Brug Matomo GDPR-konformt

Matomo kan hostes selv eller bruges som Matomo Cloud (servere i Tyskland). Om der kræves samtykke afhænger af cookies, IP-behandling og hosting — ikke af værktøjets navn.

Cookiefri måling uden samtykke? Matomo har en indstilling, der slår sporingscookies fra ("disableCookies" i tracking-API’et, en indstilling i Matomo-konfigurationsvariablen i Matomo Tag Manager). Dermed bortfalder en del af adgangen til enheden — men ikke nødvendigvis det hele: også aflæsning af browseregenskaber til et besøgshash kan være omfattet af § 25, stk. 1, TDDDG. Nogle tyske tilsynsmyndigheder finder denne driftsform med øjeblikkelig IP-afkortning forsvarlig uden samtykke, andre er mere tilbageholdende. Vil du køre uden banner, så dokumentér konfigurationen og tjek din myndigheds vurdering.

Anonymisering betyder hos Matomo primært IP-afkortning (Privatliv → Anonymisér data: mindst 2 byte, fx 192.168.xxx.xxx) og desuden valgfrit "erstat bruger-ID med et pseudonym" og fjernelse af referrer-parametre. Afkortningen bør ske før lagring, ikke først i rapporterne. Det er også værd at slå "slet gamle rådata regelmæssigt" til — Matomo kan automatisk slette rå logs efter en fast periode og kun beholde aggregerede rapporter.

Matomo On-Premise eller Matomo Cloud: Hoster du selv på din egen server, er der ingen databehandler for Matomo selv — men der er én for den hostingudbyder, hvor serveren står. Ved Matomo Cloud er InnoCraft Ltd. (New Zealand, hosting i Tyskland) databehandler; databehandleraftalen (DPA) findes i kundekontoen. For New Zealand foreligger en tilstrækkelighedsafgørelse fra EU-Kommissionen.

Matomo skal have sit eget afsnit i privatlivspolitikken: formål (trafikmåling), driftsform (selvhostet eller cloud, serverplacering), om der sættes cookies, omfanget af IP-afkortning, retsgrundlag (samtykke efter art. 6, stk. 1, litra a, GDPR og § 25, stk. 1, TDDDG — eller ved cookiefri drift din egen begrundede vurdering), opbevaringsperiode for rådata og en henvisning til retten til indsigelse. En skabelon giver kun rammen; de faktiske indstillinger skal stemme overens.

Udrulles Matomo via Matomo Tag Manager eller Google Tag Manager, skal samtykket håndhæves dér: Matomo-tagget må først udløses efter samtykke, eller Matomo kører cookiefrit og får efter samtykke lov til cookies via "rememberConsentGiven" eller "setCookieConsentGiven". Matomo har ingen consent mode som Google — styringen sker via disse samtykkefunktioner i tracking-API’et.

Er dette en risiko?

Hvis Matomo sætter cookies eller læser andre identifikatorer fra enheden, gælder § 25, stk. 1 TDDDG, og forudgående samtykke er påkrævet. Nogle tilsynsmyndigheder anser en cookiefri drift med øjeblikkelig IP-forkortelse og uden sammenkædning på tværs af enheder for forsvarlig uden samtykke, andre er mere tilbageholdende — en landsdækkende ensartet godkendelse findes ikke. Ved Matomo Cloud kommer en databehandleraftale med InnoCraft til.

Hvad du kan gøre

• Aktivér cookiefri sporing, og forkort IP-adressen straks med mindst to byte.
• Respektér ”Do Not Track”, begræns dataopbevaring og rålogfiler til det nødvendige minimum.
• Ved brug af cookies eller Matomo Cloud: medtag Matomo i samtykkeværktøjet, og indlæs den først efter samtykke.
• Angiv i privatlivspolitikken formålet (rækkeviddemåling), hostingsted, retsgrundlag og evt. databehandleraftalen.

Ofte stillede spørgsmål

Kræver Matomo uden cookies samtykke?

Ikke nødvendigvis, men det er ingen generel frikendelse. Uden cookies og med øjeblikkelig IP-afkortning finder nogle tilsynsmyndigheder drift uden samtykke forsvarlig; aflæses der alligevel oplysninger fra enheden, kan § 25 TDDDG finde anvendelse. Dokumentér din vurdering.

Skal jeg have en databehandleraftale for Matomo?

Ved Matomo Cloud ja — med InnoCraft. Ved selvhosting ikke for Matomo selv, men for hostingudbyderen, på hvis server dataene ligger.

Skal Matomo med i privatlivspolitikken?

Ja, altid — også ved cookiefri drift. Angiv formål, driftsform, serverplacering, IP-afkortning, retsgrundlag og opbevaringsperiode.

Har Matomo en consent mode som Google?

Nej. Matomo styrer samtykke via egne funktioner i tracking-API’et (fx requireConsent / setConsentGiven eller requireCookieConsent / setCookieConsentGiven), som samtykkeværktøjet kalder efter accept.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.