A Matomo GDPR-konform használata

A Matomo saját tárhelyen üzemeltethető vagy Matomo Cloudként (németországi szerverek) használható. Az, hogy szükséges-e hozzájárulás, a sütiktől, az IP kezelésétől és a tárhelytől függ — nem az eszköz nevétől.

Süti nélküli mérés hozzájárulás nélkül? A Matomo kínál egy beállítást, amely kikapcsolja a követő sütiket („disableCookies” a követési API-ban, a Matomo konfigurációs változó egyik beállítása a Matomo Tag Managerben). Ezzel az eszközhöz való hozzáférés egy része megszűnik — de nem feltétlenül az egész: a böngésző jellemzőinek kiolvasása egy látogatói hash-hez szintén a TDDDG 25. § (1) bekezdése alá eshet. Egyes német felügyeleti hatóságok ezt az üzemmódot azonnali IP-rövidítéssel hozzájárulás nélkül is elfogadhatónak tartják, mások szigorúbbak. Ha banner nélkül akarsz működni, dokumentáld a beállításokat, és nézz utána a saját hatóságod álláspontjának.

A Matomóban az anonimizálás elsősorban IP-rövidítést jelent (Adatvédelem → Adatok anonimizálása: legalább 2 bájt, pl. 192.168.xxx.xxx), valamint opcionálisan a „felhasználói azonosító helyettesítése álnévvel” és a hivatkozó paraméterek eltávolítását. A rövidítésnek a tárolás előtt kell megtörténnie, nem csak a jelentésekben. Érdemes bekapcsolni a „régi nyers adatok rendszeres törlése” opciót is — a Matomo egy rögzített idő után automatikusan törölheti a nyers naplókat, és csak az összesített jelentéseket tartja meg.

Matomo On-Premise vagy Matomo Cloud: saját szerveren üzemeltetve magának a Matomónak nincs adatfeldolgozója — annak a szolgáltatónak viszont van, amelynél a szerver fut. A Matomo Cloudnál az InnoCraft Ltd. (Új-Zéland, tárhely Németországban) az adatfeldolgozó; az adatfeldolgozási szerződés (DPA) az ügyfélfiókban érhető el. Új-Zélandra vonatkozóan létezik az Európai Bizottság megfelelőségi határozata.

A Matomónak saját szakasz kell az adatvédelmi tájékoztatóban: cél (látogatottságmérés), üzemmód (saját üzemeltetés vagy felhő, a szerver helye), használ-e sütiket, az IP-rövidítés mértéke, jogalap (hozzájárulás a GDPR 6. cikk (1) bekezdés a) pontja és a TDDDG 25. § (1) bekezdése szerint — vagy süti nélküli üzemnél a saját indokolt értékelésed), a nyers adatok megőrzési ideje és utalás a tiltakozási jogra. Egy sablon csak a keretet adja; a tényleges beállításoknak egyezniük kell vele.

Ha a Matomót a Matomo Tag Manageren vagy a Google Tag Manageren keresztül töltöd be, a hozzájárulást ott kell érvényesíteni: a Matomo-tag csak hozzájárulás után indulhat el, vagy a Matomo süti nélküli beállítással fut, és hozzájárulás után a „rememberConsentGiven” vagy a „setCookieConsentGiven” hívással kap engedélyt a sütikre. A Matomónak nincs a Google-éhoz hasonló consent mode-ja — a vezérlés a követési API e hozzájárulási függvényein keresztül történik.

Kockázat ez?

Ha a Matomo sütiket helyez el vagy más azonosítókat olvas ki az eszközről, a § 25 (1) TDDDG alkalmazandó, és előzetes hozzájárulás szükséges. Egyes felügyeleti hatóságok védhetőnek tartják hozzájárulás nélkül a süti nélküli működést azonnali IP-rövidítéssel és eszközök közötti összevonás nélkül, mások óvatosabbak — országosan egységes jóváhagyás nincs. A Matomo Cloud esetén adatfeldolgozási szerződés társul az InnoCrafttal.

Mit tehet

• Aktiválja a süti nélküli követést, és az IP-címet azonnal rövidítse legalább két bájttal.
• Tartsa tiszteletben a „Do Not Track”-et, korlátozza az adatmegőrzést és a nyers naplókat a szükséges minimumra.
• Sütik használata vagy Matomo Cloud esetén: vegye fel a Matomót a hozzájárulási eszközbe, és csak hozzájárulás után töltse be.
• Az adatvédelmi tájékoztatóban nevezze meg a célt (látogatottságmérés), a tárhely helyét, a jogalapot és adott esetben az adatfeldolgozási szerződést.

Gyakori kérdések

Kell-e hozzájárulás a sütik nélküli Matomóhoz?

Nem feltétlenül, de ez nem általános felmentés. Sütik nélkül és azonnali IP-rövidítéssel egyes hatóságok a hozzájárulás nélküli üzemet elfogadhatónak tartják; ha mégis olvasnak ki információt az eszközről, a TDDDG 25. §-a alkalmazandó lehet. Dokumentáld az értékelésedet.

Kell adatfeldolgozási szerződés a Matomóhoz?

Matomo Cloud esetén igen — az InnoCrafttal. Saját üzemeltetésnél nem magához a Matomóhoz, hanem ahhoz a tárhelyszolgáltatóhoz, amelynek szerverén az adatok vannak.

Szerepelnie kell a Matomónak az adatvédelmi tájékoztatóban?

Igen, mindig — süti nélküli üzemben is. Add meg a célt, az üzemmódot, a szerver helyét, az IP-rövidítést, a jogalapot és a megőrzési időt.

Van a Matomónak a Google-éhoz hasonló consent mode-ja?

Nincs. A Matomo a követési API saját függvényeivel kezeli a hozzájárulást (pl. requireConsent / setConsentGiven vagy requireCookieConsent / setCookieConsentGiven), amelyeket a hozzájáruláskezelő eszköz a jóváhagyás után meghív.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.