符合 GDPR 地使用 Cloudflare Web Analytics

Cloudflare Web Analytics 通过一个小型 beacon 脚本（static.cloudflareinsights.com）测量页面浏览量，不设置 Cookie，也不进行客户端指纹识别。Cloudflare Inc. 位于美国。

Cloudflare Web Analytics 在技术上与 Google Analytics 明显不同：没有客户端标识符，没有 Cookie，也没有跨设备合并。„访问“的计数在服务器端基于来源引荐和一个短暂、非持久的信号进行。由此，同意义务的主要论据不再成立 — 不会发生对终端设备中存储信息的访问。

讨论因此转向两个层面。第一是向第三国的传输：即便是无 Cookie 的 beacon 也从 Cloudflare 服务器加载，由此访问者的 IP 地址被传输给 Cloudflare（美国）。Cloudflare 已依据数据隐私框架获得认证，因此该传输原则上有保障；但它仍应写入隐私声明。第二是处理本身的法律依据 — 在此通常成立的是对数据节约型覆盖面测量的正当利益，应在一份简短的利益权衡中予以记录。

实际上这意味着：以默认无 Cookie 模式运行 Cloudflare Web Analytics 的人，在许多情况下可以放弃为此工具设置同意横幅 — 前提是页面上没有其他需要同意的服务。一旦旁边还运行着来自 Google 的 Google Fonts、YouTube 嵌入或营销像素，页面无论如何都需要横幅，那时把分析也纳入其中会更清晰。

这是风险吗？

由于不设置 Cookie，也不从终端设备读取标识符，按照普遍解释，核心处理不受 TDDDG 第 25 条第 1 款的同意约束。仍有两个检查点：beacon 脚本和聚合数据经由位于美国的 Cloudflare — 此传输需要依据。而对（聚合但由 IP 和 User-Agent 推导出的）数据的处理，需依据 GDPR 第 6 条第 1 款 f 项记录一项正当利益。

您可以怎么做

• 检查 Analytics 变体是否确实无 Cookie 运行（分析目的下没有 __cf_bm，没有 LocalStorage）。
• 与 Cloudflare 签订数据处理协议；Cloudflare 已依据欧盟-美国数据隐私框架获得认证 — 将此作为传输依据予以记录。
• 在隐私声明中说明 Cloudflare 为接收方、目的（覆盖面测量）、法律依据（正当利益）以及向美国的传输。
• 在源代码中检查 beacon 是否在可能的同意之前加载 — 在纯无 Cookie 运行下这是可辩护的，但应是有意识的决定。

常见问题

Cloudflare Web Analytics 需要 Cookie 横幅吗？

在默认无 Cookie 运行下，按照普遍观点不需要，因为不会发生对终端设备中存储信息的访问。向美国的传输和利益权衡仍需记录。

它与 Cloudflare 的机器人管理有何区别？

机器人管理（其中包括 __cf_bm Cookie）服务于安全，通常在技术上是必要的。Web Analytics 是用于覆盖面测量的独立产品；此处仅指后者。

向美国的 Cloudflare 传输是否允许？

Cloudflare Inc. 已依据欧盟-美国数据隐私框架获得认证，由此该传输原则上有保障。隐私声明中须将 Cloudflare 列为接收方并说明该传输。

正当利益作为法律依据是否足够？

对于无画像的数据节约型、聚合式覆盖面测量，通常适用 GDPR 第 6 条第 1 款 f 项。权衡应简要书面记录，包括异议的可能性。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。