O Matomo pode ser auto-alojado ou usado como Matomo Cloud (servidores na Alemanha). Se é necessário consentimento depende dos cookies, do tratamento do IP e do alojamento — não do nome da ferramenta.
Medição sem cookies e sem consentimento? O Matomo tem uma opção que desativa os cookies de rastreio («disableCookies» na API de rastreio, uma definição da variável de configuração do Matomo no Matomo Tag Manager). Com isso desaparece parte do acesso ao dispositivo — mas não necessariamente todo: ler características do navegador para um hash de visitante também pode cair no § 25 n.º 1 TDDDG. Algumas autoridades de controlo alemãs consideram este modo aceitável sem consentimento com truncagem imediata do IP, outras são mais restritivas. Quem quiser dispensar o banner deve documentar a configuração e verificar a posição da sua autoridade.
No Matomo, anonimizar significa sobretudo truncar o IP (Privacidade → Anonimizar dados: pelo menos 2 bytes, p. ex. 192.168.xxx.xxx), mais, opcionalmente, «substituir o ID de utilizador por um pseudónimo» e remover parâmetros de referência. A truncagem deve ocorrer antes do armazenamento, não só nos relatórios. Vale também a pena ativar «eliminar regularmente dados brutos antigos» — o Matomo pode apagar automaticamente os registos brutos após um prazo fixo e manter apenas relatórios agregados.
Matomo On-Premise ou Matomo Cloud: ao alojar no seu próprio servidor não há subcontratante para o Matomo em si — mas há para o fornecedor onde o servidor está. No Matomo Cloud, a InnoCraft Ltd. (Nova Zelândia, alojamento na Alemanha) é o subcontratante; o acordo de tratamento de dados (DPA) está disponível na conta de cliente. Para a Nova Zelândia existe uma decisão de adequação da Comissão Europeia.
O Matomo precisa de uma secção própria na política de privacidade: finalidade (medição de audiência), modo de funcionamento (alojado pelo próprio ou na nuvem, localização do servidor), se são usados cookies, extensão da truncagem do IP, fundamento jurídico (consentimento nos termos do art. 6.º, n.º 1, al. a) do RGPD e do § 25 n.º 1 TDDDG — ou, sem cookies, a sua própria avaliação fundamentada), prazo de conservação dos dados brutos e referência ao direito de oposição. Um modelo dá apenas a estrutura; as definições reais têm de corresponder.
Se o Matomo for servido através do Matomo Tag Manager ou do Google Tag Manager, o consentimento tem de ser aplicado aí: a tag do Matomo só pode disparar após o consentimento, ou o Matomo corre na configuração sem cookies e, após o consentimento, recebe autorização para cookies via «rememberConsentGiven» ou «setCookieConsentGiven». O Matomo não tem um modo de consentimento como o da Google — o controlo faz-se através destas funções de consentimento da API de rastreio.
Se o Matomo define cookies ou lê outros identificadores do dispositivo, aplica-se o § 25 n.º 1 TDDDG e é necessário consentimento prévio. Algumas autoridades consideram defensável sem consentimento um funcionamento sem cookies com truncagem imediata do IP e sem cruzamento entre dispositivos, outras são mais reservadas — não existe uma autorização uniforme a nível nacional. Com o Matomo Cloud acresce um contrato de subcontratação com a InnoCraft.
A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.
Este texto é informação geral em boa-fé, não aconselhamento jurídico. Para o caso concreto, consulte um escritório especializado em direito das TI.