Utiliser Matomo conformément au RGPD

Matomo peut être auto-hébergé ou utilisé en Matomo Cloud (serveurs en Allemagne). La nécessité d’un consentement dépend des cookies, du traitement de l’IP et de l’hébergement — pas du nom de l’outil.

Un suivi sans cookies et sans consentement ? Matomo propose une option qui désactive les cookies de suivi (« disableCookies » dans l’API de suivi, un réglage de la variable de configuration Matomo dans Matomo Tag Manager). Une partie de l’accès au terminal disparaît — mais pas forcément la totalité : la lecture de caractéristiques du navigateur pour un hash de visiteur peut elle aussi relever du § 25 al. 1 TDDDG. Certaines autorités de contrôle allemandes jugent ce mode acceptable sans consentement avec une troncature immédiate de l’IP, d’autres sont plus strictes. Si vous voulez vous passer de bandeau, documentez la configuration et vérifiez la position de votre autorité.

Chez Matomo, l’anonymisation signifie surtout la troncature de l’IP (Vie privée → Anonymiser les données : au moins 2 octets, par ex. 192.168.xxx.xxx), plus en option « remplacer l’ID utilisateur par un pseudonyme » et la suppression des paramètres de référent. La troncature doit s’appliquer avant l’enregistrement, pas seulement dans les rapports. Il vaut aussi la peine d’activer « supprimer régulièrement les anciennes données brutes » — Matomo peut effacer automatiquement les journaux bruts après un délai fixe et ne conserver que les rapports agrégés.

Matomo On-Premise ou Matomo Cloud : en auto-hébergement sur votre propre serveur, il n’y a pas de sous-traitant pour Matomo lui-même — mais il y en a un pour l’hébergeur du serveur. Avec Matomo Cloud, InnoCraft Ltd. (Nouvelle-Zélande, hébergement en Allemagne) est sous-traitant ; le contrat de sous-traitance (DPA) est fourni dans l’espace client. La Commission européenne a adopté une décision d’adéquation pour la Nouvelle-Zélande.

Matomo a besoin de sa propre section dans la politique de confidentialité : finalité (mesure d’audience), mode d’exploitation (auto-hébergé ou cloud, lieu du serveur), dépôt ou non de cookies, étendue de la troncature de l’IP, base légale (consentement selon l’art. 6, par. 1, point a RGPD et le § 25 al. 1 TDDDG — ou, en mode sans cookies, votre propre appréciation motivée), durée de conservation des données brutes et mention du droit d’opposition. Un modèle ne fournit que la trame ; les réglages réels doivent y correspondre.

Si vous diffusez Matomo via Matomo Tag Manager ou Google Tag Manager, le consentement doit y être appliqué : la balise Matomo ne doit se déclencher qu’après le consentement, ou Matomo fonctionne en configuration sans cookies et reçoit l’autorisation d’utiliser des cookies après le consentement via « rememberConsentGiven » ou « setCookieConsentGiven ». Matomo n’a pas de mode de consentement comparable à celui de Google — le contrôle passe par ces fonctions de consentement de l’API de suivi.

Est-ce un risque ?

Si Matomo dépose des cookies ou lit d’autres identifiants sur le terminal, le § 25 al. 1 TDDDG s’applique et un consentement préalable est requis. Certaines autorités jugent défendable sans consentement un fonctionnement sans cookie avec raccourcissement immédiat de l’IP et sans rapprochement multi-appareils, d’autres sont plus réservées — il n’existe pas d’autorisation uniforme au niveau national. Avec Matomo Cloud s’ajoute un contrat de sous-traitance avec InnoCraft.

Ce que vous pouvez faire

• Activer le suivi sans cookie et raccourcir immédiatement l’adresse IP d’au moins deux octets.
• Respecter « Do Not Track », limiter la conservation des données et les journaux bruts au minimum nécessaire.
• En cas d’utilisation de cookies ou de Matomo Cloud : intégrer Matomo à l’outil de consentement et ne le charger qu’après accord.
• Dans la politique de confidentialité, nommer la finalité (mesure d’audience), le lieu d’hébergement, la base légale et, le cas échéant, le contrat de sous-traitance.

Questions fréquentes

Matomo sans cookies a-t-il besoin d’un consentement ?

Pas forcément, mais ce n’est pas une autorisation générale. Sans cookies et avec une troncature immédiate de l’IP, certaines autorités jugent l’exploitation sans consentement acceptable ; si des informations sont tout de même lues sur le terminal, le § 25 TDDDG peut s’appliquer. Documentez votre appréciation.

Faut-il un contrat de sous-traitance pour Matomo ?

Avec Matomo Cloud, oui — avec InnoCraft. En auto-hébergement, pas pour Matomo lui-même, mais pour l’hébergeur dont le serveur stocke les données.

Matomo doit-il figurer dans la politique de confidentialité ?

Oui, toujours — y compris sans cookies. Indiquez la finalité, le mode d’exploitation, le lieu du serveur, la troncature de l’IP, la base légale et la durée de conservation.

Matomo a-t-il un mode de consentement comme Google ?

Non. Matomo gère le consentement via ses propres fonctions de l’API de suivi (par ex. requireConsent / setConsentGiven ou requireCookieConsent / setCookieConsentGiven), que l’outil de consentement appelle après l’accord.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.