Die beiden genannten Statistik-Tools werten die Apache-Logfiles aus. Was der Apache also nicht protokolliert, wissen die beiden nicht. Dazu zählen beispielsweise externe Seiten, die ein Benutzer von einer deiner Seiten aus angeklickt hat.
Zusätzlich kann Piwik Besucher erkennen, ob sie wiederkommen. Das geschieht per Cookie. Dazu gesellt sich eine saubere Bot-Filterung - bekannte Bots werden erfasst und unbekannte können normalerweise das JS nicht ausführen, versauen dir also nicht deine Statistik.
Das ist der typische Diskussionsfall "serverbasierte Statistik" vs. "clientbasierte Statistik" - sicher, deinen Apache-Logs entgehts nicht, selbst wenn der User JS deaktiviert und die URL deiner Statistik blockiert, dafür gibts manche Infos nicht oder nur schwammig.
Wer richtig sicher gehen will, sollte wohl eine Statistik der einen und eine der anderen Sorte einsetzen, wobei das dann wohl schon an Verfolgungswahn grenzt ;-)