Usare Matomo in conformità al GDPR

Matomo può essere self-hosted o usato come Matomo Cloud (server in Germania). Se serva un consenso dipende da cookie, trattamento dell’IP e hosting — non dal nome dello strumento.

Tracciamento senza cookie e senza consenso? Matomo offre un’opzione che disattiva i cookie di tracciamento («disableCookies» nell’API di tracciamento, un’impostazione della variabile di configurazione Matomo in Matomo Tag Manager). Così viene meno una parte dell’accesso al dispositivo, ma non necessariamente tutta: anche la lettura di caratteristiche del browser per un hash del visitatore può rientrare nel § 25, comma 1 TDDDG. Alcune autorità di controllo tedesche ritengono questa modalità accettabile senza consenso con troncamento immediato dell’IP, altre sono più restrittive. Se vuoi fare a meno del banner, documenta la configurazione e verifica l’orientamento della tua autorità.

In Matomo l’anonimizzazione significa soprattutto troncare l’IP (Privacy → Anonimizza i dati: almeno 2 byte, ad es. 192.168.xxx.xxx), più, facoltativamente, «sostituisci l’ID utente con uno pseudonimo» e la rimozione dei parametri del referrer. Il troncamento deve avvenire prima del salvataggio, non solo nei report. Conviene anche attivare «elimina regolarmente i vecchi dati grezzi»: Matomo può cancellare automaticamente i log grezzi dopo un periodo fisso e conservare solo report aggregati.

Matomo On-Premise o Matomo Cloud: in self-hosting sul proprio server non c’è un responsabile del trattamento per Matomo stesso, ma c’è per il provider che ospita il server. Con Matomo Cloud il responsabile è InnoCraft Ltd. (Nuova Zelanda, hosting in Germania); l’accordo sul trattamento dei dati (DPA) è disponibile nell’account cliente. Per la Nuova Zelanda esiste una decisione di adeguatezza della Commissione europea.

Matomo richiede una sezione dedicata nell’informativa privacy: finalità (misurazione dell’audience), modalità di esercizio (self-hosted o cloud, ubicazione del server), uso o meno di cookie, portata del troncamento dell’IP, base giuridica (consenso ai sensi dell’art. 6, par. 1, lett. a GDPR e del § 25, comma 1 TDDDG, oppure, senza cookie, una tua valutazione motivata), durata di conservazione dei dati grezzi e un riferimento al diritto di opposizione. Un modello fornisce solo la struttura; le impostazioni reali devono corrispondere.

Se Matomo viene distribuito tramite Matomo Tag Manager o Google Tag Manager, il consenso va applicato lì: il tag di Matomo può attivarsi solo dopo il consenso, oppure Matomo funziona nella configurazione senza cookie e, dopo il consenso, riceve il via libera ai cookie tramite «rememberConsentGiven» o «setCookieConsentGiven». Matomo non ha una modalità di consenso come quella di Google: il controllo passa da queste funzioni di consenso dell’API di tracciamento.

È un rischio?

Se Matomo imposta cookie o legge altri identificatori dal dispositivo, si applica il § 25 c. 1 TDDDG ed è necessario un consenso preventivo. Alcune autorità ritengono difendibile senza consenso un funzionamento senza cookie con accorciamento immediato dell’IP e senza unione tra dispositivi, altre sono più caute — non esiste un’autorizzazione uniforme a livello nazionale. Con Matomo Cloud si aggiunge un contratto di responsabile del trattamento con InnoCraft.

Cosa puoi fare

• Attivare il tracciamento senza cookie e accorciare subito l’indirizzo IP di almeno due byte.
• Rispettare «Do Not Track», limitare la conservazione dei dati e i log grezzi al minimo necessario.
• In caso di uso di cookie o di Matomo Cloud: inserire Matomo nello strumento di consenso e caricarlo solo dopo il consenso.
• Nell’informativa privacy indicare la finalità (misurazione dell’audience), il luogo di hosting, la base giuridica e, se del caso, il contratto di responsabile del trattamento.

Domande frequenti

Matomo senza cookie richiede il consenso?

Non necessariamente, ma non è un via libera generale. Senza cookie e con troncamento immediato dell’IP alcune autorità ritengono accettabile l’uso senza consenso; se però vengono lette informazioni dal dispositivo, può applicarsi il § 25 TDDDG. Documenta la tua valutazione.

Serve un accordo sul trattamento dei dati per Matomo?

Con Matomo Cloud sì, con InnoCraft. In self-hosting non per Matomo in sé, ma per il provider di hosting sul cui server si trovano i dati.

Matomo deve comparire nell’informativa privacy?

Sì, sempre, anche senza cookie. Vanno indicati finalità, modalità di esercizio, ubicazione del server, troncamento dell’IP, base giuridica e durata di conservazione.

Matomo ha una modalità di consenso come Google?

No. Matomo gestisce il consenso con funzioni proprie dell’API di tracciamento (ad es. requireConsent / setConsentGiven o requireCookieConsent / setCookieConsentGiven), che lo strumento di consenso richiama dopo l’accettazione.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.