Uporaba Matoma skladno z GDPR

Matomo je mogoče gostiti sam ali uporabljati kot Matomo Cloud (strežniki v Nemčiji). Ali je privolitev potrebna, je odvisno od piškotkov, obdelave IP in gostovanja — ne od imena orodja.

Merjenje brez piškotkov in brez privolitve? Matomo ponuja možnost, ki izklopi sledilne piškotke (»disableCookies« v API-ju za sledenje, nastavitev konfiguracijske spremenljivke Matomo v Matomo Tag Managerju). S tem odpade del dostopa do naprave — a ne nujno ves: tudi branje lastnosti brskalnika za zgoščeno vrednost obiskovalca lahko spada pod § 25(1) TDDDG. Nekateri nemški nadzorni organi ta način s takojšnjim krajšanjem IP-naslova štejejo za sprejemljivega brez privolitve, drugi so bolj zadržani. Kdor želi delovati brez pasice, naj dokumentira nastavitve in preveri stališče svojega organa.

Anonimizacija pri Matomu pomeni predvsem krajšanje IP-naslova (Zasebnost → Anonimiziraj podatke: vsaj 2 bajta, npr. 192.168.xxx.xxx), po izbiri pa še »zamenjaj ID uporabnika s psevdonimom« in odstranitev parametrov napotitelja. Krajšanje naj se izvede pred shranjevanjem, ne šele v poročilih. Splača se vklopiti tudi »redno briši stare surove podatke« — Matomo lahko po določenem roku samodejno izbriše surove dnevnike in obdrži le zbirna poročila.

Matomo On-Premise ali Matomo Cloud: pri lastnem gostovanju na svojem strežniku za sam Matomo ni obdelovalca — je pa za ponudnika, pri katerem je strežnik. Pri Matomo Cloud je obdelovalec InnoCraft Ltd. (Nova Zelandija, gostovanje v Nemčiji); pogodba o obdelavi (DPA) je na voljo v uporabniškem računu. Za Novo Zelandijo obstaja sklep Evropske komisije o ustreznosti.

Matomo potrebuje lasten razdelek v politiki zasebnosti: namen (merjenje dosega), način delovanja (lastno gostovanje ali oblak, lokacija strežnika), ali se nastavljajo piškotki, obseg krajšanja IP-naslova, pravna podlaga (privolitev po čl. 6(1)(a) GDPR in § 25(1) TDDDG — ali pri delovanju brez piškotkov lastna utemeljena presoja), rok hrambe surovih podatkov in opozorilo na pravico do ugovora. Predloga da le okvir; dejanske nastavitve se morajo z njo ujemati.

Če se Matomo dostavlja prek Matomo Tag Managerja ali Google Tag Managerja, je treba privolitev uveljaviti tam: oznaka Matomo se sme sprožiti šele po privolitvi, ali pa Matomo deluje v nastavitvi brez piškotkov in po privolitvi dobi dovoljenje za piškotke prek »rememberConsentGiven« ali »setCookieConsentGiven«. Načina privolitve, kot ga ima Google, Matomo nima — upravljanje poteka prek teh funkcij privolitve v API-ju za sledenje.

Je to tveganje?

Če Matomo nastavlja piškotke ali bere druge identifikatorje z naprave, se uporablja § 25 odst. 1 TDDDG in potrebna je predhodna privolitev. Nekateri nadzorni organi imajo delovanje brez piškotkov s takojšnjim skrajšanjem IP in brez združevanja med napravami za zagovorljivo brez privolitve, drugi so bolj zadržani — enotne državne odobritve ni. Pri Matomo Cloud se doda pogodba o obdelavi z InnoCraftom.

Kaj lahko storite

• Aktivirajte sledenje brez piškotkov in naslov IP takoj skrajšajte za vsaj dva bajta.
• Spoštujte „Do Not Track“, omejite hrambo podatkov in surove dnevnike na potrebni minimum.
• Pri uporabi piškotkov ali Matomo Cloud: vključite Matomo v orodje za privolitev in ga naložite šele po privolitvi.
• V politiki zasebnosti navedite namen (merjenje obiska), kraj gostovanja, pravno podlago in po potrebi pogodbo o obdelavi.

Pogosta vprašanja

Ali Matomo brez piškotkov potrebuje privolitev?

Ne nujno, a to ni splošno dovoljenje. Brez piškotkov in s takojšnjim krajšanjem IP-naslova nekateri organi delovanje brez privolitve štejejo za sprejemljivo; če se z naprave kljub temu berejo podatki, se lahko uporabi § 25 TDDDG. Dokumentirajte svojo presojo.

Ali za Matomo potrebujem pogodbo o obdelavi?

Pri Matomo Cloud da — z InnoCraft. Pri lastnem gostovanju ne za sam Matomo, temveč za ponudnika gostovanja, na čigar strežniku so podatki.

Ali mora biti Matomo v politiki zasebnosti?

Da, vedno — tudi pri delovanju brez piškotkov. Navedite namen, način delovanja, lokacijo strežnika, krajšanje IP-naslova, pravno podlago in rok hrambe.

Ali ima Matomo način privolitve kot Google?

Ne. Matomo upravlja privolitev z lastnimi funkcijami API-ja za sledenje (npr. requireConsent / setConsentGiven ali requireCookieConsent / setCookieConsentGiven), ki jih orodje za privolitev pokliče po soglasju.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.