MatomoをGDPRに準拠して利用する

Matomoは自己ホストするか、Matomo Cloud（ドイツのサーバー）として利用できます。同意が必要かどうかは、Cookie、IPの取り扱い、ホスティングによって決まり、ツールの名前では決まりません。

Cookie なし・同意なしで計測できるか？ Matomo にはトラッキング Cookie を無効にするオプションがあります（トラッキング API の「disableCookies」、Matomo Tag Manager では Matomo 設定変数の項目）。これで端末へのアクセスの一部はなくなりますが、すべてとは限りません。訪問者ハッシュのためにブラウザの特徴を読み取ることも TDDDG 第 25 条第 1 項に該当しうるからです。ドイツの監督機関の一部は、IP を即時に短縮するこの方式を同意なしでも許容できると見ていますが、より慎重な機関もあります。バナーなしで運用したい場合は、設定を文書化し、所管機関の見解を確認してください。

Matomo での匿名化とは主に IP の短縮です（プライバシー → データを匿名化：少なくとも 2 バイト、例 192.168.xxx.xxx）。任意で「ユーザー ID を仮名に置き換える」やリファラーパラメータの削除も加えます。短縮はレポート上だけでなく、保存前に行うべきです。「古い生データを定期的に削除」を有効にするのも有効で、Matomo は一定期間後に生ログを自動削除し、集計レポートだけを残せます。

Matomo On-Premise か Matomo Cloud か：自社サーバーでホストする場合、Matomo 自体の処理者はいませんが、サーバーを置くホスティング事業者は処理者になります。Matomo Cloud では InnoCraft Ltd.（ニュージーランド、ホスティングはドイツ）が処理者で、データ処理契約（DPA）は顧客アカウントで提供されます。ニュージーランドには EU 委員会の十分性認定があります。

プライバシーポリシーには Matomo 専用の項目が必要です。目的（アクセス解析）、運用形態（自社ホストかクラウドか、サーバーの所在地）、Cookie を使うかどうか、IP 短縮の範囲、法的根拠（GDPR 第 6 条第 1 項 a 号および TDDDG 第 25 条第 1 項に基づく同意、または Cookie なし運用ではご自身の根拠ある判断）、生データの保存期間、異議申立権への言及です。ひな形は枠組みにすぎず、実際の設定と一致している必要があります。

Matomo Tag Manager や Google Tag Manager 経由で Matomo を配信する場合、同意はそこで徹底する必要があります。Matomo のタグは同意後にのみ発火させるか、Matomo を Cookie なしの設定で動かし、同意後に「rememberConsentGiven」または「setCookieConsentGiven」で Cookie を許可します。Matomo には Google のような同意モードはなく、制御はトラッキング API のこれらの同意関数で行います。

これはリスクですか？

MatomoがCookieを設定したり、端末から他の識別子を読み取ったりする場合、TDDDG第25条第1項が適用され、事前の同意が必要です。一部の監督機関は、IPの即時短縮を伴いデバイス横断的な統合を行わないCookieなしの運用を同意なしで許容できるとみなしていますが、より慎重な機関もあり、全国的に統一された承認はありません。Matomo Cloudの場合はInnoCraftとの処理契約が加わります。

対応方法

• Cookieなしのトラッキングを有効にし、IPアドレスを直ちに少なくとも2バイト短縮する。
• 「Do Not Track」を尊重し、データ保持と生ログを必要最小限に制限する。
• Cookie使用時またはMatomo Cloudの場合：Matomoを同意ツールに組み込み、同意後にのみ読み込む。
• プライバシーポリシーで目的（リーチ測定）、ホスティング場所、法的根拠、および該当する場合は処理契約を記載する。

よくある質問

Cookie なしの Matomo に同意は必要ですか？

必ずしも必要ではありませんが、一律に許されるわけでもありません。Cookie なし・IP 即時短縮なら同意なしの運用を許容する監督機関もありますが、端末から情報を読み取っている場合は TDDDG 第 25 条が適用されることがあります。判断を文書化してください。

Matomo にデータ処理契約は必要ですか？

Matomo Cloud なら必要で、相手は InnoCraft です。自社ホストの場合、Matomo 自体には不要ですが、データを保管するサーバーのホスティング事業者とは必要です。

Matomo はプライバシーポリシーに記載が必要ですか？

はい、常に必要です。Cookie なしの運用でも同様です。目的、運用形態、サーバーの所在地、IP 短縮、法的根拠、保存期間を記載します。

Matomo には Google のような同意モードがありますか？

いいえ。Matomo はトラッキング API 独自の関数（例：requireConsent / setConsentGiven、requireCookieConsent / setCookieConsentGiven）で同意を制御し、同意ツールが同意後にそれらを呼び出します。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。