Matomo lze hostovat sám nebo používat jako Matomo Cloud (servery v Německu). Zda je souhlas nutný, závisí na cookies, zpracování IP a hostingu — ne na názvu nástroje.
Měření bez cookies a bez souhlasu? Matomo nabízí volbu, která vypne sledovací cookies („disableCookies“ v API pro sledování, nastavení konfigurační proměnné Matomo v Matomo Tag Manageru). Tím odpadne část přístupu k zařízení — ale ne nutně celý: i čtení vlastností prohlížeče pro hash návštěvníka může spadat pod § 25 odst. 1 TDDDG. Některé německé dozorové úřady považují tento režim s okamžitým zkrácením IP za přijatelný bez souhlasu, jiné jsou zdrženlivější. Kdo chce fungovat bez lišty, měl by konfiguraci zdokumentovat a ověřit postoj svého úřadu.
Anonymizace v Matomu znamená hlavně zkrácení IP (Soukromí → Anonymizovat data: alespoň 2 bajty, např. 192.168.xxx.xxx), volitelně také „nahradit ID uživatele pseudonymem“ a odstranění parametrů referreru. Zkrácení by mělo proběhnout před uložením, ne až v přehledech. Vyplatí se také zapnout „pravidelně mazat stará surová data“ — Matomo umí surové logy po pevné lhůtě automaticky smazat a ponechat jen agregované přehledy.
Matomo On-Premise, nebo Matomo Cloud: při provozu na vlastním serveru neexistuje zpracovatel pro samotné Matomo — ale existuje pro poskytovatele, u něhož server běží. U Matomo Cloud je zpracovatelem InnoCraft Ltd. (Nový Zéland, hosting v Německu); smlouva o zpracování (DPA) je k dispozici v zákaznickém účtu. Pro Nový Zéland existuje rozhodnutí Evropské komise o odpovídající ochraně.
Matomo potřebuje v zásadách ochrany osobních údajů vlastní oddíl: účel (měření návštěvnosti), způsob provozu (vlastní hosting, nebo cloud, umístění serveru), zda se ukládají cookies, rozsah zkrácení IP, právní základ (souhlas podle čl. 6 odst. 1 písm. a GDPR a § 25 odst. 1 TDDDG — nebo při provozu bez cookies vlastní zdůvodněné posouzení), dobu uložení surových dat a zmínku o právu vznést námitku. Šablona dá jen kostru; skutečná nastavení se s ní musí shodovat.
Pokud se Matomo nasazuje přes Matomo Tag Manager nebo Google Tag Manager, musí se souhlas vynutit tam: tag Matomo se smí spustit až po souhlasu, nebo Matomo běží v konfiguraci bez cookies a po souhlasu dostane povolení k cookies přes „rememberConsentGiven“ nebo „setCookieConsentGiven“. Consent mode jako u Googlu Matomo nemá — řízení probíhá přes tyto funkce souhlasu v API pro sledování.
Pokud Matomo nastavuje cookies nebo čte jiné identifikátory ze zařízení, uplatní se § 25 odst. 1 TDDDG a je nutný předchozí souhlas. Některé dozorové úřady považují provoz bez cookies s okamžitým zkrácením IP a bez slučování mezi zařízeními za obhajitelný bez souhlasu, jiné jsou zdrženlivější — celostátně jednotné schválení neexistuje. U Matomo Cloud přibývá smlouva o zpracování s InnoCraft.
Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.
Tento text je obecná informace podle nejlepšího vědomí, nikoli právní poradenství. Pro konkrétní případ se obraťte na advokátní kancelář se specializací na IT právo.