Matomon käyttö GDPR:n mukaisesti

Matomon voi isännöidä itse tai käyttää Matomo Cloudina (palvelimet Saksassa). Se, tarvitaanko suostumusta, riippuu evästeistä, IP:n käsittelystä ja isännöinnistä — ei työkalun nimestä.

Evästeetöntä seurantaa ilman suostumusta? Matomossa on asetus, joka kytkee seurantaevästeet pois (”disableCookies” seuranta-API:ssa, Matomo Tag Managerissa Matomo-määritysmuuttujan asetus). Silloin osa päätelaitteeseen kohdistuvasta pääsystä poistuu — mutta ei välttämättä kaikki: myös selaimen ominaisuuksien lukeminen kävijätiivisteeseen voi kuulua TDDDG:n 25 §:n 1 momentin piiriin. Osa Saksan valvontaviranomaisista pitää tätä tilaa välittömällä IP-osoitteen lyhentämisellä hyväksyttävänä ilman suostumusta, osa suhtautuu varovaisemmin. Jos haluat toimia ilman banneria, dokumentoi määritykset ja tarkista oman viranomaisesi linja.

Anonymisointi tarkoittaa Matomossa ennen kaikkea IP-osoitteen lyhentämistä (Tietosuoja → Anonymisoi tiedot: vähintään 2 tavua, esim. 192.168.xxx.xxx) sekä valinnaisesti ”korvaa käyttäjätunnus pseudonyymillä” ja viittaajaparametrien poistamista. Lyhentämisen tulisi tapahtua ennen tallennusta, ei vasta raporteissa. Kannattaa myös ottaa käyttöön ”poista vanhat raakatiedot säännöllisesti” — Matomo voi poistaa raakalokit automaattisesti määräajan jälkeen ja säilyttää vain kootut raportit.

Matomo On-Premise vai Matomo Cloud: kun ylläpidät Matomoa omalla palvelimellasi, Matomolla itsellään ei ole henkilötietojen käsittelijää — mutta palvelimen ylläpitäjällä on. Matomo Cloudissa käsittelijä on InnoCraft Ltd. (Uusi-Seelanti, palvelimet Saksassa); tietojenkäsittelysopimus (DPA) löytyy asiakastililtä. Uudelle-Seelannille on EU-komission tietosuojan riittävyyspäätös.

Matomo tarvitsee tietosuojaselosteeseen oman osion: tarkoitus (kävijämittaus), toimintatapa (oma ylläpito vai pilvi, palvelimen sijainti), asetetaanko evästeitä, IP-osoitteen lyhentämisen laajuus, oikeusperuste (suostumus GDPR:n 6 artiklan 1 kohdan a alakohdan ja TDDDG:n 25 §:n 1 momentin mukaan — tai evästeettömässä käytössä oma perusteltu arviosi), raakatietojen säilytysaika ja maininta vastustamisoikeudesta. Malli antaa vain rungon; todellisten asetusten on vastattava sitä.

Jos Matomo toimitetaan Matomo Tag Managerin tai Google Tag Managerin kautta, suostumus on toteutettava siellä: Matomo-tagi saa käynnistyä vasta suostumuksen jälkeen, tai Matomo toimii evästeettömänä ja saa suostumuksen jälkeen luvan evästeisiin kutsulla ”rememberConsentGiven” tai ”setCookieConsentGiven”. Matomossa ei ole Googlen kaltaista consent modea — ohjaus tapahtuu näillä seuranta-API:n suostumusfunktioilla.

Onko tämä riski?

Jos Matomo asettaa evästeitä tai lukee muita tunnisteita laitteelta, sovelletaan § 25 mom. 1 TDDDG ja tarvitaan ennakkosuostumus. Osa valvontaviranomaisista pitää evästeetöntä käyttöä välittömällä IP:n lyhennyksellä ja ilman laitteiden välistä yhdistämistä puolustettavana ilman suostumusta, toiset ovat varovaisempia — valtakunnallisesti yhtenäistä hyväksyntää ei ole. Matomo Cloudin kanssa tulee lisäksi tietojenkäsittelysopimus InnoCraftin kanssa.

Mitä voit tehdä

• Ota käyttöön evästeetön seuranta ja lyhennä IP-osoite heti vähintään kahdella tavulla.
• Kunnioita ”Do Not Track” -asetusta, rajaa tietojen säilytys ja raakalokit tarpeelliseen vähimmäismäärään.
• Evästeiden käytössä tai Matomo Cloudissa: sisällytä Matomo suostumustyökaluun ja lataa se vasta suostumuksen jälkeen.
• Nimeä tietosuojaselosteessa tarkoitus (kävijämittaus), isännöintipaikka, oikeusperuste ja tarvittaessa tietojenkäsittelysopimus.

Usein kysytyt kysymykset

Tarvitseeko Matomo ilman evästeitä suostumuksen?

Ei välttämättä, mutta se ei ole yleinen lupa. Ilman evästeitä ja välittömällä IP-lyhennyksellä osa viranomaisista pitää käyttöä ilman suostumusta hyväksyttävänä; jos päätelaitteesta silti luetaan tietoja, TDDDG:n 25 § voi soveltua. Dokumentoi arviosi.

Tarvitsenko tietojenkäsittelysopimuksen Matomoa varten?

Matomo Cloudissa kyllä — InnoCraftin kanssa. Omassa ylläpidossa ei Matomolle itselleen, mutta palveluntarjoajalle, jonka palvelimella tiedot ovat.

Pitääkö Matomo mainita tietosuojaselosteessa?

Kyllä, aina — myös evästeettömässä käytössä. Mainitse tarkoitus, toimintatapa, palvelimen sijainti, IP-lyhennys, oikeusperuste ja säilytysaika.

Onko Matomossa Googlen kaltainen consent mode?

Ei. Matomo ohjaa suostumusta omilla seuranta-API:n funktioillaan (esim. requireConsent / setConsentGiven tai requireCookieConsent / setCookieConsentGiven), joita suostumustyökalu kutsuu hyväksynnän jälkeen.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.