Använda Cloudflare Web Analytics i enlighet med GDPR

Cloudflare Web Analytics mäter sidvisningar via ett litet beacon-skript (static.cloudflareinsights.com), utan att sätta cookies och utan fingeravtryck på klientsidan. Cloudflare Inc. har sitt säte i USA.

Cloudflare Web Analytics skiljer sig tekniskt tydligt från Google Analytics: det finns ingen klientidentifierare, inga cookies och ingen sammanföring mellan enheter. Räkning av „besök“ sker på serversidan utifrån referraren och en kortlivad, icke-beständig signal. Därmed faller huvudargumentet för samtyckesplikt bort — åtkomst till information som lagrats på enheten sker inte.

Debatten flyttas därmed till två nivåer. För det första överföringen till ett tredjeland: även ett cookiefritt beacon laddas från en Cloudflare-server, varvid besökarnas IP-adress överförs till Cloudflare (USA). Cloudflare är certifierat enligt Data Privacy Framework, så överföringen är i princip säkrad; den hör ändå hemma i integritetspolicyn. För det andra den rättsliga grunden för själva behandlingen — här håller som regel det berättigade intresset av en datasparsam räckviddsmätning, som bör fästas i en kort intresseavvägning.

I praktiken innebär detta: den som driver Cloudflare Web Analytics i standardläget utan cookies kan i många fall avstå från en samtyckesbanner för detta verktyg — förutsatt att det inte finns andra samtyckespliktiga tjänster på sidan. Så snart Google Fonts från Google, en YouTube-inbäddning eller marknadsföringspixlar körs vid sidan om behöver sidan en banner ändå, och då är det renare att ta med analysen också.

Är detta en risk?

Eftersom ingen cookie sätts och ingen identifierare läses från enheten är kärnåtgärden enligt utbredd tolkning inte samtyckespliktig enligt § 25.1 TDDDG. Två kontrollpunkter kvarstår: beacon-skriptet och de aggregerade uppgifterna går via Cloudflare i USA — denna överföring behöver en grund. Och för behandlingen av uppgifterna (aggregerade, men härledda ur IP och user agent) måste ett berättigat intresse enligt artikel 6.1 f dokumenteras.

Vad du kan göra

• Kontrollera om Analytics-varianten verkligen körs utan cookies (ingen __cf_bm för analysändamål, ingen LocalStorage).
• Ingå ett personuppgiftsbiträdesavtal med Cloudflare; Cloudflare är certifierat enligt EU-US Data Privacy Framework — dokumentera detta som grund för överföringen.
• Ange Cloudflare i integritetspolicyn som mottagare, syftet (räckviddsmätning), den rättsliga grunden (berättigat intresse) och överföringen till USA.
• Kontrollera i källkoden om beaconet laddas före ett eventuellt samtycke — vid ren cookiefri drift är detta försvarbart, men bör vara ett medvetet beslut.

Vanliga frågor

Behöver Cloudflare Web Analytics en cookiebanner?

I standarddrift utan cookies enligt utbredd uppfattning inte, eftersom ingen åtkomst till information som lagrats på enheten sker. Överföringen till USA och intresseavvägningen kvarstår ändå att dokumentera.

Vad skiljer det från Cloudflares bot-hantering?

Bot-hanteringen (bland annat cookien __cf_bm) tjänar säkerheten och är oftast tekniskt nödvändig. Web Analytics är en separat produkt för räckviddsmätning; här avses endast den.

Är överföringen till Cloudflare i USA tillåten?

Cloudflare Inc. är certifierat enligt EU-US Data Privacy Framework, varigenom överföringen i princip är säkrad. I integritetspolicyn ska Cloudflare anges som mottagare och denna överföring.

Räcker berättigat intresse som rättslig grund?

För en datasparsam, aggregerad räckviddsmätning utan profilering håller som regel artikel 6.1 f GDPR. Avvägningen bör fästas kort skriftligt, inklusive möjligheten att invända.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.