?

Gestionarea boților (printre altele cookieul __cf_bm) servește securității și este de obicei necesară tehnic. Web Analytics este un produs separat pentru măsurarea audienței; aici se are în vedere doar acesta.

Este permis transferul către Cloudflare în SUA?

Cloudflare Inc. este certificat în cadrul EU-US Data Privacy Framework, prin care transferul este în principiu asigurat. În politica de confidențialitate trebuie menționat Cloudflare ca destinatar și acest transfer.

Este suficient interesul legitim ca temei juridic?

Pentru o măsurare a audienței economă în date, agregată, fără creare de profiluri, rezistă de regulă art. 6 alin. (1) lit. (f) RGPD. Evaluarea ar trebui consemnată pe scurt în scris, inclusiv posibilitatea de opoziție.

Cum ajută consentglass

Verificarea gratuită analizează codul HTML livrat și arată ce servicii sunt integrate, dacă bara de cookie-uri este detectată și dacă linkurile către confidențialitate și date de contact există — cu o clasificare la fiecare constatare. Nu înlocuiește consultanța juridică.