Uporaba Cloudflare Web Analytics skladno z GDPR

Cloudflare Web Analytics meri oglede strani z majhno beacon skripto (static.cloudflareinsights.com), ne da bi nastavljal piškotke in brez prstnih odtisov na strani odjemalca. Cloudflare Inc. ima sedež v ZDA.

Cloudflare Web Analytics se tehnično opazno razlikuje od Google Analytics: ni identifikatorja odjemalca, ni piškotkov in ni združevanja med napravami. Štetje „obiskov“ poteka na strani strežnika na podlagi napotitelja in kratkotrajnega, neobstojnega signala. S tem odpade glavni argument za obveznost privolitve — dostop do informacij, shranjenih v napravi, se ne izvede.

Razprava se tako premakne na dve ravni. Prvič prenos v tretjo državo: tudi brezpiškotni beacon se naloži s strežnika Cloudflara, s čimer se IP-naslov obiskovalcev prenese k Cloudflaru (ZDA). Cloudflare je certificiran po okviru za zasebnost podatkov, zato je prenos načeloma zavarovan; kljub temu sodi v izjavo o zasebnosti. Drugič pravna podlaga za samo obdelavo — tu praviloma drži zakoniti interes za podatkovno varčno merjenje dosega, ki naj bo zabeležen v kratki presoji interesov.

V praksi to pomeni: kdor uporablja Cloudflare Web Analytics v privzetem brezpiškotnem načinu, se lahko v mnogih primerih odpove pasici za privolitev za to orodje — pod pogojem, da na strani ni drugih storitev, ki zahtevajo privolitev. Takoj ko poleg tega tečejo Google Fonts od Googla, vgradnja YouTuba ali tržni piksli, stran pasico potrebuje tako ali tako, in takrat je čisteje vključiti tudi analitiko.

Je to tveganje?

Ker se piškotek ne nastavi in se iz naprave ne prebere noben identifikator, temeljna operacija po razširjeni razlagi po § 25(1) TDDDG ne zahteva privolitve. Ostaneta dve točki preverjanja: beacon skripta in združeni podatki tečejo prek Cloudflara v ZDA — ta prenos potrebuje podlago. Za obdelavo (združenih, a iz IP-naslova in uporabniškega agenta izpeljanih) podatkov pa je treba dokumentirati zakoniti interes po členu 6(1)(f) GDPR.

Kaj lahko storite

• Preveriti, ali različica Analytics res deluje brez piškotkov (brez __cf_bm za analitične namene, brez LocalStorage).
• S Cloudflarom skleniti pogodbo o obdelavi podatkov; Cloudflare je certificiran po okviru EU-ZDA za zasebnost podatkov — to dokumentirati kot podlago za prenos.
• V izjavi o zasebnosti navesti Cloudflare kot prejemnika, namen (merjenje dosega), pravno podlago (zakoniti interes) in prenos v ZDA.
• V izvorni kodi preveriti, ali se beacon naloži pred morebitno privolitvijo — pri povsem brezpiškotnem delovanju je to zagovorljivo, a bi morala biti zavestna odločitev.

Pogosta vprašanja

Ali Cloudflare Web Analytics potrebuje pasico za piškotke?

Pri privzetem brezpiškotnem delovanju po razširjenem mnenju ne, ker se dostop do informacij, shranjenih v napravi, ne izvede. Prenos v ZDA in presojo interesov je kljub temu treba dokumentirati.

Po čem se razlikuje od Cloudflarovega upravljanja botov?

Upravljanje botov (med drugim piškotek __cf_bm) služi varnosti in je večinoma tehnično nujno. Web Analytics je ločen izdelek za merjenje dosega; tu je mišljen samo ta.

Ali je prenos k Cloudflaru v ZDA dopusten?

Cloudflare Inc. je certificiran po okviru EU-ZDA za zasebnost podatkov, s čimer je prenos načeloma zavarovan. V izjavi o zasebnosti je treba Cloudflare navesti kot prejemnika in ta prenos.

Ali zakoniti interes zadošča kot pravna podlaga?

Za podatkovno varčno, združeno merjenje dosega brez profiliranja praviloma drži člen 6(1)(f) GDPR. Presojo je treba na kratko zabeležiti pisno, vključno z možnostjo ugovora.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.