GDPR에 따라 Matomo 사용하기

Matomo는 자체 호스팅하거나 Matomo Cloud(독일 서버)로 사용할 수 있습니다. 동의가 필요한지는 쿠키, IP 처리, 호스팅에 따라 결정되며 도구의 이름으로 결정되지 않습니다.

쿠키 없이, 동의 없이 측정할 수 있을까? Matomo에는 추적 쿠키를 끄는 옵션이 있습니다(추적 API의 "disableCookies", Matomo Tag Manager에서는 Matomo 구성 변수의 설정). 이렇게 하면 단말기 접근의 일부는 사라지지만 전부는 아닐 수 있습니다. 방문자 해시를 위해 브라우저 특성을 읽는 것도 TDDDG 제25조 제1항에 해당할 수 있기 때문입니다. 일부 독일 감독기관은 IP를 즉시 축약하는 이 방식을 동의 없이도 허용할 수 있다고 보지만, 더 신중한 기관도 있습니다. 배너 없이 운영하려면 구성을 문서화하고 관할 기관의 입장을 확인하세요.

Matomo에서 익명화는 주로 IP 축약을 뜻합니다(개인정보 → 데이터 익명화: 최소 2바이트, 예: 192.168.xxx.xxx). 선택적으로 "사용자 ID를 가명으로 대체"와 리퍼러 매개변수 제거도 있습니다. 축약은 보고서에서만이 아니라 저장 전에 적용되어야 합니다. "오래된 원시 데이터 정기 삭제"를 켜는 것도 좋습니다. Matomo는 정해진 기간 후 원시 로그를 자동 삭제하고 집계 보고서만 남길 수 있습니다.

Matomo On-Premise와 Matomo Cloud: 자체 서버에 호스팅하면 Matomo 자체의 수탁자는 없지만, 서버가 있는 호스팅 업체는 수탁자가 됩니다. Matomo Cloud에서는 InnoCraft Ltd.(뉴질랜드, 호스팅은 독일)가 수탁자이며, 데이터 처리 계약(DPA)은 고객 계정에서 제공됩니다. 뉴질랜드에 대해서는 EU 집행위원회의 적정성 결정이 있습니다.

개인정보 처리방침에는 Matomo 전용 항목이 필요합니다. 목적(방문 측정), 운영 방식(자체 호스팅 또는 클라우드, 서버 위치), 쿠키 사용 여부, IP 축약 범위, 법적 근거(GDPR 제6조 제1항 (a)호 및 TDDDG 제25조 제1항에 따른 동의, 또는 쿠키 없는 운영이라면 스스로의 근거 있는 판단), 원시 데이터 보관 기간, 반대권 안내입니다. 템플릿은 틀만 제공하므로 실제 설정과 일치해야 합니다.

Matomo Tag Manager나 Google Tag Manager로 Matomo를 배포한다면 동의는 그곳에서 적용해야 합니다. Matomo 태그는 동의 후에만 실행하거나, Matomo를 쿠키 없는 구성으로 운영하다가 동의 후 "rememberConsentGiven" 또는 "setCookieConsentGiven"으로 쿠키를 허용합니다. Matomo에는 Google 같은 동의 모드가 없으며, 제어는 추적 API의 이 동의 함수로 이루어집니다.

이것은 위험한가요?

Matomo가 쿠키를 설정하거나 기기에서 다른 식별자를 읽는 경우 TDDDG 제25조 제1항이 적용되며 사전 동의가 필요합니다. 일부 감독 기관은 즉각적인 IP 단축을 동반하고 기기 간 결합을 하지 않는 쿠키 없는 운영을 동의 없이 방어 가능한 것으로 보지만 더 신중한 기관도 있으며 전국적으로 통일된 승인은 없습니다. Matomo Cloud의 경우 InnoCraft와의 처리 계약이 추가됩니다.

할 수 있는 조치

• 쿠키 없는 추적을 활성화하고 IP 주소를 즉시 최소 2바이트 단축합니다.
• “Do Not Track”을 존중하고 데이터 보관 및 원시 로그를 필요한 최소한으로 제한합니다.
• 쿠키 사용 시 또는 Matomo Cloud의 경우: Matomo를 동의 도구에 포함하고 동의 후에만 로드합니다.
• 개인정보 처리방침에 목적(도달 범위 측정), 호스팅 위치, 법적 근거 및 해당하는 경우 처리 계약을 명시합니다.

자주 묻는 질문

쿠키 없는 Matomo에도 동의가 필요한가요?

반드시 그렇지는 않지만 일괄 허용도 아닙니다. 쿠키 없이 IP를 즉시 축약하면 일부 감독기관은 동의 없는 운영을 허용할 수 있다고 봅니다. 그래도 단말기에서 정보를 읽는다면 TDDDG 제25조가 적용될 수 있습니다. 판단을 문서화하세요.

Matomo에 데이터 처리 계약이 필요한가요?

Matomo Cloud라면 필요하며 상대는 InnoCraft입니다. 자체 호스팅이라면 Matomo 자체에는 필요 없지만, 데이터가 저장된 서버의 호스팅 업체와는 필요합니다.

Matomo를 개인정보 처리방침에 적어야 하나요?

네, 항상 적어야 합니다. 쿠키 없는 운영도 마찬가지입니다. 목적, 운영 방식, 서버 위치, IP 축약, 법적 근거, 보관 기간을 기재하세요.

Matomo에도 Google 같은 동의 모드가 있나요?

아니요. Matomo는 추적 API 고유의 함수(예: requireConsent / setConsentGiven 또는 requireCookieConsent / setCookieConsentGiven)로 동의를 제어하며, 동의 도구가 동의 후 이를 호출합니다.

consentglass가 도와드리는 방법

무료 검사는 제공된 HTML을 분석하여 어떤 서비스가 내장되어 있는지, 쿠키 배너가 감지되는지, 개인정보처리방침 및 사업자 정보 링크가 있는지 각 발견 사항에 대한 분류와 함께 보여줍니다. 법률 자문을 대체하지 않습니다.