Používať Cloudflare Web Analytics v súlade s GDPR

Cloudflare Web Analytics meria zobrazenia stránok malým beacon skriptom (static.cloudflareinsights.com), bez nastavovania cookies a bez fingerprintingu na strane klienta. Cloudflare Inc. sídli v USA.

Cloudflare Web Analytics sa technicky výrazne líši od Google Analytics: neexistuje žiadny klientský identifikátor, žiadne cookies a žiadne spájanie naprieč zariadeniami. Počítanie „návštev“ prebieha na strane servera na základe referrera a krátkodobého, neperzistentného signálu. Tým odpadá hlavný argument pre povinnosť súhlasu — k prístupu k informáciám uloženým v zariadení nedochádza.

Debata sa tak presúva na dve roviny. Po prvé prenos do tretej krajiny: aj bezcookie beacon sa načíta zo servera Cloudflare, čím sa IP adresa návštevníkov prenáša na Cloudflare (USA). Cloudflare je certifikovaný podľa Data Privacy Framework, takže prenos je v zásade zabezpečený; napriek tomu patrí do zásad ochrany osobných údajov. Po druhé právny základ pre samotné spracúvanie — tu spravidla obstojí oprávnený záujem na úspornom meraní dosahu, ktorý by mal byť zachytený v krátkom posúdení záujmov.

Prakticky to znamená: kto prevádzkuje Cloudflare Web Analytics vo východiskovom bezcookie režime, môže sa v mnohých prípadoch zaobísť bez súhlasového banneru pre tento nástroj — za predpokladu, že na stránke nie sú žiadne ďalšie služby podliehajúce súhlasu. Hneď ako popri tom bežia Google Fonts od Googlu, vložené YouTube video alebo marketingové pixely, stránka potrebuje banner tak či tak, a potom je čistejšie zahrnúť doň aj analytiku.

Je to riziko?

Keďže sa nenastavuje žiadna cookie a zo zariadenia sa nečíta žiadny identifikátor, základná operácia podľa rozšíreného výkladu podľa § 25 ods. 1 TDDDG nepodlieha súhlasu. Ostávajú dva body na kontrolu: beacon skript a agregované údaje idú cez Cloudflare v USA — tento prenos potrebuje právny základ. A pre spracúvanie (agregovaných, ale z IP adresy a user agenta odvodených) údajov treba zdokumentovať oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR.

Čo môžete urobiť

• Overiť, či variant Analytics naozaj beží bez cookies (žiadne __cf_bm na analytické účely, žiadne LocalStorage).
• Uzavrieť s Cloudflare zmluvu o spracúvaní údajov; Cloudflare je certifikovaný podľa rámca EU-US Data Privacy Framework — zdokumentovať to ako základ prenosu.
• V zásadách ochrany osobných údajov uviesť Cloudflare ako príjemcu, účel (meranie dosahu), právny základ (oprávnený záujem) a prenos do USA.
• V zdrojovom kóde overiť, či sa beacon načíta pred prípadným súhlasom — pri čisto bezcookie prevádzke je to obhájiteľné, malo by to však byť vedomé rozhodnutie.

Časté otázky

Potrebuje Cloudflare Web Analytics cookie lištu?

Vo východiskovej bezcookie prevádzke podľa rozšíreného názoru nie, pretože nedochádza k prístupu k informáciám uloženým v zariadení. Prenos do USA a posúdenie záujmov treba napriek tomu zdokumentovať.

Čím sa líši od Cloudflare bot managementu?

Bot management (okrem iného cookie __cf_bm) slúži bezpečnosti a je väčšinou technicky nevyhnutný. Web Analytics je samostatný produkt na meranie dosahu; tu sa myslí len ten.

Je prenos k Cloudflare do USA prípustný?

Cloudflare Inc. je certifikovaný podľa rámca EU-US Data Privacy Framework, čím je prenos v zásade zabezpečený. V zásadách ochrany osobných údajov treba uviesť Cloudflare ako príjemcu a tento prenos.

Stačí oprávnený záujem ako právny základ?

Pre úsporné, agregované meranie dosahu bez profilovania spravidla obstojí čl. 6 ods. 1 písm. f) GDPR. Posúdenie by malo byť krátko písomne zachytené, vrátane možnosti namietať.

Ako pomáha consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.