Matomo dla statystyk odwiedzających stron internetowych w sposób zgodny z prawem ochrony danych i bez zgody

Matomo jest darmową dostępną oprogramowanie do analizy stron internetowych. Z pomocą Matomo można tworzyć wiele statystyk, które również oferuje Google Analytics. Z odpowiednią konfiguracją Matomo może być używany bez zgody i bez problemów z ochroną danych osobowych.

Wprowadzenie

Matomo jest popularną rozwiązaniem, aby zrozumieć zachowanie użytkowników na stronach internetowych. W przeciwieństwie do Google Analytics, Matomo może być uruchomione bez problemów z ochroną danych osobowych i bez zgody.

Dennoch można zwykle uzyskać wystarczające statystyki o zachowaniu odwiedzających stron internetowych przy pomocy Matomo. W szczególności, można ustalić

• Ile użytkowników odwiedziło stronę w określonym dniu
• Jaka strona (podstrona) witryny została odwiedzona ile razy
• Z których urządzeń telekomunikacyjnych pochodzą zapytania i od kogo
• Z tych miejsc, które znajdują się w okolicy (geograficzna lokalizacja), pochodzą te apele.

Więcej nie muszą wiedzieć większość administratorów stron internetowych. Wszystko, co poza tym idzie, służy zwykle tylko wtedy, gdy są wystarczające zasoby i wiedza do oceny strumieni odwiedzających. Przede wszystkim u małych i średnich firm te zasoby nie istnieją.

Matomo ma z powodu kwestii prawnych odnośnie Google Analytics znacznie mniejszy koszt uruchomienia niż narzędzie Google. Ponieważ nie pojawia się okienko z informacją o plikach cookies, można przypuszczać, że konwersja jest wyższa oraz odsetek odchyleń jest niższy. To wszystko powoduje, że zakres danych analitycznych jest większy, co z kolei prowadzi do bardziej stabilnych statystyk.

Aby Matomo mógł być prowadzony zgodnie z RODO i bez zgody, należy wziąć pod uwagę kilka aspektów. Przed tym, jak przejść do Konfiguracji Matomo, zostaną przedstawione przykłady analiz, które Matomo obsługuje.

Statystyki odwiedzin z użyciem Matomo

Zrzutek przedstawia obecną na stronie obecność użytkowników i ich działania. Działaniem jest np. wezwanie podstrony. Ponadto wyświetlane są cechy dotyczące użytkowników, takie jak używany przeglądarz, system operacyjny czy rodzaj ekranu.

Poniższy zrzut ekranu przedstawia wykres ostatnich odwiedzin, który wskutek tylko testowej konfiguracji jest bardzo skromny.

Z wszystkich wizyt tworzone są agregowane statystyki takie jak np. średnia długość pobytu lub liczba działań na wizytę. Działaniem jest np. kliknięcie linka.

Droga odwiedzających stronę internetową, na stronie i jak strona została opuszczona jest przedstawiona w sposób widoczny.

Przejścia pokazują, jak odwiedzający strony internetowe dotarli na stronę, które strony odwiedzieli i jak opuścili stronę. Zrzutka wygląda tutaj dość sromotnie, ponieważ dane testowe były minimalne. W normalnych warunkach na lewej i prawej stronie znajdowałyby się strony wewnętrzne oraz wykres.

Konfiguracja Matomo

Konfiguracja narzędzia analitycznego jest dzięki graficznej powierzchni internetowej łatwa do zrobienia. Niektóre ustawienia należy dostosować, aby być jak najbardziej zgodnym z przepisami dotyczącymi ochrony danych osobowych. Nie szkodzi sprawdzić wszystkie ustawienia. Potrzeba tylko kilka minut czasu.

Instalacja lokalna

Matomo powinien być używany w lokalnym trybie. Oznacza to, że pliki instalacyjne Matomo należy pobrać i następnie uruchomić na własnym serwerze. Instalacja jest szczególnie prosta dla WordPressa, ponieważ dostępny jest do niej plugin. Ten tryb działania nazywany jest również On-Premise i jest bezpłatny.

Kto chce skorzystać z rozwiązania w chmurze, musi jeszcze kilka rzeczy uwzględnić. W szczególności należy zawrzeć umowę DPA z dostawcą Matomo. Obecnie rozwiązanie kosztuje 29 euro miesięcznie. Więcej warto jest jednak zainwestować w lokalną instalację, która jednocześnie jest łatwiejsza do zarządzania prawem.

anonimizacja adresów IP

Z powodu ochrony danych osobowych nie powinny być zapisywane pełne adresy IP, ponieważ one stanowią dane osobowe. Stopień pseudonimizacji lub anonimizacji jest elastycznie wybieralny. Zmniejszenie IPv4 -adresu sieciowego o dwa bajty wskazuje na wysoki poziom ochrony danych.

Użycie anonimowej adresu IP również do przygotowania odwiedzin jest również zalecane (ustawienie na „Tak” ustaw, w screenshotie widzimy odwrotną wybór)!

Jeśli dwie lub więcej bajtów adresu IP użytkownika są maskowane, lokalizacja geograficzna jest niezbyt dokładna. Niemniej jednak, określanie miejsca pobytu użytkownika powinno być wciąż wystarczająco precyzyjne dla większości przypadków użycia. Dla wielu jest to po prostu nieistotne, czy odwiedzający mieszka w Hesji lub Nadrenii Północnej-Westfalii.

Aktywacja opcji „Zamień identyfikator użytkownika na pseudonim” powoduje, że wewnętrzne identyfikatory odwiedzających są zastąpione przez wartość hash. Ponieważ wartości hash mogą być wieloznaczne, poziom ochrony danych wzrasta. W istocie chodzi o to, aby poprzez dodatkowe protokoły uniknąć możliwości łączenia danych z identyfikatorem użytkownika. Google Analytics nie spełnia tego wymagania, ponieważ Id Klienta jako odpowiednik identyfikatora użytkownika Matomo jest zawsze pełnoprawnie protokołowany i umożliwia łączenie danych.

Przegrany w ciasteczka

Najbezpieczniejsze prawne jest użycie Matomo bez plików cookies. Wadą jest to, że powtarzający się odwiedzający nie mogą być zawsze rozpoznani jako tacy. Dwie takie same odwiedziny mogą być w najgorszym przypadku skutkiem. Ta konsekwencja jest według mnie dla większości małych i średnich przedsiębiorstw nieistotna. W końcu chodzi przede wszystkim o odpowiedzi na następujące pytania:

1. Ile odwiedzających miała strona internetowa?
2. Jaki wkład jest najbardziej popularny i który ma jeszcze potencjał?
3. Jaki jest trend?

Te same pytania można odpowiedzieć wystarczająco dobrze, nawet z taką niepewnością.

Ciasteczka można wyłączyć w obszarze administracyjnym Matomo.

E-Commerce Einstellung_ służy do śledzenia koszyków zakupowych lub widoków produktów i jest przede wszystkim relevantna dla sklepów internetowych. Śledzenie celu wyszukiwania kieruje wewnętrzne wyszukiwania na stronie, a nie globalne serwisy wyszukiwawcze. Dla tego ostatniego istnieją inne środki dostępne na poziomie znanych serwisów wyszukiwawczych.

Pliki cookie sesji

Poniższe dotyczyło się do dnia 01.02.2021: Może być uzasadnione użycie Matomo z sesyjnymi plikami cookies. Takie pliki istnieją tylko tak długo, aż użytkownik zamknie przeglądarke. Zgodnie z § 15 ust. 3 TMG może to być potraktowane jako „przystosowanie do potrzeb tworzenia mediów telekomunikacyjnych”, co mogłoby sprzeciwiać się zgody. Jednakże musiałby zostać zapewniony wybór odrębnego. Ten mógłby być technicznie realizowany dla większości tylko wtedy, gdy Matomo nie zostanie załadowany.

Sąd Najwyższy orzekł w sprawie Planet49, że przepis z ustawy o mediach elektronicznych powinien być interpretowany zgodnie z dyrektywą ePrivacy. W związku z tym, byłyby wymagane zgody na pliki cookies niezbędne technicznie.

Od 01.12.2021 obowiązuje TTDSG. Od maja 2024 roku TTDSG będzie nazywał się TDDG (nic się nie zmieniło). Relewantny fragment to § 25 TTDSG. Zgodnie z tym, pliki cookies do celów analitycznych nie są wolne od zgody. Także Art. 29 Grupa ds. Ochrony Danych zauważyła to w swojej Opinion 04/2012 dotyczącej dyrektywy ePrivacy, która w Niemczech weszła w życie na podstawie TTDSG.

Zalecam zatem korzystanie z Matomo bez plików cookies. Jakaś jakość danych jest wystarczająca i wątpliwości zostały usunięte.

Co to jest z fingerprintingu urządzeń?

Fingerprinting oznacza, że cyfrowy Odcisk palca urządzenia użytkownika jest pobierany, aby móc rozpoznać użytkownika również bez plików cookies.

Zdjęcie palca składa się z rozdzielczości ekranu, ustawionej języka, systemu operacyjnego, przeglądarki i jej specyficznej wersji oraz kilku innych danych granicznych. Te dane nie są przechowywane na urządzeniu użytkownika, ale są wyznaczane przez zapytanie o atrybuty, które najczęściej są powiązane z hardwarem. Rozdzielczość ekranu jest jednak przechowywana w konfiguracji, która nie jest dostępna dla przeglądarki. Przeglądarka może uzyskać tę informację tylko przez zapytanie o aktualnie dostępne dane i nie korzysta z trwałego magazynu. W poprzednim wpisie przeanalizowałem, które informacje są przechowywane na urządzeniu użytkownika.

Jak jest ustalana rozdzielczość ekranu?

W Matomie rozdzielczość ekranu jest przechowywana w parametrze res.

Przykładem rozdzielczości ekranu (szerokość i wysokość w pikselach oraz głębokość kolorów) ma być pokazany, że te informacje o palcu nie są już przechowywane na urządzeniu użytkownika tak, jak zostało to opisane w § 25 TTDSG lub art. 5 ust. 3 dyrektywy ePrivacy.

Informacje z ekranu można uzyskać bezpośrednio w przeglądarce za pomocą JavaScript na odwiedzonej stronie internetowej. Do tego służy obiekt screen (lub dokładniej: window.screen). Dostarcza on wszystkie wymienione atrybuty ekranu poprzez obiekt window. Zapytanie o sam ekran odbywa się za pomocą funkcji systemowych na poziomie systemu operacyjnego. System operacyjny zapytuje wtedy o bieżący stan aktywnego monitora, w którym wyświetlany jest przeglądarz (jak to wygląda przy wielu monitorach, nie rozumiem, ale prawdopodobnie istotny jest tu główny monitor). Monitor otrzymuje od systemu operacyjnego polecenie uruchomienia określonej rozdzielczości, która została ustalona poprzez konfigurację lub odpowiada standardowi systemowemu. Rozdzielczość faktycznie wyświetlaną przez monitor może się różnić od tej, która jest ustawiona w systemie operacyjnym, jeśli np. żądana rozdzielczość nie jest wspierana przez monitor. W systemie operacyjnym jest zatem ustawiona żądana rozdzielczość, natomiast w monitorze wyświetlana jest od momentu uruchomienia ustalona (lub najbliższa dostępna) rozdzielczość. Tak długo jak wiem, monitor przechowuje tę rozdzielczość jedynie w pamięci operacyjnej, a nie w pamięci trwałej.

Jak jest ustalana adresa IP?

Innym przykładem jest ilustracja tego, że pewne dane nie są przechowywane na urządzeniu użytkownika zgodnie z wymienionymi przepisami prawa, ale raczej stanowią dane tymczasowe, które są przechowywane poza urządzeniem użytkownika lub są dynamicznie (np. w zależności od konfiguracji) obliczane.

Adres IP jest adresem sieciową. Każdy uczestnik sieci takiej jak Internet potrzebuje adresu, aby mógł być dostępny dla innych. Urządzenie końcowe otrzymuje swoją adres od odpowiedzialnego serwera sieciowego. Adresy mogą być przyznawane dynamicznie za pomocą DHCP (Dynamic Host Configuration Protocol), w przeciwieństwie do stałych adresów, które istnieją stale.

Adresy sieciowe są przydzielane w czasie rzeczywistym. Mogą się teoretycznie zmieniać w każdej chwili, zwłaszcza, jeśli jesteś klientem jednego z bardziej znanych dostawców usług telekomunikacyjnych oferujących tanie połączenia. Adres nie jest modyfikowalna przez przeglądarkę, która może tylko wykryć aktualnie przydzieloną adres IP urządzeniu końcowemu. Może się zdarzyć, że w urządzeniu końcowym zostanie zapamiętana kopia adresu IP. Adres IP rzeczywisty wynika jednak nie z informacji zapamiętanej w urządzeniu końcowym, lecz od dostawcy usług. Zapamiętywanie adresu IP w urządzeniu końcowym jest jedynie ułatwieniem pracy lub optymalizacją dostępu. Jeśli istnieje router Fritz!, zajmuje się on komunikacją z dostawcą usług. Router Fritz! znajduje się, tak długo jak wiem i mogę to potwierdzić na moim sprzęcie, poza urządzeniami końcowymi. Jest to już samo w sobie przekonujące, ponieważ kilka urządzeń końcowych może współdysponować jednym punktem dostępu do sieci jak router Fritz!.

Jak jest ustalana rodzaj monitora?

Ten przykład pokazuje, że dane dotyczące ekranu i urządzeń wejściowych nie są przechowywane w urządzeniu końcowym lub nie muszą być tam przechowywane. Czy ekran jest Ekranem Dotykowym, czyli czy może być obsługiwany przez przycisknięcie palcem lub specjalnym długopisem, wynika z modelu ekranu. Ta cecha ekranu nie może być oczywiście ustalona poprzez zmianę konfiguracji.

Auch charakterystyki komputera-małpy jako urządzenia wejściowego wynikają z umiejętności samej myszy i nie z konkretnego ustawienia. Można jedynie być pewnym, że przy kilku opcjach ustawiania jedna zostaje ustalona i przechowywana w urządzeniu końcowym. Zarządzanie tym służy wygody. Użytkownik powinien otrzymać tę samą konfigurację, gdy komputer jest ponownie uruchamiany.

Ważne jest również, że przeglądarka nie może sama zarządzać wymienionymi danymi dotyczącymi ekranu, myszy lub adresu IP. Inaczej jest z plikami cookie, które są zarządzane wyłącznie przez przeglądarkę i bez tej zarządzania nie istniejąby. Zapisywanie cookies w ogóle jest konieczne, jeśli chcemy ich używać. Zapisywanie rozmiaru ekranu zaś nie jest konieczne i może mieścić się jedynie w celu ułatwienia użytkownikowi restartowania urządzenia. Ponadto zapisany rozmiar ekranu nie musi być równoznaczny z rzeczywistym rozmiarem ekranu. Przeglądarka również nie korzysta ze zapisanej konfiguracji, aby ustalić bieżący rozmiar ekranu (jeśli JavaScript wymaga tego), ale pyta o aktualny stan ekranu.

Co się dzieje z zainstalowanymi pluginami?

W związku z informacją od Markusa Baerscha, przeanalizowałem pliki źródłowe Matomo w wersji 4.8.0. Tam są pobierane typy MIME obsługiwane przez przeglądarke. Aby to zrobić, czyta się zmienną navigator.mimeTypes , która zwraca listę typów MIME. Za pomocą atrybutu enabledPlugin można sprawdzić, czy istnieje plik dla typu MIME. Ta prośba o pliki nie jest dobrowolna! Proszę sprawdź po instalacji Matomo, czy żądanie śledzenia na Twojej stronie zawiera takie parametry jak pdf, qt, realp, java lub gears.

Zlecenie śledzenia wywołuje plik matomo.php. Możesz znaleźć ten request, naciskając klawisz F12 w przeglądarce Firefox, następnie wybierając menu "Środowisko rozwojowe", następnie odwiedzając stronę i szukając zlecenia Matomo.

Obejmuję dane FingerPrint jako Dane Użytkowe. Są one tymczasowe, mogą więc potencjalnie zmienić się w każdej chwili, ale zwykle nie robią tego. Nie są to technologie i nie porównywalne z technologiami cookies, ale są odpowiednie do śledzenia użytkowników. Istotne jest czas przetwarzania lub przechowywania danych FingerPrint.

Grupa robocza nr 29 uważa za dostęp do urządzenia wirtualny odcisk palca (Stellungnahme 09/2014). Jednak myślę, że grupa ta, która jest poprzedniczką Europejskiego Komitetu ds. Ochrony Danych i została wspomniana w art. 9 4 RODO, raczej ma na myśli obszerny odcisk palca, do którego należą również zainstalowane czcionki, czyli dane, które nie mogą być bezpośrednio uzyskane przez odczytanie zmiennych JavaScript. Ponadto dla grupy roboczej nr 29 jest szczególnie istotny wyraźny dostęp do adresu IP, który w przedstawionej wersji Matomo nie istnieje. Poza tym są dane, które mogą być użyte do utworzenia odcisku palca (i), które są bezpośrednio dostępne, bez konieczności ich wyraźnego pobrania. Do nich należy np. User Agent, który jest przekazywany bez pomocy Matomo.

W związku z tym, Device Fingerprinting nie mieści się według mojej oceny nie pod ePrivacy-Directive bądź § 15 ust. 3 TMG w interpretacji zgodnej z przepisami (porównaj orzeczenie BGH dotyczące Planet49) i również nie pod § 25 TTDSG (od grudnia 2021 roku). Czy Fingerprinting mieści się pod § 15 ust. 3 TMG w jego pierwotnej formie, zależy od rodzaju i czasu trwania danych Fingerprinta.

Matomo używa cyfrowego śladu palcowego, aby móc rozpoznać użytkownika bez użycia plików cookies. Mój test wykazał, że użytkownik, który został zidentyfikowany jako regularny użytkownik na piątek w wyniku działań podziemnych, został uznany za nowego użytkownika w poniedziałek. Jest to dobre z punktu widzenia ochrony danych osobowych, ponieważ krótki okres rozpoznawania może być traktowany jako uzasadnione interesy. W każdym razie tak myślę i podejrzewam tu, że ani zgoda, ani możliwość odmowy nie są oferowane. Ma to zastosowanie w opisanej sytuacji lokalnej analizy użytkownika bez użycia cookies.

Fingerpinting z Matomo można więc stosować bez możliwości sprzeciwu na podstawie § 15 ust. 3 TMG (w pierwotnym znaczeniu, nie w znaczeniu BGH konform do dyrektywy ePrivacy) – przy czym podstawą prawną byłoby tutaj uzasadnione interesy zgodnie z art. 6 ust. 1 f RODO.

Kto chce być pewny, powinien upewnić się, że Feature Detection w przeglądarce jest wyłączony. To można zrobić za pomocą polecenia JavaScript. W konfiguracji Matomo to również powinno być możliwe bez programowania. Parametr nazywa się „Disable Browser Feature Detection” i powinien być dostępny również w języku polskim. Czy konfiguracja jest poprawna, można sprawdzić w przeglądarce: Naciśknij klawisz F12 w Firefoxie, aby otworzyć konsolę deweloperską. Złóż stronę z wbudowanym Matomo. W zakładce „Analiza sieci” w konsoli deweloperskiej szukaj transferów danych, które dotyczą Matomo. Do tych adresów sprawdź parametry, które są przesyłane. W parametrach nie powinny się pojawić informacje o zainstalowanych rozszerzeniach w przeglądarce i również nie powinna być tam wielkość okna przeglądarki (rozmiar ekranu jest prawdopodobnie w porządku, patrz powyżej).

Usuwanie starych danych

Do bezpieczeństwa historyczne dane nie powinny być przechowywane zbyt długo. Ustawienie automatycznego usunięcia starszych danych istnieje w Matomo.

Liczba dni, po których dane ulegają wygaśnięciu, powinna być tak dobra, aby była większa niż maksymalny wymagany okres sprawozdawczy. Jeśli dane z raportów są anonimizowane, to również dłuższy okres ważności nie stanowi problemu.

Jeśli istnieją stare dane z poprzednich sesji, w których ustawienia Matomo nie zapewniły anonimizacji, te dane można później anonimyzować.

Wnioski

Matomo jest dostępny za darmo i oferuje wiele funkcji analitycznych, które są wystarczające dla większości stron internetowych. Zainstalowanie lokalne jest łatwe. Warunki prawne takie jak u Google Analytics nie muszą być przestrzegane. Nie jest potrzebny DPA przy lokalnej instalacji. Wręcz przeciwnie, należy zwrócić uwagę na odpowiednią konfigurację, aby problemy dotyczące ochrony danych nie wystąpiły wcale.

Matomo nadaje się dla prawie wszystkich stron internetowych jako Google Analytics Ersatz. To dotyczy przede wszystkim tych, którzy Google Analytics używają tylko dlatego, że wszyscy je używają lub ponieważ agencja zaleciła to.

Kto chce korzystać z Google Analytics lub innego narzędzia dostarczonego przez trzecią stronę, powinien dokładnie zrozumieć przepisy prawa i techniczne aspekty. Jednakże to może być regularnie kwestionowane, co czyni problemy z ochroną danych prawdopodobnymi.

Również interesujące

• Google Analytics przetwarza wszystkie dane analityczne zawsze w Stanach Zjednoczonych
• Google Analytics jako wejście dla hakera
• Analiza Google bez plików cookie (ale zgodnie z zezwoleniem)
• Warunki korzystania Google Tag Manager
• Zarządzacz etykietami jako Zarządzacz tagiem alternatywny
• Warunki prawne usług Google