Використання Matomo відповідно до GDPR

Matomo можна розміщувати самостійно або використовувати як Matomo Cloud (сервери в Німеччині). Чи потрібна згода, залежить від файлів cookie, обробки IP та хостингу — а не від назви інструмента.

Вимірювання без cookie і без згоди? У Matomo є параметр, що вимикає cookie відстеження («disableCookies» в API відстеження, налаштування змінної конфігурації Matomo в Matomo Tag Manager). Так відпадає частина доступу до пристрою — але не обов’язково весь: зчитування характеристик браузера для хешу відвідувача теж може підпадати під § 25 абз. 1 TDDDG. Деякі німецькі наглядові органи вважають такий режим із негайним скороченням IP допустимим без згоди, інші обережніші. Якщо хочете обійтися без банера, задокументуйте налаштування й уточніть позицію свого органу.

Анонімізація в Matomo — це насамперед скорочення IP (Конфіденційність → Анонімізувати дані: щонайменше 2 байти, наприклад 192.168.xxx.xxx), а також за бажанням «замінити ID користувача псевдонімом» і видалення параметрів реферера. Скорочення має відбуватися до збереження, а не лише у звітах. Варто ввімкнути й «регулярно видаляти старі необроблені дані»: Matomo може автоматично видаляти сирі журнали через заданий строк і зберігати лише агреговані звіти.

Matomo On-Premise чи Matomo Cloud: у разі розміщення на власному сервері обробника для самого Matomo немає — але він є у провайдера, де стоїть сервер. У Matomo Cloud обробником є InnoCraft Ltd. (Нова Зеландія, хостинг у Німеччині); договір про обробку даних (DPA) доступний у клієнтському акаунті. Для Нової Зеландії є рішення Єврокомісії про адекватність захисту.

Matomo потрібен окремий розділ у політиці конфіденційності: мета (вимірювання аудиторії), режим роботи (власний хостинг чи хмара, розташування сервера), чи встановлюються cookie, обсяг скорочення IP, правова підстава (згода за ст. 6(1)(a) GDPR і § 25 абз. 1 TDDDG — або в роботі без cookie ваша власна обґрунтована оцінка), строк зберігання сирих даних і вказівка на право заперечення. Шаблон дає лише каркас; реальні налаштування мають йому відповідати.

Якщо Matomo підключається через Matomo Tag Manager або Google Tag Manager, згоду треба забезпечувати там: тег Matomo може спрацьовувати лише після згоди, або Matomo працює в конфігурації без cookie і після згоди отримує дозвіл на cookie через «rememberConsentGiven» чи «setCookieConsentGiven». Режиму згоди, як у Google, Matomo не має — керування йде через ці функції згоди API відстеження.

Це ризик?

Якщо Matomo встановлює файли cookie або зчитує інші ідентифікатори з пристрою, застосовується § 25 ч. 1 TDDDG і потрібна попередня згода. Деякі наглядові органи вважають прийнятною без згоди роботу без файлів cookie з негайним скороченням IP та без об'єднання між пристроями, інші більш стримані — єдиного загальнонаціонального схвалення немає. З Matomo Cloud додається договір про обробку з InnoCraft.

Що ви можете зробити

• Увімкніть відстеження без файлів cookie та негайно скоротіть IP-адресу щонайменше на два байти.
• Дотримуйтесь “Do Not Track”, обмежте зберігання даних і необроблені журнали необхідним мінімумом.
• У разі використання файлів cookie або Matomo Cloud: включіть Matomo в інструмент згоди та завантажуйте лише після згоди.
• У політиці конфіденційності вкажіть мету (вимірювання охоплення), місце хостингу, правову підставу та, за потреби, договір про обробку.

Поширені запитання

Чи потрібна згода для Matomo без cookie?

Не обов’язково, але це не загальний дозвіл. Без cookie і з негайним скороченням IP деякі органи вважають роботу без згоди допустимою; якщо ж із пристрою все-таки зчитується інформація, може застосовуватися § 25 TDDDG. Задокументуйте свою оцінку.

Чи потрібен договір про обробку даних для Matomo?

Для Matomo Cloud — так, з InnoCraft. У разі власного хостингу не для самого Matomo, а для хостинг-провайдера, на чиєму сервері зберігаються дані.

Чи має Matomo бути в політиці конфіденційності?

Так, завжди — і в роботі без cookie. Зазначте мету, режим роботи, розташування сервера, скорочення IP, правову підставу та строк зберігання.

Чи має Matomo режим згоди, як у Google?

Ні. Matomo керує згодою власними функціями API відстеження (наприклад, requireConsent / setConsentGiven або requireCookieConsent / setCookieConsentGiven), які інструмент згоди викликає після прийняття.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.