Wdrożenie Matomo zgodnie z RODO

Matomo można hostować samodzielnie lub używać jako Matomo Cloud (serwery w Niemczech). To, czy potrzebna jest zgoda, zależy od plików cookie, obsługi IP i hostingu — nie od nazwy narzędzia.

Śledzenie bez cookies i bez zgody? Matomo oferuje opcję wyłączającą pliki cookie śledzenia („disableCookies” w API śledzenia, ustawienie zmiennej konfiguracyjnej Matomo w Matomo Tag Manager). Znika wtedy część dostępu do urządzenia — ale niekoniecznie cały: odczyt cech przeglądarki do skrótu odwiedzającego również może podlegać § 25 ust. 1 TDDDG. Niektóre niemieckie organy nadzorcze uznają ten tryb z natychmiastowym skracaniem IP za dopuszczalny bez zgody, inne są ostrożniejsze. Kto chce działać bez banera, powinien udokumentować konfigurację i sprawdzić stanowisko właściwego organu.

Anonimizacja w Matomo oznacza przede wszystkim skracanie IP (Prywatność → Anonimizuj dane: co najmniej 2 bajty, np. 192.168.xxx.xxx), a opcjonalnie także „zastąp identyfikator użytkownika pseudonimem” i usuwanie parametrów odsyłacza. Skracanie powinno działać przed zapisem, a nie dopiero w raportach. Warto też włączyć „regularne usuwanie starych surowych danych” — Matomo może automatycznie kasować surowe logi po ustalonym czasie i zachowywać tylko raporty zbiorcze.

Matomo On-Premise czy Matomo Cloud: przy hostowaniu na własnym serwerze nie ma podmiotu przetwarzającego dla samego Matomo — jest nim natomiast dostawca, u którego stoi serwer. W Matomo Cloud podmiotem przetwarzającym jest InnoCraft Ltd. (Nowa Zelandia, hosting w Niemczech); umowa powierzenia przetwarzania (DPA) jest dostępna w koncie klienta. Dla Nowej Zelandii istnieje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony.

Matomo potrzebuje własnej sekcji w polityce prywatności: cel (pomiar zasięgu), tryb działania (własny hosting lub chmura, lokalizacja serwera), czy ustawiane są pliki cookie, zakres skracania IP, podstawa prawna (zgoda na podstawie art. 6 ust. 1 lit. a RODO i § 25 ust. 1 TDDDG — lub, przy pracy bez cookies, własna uzasadniona ocena), okres przechowywania surowych danych i informacja o prawie sprzeciwu. Szablon daje tylko ramy; rzeczywiste ustawienia muszą się z nim zgadzać.

Jeśli Matomo jest wdrażane przez Matomo Tag Manager lub Google Tag Manager, zgodę trzeba wyegzekwować właśnie tam: tag Matomo może się uruchomić dopiero po zgodzie albo Matomo działa w konfiguracji bez cookies i po zgodzie otrzymuje pozwolenie na cookies przez „rememberConsentGiven” lub „setCookieConsentGiven”. Matomo nie ma trybu zgody takiego jak Google — sterowanie odbywa się przez te funkcje zgody API śledzenia.

Czy to ryzyko?

Jeśli Matomo ustawia pliki cookie lub odczytuje inne identyfikatory z urządzenia, obowiązuje § 25 ust. 1 TDDDG i wymagana jest uprzednia zgoda. Niektóre organy nadzorcze uznają za dopuszczalne bez zgody działanie bez plików cookie z natychmiastowym skróceniem IP i bez łączenia między urządzeniami, inne są bardziej ostrożne — nie ma jednolitej ogólnokrajowej akceptacji. Przy Matomo Cloud dochodzi umowa powierzenia przetwarzania z InnoCraft.

Co możesz zrobić

• Włączyć śledzenie bez plików cookie i natychmiast skrócić adres IP o co najmniej dwa bajty.
• Respektować „Do Not Track”, ograniczyć przechowywanie danych i surowe logi do niezbędnego minimum.
• Przy użyciu plików cookie lub Matomo Cloud: ująć Matomo w narzędziu zgody i ładować dopiero po zgodzie.
• W polityce prywatności wskazać cel (pomiar zasięgu), miejsce hostingu, podstawę prawną i ewentualnie umowę powierzenia.

Częste pytania

Czy Matomo bez cookies wymaga zgody?

Niekoniecznie, ale nie jest to ogólne zwolnienie. Bez cookies i z natychmiastowym skracaniem IP niektóre organy uznają działanie bez zgody za dopuszczalne; jeśli jednak odczytywane są informacje z urządzenia, może mieć zastosowanie § 25 TDDDG. Udokumentuj swoją ocenę.

Czy potrzebuję umowy powierzenia dla Matomo?

W Matomo Cloud tak — z InnoCraft. Przy własnym hostingu nie dla samego Matomo, ale dla dostawcy hostingu, na którego serwerze są dane.

Czy Matomo musi być w polityce prywatności?

Tak, zawsze — także bez cookies. Podaj cel, tryb działania, lokalizację serwera, skracanie IP, podstawę prawną i okres przechowywania.

Czy Matomo ma tryb zgody jak Google?

Nie. Matomo steruje zgodą własnymi funkcjami API śledzenia (np. requireConsent / setConsentGiven lub requireCookieConsent / setCookieConsentGiven), które narzędzie do zgód wywołuje po wyrażeniu zgody.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.