Använda Matomo GDPR-förenligt

Matomo kan självhostas eller användas som Matomo Cloud (servrar i Tyskland). Om samtycke krävs beror på cookies, IP-hantering och hosting — inte på verktygets namn.

Cookiefri mätning utan samtycke? Matomo har ett alternativ som stänger av spårningscookies ("disableCookies" i spårnings-API:et, en inställning i Matomo-konfigurationsvariabeln i Matomo Tag Manager). Då faller en del av åtkomsten till enheten bort — men inte nödvändigtvis allt: även avläsning av webbläsaregenskaper för en besökarhash kan omfattas av § 25 st. 1 TDDDG. Vissa tyska tillsynsmyndigheter anser att detta läge med omedelbar IP-avkortning är försvarbart utan samtycke, andra är mer restriktiva. Vill du köra utan banner, dokumentera konfigurationen och kontrollera din myndighets bedömning.

Anonymisering i Matomo innebär främst IP-avkortning (Integritet → Anonymisera data: minst 2 byte, t.ex. 192.168.xxx.xxx), samt valfritt "ersätt användar-ID med en pseudonym" och borttagning av referensparametrar. Avkortningen bör ske före lagring, inte först i rapporterna. Det lönar sig också att aktivera "radera gamla rådata regelbundet" — Matomo kan automatiskt ta bort råloggar efter en fast period och bara behålla aggregerade rapporter.

Matomo On-Premise eller Matomo Cloud: Vid egen drift på din egen server finns inget personuppgiftsbiträde för Matomo självt — men för värden där servern står. Med Matomo Cloud är InnoCraft Ltd. (Nya Zeeland, hosting i Tyskland) personuppgiftsbiträde; biträdesavtalet (DPA) finns i kundkontot. För Nya Zeeland finns ett beslut om adekvat skyddsnivå från EU-kommissionen.

Matomo behöver ett eget avsnitt i integritetspolicyn: ändamål (räckviddsmätning), driftsform (egen drift eller moln, serverplats), om cookies sätts, omfattningen av IP-avkortningen, rättslig grund (samtycke enligt art. 6.1 a GDPR och § 25 st. 1 TDDDG — eller vid cookiefri drift din egen motiverade bedömning), lagringstid för rådata och en hänvisning till rätten att invända. En mall ger bara ramen; de faktiska inställningarna måste stämma.

Levereras Matomo via Matomo Tag Manager eller Google Tag Manager måste samtycket upprätthållas där: Matomo-taggen får bara aktiveras efter samtycke, eller så körs Matomo cookiefritt och får efter samtycke tillstånd för cookies via "rememberConsentGiven" eller "setCookieConsentGiven". Matomo har inget consent mode som Google — styrningen sker via dessa samtyckesfunktioner i spårnings-API:et.

Är detta en risk?

Om Matomo sätter cookies eller läser andra identifierare från enheten gäller § 25.1 TDDDG och förhandssamtycke krävs. Vissa tillsynsmyndigheter anser att en cookiefri drift med omedelbar IP-förkortning och utan sammanslagning mellan enheter är försvarbar utan samtycke, andra är mer försiktiga — någon nationellt enhetlig godkännande finns inte. Med Matomo Cloud tillkommer ett personuppgiftsbiträdesavtal med InnoCraft.

Vad du kan göra

• Aktivera cookiefri spårning och förkorta IP-adressen omedelbart med minst två byte.
• Respektera ”Do Not Track”, begränsa datalagring och råloggar till nödvändigt minimum.
• Vid cookieanvändning eller Matomo Cloud: ta med Matomo i samtyckesverktyget och ladda den först efter samtycke.
• Ange i integritetspolicyn syftet (räckviddsmätning), hostingplats, rättslig grund och i förekommande fall personuppgiftsbiträdesavtalet.

Vanliga frågor

Kräver Matomo utan cookies samtycke?

Inte nödvändigtvis, men det är ingen generell frisedel. Utan cookies och med omedelbar IP-avkortning anser vissa tillsynsmyndigheter att drift utan samtycke är försvarbar; läses ändå information från enheten kan § 25 TDDDG gälla. Dokumentera din bedömning.

Behöver jag ett biträdesavtal för Matomo?

Med Matomo Cloud ja — med InnoCraft. Vid egen drift inte för Matomo självt, men för värdleverantören på vars server data ligger.

Måste Matomo med i integritetspolicyn?

Ja, alltid — även vid cookiefri drift. Ange ändamål, driftsform, serverplats, IP-avkortning, rättslig grund och lagringstid.

Har Matomo ett consent mode som Google?

Nej. Matomo styr samtycke via egna funktioner i spårnings-API:et (t.ex. requireConsent / setConsentGiven eller requireCookieConsent / setCookieConsentGiven) som samtyckesverktyget anropar efter godkännande.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.