Bruke Matomo GDPR-konformt

Matomo kan selvhostes eller brukes som Matomo Cloud (servere i Tyskland). Om det kreves samtykke avhenger av informasjonskapsler, IP-behandling og hosting — ikke av navnet på verktøyet.

Cookiefri måling uten samtykke? Matomo har et valg som slår av sporingscookies («disableCookies» i sporings-API-et, en innstilling i Matomo-konfigurasjonsvariabelen i Matomo Tag Manager). Da faller en del av tilgangen til enheten bort — men ikke nødvendigvis alt: også lesing av nettleseregenskaper til en besøkshash kan falle inn under § 25 første ledd TDDDG. Noen tyske tilsynsmyndigheter mener denne driftsformen med umiddelbar IP-avkorting er forsvarlig uten samtykke, andre er mer tilbakeholdne. Vil du kjøre uten banner, dokumenter konfigurasjonen og sjekk vurderingen til din myndighet.

Anonymisering i Matomo betyr først og fremst IP-avkorting (Personvern → Anonymiser data: minst 2 byte, f.eks. 192.168.xxx.xxx), og i tillegg valgfritt «erstatt bruker-ID med et pseudonym» og fjerning av henvisningsparametere. Avkortingen bør skje før lagring, ikke først i rapportene. Det lønner seg også å slå på «slett gamle rådata jevnlig» — Matomo kan automatisk slette råloggene etter en fast periode og bare beholde aggregerte rapporter.

Matomo On-Premise eller Matomo Cloud: Ved egen drift på egen server finnes det ingen databehandler for Matomo selv — men for leverandøren der serveren står. Med Matomo Cloud er InnoCraft Ltd. (New Zealand, hosting i Tyskland) databehandler; databehandleravtalen (DPA) finnes i kundekontoen. For New Zealand foreligger det en adekvansbeslutning fra EU-kommisjonen.

Matomo trenger et eget avsnitt i personvernerklæringen: formål (rekkeviddemåling), driftsform (egen drift eller sky, serverplassering), om det settes informasjonskapsler, omfanget av IP-avkortingen, rettslig grunnlag (samtykke etter art. 6 nr. 1 bokstav a GDPR og § 25 første ledd TDDDG — eller ved cookiefri drift din egen begrunnede vurdering), lagringstid for rådata og en henvisning til retten til å protestere. En mal gir bare rammen; de faktiske innstillingene må stemme med den.

Leveres Matomo via Matomo Tag Manager eller Google Tag Manager, må samtykket håndheves der: Matomo-taggen skal bare utløses etter samtykke, eller Matomo kjører cookiefritt og får etter samtykke tillatelse til informasjonskapsler via «rememberConsentGiven» eller «setCookieConsentGiven». Matomo har ingen consent mode som Google — styringen skjer via disse samtykkefunksjonene i sporings-API-et.

Er dette en risiko?

Hvis Matomo setter informasjonskapsler eller leser andre identifikatorer fra enheten, gjelder § 25 første ledd TDDDG og forhåndssamtykke kreves. Enkelte tilsynsmyndigheter anser en informasjonskapselfri drift med umiddelbar IP-forkorting og uten sammenkobling på tvers av enheter som forsvarlig uten samtykke, andre er mer tilbakeholdne — en landsdekkende ensartet godkjenning finnes ikke. Ved Matomo Cloud kommer en databehandleravtale med InnoCraft i tillegg.

Hva du kan gjøre

• Aktiver sporing uten informasjonskapsler og forkort IP-adressen umiddelbart med minst to byte.
• Respekter «Do Not Track», begrens datalagring og rålogger til nødvendig minimum.
• Ved bruk av informasjonskapsler eller Matomo Cloud: ta med Matomo i samtykkeverktøyet og last den først etter samtykke.
• Oppgi i personvernerklæringen formålet (rekkeviddemåling), hostingsted, rettsgrunnlag og eventuelt databehandleravtalen.

Vanlige spørsmål

Krever Matomo uten informasjonskapsler samtykke?

Ikke nødvendigvis, men det er ingen generell godkjenning. Uten informasjonskapsler og med umiddelbar IP-avkorting mener noen tilsynsmyndigheter at drift uten samtykke er forsvarlig; leses det likevel informasjon fra enheten, kan § 25 TDDDG gjelde. Dokumenter vurderingen din.

Trenger jeg en databehandleravtale for Matomo?

Med Matomo Cloud ja — med InnoCraft. Ved egen drift ikke for Matomo selv, men for hostingleverandøren som har dataene på sin server.

Må Matomo med i personvernerklæringen?

Ja, alltid — også ved cookiefri drift. Oppgi formål, driftsform, serverplassering, IP-avkorting, rettslig grunnlag og lagringstid.

Har Matomo en consent mode som Google?

Nei. Matomo styrer samtykke via egne funksjoner i sporings-API-et (f.eks. requireConsent / setConsentGiven eller requireCookieConsent / setCookieConsentGiven), som samtykkeverktøyet kaller etter godkjenning.

Hvordan consentglass hjelper

Den gratis sjekken analyserer den leverte HTML-en og viser hvilke tjenester som er innebygd, om informasjonskapsel-banneret er oppdaget, og om lenkene til personvern og kontaktinformasjon finnes — med klassifisering for hvert funn. Erstatter ikke juridisk rådgivning.