Il n'existe aucun nombre de mois légal pour conserver les données de clics. L'Article 5(1)(e) du RGPD demande que les données personnelles soient conservées sous une forme identifiable pas plus longtemps que nécessaire au regard de la finalité, et laisse la période à votre appréciation, comme le texte le précise clairement. Ce qu'une autorité de contrôle examine, ce n'est pas le chiffre que vous avez choisi, mais si vous êtes en mesure de l'expliquer.
C'est plus simple que cela n'en a l'air, parce que les données de clics ne sont pas une seule chose. Elles arrivent sous forme de requête brute, deviennent un événement dont l'essentiel du matériau identifiant a été retiré, et finissent en un comptage qui n'identifie personne. Chacune de ces formes mérite une fenêtre différente, et les séparer représente l'essentiel du travail. Pour les obligations plus larges autour d'un raccourcisseur, RGPD pour les raccourcisseurs d'URL est le cornerstone sous lequel cet article se situe.
Pourquoi la question n'a pas de réponse unique
La limitation de la conservation est un principe, pas un calendrier. Trois facteurs déterminent la période, et les trois sont à vous de fixer.
La finalité vient en premier. Les données collectées pour rendre compte d'une campagne sont nécessaires jusqu'à ce que la campagne ait été analysée et comparée à la précédente, ce qui représente un an au maximum pour de nombreuses équipes et trois mois pour certaines. Les données collectées pour détecter un abus de redirection sont nécessaires aussi longtemps qu'une enquête pourrait plausiblement démarrer, ce qui est généralement bien plus court.
La base juridique vient en second. L'analytique reposant sur l'intérêt légitime doit survivre à un test de mise en balance, et une fenêtre de conservation longue rend ce test plus difficile à réussir. Tout ce qui est collecté sur la base du consentement doit disparaître dès que le consentement est retiré, promptement, sans qu'une autre base ne soit discrètement invoquée à sa place.
Troisièmement, les obligations qui tirent en sens inverse. Les règles fiscales, les engagements contractuels envers un client, un litige en cours ou une obligation réglementaire de conservation peuvent tous exiger que vous conserviez quelque chose plus longtemps que ne le suggérerait la minimisation. Ces raisons sont légitimes et elles sont aussi spécifiques, ce qui signifie qu'elles doivent figurer dans le registre comme des exceptions nommées plutôt que comme une raison générale de tout garder.
Trois niveaux, trois fenêtres
La structure pratique qui résiste à un audit sépare les données de clics selon leur degré d'identification.
| Tier | What it contains | Typical window | Why |
|---|---|---|---|
| Journal de requête brut | IP complète, user agent, en-têtes, horodatage | quelques jours | débogage opérationnel et abus uniquement |
| Événement de clic | préfixe réseau tronqué, pays, appareil, campagne | environ 12 mois | reporting et comparaison d'une année sur l'autre |
| Agrégat | comptages par jour, lien, pays, référent | indéfini | anonyme, n'est plus une donnée personnelle |
Le niveau intermédiaire est celui où la plupart des équipes sur-conservent sans s'en rendre compte, généralement parce que l'outil de reporting conserve tout par défaut et que personne n'a changé le réglage. Douze à quatorze mois est la fenêtre qui permet de comparer ce mois de septembre au précédent, puis s'arrête. Si votre reporting a réellement besoin de trois ans de détail au niveau de la ligne, c'est une décision à écrire et à défendre plutôt qu'un accident de configuration.
Le niveau supérieur est celui où la plupart des équipes réfléchissent le moins. Une adresse IP complète dans un journal de requêtes est une donnée personnelle, et un journal conservé pendant un an parce que personne n'a réglé de rotation est une année d'exposition achetée pour rien. La tronquer dès la collecte, avant que l'événement ne soit écrit, supprime le problème à la source. Ce qui vaut la peine d'être mesuré dans l'analytique de liens courts détaille quelles métriques survivent à cette troncature, et la réponse est : presque toutes.
L'agrégation est la stratégie de conservation
Le geste le plus utile disponible n'est pas de choisir une fenêtre plus courte. C'est d'organiser les choses de sorte que ce que vous conservez pour toujours ne soit plus une donnée personnelle.
Regroupez les événements de clics en comptages par jour, lien, pays, référent et classe d'appareil, puis supprimez les lignes dont ils proviennent. Ce qui reste répond à presque toutes les questions que se pose une équipe marketing : comment la campagne a performé, quelle région a répondu, si la part mobile a bougé. Ce à quoi cela ne peut pas répondre, c'est tout ce qui concerne un individu, ce qui est exactement le but recherché.
Deux mises en garde. L'anonymisation doit être irréversible, donc conserver une table de correspondance qui permettrait de reconstruire les lignes signifie que vous avez pseudonymisé plutôt qu'anonymisé, et que les données restent dans le champ d'application. Et les petits groupes trahissent les individus : un lien envoyé à cinq personnes, comptabilisé par minute, est ré-identifiable par quiconque connaît ces cinq personnes. Agrégez à une granularité qui garde les groupes larges, et supprimez les cellules qui tombent sous un seuil.
Mettre cela en place une fois vaut mieux que d'y revenir chaque année. L'analytique de liens d'Elido tronque l'adresse avant que l'événement ne soit stocké et rapporte sur l'agrégat, si bien que la décision de conservation ne porte que sur le niveau intermédiaire.
Ce qu'une demande d'effacement atteint réellement
L'Article 17 confère à une personne concernée le droit à l'effacement, et la réponse honnête pour des données de clics bien conçues est souvent qu'il n'y a rien à effacer.
Si un événement porte un préfixe réseau tronqué, un pays, une classe d'appareil et une campagne, aucune opération de votre côté ne peut le relier à la personne qui fait la demande. Dites-le, expliquez la conception, et la demande est satisfaite. Les régulateurs ne sont pas hostiles à cette réponse lorsque l'architecture la soutient.
La réponse change au moment où les clics sont rattachés à une personne. Un raccourcisseur qui enregistre quel contact a ouvert quel lien, ou un CRM qui écrit des événements de clics sur une fiche, détient une donnée personnelle avec un nom attaché, et une demande d'effacement l'atteint dans son intégralité. C'est une façon légitime de travailler ; cela déplace simplement l'obligation. Si vous transmettez les clics vers un CRM, la décision de conservation appartient aux deux systèmes, et celui qui a la fenêtre la plus longue fixe la réponse réelle. Transmettre les clics de liens dans une chronologie CRM montre ce que cette intégration écrit réellement.
Le documenter pour qu'il résiste à un audit
Un calendrier de conservation qui ne vit que dans la tête de quelqu'un n'est pas un contrôle. Quatre artefacts le rendent réel.
- Le registre des activités de traitement. L'Article 30 demande des périodes de conservation par catégorie de données. Remplissez la colonne avec les trois niveaux ci-dessus plutôt qu'avec un chiffre unique, parce qu'un chiffre unique pour toutes les données de clics est soit faux pour les journaux bruts, soit faux pour les agrégats.
- Un mécanisme de suppression que vous pouvez montrer du doigt. Une expiration configurée sur le magasin analytique, avec le réglage visible, vaut mieux qu'une intention documentée. Si la suppression est une tâche planifiée, conservez son historique d'exécution.
- Les sauvegardes, énoncées explicitement. Précisez combien de temps vivent les générations de sauvegarde et ce qui se passe lors d'une restauration. Les lignes directrices publiées par l'EDPB sont le point de référence sur la façon dont les autorités de contrôle formulent ces questions à travers les États membres.
- L'alignement avec vos accords de sous-traitance. Si la conservation contractuelle de votre raccourcisseur est plus longue que votre politique, le contrat l'emporte en pratique. Lisez le DPA avant d'écrire la politique, pas après.
Un dernier élément que l'on oublie souvent : les exports. Un CSV importé dans un tableur, une synchronisation d'entrepôt de données, un outil de tableau de bord avec son propre cache. Chaque copie emporte avec elle l'obligation de conservation, et aucune d'entre elles ne respecte l'expiration que vous avez configurée en amont. Nommez-les dans le calendrier, ou acceptez que le calendrier ne décrive qu'une partie de la réalité.
Une valeur par défaut que vous pouvez défendre
Si vous avez besoin d'un point de départ, voici une position qui tient la route : journaux de requêtes bruts pivotés en quelques jours, événements de clics conservés environ un an pour que la comparaison saisonnière fonctionne, agrégats conservés indéfiniment et réellement anonymes, tout ce qui repose sur le consentement supprimé au retrait, et chaque écart nommé avec sa raison.
Passez-le ensuite en revue une fois par an au regard de ce que l'équipe consulte réellement. Presque chaque fenêtre de conservation que j'ai vue s'est raccourcie après cette revue, parce que le reporting au-delà de treize mois s'est révélé être quelque chose que les gens disaient nécessaire plutôt que quelque chose qu'ils ouvraient. Résidence des données UE pour les équipes marketing couvre l'autre moitié de la conversation, à savoir où se trouvent les données pendant que vous les conservez.
Lire la série cornerstone
Cet article s'inscrit dans le cluster conformité. RGPD pour les raccourcisseurs d'URL en est le cornerstone, et le guide des preuves SOC 2 couvre les artefacts d'audit qui accompagnent un calendrier de conservation.
À lire aussi sur le blog
Questions fréquentes
Combien de temps puis-je conserver les données de suivi de clics au titre du RGPD ?
Aussi longtemps que vous pouvez le justifier au regard de la finalité pour laquelle vous les avez collectées, et pas plus. L'Article 5(1)(e) pose la limitation de la conservation comme un principe plutôt que comme un chiffre, donc il n'existe aucun maximum légal auquel se référer. Ce qu'un régulateur demande, c'est votre raisonnement, écrit noir sur blanc, et la preuve que la suppression se produit réellement selon le calendrier que vous avez défini.
Une adresse IP dans un journal de clics est-elle une donnée personnelle ?
Oui, dans le cas ordinaire. Une adresse IP identifie une ligne d'abonné à l'aide d'informations détenues par un opérateur réseau, ce qui suffit à en faire une donnée personnelle même si vous n'obtenez jamais vous-même ces informations. La tronquer dès la collecte, avant que quoi que ce soit ne soit écrit, est ce qui fait sortir le champ de cette catégorie.
Les comptages agrégés de clics relèvent-ils du RGPD ?
Non, dès lors qu'ils sont réellement anonymes, c'est-à-dire que personne ne peut isoler un individu à partir d'eux par un moyen raisonnablement susceptible d'être utilisé. Un comptage quotidien de clics par pays franchit cette barre sans difficulté. Un comptage de clics par lien et par minute pour un lien envoyé à quatre personnes ne la franchit pas, parce que le groupe est assez petit pour être ré-identifié.
Quelle durée de conservation dois-je définir pour l'analytique de liens ?
Une valeur par défaut défendable est courte pour les journaux de requêtes brutes, d'environ un an pour les événements de clics pseudonymisés afin que la comparaison d'une année sur l'autre fonctionne encore, et indéfinie pour les agrégats anonymes. Ajustez selon vos propres finalités : une obligation légale de conservation, un engagement contractuel ou une enquête pour fraude justifient tous une durée plus longue, et chacune de ces raisons doit figurer dans le registre.
Une demande de suppression couvre-t-elle les données de clics ?
Elle couvre tout ce qui est rattaché à la personne. Si vos événements de clics portent un préfixe réseau tronqué et aucun identifiant, il n'y a rien à trouver et rien à effacer, et vous devriez pouvoir expliquer pourquoi. Si les clics sont rattachés à une fiche contact dans un CRM, ce lien est exactement ce qu'une demande d'effacement atteint.
Les sauvegardes doivent-elles aussi être supprimées ?
Elles doivent être couvertes par le calendrier de conservation, ce qui n'est pas la même chose qu'être purgées le jour même. La position praticable consiste à faire expirer les sauvegardes selon un cycle fixe, à refiltrer les données restaurées avant utilisation, et à documenter l'ensemble du dispositif. Le silence sur les sauvegardes est ce qui transforme une question de routine en un constat d'audit.
Essayer Elido
Collez une URL, obtenez un lien court
Sans inscription. Lien actif 30 jours. Inscrivez-vous pour le garder pour toujours.
Gratuit, sans inscription · 2 par jour