Menggunakan Matomo sesuai GDPR

Matomo dapat di-host sendiri atau digunakan sebagai Matomo Cloud (server di Jerman). Apakah diperlukan persetujuan bergantung pada cookie, penanganan IP, dan hosting — bukan pada nama alatnya.

Pengukuran tanpa cookie dan tanpa persetujuan? Matomo menyediakan opsi yang mematikan cookie pelacakan ("disableCookies" di API pelacakan, pengaturan variabel konfigurasi Matomo di Matomo Tag Manager). Dengan begitu sebagian akses ke perangkat hilang — tetapi belum tentu seluruhnya: membaca karakteristik browser untuk hash pengunjung juga bisa masuk ke § 25 ayat 1 TDDDG. Sebagian otoritas pengawas Jerman menganggap mode ini dengan pemendekan IP seketika dapat diterima tanpa persetujuan, sebagian lain lebih berhati-hati. Jika ingin berjalan tanpa banner, dokumentasikan konfigurasinya dan periksa sikap otoritas Anda.

Anonimisasi di Matomo terutama berarti pemendekan IP (Privasi → Anonimkan data: minimal 2 byte, mis. 192.168.xxx.xxx), serta opsional "ganti ID pengguna dengan pseudonim" dan penghapusan parameter perujuk. Pemendekan harus dilakukan sebelum penyimpanan, bukan hanya di laporan. Sebaiknya aktifkan juga "hapus data mentah lama secara berkala" — Matomo dapat menghapus log mentah otomatis setelah jangka waktu tetap dan hanya menyimpan laporan agregat.

Matomo On-Premise atau Matomo Cloud: jika di-hosting sendiri di server Anda, tidak ada pemroses untuk Matomo itu sendiri — tetapi ada untuk penyedia tempat server berada. Pada Matomo Cloud, InnoCraft Ltd. (Selandia Baru, hosting di Jerman) adalah pemroses; perjanjian pemrosesan data (DPA) tersedia di akun pelanggan. Untuk Selandia Baru ada keputusan kecukupan dari Komisi Eropa.

Matomo memerlukan bagian tersendiri dalam kebijakan privasi: tujuan (pengukuran jangkauan), mode operasi (hosting sendiri atau cloud, lokasi server), apakah cookie dipasang, cakupan pemendekan IP, dasar hukum (persetujuan menurut Pasal 6 ayat 1 huruf a GDPR dan § 25 ayat 1 TDDDG — atau, tanpa cookie, penilaian beralasan Anda sendiri), masa simpan data mentah, dan catatan tentang hak untuk menolak. Templat hanya memberi kerangka; pengaturan sebenarnya harus sesuai.

Jika Matomo dijalankan melalui Matomo Tag Manager atau Google Tag Manager, persetujuan harus ditegakkan di sana: tag Matomo hanya boleh aktif setelah persetujuan, atau Matomo berjalan dalam konfigurasi tanpa cookie dan setelah persetujuan mendapat izin cookie melalui "rememberConsentGiven" atau "setCookieConsentGiven". Matomo tidak memiliki consent mode seperti Google — kendali berjalan lewat fungsi persetujuan API pelacakan ini.

Apakah ini risiko?

Jika Matomo menyetel cookie atau membaca pengenal lain dari perangkat, berlaku § 25 ayat 1 TDDDG dan diperlukan persetujuan sebelumnya. Beberapa otoritas pengawas menganggap pengoperasian tanpa cookie dengan pemendekan IP segera dan tanpa penggabungan antarperangkat dapat dipertahankan tanpa persetujuan, yang lain lebih berhati-hati — tidak ada persetujuan seragam secara nasional. Dengan Matomo Cloud ditambahkan perjanjian pemrosesan dengan InnoCraft.

Apa yang dapat Anda lakukan

• Aktifkan pelacakan tanpa cookie dan segera pendekkan alamat IP setidaknya dua byte.
• Hormati “Do Not Track”, batasi penyimpanan data dan log mentah hingga minimum yang diperlukan.
• Saat menggunakan cookie atau Matomo Cloud: sertakan Matomo dalam alat persetujuan dan muat hanya setelah persetujuan.
• Dalam kebijakan privasi, sebutkan tujuan (pengukuran jangkauan), lokasi hosting, dasar hukum, dan bila relevan perjanjian pemrosesan.

Pertanyaan yang sering diajukan

Apakah Matomo tanpa cookie memerlukan persetujuan?

Belum tentu, tetapi ini bukan izin umum. Tanpa cookie dan dengan pemendekan IP seketika, sebagian otoritas menganggap penggunaan tanpa persetujuan dapat diterima; jika informasi tetap dibaca dari perangkat, § 25 TDDDG dapat berlaku. Dokumentasikan penilaian Anda.

Apakah saya memerlukan perjanjian pemrosesan data untuk Matomo?

Untuk Matomo Cloud ya — dengan InnoCraft. Jika di-hosting sendiri, bukan untuk Matomo itu sendiri, melainkan untuk penyedia hosting yang servernya menyimpan data.

Apakah Matomo harus dicantumkan dalam kebijakan privasi?

Ya, selalu — juga tanpa cookie. Sebutkan tujuan, mode operasi, lokasi server, pemendekan IP, dasar hukum, dan masa simpan.

Apakah Matomo punya consent mode seperti Google?

Tidak. Matomo mengatur persetujuan dengan fungsi API pelacakan sendiri (mis. requireConsent / setConsentGiven atau requireCookieConsent / setCookieConsentGiven), yang dipanggil alat persetujuan setelah diterima.

Bagaimana consentglass membantu

Pemeriksaan gratis menganalisis HTML yang disajikan dan menunjukkan layanan apa yang tersemat, apakah banner cookie terdeteksi, dan apakah ada tautan ke privasi dan informasi kontak — dengan klasifikasi untuk setiap temuan. Tidak menggantikan nasihat hukum.