Matomo možno hostovať sám alebo používať ako Matomo Cloud (servery v Nemecku). Či je potrebný súhlas, závisí od cookies, spracovania IP a hostingu — nie od názvu nástroja.
Meranie bez cookies a bez súhlasu? Matomo ponúka voľbu, ktorá vypne sledovacie cookies („disableCookies“ v API na sledovanie, nastavenie konfiguračnej premennej Matomo v Matomo Tag Manageri). Tým odpadne časť prístupu k zariadeniu — ale nie nevyhnutne celý: aj čítanie vlastností prehliadača pre hash návštevníka môže spadať pod § 25 ods. 1 TDDDG. Niektoré nemecké dozorné úrady považujú tento režim s okamžitým skrátením IP za prijateľný bez súhlasu, iné sú zdržanlivejšie. Kto chce fungovať bez lišty, mal by konfiguráciu zdokumentovať a overiť si stanovisko svojho úradu.
Anonymizácia v Matomo znamená hlavne skrátenie IP (Súkromie → Anonymizovať údaje: aspoň 2 bajty, napr. 192.168.xxx.xxx), voliteľne aj „nahradiť ID používateľa pseudonymom“ a odstránenie parametrov referera. Skrátenie by malo prebehnúť pred uložením, nie až v prehľadoch. Oplatí sa tiež zapnúť „pravidelne mazať staré surové údaje“ — Matomo vie surové logy po pevnej lehote automaticky vymazať a ponechať len agregované prehľady.
Matomo On-Premise, alebo Matomo Cloud: pri prevádzke na vlastnom serveri neexistuje sprostredkovateľ pre samotné Matomo — ale existuje pre poskytovateľa, u ktorého server beží. Pri Matomo Cloud je sprostredkovateľom InnoCraft Ltd. (Nový Zéland, hosting v Nemecku); zmluva o spracúvaní (DPA) je k dispozícii v zákazníckom účte. Pre Nový Zéland existuje rozhodnutie Európskej komisie o primeranosti ochrany.
Matomo potrebuje v zásadách ochrany osobných údajov vlastnú časť: účel (meranie návštevnosti), spôsob prevádzky (vlastný hosting alebo cloud, umiestnenie servera), či sa ukladajú cookies, rozsah skrátenia IP, právny základ (súhlas podľa čl. 6 ods. 1 písm. a GDPR a § 25 ods. 1 TDDDG — alebo pri prevádzke bez cookies vlastné odôvodnené posúdenie), dobu uchovávania surových údajov a zmienku o práve namietať. Šablóna dá len kostru; skutočné nastavenia sa s ňou musia zhodovať.
Ak sa Matomo nasadzuje cez Matomo Tag Manager alebo Google Tag Manager, súhlas treba vynútiť práve tam: tag Matomo sa smie spustiť až po súhlase, alebo Matomo beží v konfigurácii bez cookies a po súhlase dostane povolenie na cookies cez „rememberConsentGiven“ alebo „setCookieConsentGiven“. Consent mode ako Google Matomo nemá — riadenie prebieha cez tieto funkcie súhlasu v API na sledovanie.
Ak Matomo nastavuje cookies alebo číta iné identifikátory zo zariadenia, uplatňuje sa § 25 ods. 1 TDDDG a je potrebný predchádzajúci súhlas. Niektoré dozorné orgány považujú prevádzku bez cookies s okamžitým skrátením IP a bez spájania medzi zariadeniami za obhájiteľnú bez súhlasu, iné sú zdržanlivejšie — celoštátne jednotné schválenie neexistuje. Pri Matomo Cloud pribúda zmluva o spracúvaní s InnoCraft.
Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.
Tento text je všeobecná informácia podľa najlepšieho vedomia, nie právne poradenstvo. Pre konkrétny prípad sa obráťte na advokátsku kanceláriu so špecializáciou na IT právo.