Использование Cloudflare Web Analytics в соответствии с GDPR

Cloudflare Web Analytics измеряет просмотры страниц с помощью небольшого beacon-скрипта (static.cloudflareinsights.com), не устанавливая файлы cookie и без снятия отпечатка на стороне клиента. Cloudflare Inc. находится в США.

Cloudflare Web Analytics технически заметно отличается от Google Analytics: нет клиентского идентификатора, нет файлов cookie и нет объединения между устройствами. Подсчёт „посещений“ происходит на стороне сервера на основе реферера и краткоживущего, непостоянного сигнала. Тем самым отпадает главный аргумент в пользу обязанности получать согласие — доступа к информации, сохранённой в устройстве, не происходит.

Дискуссия таким образом смещается на два уровня. Во-первых, передача в третью страну: даже бескуковый beacon загружается с сервера Cloudflare, из-за чего IP-адрес посетителей передаётся Cloudflare (США). Cloudflare сертифицирована по Data Privacy Framework, поэтому передача в принципе обеспечена; тем не менее ей место в политике конфиденциальности. Во-вторых, правовое основание самой обработки — здесь, как правило, выдерживает законный интерес в экономном измерении охвата, который следует зафиксировать в краткой оценке интересов.

На практике это означает: тот, кто использует Cloudflare Web Analytics в стандартном бескуковом режиме, во многих случаях может обойтись без баннера согласия для этого инструмента — при условии, что на странице нет других сервисов, требующих согласия. Как только рядом работают Google Fonts от Google, встраивание YouTube или маркетинговые пиксели, странице баннер нужен в любом случае, и тогда чище включить в него и аналитику.

Это риск?

Поскольку файл cookie не устанавливается и идентификатор с устройства не считывается, основная операция согласно распространённому толкованию не требует согласия по § 25 абз. 1 TDDDG. Остаются две точки проверки: beacon-скрипт и агрегированные данные идут через Cloudflare в США — этой передаче нужно основание. А для обработки (агрегированных, но выведенных из IP-адреса и user agent) данных необходимо задокументировать законный интерес по ст. 6 абз. 1 п. «f» GDPR.

Что вы можете сделать

• Проверить, действительно ли вариант Analytics работает без файлов cookie (нет __cf_bm для аналитических целей, нет LocalStorage).
• Заключить с Cloudflare договор об обработке данных; Cloudflare сертифицирована по механизму EU-US Data Privacy Framework — задокументировать это как основание передачи.
• В политике конфиденциальности указать Cloudflare как получателя, цель (измерение охвата), правовое основание (законный интерес) и передачу в США.
• В исходном коде проверить, загружается ли beacon до возможного согласия — при чисто бескуковом режиме это обосновываемо, но должно быть осознанным решением.

Частые вопросы

Нужен ли Cloudflare Web Analytics баннер cookie?

При стандартном бескуковом режиме, по распространённому мнению, нет, поскольку доступа к информации, сохранённой в устройстве, не происходит. Передачу в США и оценку интересов тем не менее следует задокументировать.

Чем это отличается от управления ботами Cloudflare?

Управление ботами (среди прочего файл __cf_bm) служит безопасности и обычно технически необходимо. Web Analytics — отдельный продукт для измерения охвата; здесь имеется в виду только он.

Допустима ли передача Cloudflare в США?

Cloudflare Inc. сертифицирована по механизму EU-US Data Privacy Framework, чем передача в принципе обеспечена. В политике конфиденциальности следует указать Cloudflare как получателя и эту передачу.

Достаточно ли законного интереса как правового основания?

Для экономного, агрегированного измерения охвата без профилирования, как правило, выдерживает ст. 6 абз. 1 п. «f» GDPR. Оценку следует кратко зафиксировать письменно, включая возможность возражения.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.