按照 GDPR 使用 Matomo

Matomo 可以自行托管，也可以作为 Matomo Cloud（服务器位于德国）使用。是否需要同意取决于 Cookie、IP 处理方式和托管，而非工具名称。

不用 Cookie、不经同意也能统计吗？Matomo 提供一个关闭跟踪 Cookie 的选项（跟踪 API 中的“disableCookies”，在 Matomo Tag Manager 中是 Matomo 配置变量的一项设置）。这样可以去掉一部分对终端设备的访问，但不一定是全部：为生成访客哈希而读取浏览器特征，同样可能落入 TDDDG 第 25 条第 1 款的范围。部分德国监管机构认为，在立即截短 IP 的前提下，这种模式无需同意也可接受；另一些则更为谨慎。如果想不用横幅运行，请记录配置，并确认所在监管机构的立场。

在 Matomo 中，匿名化主要指截短 IP（隐私 → 匿名化数据：至少 2 个字节，例如 192.168.xxx.xxx），另可选择“用假名替换用户 ID”和删除来源参数。截短应在存储之前生效，而不只是在报表中。也值得开启“定期删除旧的原始数据”——Matomo 可在固定期限后自动删除原始日志，只保留汇总报表。

Matomo On-Premise 还是 Matomo Cloud：自行托管在自己的服务器上时，Matomo 本身没有受托处理者，但放置服务器的托管商是受托处理者。使用 Matomo Cloud 时，InnoCraft Ltd.（新西兰，托管在德国）是受托处理者；数据处理协议（DPA）在客户账户中提供。欧盟委员会对新西兰有充分性认定。

隐私政策中需要为 Matomo 单独设一节：目的（访问统计）、运行方式（自托管或云端、服务器所在地）、是否设置 Cookie、IP 截短的程度、法律依据（依据 GDPR 第 6 条第 1 款 (a) 项和 TDDDG 第 25 条第 1 款的同意——或在无 Cookie 运行时，你自己有理由的判断）、原始数据的保存期限，以及关于反对权的说明。模板只提供框架，实际设置必须与之一致。

如果通过 Matomo Tag Manager 或 Google Tag Manager 部署 Matomo，就必须在那里落实同意：Matomo 标签只能在同意后触发，或者让 Matomo 以无 Cookie 配置运行，在同意后通过“rememberConsentGiven”或“setCookieConsentGiven”放行 Cookie。Matomo 没有 Google 那样的同意模式——控制通过跟踪 API 的这些同意函数实现。

这是风险吗？

如果 Matomo 设置 Cookie 或从设备读取其他标识符，则适用 TDDDG 第 25 条第 1 款，需要事先同意。部分监管机构认为，在立即缩短 IP 且不进行跨设备合并的情况下，无 Cookie 运行在无同意时可以辩护，另一些则更为谨慎——不存在全国统一的批准。使用 Matomo Cloud 时还需与 InnoCraft 签订处理协议。

您可以怎么做

• 启用无 Cookie 跟踪，并立即将 IP 地址至少缩短两个字节。
• 尊重“Do Not Track”，将数据保留和原始日志限制在必要的最低限度。
• 使用 Cookie 或 Matomo Cloud 时：将 Matomo 纳入同意工具，仅在同意后加载。
• 在隐私政策中说明目的（覆盖面测量）、托管地点、法律依据以及在适用时的处理协议。

常见问题

不用 Cookie 的 Matomo 需要同意吗？

不一定，但也不是一律放行。在不用 Cookie 且立即截短 IP 的情况下，部分监管机构认为无需同意也可接受；如果仍从终端读取信息，TDDDG 第 25 条可能适用。请记录你的判断。

Matomo 需要数据处理协议吗？

使用 Matomo Cloud 需要，对方是 InnoCraft。自行托管时，Matomo 本身不需要，但与存放数据的服务器托管商需要。

隐私政策中必须写 Matomo 吗？

是的，始终需要——无 Cookie 运行也一样。请写明目的、运行方式、服务器所在地、IP 截短、法律依据和保存期限。

Matomo 有像 Google 那样的同意模式吗？

没有。Matomo 通过跟踪 API 自带的函数（例如 requireConsent / setConsentGiven 或 requireCookieConsent / setCookieConsentGiven）控制同意，由同意工具在用户同意后调用。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。