Cloudflare Web Analytics'i GDPR'a uygun kullanmak

Cloudflare Web Analytics, sayfa görüntülemelerini küçük bir beacon betiğiyle (static.cloudflareinsights.com), çerez ayarlamadan ve istemci tarafında parmak izi almadan ölçer. Cloudflare Inc. ABD'de bulunur.

Cloudflare Web Analytics, Google Analytics'ten teknik olarak belirgin biçimde ayrılır: istemci tanımlayıcısı, çerez ve cihazlar arası birleştirme yoktur. „Ziyaretler“ yönlendiren ve kısa ömürlü, kalıcı olmayan bir sinyale dayanarak sunucu tarafında sayılır. Böylece onay yükümlülüğü için ana argüman ortadan kalkar — cihazda depolanan bilgilere erişim gerçekleşmez.

Tartışma böylece iki düzeye kayar. Birincisi üçüncü ülkeye aktarım: çerezsiz bir beacon bile bir Cloudflare sunucusundan yüklenir ve bununla ziyaretçilerin IP adresi Cloudflare'e (ABD) aktarılır. Cloudflare, Veri Gizliliği Çerçevesi kapsamında sertifikalıdır, dolayısıyla aktarım ilke olarak güvence altındadır; yine de gizlilik bildirimine aittir. İkincisi işlemenin kendisi için hukuki dayanak — burada kural olarak veri açısından tutumlu bir erişim ölçümüne yönelik meşru menfaat geçerlidir ve kısa bir menfaat dengelemesinde kayda geçirilmelidir.

Pratikte bu şu anlama gelir: Cloudflare Web Analytics'i varsayılan çerezsiz modda çalıştıran kişi, birçok durumda bu araç için bir onay banner'ından vazgeçebilir — sayfada onaya tabi başka hizmet bulunmaması koşuluyla. Yanında Google'dan Google Fonts, bir YouTube yerleştirmesi veya pazarlama pikselleri çalışır çalışmaz, sayfanın zaten bir banner'a ihtiyacı vardır ve o zaman analizi de dahil etmek daha temizdir.

Bu bir risk mi?

Çerez ayarlanmadığı ve cihazdan bir tanımlayıcı okunmadığı için, çekirdek işlem yaygın yoruma göre TDDDG § 25/1 uyarınca onaya tabi değildir. İki kontrol noktası kalır: beacon betiği ve toplu veriler ABD'deki Cloudflare üzerinden geçer — bu aktarımın bir dayanağa ihtiyacı vardır. Ve (toplu ancak IP ve user agent'tan türetilmiş) verilerin işlenmesi için GDPR madde 6/1-f uyarınca meşru bir menfaat belgelenmelidir.

Ne yapabilirsiniz

• Analytics varyantının gerçekten çerezsiz çalışıp çalışmadığını kontrol edin (analiz amacıyla __cf_bm yok, LocalStorage yok).
• Cloudflare ile bir veri işleme sözleşmesi yapın; Cloudflare, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır — bunu aktarımın dayanağı olarak belgeleyin.
• Gizlilik bildiriminde Cloudflare'i alıcı olarak, amacı (erişim ölçümü), hukuki dayanağı (meşru menfaat) ve ABD'ye aktarımı belirtin.
• Kaynak kodda beacon'ın olası bir onaydan önce yüklenip yüklenmediğini kontrol edin — tamamen çerezsiz çalışmada bu savunulabilir, ancak bilinçli bir karar olmalıdır.

Sık sorulan sorular

Cloudflare Web Analytics bir çerez banner'ına ihtiyaç duyar mı?

Varsayılan çerezsiz çalışmada yaygın görüşe göre duymaz, çünkü cihazda depolanan bilgilere erişim gerçekleşmez. ABD'ye aktarım ve menfaat dengelemesi yine de belgelenmelidir.

Cloudflare bot yönetiminden farkı nedir?

Bot yönetimi (diğerlerinin yanı sıra __cf_bm çerezi) güvenliğe hizmet eder ve genellikle teknik olarak gereklidir. Web Analytics, erişim ölçümü için ayrı bir üründür; burada yalnızca bu kastedilir.

Cloudflare'e ABD'ye aktarım izinli mi?

Cloudflare Inc., AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır, bununla aktarım ilke olarak güvence altındadır. Gizlilik bildiriminde Cloudflare alıcı olarak ve bu aktarım belirtilmelidir.

Meşru menfaat hukuki dayanak olarak yeterli mi?

Profil oluşturmadan, veri açısından tutumlu, toplu bir erişim ölçümü için kural olarak GDPR madde 6/1-f geçerlidir. Dengeleme, itiraz olanağı dahil, kısaca yazılı olarak kayda geçirilmelidir.

consentglass nasıl yardımcı olur

Ücretsiz kontrol, sunulan HTML'yi analiz eder ve hangi hizmetlerin gömülü olduğunu, çerez banner'ının tespit edilip edilmediğini ve gizlilik ile iletişim bilgilerine bağlantıların bulunup bulunmadığını her bulgu için bir sınıflandırmayla gösterir. Hukuki danışmanlığın yerini tutmaz.