Matomo naudojimas laikantis BDAR

Matomo galima talpinti savarankiškai arba naudoti kaip Matomo Cloud (serveriai Vokietijoje). Ar reikia sutikimo, priklauso nuo slapukų, IP tvarkymo ir talpinimo — ne nuo įrankio pavadinimo.

Matavimas be slapukų ir be sutikimo? Matomo turi parinktį, kuri išjungia sekimo slapukus („disableCookies“ sekimo API, Matomo konfigūracijos kintamojo nustatymas Matomo Tag Manager). Taip išnyksta dalis prieigos prie įrenginio — bet nebūtinai visa: ir naršyklės savybių nuskaitymas lankytojo maišos reikšmei gali patekti į TDDDG 25 straipsnio 1 dalies taikymo sritį. Kai kurios Vokietijos priežiūros institucijos šį režimą su tiesioginiu IP sutrumpinimu laiko priimtinu be sutikimo, kitos yra atsargesnės. Jei norite dirbti be reklamjuostės, dokumentuokite konfigūraciją ir pasitikrinkite savo institucijos poziciją.

Anonimizavimas Matomo reiškia pirmiausia IP sutrumpinimą (Privatumas → Anonimizuoti duomenis: bent 2 baitai, pvz., 192.168.xxx.xxx), taip pat pasirinktinai „pakeisti naudotojo ID pseudonimu“ ir nukreipiančiųjų parametrų pašalinimą. Sutrumpinimas turėtų vykti prieš išsaugant, o ne tik ataskaitose. Verta įjungti ir „reguliariai trinti senus neapdorotus duomenis“ — Matomo gali automatiškai ištrinti neapdorotus žurnalus po nustatyto laikotarpio ir palikti tik suvestines ataskaitas.

Matomo On-Premise ar Matomo Cloud: talpinant savo serveryje pačiam Matomo duomenų tvarkytojo nėra — bet jis yra paslaugų teikėjui, pas kurį stovi serveris. Matomo Cloud atveju duomenų tvarkytojas yra InnoCraft Ltd. (Naujoji Zelandija, talpinimas Vokietijoje); duomenų tvarkymo sutartis (DPA) pateikiama kliento paskyroje. Dėl Naujosios Zelandijos yra Europos Komisijos sprendimas dėl tinkamumo.

Matomo privatumo politikoje reikia atskiro skyriaus: tikslas (lankomumo matavimas), veikimo būdas (savas talpinimas ar debesija, serverio vieta), ar nustatomi slapukai, IP sutrumpinimo apimtis, teisinis pagrindas (sutikimas pagal BDAR 6 straipsnio 1 dalies a punktą ir TDDDG 25 straipsnio 1 dalį — arba, veikiant be slapukų, jūsų pačių pagrįstas vertinimas), neapdorotų duomenų saugojimo laikotarpis ir nuoroda į teisę nesutikti. Šablonas duoda tik rėmus; tikrieji nustatymai turi atitikti.

Jei Matomo pateikiamas per Matomo Tag Manager ar Google Tag Manager, sutikimą reikia užtikrinti būtent ten: Matomo žyma gali suveikti tik po sutikimo, arba Matomo veikia be slapukų ir po sutikimo gauna leidimą slapukams per „rememberConsentGiven“ arba „setCookieConsentGiven“. Sutikimo režimo kaip Google Matomo neturi — valdymas vyksta per šias sekimo API sutikimo funkcijas.

Ar tai rizika?

Jei Matomo nustato slapukus arba nuskaito kitus identifikatorius iš įrenginio, taikoma § 25 1 d. TDDDG ir reikia išankstinio sutikimo. Kai kurios priežiūros institucijos laiko pateisinama be sutikimo veikimą be slapukų su nedelsiant sutrumpinamu IP ir be sujungimo tarp įrenginių, kitos yra atsargesnės — vieningo nacionalinio patvirtinimo nėra. Su Matomo Cloud pridedama tvarkymo sutartis su InnoCraft.

Ką galite padaryti

• Įjunkite stebėjimą be slapukų ir IP adresą iškart sutrumpinkite bent dviem baitais.
• Gerbkite „Do Not Track“, apribokite duomenų saugojimą ir neapdorotus žurnalus iki būtino minimumo.
• Naudojant slapukus arba Matomo Cloud: įtraukite Matomo į sutikimo įrankį ir įkelkite tik po sutikimo.
• Privatumo politikoje nurodykite tikslą (pasiekiamumo matavimas), talpinimo vietą, teisinį pagrindą ir prireikus tvarkymo sutartį.

Dažni klausimai

Ar Matomo be slapukų reikia sutikimo?

Nebūtinai, bet tai nėra bendras leidimas. Be slapukų ir su tiesioginiu IP sutrumpinimu kai kurios institucijos veikimą be sutikimo laiko priimtinu; jei vis dėlto nuskaitoma informacija iš įrenginio, gali būti taikomas TDDDG 25 straipsnis. Dokumentuokite savo vertinimą.

Ar man reikia duomenų tvarkymo sutarties Matomo?

Matomo Cloud atveju taip — su InnoCraft. Talpinant patiems ne pačiam Matomo, o talpinimo paslaugų teikėjui, kurio serveryje yra duomenys.

Ar Matomo turi būti privatumo politikoje?

Taip, visada — ir veikiant be slapukų. Nurodykite tikslą, veikimo būdą, serverio vietą, IP sutrumpinimą, teisinį pagrindą ir saugojimo laikotarpį.

Ar Matomo turi sutikimo režimą kaip Google?

Ne. Matomo valdo sutikimą savomis sekimo API funkcijomis (pvz., requireConsent / setConsentGiven arba requireCookieConsent / setCookieConsentGiven), kurias sutikimo įrankis iškviečia po pritarimo.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.