符合 GDPR 地使用 Cloudflare Web Analytics

Cloudflare Web Analytics 透過一個小型 beacon 指令碼（static.cloudflareinsights.com）測量頁面瀏覽量，不設定 Cookie，也不進行用戶端指紋辨識。Cloudflare Inc. 位於美國。

Cloudflare Web Analytics 在技術上與 Google Analytics 明顯不同：沒有用戶端識別碼，沒有 Cookie，也沒有跨裝置合併。「造訪」的計數在伺服器端基於來源參照和一個短暫、非持久的訊號進行。由此，同意義務的主要論據不再成立 — 不會發生對終端裝置中儲存資訊的存取。

討論因此轉向兩個層面。第一是向第三國的傳輸：即便是無 Cookie 的 beacon 也從 Cloudflare 伺服器載入，由此訪客的 IP 位址被傳輸給 Cloudflare（美國）。Cloudflare 已依據資料隱私架構取得認證，因此該傳輸原則上有保障；但它仍應寫入隱私聲明。第二是處理本身的法律依據 — 在此通常成立的是對資料節約型觸及範圍測量的正當利益，應在一份簡短的利益衡量中予以記錄。

實際上這意味著：以預設無 Cookie 模式執行 Cloudflare Web Analytics 的人，在許多情況下可以放棄為此工具設定同意橫幅 — 前提是頁面上沒有其他需要同意的服務。一旦旁邊還執行著來自 Google 的 Google Fonts、YouTube 嵌入或行銷像素，頁面無論如何都需要橫幅，那時把分析也納入其中會更清晰。

這是風險嗎？

由於不設定 Cookie，也不從終端裝置讀取識別碼，依普遍解釋，核心處理不受 TDDDG 第 25 條第 1 項的同意約束。仍有兩個檢查點：beacon 指令碼和彙總資料經由位於美國的 Cloudflare — 此傳輸需要依據。而對（彙總但由 IP 和 User-Agent 推導出的）資料的處理，需依據 GDPR 第 6 條第 1 項 f 款記錄一項正當利益。

您可以怎麼做

• 檢查 Analytics 變體是否確實無 Cookie 執行（分析目的下沒有 __cf_bm，沒有 LocalStorage）。
• 與 Cloudflare 簽訂資料處理協議；Cloudflare 已依據歐盟-美國資料隱私架構取得認證 — 將此作為傳輸依據予以記錄。
• 在隱私聲明中說明 Cloudflare 為接收方、目的（觸及範圍測量）、法律依據（正當利益）以及向美國的傳輸。
• 在原始碼中檢查 beacon 是否在可能的同意之前載入 — 在純無 Cookie 執行下這是可辯護的，但應是有意識的決定。

常見問題

Cloudflare Web Analytics 需要 Cookie 橫幅嗎？

在預設無 Cookie 執行下，依普遍觀點不需要，因為不會發生對終端裝置中儲存資訊的存取。向美國的傳輸和利益衡量仍需記錄。

它與 Cloudflare 的機器人管理有何區別？

機器人管理（其中包括 __cf_bm Cookie）服務於安全，通常在技術上是必要的。Web Analytics 是用於觸及範圍測量的獨立產品；此處僅指後者。

向美國的 Cloudflare 傳輸是否允許？

Cloudflare Inc. 已依據歐盟-美國資料隱私架構取得認證，由此該傳輸原則上有保障。隱私聲明中須將 Cloudflare 列為接收方並說明該傳輸。

正當利益作為法律依據是否足夠？

對於無剖析的資料節約型、彙總式觸及範圍測量，通常適用 GDPR 第 6 條第 1 項 f 款。衡量應簡要書面記錄，包括異議的可能性。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。