クリックデータを何ヶ月保持すべきかという法的な数字は存在しません。GDPR 第5条(1)(e)は、個人データを識別可能な形で目的に必要な期間を超えて保持しないことを求めており、その期間の決定は条文が明確にしている通り、事業者に委ねられています。監督機関が精査するのは選んだ数字そのものではなく、それを説明できるかどうかです。
これは聞こえるほど難しくはありません。クリックデータは単一のものではないからです。生のリクエストとして届き、識別材料の大部分が取り除かれたイベントになり、誰も特定しないカウントとして終わります。それぞれに異なる保持期間がふさわしく、それらを分けることこそが作業の大部分です。ショートナーを取り巻くより広い義務については、URL ショートナーの GDPRがこの記事の土台となるコーナーストーンです。
なぜこの問いに単一の答えがないのか
保存制限はスケジュールではなく原則です。3つの要素が期間を決定し、そのすべてが事業者自身が判断すべきものです。
まず目的です。キャンペーンのレポーティングのために収集されたデータは、キャンペーンが報告され前回のものと比較されるまで必要であり、多くのチームでは最長1年、一部では3ヶ月です。リダイレクトの不正利用を検知するために収集されたデータは、調査が現実的に開始され得る期間だけ必要であり、これは通常はるかに短くなります。
次に適法根拠です。正当な利益に基づいて動く analytics はバランシングテストを乗り越えなければならず、保持期間が長いほどこのテストは通りにくくなります。同意に基づいて収集されたものは、同意が撤回された時点で速やかに削除しなければならず、代わりに別の根拠をこっそり持ち出すことは許されません。
第三に、逆方向に働く義務です。税法上のルール、クライアントへの契約上のコミットメント、係争中の紛争、規制当局による保存命令は、いずれもデータ最小化が示唆するよりも長く何かを保持することを求める場合があります。これらは正当なものであると同時に具体的なものでもあり、つまり、すべてを保持する一般的な理由としてではなく、名前を付けた例外として記録に記載されるべきものです。
3つの階層、3つの保持期間
監査に耐える実務的な構造は、クリックデータをどれだけ識別性が高いかによって分けることです。
| 階層 | 含まれる内容 | 典型的な保持期間 | 理由 |
|---|---|---|---|
| 生のリクエストログ | 完全な IP、ユーザーエージェント、ヘッダー、タイムスタンプ | 数日 | 運用上のデバッグと不正対応のみ |
| クリックイベント | 切り詰められたネットワークプレフィックス、国、デバイス、キャンペーン | 約12ヶ月 | レポーティングと前年比較 |
| 集計 | 日別、リンク別、国別、リファラー別のカウント | 無期限 | 匿名であり、もはや個人データではない |
中間層は、ほとんどのチームが気づかないうちに過剰に保持してしまう部分です。多くの場合、レポーティングツールがデフォルトですべてを保持する設定になっており、誰もそれを変更していないからです。12ヶ月から14ヶ月という枠は、今年の9月と昨年の9月を比較できて、そこで止まる期間です。レポーティングに本当に3年分の行レベルの詳細が必要なのであれば、それは設定のミスではなく、文書化して正当化すべき決定です。
最上位層は、ほとんどのチームが考え抜いていない部分です。リクエストログ内の完全な IP アドレスは個人データであり、誰もローテーションを設定しなかったために1年間保持されているログは、何の見返りもなく買った1年分の露出です。イベントが書き込まれる前、収集の時点で切り詰めることが、問題を発生源から取り除きます。短縮リンク analytics で測定する価値があるものでは、その切り詰めを経てもなお生き残る指標を扱っており、答えはほぼすべてです。
集計こそが保持戦略である
最も有効な手立ては、より短い保持期間を選ぶことではありません。永久に保持するものがもはや個人データではないように物事を整えることです。
クリックイベントを日別、リンク別、国別、リファラー別、デバイスクラス別のカウントにまとめ上げてから、元となった行を削除します。残るものは、マーケティングチームが尋ねるほぼすべての問いに答えます。キャンペーンの成果はどうだったか、どの地域が反応したか、モバイルの割合は動いたか。答えられないのは個人に関することであり、それこそがまさに狙いです。
注意点は2つあります。匿名化は不可逆でなければならず、行を再構築できるマッピングテーブルを保持していれば、それは匿名化ではなく仮名化にとどまり、データは適用範囲内にとどまります。そして小さなグループは個人を明かしてしまいます。5人に送られたリンクを1分単位で数えれば、その5人を知る誰にとっても再識別可能です。グループが大きく保たれる粒度で集計し、閾値を下回るセルは抑制してください。
これを一度設定しておく方が、毎年見直すよりも優れています。Elido のリンク analyticsはイベントが保存される前にアドレスを切り詰め、集計についてレポートするため、保持に関する決定は中間層についてだけで済みます。
消去リクエストが実際に到達する範囲
第17条はデータ主体に消去権を与えていますが、うまく設計されたクリックデータに対する正直な答えは、多くの場合、消去すべきものが何もないということです。
イベントが切り詰められたネットワークプレフィックス、国、デバイスクラス、キャンペーンだけを持っている場合、事業者側のどんな操作を行っても、それを問い合わせてきた本人に結びつけることはできません。そのように答え、設計を説明すれば、リクエストは満たされます。アーキテクチャがそれを裏付けている限り、監督機関はその回答に対して敵対的にはなりません。
クリックが特定の人物に紐付けられた瞬間に答えは変わります。どの連絡先がどのリンクを開いたかを記録するショートナーや、クリックイベントをレコードに書き込む CRM は、名前が紐付いた個人データを保持しており、消去リクエストはそのすべてに到達します。これは正当な運用方法ですが、義務を移動させるだけです。クリックを CRM に転送している場合、保持の決定は両方のシステムに関わり、より長い保持期間を持つ方が実質的な答えを決めます。クリックを CRM タイムラインに転送するでは、その連携が実際に何を書き込むのかを示しています。
監査に耐えるように文書化する
誰かの頭の中にしかない保持スケジュールは統制とは言えません。4つの成果物がそれを現実のものにします。
- 処理記録。 第30条はデータのカテゴリーごとの保持期間を求めています。単一の数字ではなく、上記の3つの階層でその列を埋めてください。すべてのクリックデータに対する単一の数字は、生ログに対して誤っているか、集計に対して誤っているかのどちらかだからです。
- 指し示せる削除メカニズム。 analytics ストア上に設定された有効期限が、設定として可視化されている状態は、単なる文書化された意図に勝ります。削除がスケジュールジョブであれば、その実行履歴を保持してください。
- バックアップについて明示的に述べる。 バックアップの世代がどれだけ存続するか、復元時に何が起こるかを述べてください。EDPB が公表しているガイドラインは、加盟国全体で監督機関がこうした問いをどう組み立てるかの参照点です。
- プロセッサー契約との整合。 ショートナーの契約上の保持期間がポリシーよりも長い場合、実務上は契約が優先されます。ポリシーを書く前に DPA を読んでください。後からではありません。
もう一つ、人々が忘れがちな部分があります。エクスポートです。スプレッドシートに取り込まれた CSV、ウェアハウス同期、独自のキャッシュを持つダッシュボードツール。それぞれのコピーが保持義務を伴っており、そのどれもが上流で設定した有効期限を尊重しません。それらをスケジュールに明記するか、そのスケジュールが現実の一部しか描写していないことを受け入れるかのどちらかです。
正当化できるデフォルト
どこから始めればよいか迷うなら、次の立場が成り立ちます。生のリクエストログは数日以内にローテーションし、クリックイベントは季節比較が機能するよう約1年保持し、集計は無期限かつ真に匿名の状態で保持し、同意ベースのものは撤回時に削除し、あらゆる逸脱にはその理由を明記します。
その上で、チームが実際に何を見ているかに照らして年に一度見直してください。私がこれまで見てきたほぼすべての保持期間は、その見直しの後に短縮されました。13ヶ月を超えるレポーティングは、人々が必要だと言っていたものの、実際には開かれていないものだったことが判明したからです。マーケティングチームのための EU データ居住地は、会話のもう半分、つまりデータを保持している間それがどこに置かれているかを扱っています。
コーナーストーンシリーズを読む
この記事はコンプライアンスクラスターに属しています。URL ショートナーの GDPRがコーナーストーンであり、SOC 2 エビデンスガイドは保持スケジュールと並ぶ監査成果物を扱っています。
ブログ関連記事
よくある質問
GDPR の下でクリックトラッキングデータをどのくらいの期間保持できますか？
収集した目的に対して正当化できる期間だけであり、それ以上ではありません。第5条(1)(e)は保存制限を数字ではなく原則として定めているため、指し示せる法的な上限はありません。監督機関が求めるのは、あなたの根拠が文書化されていること、そして書いたスケジュール通りに実際に削除が行われている証拠です。
クリックログ内の IP アドレスは個人データに該当しますか？
通常のケースでは該当します。IP アドレスは、ネットワーク事業者が保有する情報の助けを借りれば加入者回線を識別でき、その情報を自分自身で入手することが一切なくても、個人データとするには十分です。何かが書き込まれる前、収集の時点で切り詰めることが、このフィールドをそのカテゴリーから外す方法です。
集計されたクリック数は GDPR の対象になりますか？
真に匿名化されていれば対象になりません。つまり、合理的に使用される可能性のある手段によっても、そこから個人を特定できないということです。国別の1日あたりのクリック数はこの基準を十分に満たします。一方、4人に送られたリンクについて1分ごとのクリック数を数えたものはそうではありません。グループが小さすぎて再識別できてしまうためです。
リンク analytics にはどのような保持期間を設定すべきですか？
正当化できるデフォルトは、生のリクエストログについては短く、仮名化されたクリックイベントについては前年比較が機能するよう約1年、そして匿名の集計については無期限とすることです。自社の目的に応じて調整してください。法的保存義務、契約上のコミットメント、不正調査はいずれもより長い保持を正当化しますが、それぞれの理由は記録に残しておく必要があります。
削除リクエストはクリックデータをカバーしますか？
その人物に紐付いているものすべてをカバーします。クリックイベントが切り詰められたネットワークプレフィックスのみを持ち、識別子を持たない場合、見つけるものも消去するものもなく、その理由を説明できるはずです。クリックが CRM の連絡先レコードに紐付けられている場合、その紐付けこそが消去リクエストが到達する対象です。
バックアップも削除しなければなりませんか？
スケジュールでカバーされている必要がありますが、それはその日のうちにパージされることと同じではありません。実務的に成立する立場は、バックアップが固定サイクルで期限切れになること、復元されたデータが使用前に再フィルタリングされること、そしてその取り決め全体が文書化されていることです。バックアップについて何も述べていないことが、通常の質問を指摘事項に変えてしまいます。
Elidoを試す
URLを貼り付けて短縮リンクを取得
登録不要。リンクは30日間有効。永久に保存するには登録してください。
Free、登録不要 · 1日あたり2件