Korištenje Matomo u skladu s GDPR-om

Matomo se može samostalno hostati ili koristiti kao Matomo Cloud (poslužitelji u Njemačkoj). Je li privola potrebna ovisi o kolačićima, obradi IP-a i hostingu — ne o nazivu alata.

Mjerenje bez kolačića i bez privole? Matomo nudi opciju koja isključuje kolačiće za praćenje („disableCookies” u API-ju za praćenje, postavka Matomo konfiguracijske varijable u Matomo Tag Manageru). Time otpada dio pristupa uređaju — ali ne nužno sav: i očitavanje značajki preglednika za hash posjetitelja može potpasti pod § 25 st. 1 TDDDG. Neka njemačka nadzorna tijela smatraju ovaj način rada s trenutačnim skraćivanjem IP-a prihvatljivim bez privole, druga su suzdržanija. Tko želi raditi bez bannera, neka dokumentira konfiguraciju i provjeri stav svog nadzornog tijela.

Anonimizacija u Matomu prije svega znači skraćivanje IP-a (Privatnost → Anonimiziraj podatke: najmanje 2 bajta, npr. 192.168.xxx.xxx) te po izboru „zamijeni korisnički ID pseudonimom” i uklanjanje parametara izvora. Skraćivanje treba provesti prije pohrane, a ne tek u izvješćima. Isplati se uključiti i „redovito briši stare sirove podatke” — Matomo može nakon zadanog roka automatski izbrisati sirove zapisnike i zadržati samo zbirna izvješća.

Matomo On-Premise ili Matomo Cloud: kod vlastitog hostinga na svom poslužitelju nema izvršitelja obrade za sam Matomo — ali ima za pružatelja kod kojeg je poslužitelj. Kod Matomo Clouda izvršitelj obrade je InnoCraft Ltd. (Novi Zeland, hosting u Njemačkoj); ugovor o obradi (DPA) dostupan je u korisničkom računu. Za Novi Zeland postoji odluka Europske komisije o primjerenosti.

Matomo treba vlastiti odjeljak u izjavi o privatnosti: svrha (mjerenje dosega), način rada (vlastiti hosting ili oblak, lokacija poslužitelja), postavljaju li se kolačići, opseg skraćivanja IP-a, pravna osnova (privola prema čl. 6. st. 1. t. (a) GDPR-a i § 25 st. 1 TDDDG — ili kod rada bez kolačića vlastita obrazložena procjena), rok čuvanja sirovih podataka i napomena o pravu na prigovor. Predložak daje samo okvir; stvarne postavke moraju mu odgovarati.

Ako se Matomo isporučuje putem Matomo Tag Managera ili Google Tag Managera, privolu treba provesti ondje: Matomo tag smije se pokrenuti tek nakon privole ili Matomo radi u konfiguraciji bez kolačića i nakon privole dobiva dopuštenje za kolačiće putem „rememberConsentGiven” ili „setCookieConsentGiven”. Matomo nema consent mode poput Googleova — upravljanje ide preko tih funkcija privole u API-ju za praćenje.

Je li ovo rizik?

Ako Matomo postavlja kolačiće ili čita druge identifikatore s uređaja, primjenjuje se § 25 st. 1 TDDDG i potrebna je prethodna privola. Neka nadzorna tijela smatraju obranjivim bez privole rad bez kolačića uz trenutačno skraćivanje IP-a i bez spajanja među uređajima, druga su suzdržanija — jedinstveno nacionalno odobrenje ne postoji. Uz Matomo Cloud dolazi ugovor o obradi s InnoCraftom.

Što možete učiniti

• Aktivirajte praćenje bez kolačića i IP adresu odmah skratite za najmanje dva bajta.
• Poštujte „Do Not Track“, ograničite čuvanje podataka i sirove zapise na nužni minimum.
• Kod korištenja kolačića ili Matomo Clouda: uključite Matomo u alat za privolu i učitajte ga tek nakon privole.
• U pravilima privatnosti navedite svrhu (mjerenje dosega), mjesto hostinga, pravnu osnovu i po potrebi ugovor o obradi.

Česta pitanja

Treba li Matomo bez kolačića privolu?

Ne nužno, ali to nije opće odobrenje. Bez kolačića i s trenutačnim skraćivanjem IP-a neka tijela smatraju rad bez privole prihvatljivim; ako se ipak očitavaju informacije s uređaja, može se primijeniti § 25 TDDDG. Dokumentirajte svoju procjenu.

Trebam li ugovor o obradi za Matomo?

Kod Matomo Clouda da — s InnoCraftom. Kod vlastitog hostinga ne za sam Matomo, nego za pružatelja hostinga na čijem su poslužitelju podaci.

Mora li Matomo biti u izjavi o privatnosti?

Da, uvijek — i kod rada bez kolačića. Navedite svrhu, način rada, lokaciju poslužitelja, skraćivanje IP-a, pravnu osnovu i rok čuvanja.

Ima li Matomo consent mode poput Googlea?

Nema. Matomo upravlja privolom vlastitim funkcijama API-ja za praćenje (npr. requireConsent / setConsentGiven ili requireCookieConsent / setCookieConsentGiven), koje alat za privolu poziva nakon prihvaćanja.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.