Matomo: vad det är, GDPR och samtycke i Sverige, och när det passar i stället för Google Analytics

Vad är Matomo och vem passar det för?

Matomo är ett webbanalysverktyg med öppen källkod, tidigare kallat Piwik. Det mäter besök, sidor, trafikkällor, mål och e-handel, men till skillnad från Google Analytics kan ni installera det på en egen server så att analysdatan stannar i er egen databas. Det passar företag som vill äga sin data och ha full kontroll över var den lagras.

Enligt projektets egen beskrivning är Matomo ett PHP- och MySQL-program som ni laddar ner, installerar och kopplar till sajten med en JavaScript-kod. Det finns även som färdig molntjänst och som tillägg till WordPress. Att datan ligger hos er löser däremot inte frågan om samtycke. Den frågan styrs av vad verktyget lagrar i besökarens webbläsare, inte av var servern står.

Matomo On-Premise, Matomo Cloud eller Matomo för WordPress?

Valet avgör vem som driftar verktyget, var datan lagras och hur mycket teknisk tid ni behöver lägga.

Tillägget för WordPress beskrivs på WordPress.org med bland annat e-handelsstöd för WooCommerce, kampanjspårning, segment och en inbyggd Tag Manager. Tänk på att analysdatan då delar databas och resurser med själva sajten. Med mycket trafik kan det påverka både prestanda och backup, och då är en separat installation ofta ett bättre val.

Vad mäter Matomo och vilka cookies sätter det?

Med standardkoden samlar Matomo enligt Matomos egen dokumentation in bland annat:

• Besöket: IP-adress (som kan anonymiseras), datum och tid, sidans titel och URL samt sidan besökaren kom från.
• Enheten: webbläsare, operativsystem, skärmupplösning och språk.
• Plats: land, region och stad, uppskattad utifrån IP-adressen.
• Klick: nedladdningar och länkar till andra webbplatser.

Som tillval kan ni mäta mål, händelser, e-handel, sökningar på sajten och kampanjer, och med extra tillägg även heatmaps, sessionsinspelningar och formulärbeteende. Ju fler tillval, desto mer data om enskilda besökare och desto viktigare blir samtycket.

Standardkoden sätter förstapartscookies. Enligt Matomos cookielista sparar _pk_id ett unikt besökar-ID i 13 månader och _pk_ses gäller besöket i 30 minuter. Cookies kan stängas av helt, antingen med en rad i spårningskoden eller med inställningen för att tvinga fram mätning utan cookies. Då blir återkommande besökare svårare att känna igen och rapporterna mindre exakta.

Behöver Matomo cookiesamtycke i Sverige?

Räkna med att svaret är ja. Enligt lagen om elektronisk kommunikation, 9 kap. 28 §, får uppgifter lagras i eller hämtas från besökarens enhet bara om besökaren fått information om syftet och samtycker, om det inte är nödvändigt för en tjänst besökaren själv har begärt. PTS beskriver hur samtycket ska gå till: lika lätt att tacka nej som ja och inga förkryssade val.

Matomo redovisar själva i sin genomgång av ePrivacy-reglerna land för land att tillsynsmyndigheter i bland annat Frankrike, Italien, Nederländerna och Spanien har undantagit viss integritetsvänlig analys från samtyckeskravet under särskilda villkor. Sverige finns i gruppen där myndigheten inte har gett någon särskild vägledning om analys, och Matomo skriver att webbplatsägare där kan välja det försiktiga alternativet att be om samtycke. Samma genomgång påpekar att reglerna om enhetens lagring gäller även när ingen personuppgift samlas in.

I praktiken betyder det att Matomo ska ligga i cookiebannerns kategori för statistik och bara laddas eller sätta cookies efter ja. Cookiefri mätning kan vara ett sätt att minska vad som lagras, men det är en bedömning ni gör med er jurist, inte något verktyget avgör åt er. Oavsett val ska Matomo stå med i integritetspolicyn med syfte, rättslig grund och lagringstid.

Matomo eller Google Analytics 4: så väljer ni

Frågan väcktes i Sverige när IMY i juli 2023 förelade tre företag att sluta använda en version av Google Analytics från 2020 och gav två sanktionsavgifter, eftersom överföringen av personuppgifter till USA inte hade tillräckligt skydd. Samma månad beslutade EU-kommissionen att överföringar till amerikanska mottagare som omfattas av EU–U.S. Data Privacy Framework är tillåtna utan ytterligare skyddsåtgärder. Tredjelandsfrågan är alltså en av flera faktorer, inte ensam avgörande.

Välj Matomo när dataägande, egen lagring och full rådata väger tyngst, till exempel inom offentlig sektor, vård eller när integritet är en del av erbjudandet. Välj GA4 när annonsering i Google Ads är central och ni behöver konverteringar och målgrupper direkt i annonskontot, med Consent Mode v2 på plats. Många kör båda en period för att jämföra innan de bestämmer sig.

Så sätter ni upp Matomo så att siffrorna går att använda

1. Bestäm vad som ska mätas. Skriv ner vilka förfrågningar, köp och steg som är affärsmål innan ni installerar något. Annars mäter verktyget sidvisningar ingen fattar beslut på.
2. Välj uppsättning. On-Premise, Cloud eller WordPress-tillägget utifrån trafik, teknisk förmåga och var datan får ligga.
3. Koppla till cookiebannern. Låt Matomo ligga under statistik och kontrollera i webbläsarens nätverksflik att inga anrop eller cookies sätts innan besökaren sagt ja.
4. Anonymisera och sätt lagringstid. Anonymisera IP-adresser och radera rådata efter en bestämd tid som också står i integritetspolicyn.
5. Sätt upp mål och händelser. Formulär som skickas, klick på telefon och e-post, köp med ordervärde. Taggarna kan läggas via Matomos egen Tag Manager eller Google Tag Manager.
6. Stäm av mot verkligheten. Jämför antalet mål i Matomo med de förfrågningar och ordrar som faktiskt kom in. Stora skillnader betyder oftast fel i taggar eller samtycke.

Vi arbetar med den här delen i tjänsterna webbanalys och mätning och spårning: vi definierar vad som ska mätas, sätter upp mål och händelser och kontrollerar att siffrorna stämmer. Med cookiebanner och samtycke ser vi till att analysverktyget faktiskt följer besökarens val, och med tracking-analys granskar vi en befintlig uppsättning. Vi ger inte juridisk rådgivning, men vi levererar underlaget om vad sajten faktiskt gör.

Vanliga frågor om Matomo