依照 GDPR 使用 Matomo

Matomo 可以自行託管，也可以作為 Matomo Cloud（伺服器位於德國）使用。是否需要同意取決於 Cookie、IP 處理方式和託管，而非工具名稱。

不用 Cookie、不經同意也能統計嗎？Matomo 提供一個關閉追蹤 Cookie 的選項（追蹤 API 中的「disableCookies」，在 Matomo Tag Manager 中是 Matomo 設定變數的一項設定）。這樣可以去除一部分對終端裝置的存取，但不一定是全部：為產生訪客雜湊而讀取瀏覽器特徵，同樣可能落入 TDDDG 第 25 條第 1 項的範圍。部分德國監管機關認為，在立即截短 IP 的前提下，這種模式無需同意也可接受；另一些則較為審慎。若想不用橫幅運作，請記錄設定，並確認所屬監管機關的立場。

在 Matomo 中，匿名化主要指截短 IP（隱私 → 匿名化資料：至少 2 個位元組，例如 192.168.xxx.xxx），另可選擇「以假名取代使用者 ID」與移除參照參數。截短應在儲存之前生效，而不只是在報表中。也值得開啟「定期刪除舊的原始資料」——Matomo 可在固定期限後自動刪除原始紀錄，只保留彙總報表。

Matomo On-Premise 還是 Matomo Cloud：自行託管在自己的伺服器時，Matomo 本身沒有受託處理者，但放置伺服器的主機商是受託處理者。使用 Matomo Cloud 時，InnoCraft Ltd.（紐西蘭，主機位於德國）是受託處理者；資料處理協議（DPA）在客戶帳戶中提供。歐盟執委會對紐西蘭有適足性認定。

隱私權政策中需要為 Matomo 單獨設一節：目的（流量統計）、運作方式（自行託管或雲端、伺服器所在地）、是否設定 Cookie、IP 截短的程度、法律依據（依 GDPR 第 6 條第 1 項 (a) 款與 TDDDG 第 25 條第 1 項的同意——或在無 Cookie 運作時，你自己有理由的判斷）、原始資料的保存期限，以及關於反對權的說明。範本只提供架構，實際設定必須與之一致。

若透過 Matomo Tag Manager 或 Google Tag Manager 部署 Matomo，就必須在那裡落實同意：Matomo 標籤只能在同意後觸發，或讓 Matomo 以無 Cookie 設定運作，並在同意後透過「rememberConsentGiven」或「setCookieConsentGiven」放行 Cookie。Matomo 沒有像 Google 那樣的同意模式——控制透過追蹤 API 的這些同意函式進行。

這是風險嗎？

如果 Matomo 設定 Cookie 或從裝置讀取其他識別碼，則適用 TDDDG 第 25 條第 1 項，需要事先同意。部分監理機關認為，在立即縮短 IP 且不進行跨裝置合併的情況下，無 Cookie 運行在無同意時可以辯護，另一些則較為謹慎——不存在全國統一的核准。使用 Matomo Cloud 時還需與 InnoCraft 簽訂處理契約。

您可以怎麼做

• 啟用無 Cookie 追蹤，並立即將 IP 位址至少縮短兩個位元組。
• 尊重「Do Not Track」，將資料保留和原始日誌限制在必要的最低限度。
• 使用 Cookie 或 Matomo Cloud 時：將 Matomo 納入同意工具，僅在同意後載入。
• 在隱私權政策中說明目的（觸及測量）、託管地點、法律依據以及在適用時的處理契約。

常見問題

不用 Cookie 的 Matomo 需要同意嗎？

不一定，但也不是一律放行。在不用 Cookie 且立即截短 IP 的情況下，部分監管機關認為無需同意也可接受；若仍從終端讀取資訊，TDDDG 第 25 條可能適用。請記錄你的判斷。

Matomo 需要資料處理協議嗎？

使用 Matomo Cloud 需要，對象是 InnoCraft。自行託管時，Matomo 本身不需要，但與存放資料的伺服器主機商需要。

隱私權政策中必須寫到 Matomo 嗎？

是的，一律需要——無 Cookie 運作也一樣。請寫明目的、運作方式、伺服器所在地、IP 截短、法律依據與保存期限。

Matomo 有像 Google 那樣的同意模式嗎？

沒有。Matomo 透過追蹤 API 內建的函式（例如 requireConsent / setConsentGiven 或 requireCookieConsent / setCookieConsentGiven）控制同意，由同意工具在使用者同意後呼叫。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。