Използване на Matomo в съответствие с ОРЗД

Matomo може да се хоства самостоятелно или да се използва като Matomo Cloud (сървъри в Германия). Дали е необходимо съгласие зависи от бисквитките, обработката на IP и хостинга — не от името на инструмента.

Измерване без бисквитки и без съгласие? Matomo има опция, която изключва проследяващите бисквитки („disableCookies“ в API за проследяване, настройка на конфигурационната променлива на Matomo в Matomo Tag Manager). Така отпада част от достъпа до устройството — но не непременно целият: и прочитането на характеристики на браузъра за хеш на посетителя може да попада под § 25, ал. 1 TDDDG. Някои германски надзорни органи смятат този режим с незабавно съкращаване на IP за допустим без съгласие, други са по-въздържани. Ако искаш да работиш без банер, документирай конфигурацията и провери позицията на своя орган.

Анонимизацията в Matomo означава преди всичко съкращаване на IP (Поверителност → Анонимизиране на данни: поне 2 байта, напр. 192.168.xxx.xxx), както и по избор „замени потребителския ID с псевдоним“ и премахване на параметрите на препращача. Съкращаването трябва да става преди съхранението, а не едва в отчетите. Струва си да включиш и „редовно изтриване на стари сурови данни“ — Matomo може автоматично да изтрива суровите логове след фиксиран срок и да пази само обобщени отчети.

Matomo On-Premise или Matomo Cloud: при собствен хостинг на свой сървър няма обработващ за самия Matomo — но има за доставчика, при когото е сървърът. При Matomo Cloud обработващ е InnoCraft Ltd. (Нова Зеландия, хостинг в Германия); договорът за обработване (DPA) е наличен в клиентския акаунт. За Нова Зеландия има решение на Европейската комисия относно адекватното ниво на защита.

Matomo се нуждае от собствен раздел в политиката за поверителност: цел (измерване на аудиторията), начин на работа (собствен хостинг или облак, местоположение на сървъра), дали се поставят бисквитки, степен на съкращаване на IP, правно основание (съгласие по чл. 6, пар. 1, буква „а“ от ОРЗД и § 25, ал. 1 TDDDG — или при работа без бисквитки собствена обоснована преценка), срок на съхранение на суровите данни и указание за правото на възражение. Шаблонът дава само рамката; реалните настройки трябва да съответстват.

Ако Matomo се зарежда чрез Matomo Tag Manager или Google Tag Manager, съгласието трябва да се прилага там: тагът на Matomo може да се задейства едва след съгласие или Matomo работи в конфигурация без бисквитки и след съгласие получава разрешение за бисквитки чрез „rememberConsentGiven“ или „setCookieConsentGiven“. Matomo няма режим на съгласие като този на Google — управлението става чрез тези функции за съгласие в API за проследяване.

Това риск ли е?

Ако Matomo поставя бисквитки или чете други идентификатори от устройството, се прилага § 25, ал. 1 TDDDG и е необходимо предварително съгласие. Някои надзорни органи смятат за защитимо без съгласие функциониране без бисквитки с незабавно съкращаване на IP и без обединяване между устройства, други са по-предпазливи — единно национално одобрение няма. При Matomo Cloud се добавя договор за обработване с InnoCraft.

Какво можете да направите

• Активирайте проследяване без бисквитки и съкратете IP адреса незабавно с поне два байта.
• Спазвайте „Do Not Track“, ограничете съхранението на данни и необработените дневници до необходимия минимум.
• При използване на бисквитки или Matomo Cloud: включете Matomo в инструмента за съгласие и го зареждайте едва след съгласие.
• В политиката за поверителност посочете целта (измерване на посещаемостта), мястото на хостинг, правното основание и при необходимост договора за обработване.

Често задавани въпроси

Нужно ли е съгласие за Matomo без бисквитки?

Не непременно, но това не е общо разрешение. Без бисквитки и с незабавно съкращаване на IP някои органи смятат работата без съгласие за допустима; ако все пак се прочита информация от устройството, може да се приложи § 25 TDDDG. Документирай преценката си.

Нужен ли ми е договор за обработване за Matomo?

При Matomo Cloud — да, с InnoCraft. При собствен хостинг не за самия Matomo, а за доставчика на хостинг, на чийто сървър са данните.

Трябва ли Matomo да е в политиката за поверителност?

Да, винаги — и при работа без бисквитки. Посочи цел, начин на работа, местоположение на сървъра, съкращаване на IP, правно основание и срок на съхранение.

Има ли Matomo режим на съгласие като Google?

Не. Matomo управлява съгласието чрез собствени функции на API за проследяване (напр. requireConsent / setConsentGiven или requireCookieConsent / setCookieConsentGiven), които инструментът за съгласие извиква след приемането.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.