Використання Cloudflare Web Analytics відповідно до GDPR

Cloudflare Web Analytics вимірює перегляди сторінок за допомогою невеликого beacon-скрипта (static.cloudflareinsights.com), не встановлюючи файли cookie та без зняття відбитка на боці клієнта. Cloudflare Inc. розташована в США.

Cloudflare Web Analytics технічно помітно відрізняється від Google Analytics: немає клієнтського ідентифікатора, немає файлів cookie й немає об'єднання між пристроями. Підрахунок „відвідувань“ відбувається на боці сервера на основі реферера й короткочасного, непостійного сигналу. Так відпадає головний аргумент на користь обов'язку отримувати згоду — доступу до інформації, збереженої в пристрої, не відбувається.

Дискусія таким чином зміщується на два рівні. По-перше, передавання до третьої країни: навіть безкуковий beacon завантажується із сервера Cloudflare, через що IP-адреса відвідувачів передається Cloudflare (США). Cloudflare сертифікована за Data Privacy Framework, тож передавання в принципі захищене; проте йому місце в політиці конфіденційності. По-друге, правова підстава самої обробки — тут зазвичай витримує законний інтерес в ощадливому вимірюванні охоплення, який слід зафіксувати в короткій оцінці інтересів.

На практиці це означає: той, хто використовує Cloudflare Web Analytics у стандартному безкуковому режимі, у багатьох випадках може обійтися без банера згоди для цього інструмента — за умови, що на сторінці немає інших сервісів, які потребують згоди. Щойно поруч працюють Google Fonts від Google, вбудований YouTube або маркетингові пікселі, сторінці банер потрібен у будь-якому разі, і тоді чистіше включити до нього й аналітику.

Це ризик?

Оскільки файл cookie не встановлюється й ідентифікатор з пристрою не зчитується, основна операція згідно з поширеним тлумаченням не потребує згоди за § 25 абз. 1 TDDDG. Залишаються дві точки перевірки: beacon-скрипт і агреговані дані йдуть через Cloudflare у США — цьому передаванню потрібна підстава. А для обробки (агрегованих, але виведених з IP-адреси та user agent) даних потрібно задокументувати законний інтерес за ст. 6 абз. 1 п. «f» GDPR.

Що ви можете зробити

• Перевірити, чи справді варіант Analytics працює без файлів cookie (немає __cf_bm для аналітичних цілей, немає LocalStorage).
• Укласти з Cloudflare договір про обробку даних; Cloudflare сертифікована за механізмом EU-US Data Privacy Framework — задокументувати це як підставу передавання.
• У політиці конфіденційності зазначити Cloudflare як одержувача, мету (вимірювання охоплення), правову підставу (законний інтерес) і передавання до США.
• У вихідному коді перевірити, чи завантажується beacon до можливої згоди — за суто безкукового режиму це обґрунтовано, але має бути свідомим рішенням.

Поширені запитання

Чи потрібен Cloudflare Web Analytics банер cookie?

За стандартного безкукового режиму, за поширеною думкою, ні, оскільки доступу до інформації, збереженої в пристрої, не відбувається. Передавання до США та оцінку інтересів усе одно слід задокументувати.

Чим це відрізняється від керування ботами Cloudflare?

Керування ботами (серед іншого файл __cf_bm) слугує безпеці й зазвичай технічно необхідне. Web Analytics — окремий продукт для вимірювання охоплення; тут мається на увазі лише він.

Чи допустиме передавання Cloudflare до США?

Cloudflare Inc. сертифікована за механізмом EU-US Data Privacy Framework, чим передавання в принципі захищене. У політиці конфіденційності слід зазначити Cloudflare як одержувача й це передавання.

Чи достатньо законного інтересу як правової підстави?

Для ощадливого, агрегованого вимірювання охоплення без профілювання зазвичай витримує ст. 6 абз. 1 п. «f» GDPR. Оцінку слід коротко зафіксувати письмово, включно з можливістю заперечення.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.