Nie istnieje prawnie określona liczba miesięcy, przez którą wolno przechowywać dane o kliknięciach. Art. 5 ust. 1 lit. e RODO wymaga, żeby dane osobowe były przechowywane w formie umożliwiającej identyfikację osoby nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane, a sam okres pozostawia w Twojej gestii, jak wprost wynika z tekstu przepisu. Organ nadzorczy bada nie liczbę, którą wybrałeś, ale to, czy potrafisz ją wyjaśnić.
To łatwiejsze, niż brzmi, bo dane o kliknięciach nie są jedną rzeczą. Zaczynają jako surowe żądanie, stają się zdarzeniem z usuniętą większością materiału identyfikującego, a kończą jako licznik, który nikogo nie identyfikuje. Każda z tych postaci zasługuje na inne okno czasowe, a rozdzielenie ich to większość roboty. Szersze obowiązki wokół skracacza opisuje RODO dla skracaczy URL - to cornerstone, pod którym mieści się ten wpis.
Dlaczego to pytanie nie ma jednej odpowiedzi
Ograniczenie przechowywania to zasada, a nie harmonogram. O okresie decydują trzy czynniki, i wszystkie trzy ustalasz sam.
Na pierwszym miejscu jest cel. Dane zebrane do raportowania kampanii są niezbędne, dopóki kampania nie zostanie rozliczona i porównana z poprzednią - dla wielu zespołów to najwyżej rok, dla niektórych trzy miesiące. Dane zebrane do wykrywania nadużyć przekierowania są niezbędne tak długo, jak długo dochodzenie mogłoby się jeszcze realnie rozpocząć - zwykle znacznie krócej.
Na drugim miejscu jest podstawa prawna. Analityka oparta na uzasadnionym interesie musi przejść test równowagi, a długie okno retencji utrudnia zdanie tego testu. Wszystko, co zebrano na podstawie zgody, musi zniknąć niezwłocznie po jej wycofaniu - bez cichego podstawienia innej podstawy w jej miejsce.
Po trzecie, obowiązki działające w przeciwną stronę. Przepisy podatkowe, zobowiązania kontraktowe wobec klienta, toczący się spór lub nakaz regulacyjny mogą wymagać przechowywania czegoś dłużej, niż sugerowałaby minimalizacja. Są one uzasadnione, ale są też konkretne - co oznacza, że powinny znaleźć się w rejestrze jako nazwane wyjątki, a nie jako ogólny powód do trzymania wszystkiego.
Trzy warstwy, trzy okna czasowe
Praktyczna struktura, która wytrzymuje audyt, dzieli dane o kliknięciach według tego, jak bardzo są identyfikujące.
| Warstwa | Co zawiera | Typowe okno | Dlaczego |
|---|---|---|---|
| Surowy dziennik żądań | pełny IP, user agent, nagłówki, znacznik czasu | dni | tylko debugowanie operacyjne i nadużycia |
| Zdarzenie kliknięcia | obcięty prefiks sieciowy, kraj, urządzenie, kampania | około 12 miesięcy | raportowanie i porównanie rok do roku |
| Agregat | liczniki wg dnia, linku, kraju, referrera | czas nieokreślony | anonimowe, już nie dane osobowe |
Środkowa warstwa to miejsce, gdzie większość zespołów przechowuje dane zbyt długo, nawet tego nie zauważając - zwykle dlatego, że narzędzie raportujące domyślnie zachowuje wszystko i nikt tego nie zmienił. Dwanaście do czternastu miesięcy to okno, które pozwala porównać ten wrzesień z zeszłorocznym, a potem się kończy. Jeśli Twoje raportowanie naprawdę potrzebuje trzech lat szczegółów na poziomie wiersza, to powinna być świadoma, spisana i uzasadniona decyzja, a nie przypadek wynikający z konfiguracji.
Górna warstwa to miejsce, gdzie większość zespołów myśli zbyt mało. Pełny adres IP w dzienniku żądań to dane osobowe, a dziennik trzymany przez rok tylko dlatego, że nikt nie ustawił rotacji, to rok narażenia kupiony za nic. Obcięcie już w momencie zbierania, zanim zdarzenie zostanie zapisane, usuwa problem u źródła. Co warto mierzyć w analityce krótkich linków opisuje, które metryki przetrwają takie obcięcie - a odpowiedź brzmi: niemal wszystkie.
Agregacja jako strategia retencji
Najbardziej użyteczny ruch, jaki masz do dyspozycji, to nie wybór krótszego okna. To takie ułożenie sprawy, żeby to, co przechowujesz na zawsze, przestało być danymi osobowymi.
Zsumuj zdarzenia kliknięć do liczników wg dnia, linku, kraju, referrera i klasy urządzenia, a następnie usuń wiersze, z których powstały. To, co zostaje, odpowiada niemal na każde pytanie, jakie zadaje zespół marketingu: jak poszła kampania, który region zareagował, czy zmienił się udział mobile. Czego to nie odpowie, to nic na temat konkretnej osoby - i o to właśnie chodzi.
Dwie przestrogi. Anonimizacja musi być nieodwracalna, więc trzymanie tabeli mapującej, która pozwoliłaby odtworzyć wiersze, oznacza, że dane są jedynie spseudonimizowane, a nie anonimowe - i pozostają w zakresie RODO. Poza tym małe grupy zdradzają tożsamość: link wysłany do pięciu osób, liczony co minutę, da się ponownie zidentyfikować każdemu, kto zna tę piątkę. Agreguj na takim poziomie szczegółowości, który utrzymuje duże grupy, i tłum komórki, które spadają poniżej progu.
Ustawienie tego raz jest lepsze niż wracanie do tematu co roku. Analityka linków Elido obcina adres, zanim zdarzenie zostanie zapisane, i raportuje na podstawie agregatu, więc decyzja o retencji dotyczy wyłącznie środkowej warstwy.
Do czego naprawdę sięga żądanie usunięcia
Art. 17 daje podmiotowi danych prawo do usunięcia, a szczera odpowiedź dla dobrze zaprojektowanych danych o kliknięciach często brzmi: nie ma niczego do usunięcia.
Jeśli zdarzenie zawiera obcięty prefiks sieciowy, kraj, klasę urządzenia i kampanię, żadna operacja po Twojej stronie nie potrafi połączyć go z osobą, która składa żądanie. Powiedz to wprost, wyjaśnij architekturę, a żądanie zostanie spełnione. Organy nadzorcze nie są wrogo nastawione do takiej odpowiedzi, gdy architektura ją potwierdza.
Odpowiedź zmienia się w chwili, gdy kliknięcia są powiązane z konkretną osobą. Skracacz, który zapisuje, który kontakt otworzył który link, albo CRM, który dopisuje zdarzenia kliknięć do rekordu, przechowuje dane osobowe z przypisanym nazwiskiem, a żądanie usunięcia sięga do wszystkiego. To legalny sposób pracy - po prostu przenosi obowiązek dalej. Jeśli przekazujesz kliknięcia do CRM, decyzja o retencji należy do obu systemów, a ten z dłuższym oknem wyznacza faktyczną odpowiedź. Przekazywanie kliknięć linków do osi czasu w CRM pokazuje, co taka integracja naprawdę zapisuje.
Spisanie tego tak, żeby przetrwało audyt
Harmonogram retencji, który istnieje wyłącznie w czyjejś głowie, nie jest mechanizmem kontrolnym. Realnym czynią go cztery artefakty.
- Rejestr czynności przetwarzania (RoPA). Art. 30 wymaga okresów retencji w podziale na kategorie danych. Wypełnij tę kolumnę trzema warstwami opisanymi powyżej, a nie jedną liczbą - bo jedna liczba dla wszystkich danych o kliknięciach jest albo błędna dla surowych dzienników, albo błędna dla agregatów.
- Mechanizm usuwania, na który możesz wskazać. Skonfigurowany czas wygaśnięcia w magazynie analitycznym, z widocznym ustawieniem, jest lepszy niż spisana intencja. Jeśli usuwanie to zaplanowane zadanie, zachowuj historię jego uruchomień.
- Kopie zapasowe, opisane wprost. Podaj, jak długo żyją kolejne generacje kopii zapasowych i co dzieje się przy przywracaniu. Opublikowane wytyczne EROD są punktem odniesienia dla tego, jak organy nadzorcze ujmują te kwestie w poszczególnych państwach członkowskich.
- Zgodność z Twoimi umowami DPA. Jeśli kontraktowa retencja Twojego skracacza jest dłuższa niż Twoja polityka, w praktyce wygrywa umowa. Przeczytaj DPA, zanim napiszesz politykę - nie po.
Jest jeszcze jeden element, o którym ludzie zapominają: eksporty. Plik CSV pobrany do arkusza, synchronizacja z hurtownią danych, narzędzie dashboardowe z własnym cache. Każda kopia niesie ze sobą obowiązek retencji, a żadna z nich nie respektuje czasu wygaśnięcia skonfigurowanego wyżej w łańcuchu. Nazwij je w harmonogramie albo zaakceptuj, że harmonogram opisuje tylko część rzeczywistości.
Domyślne ustawienie, którego możesz bronić
Jeśli potrzebujesz punktu wyjścia, to stanowisko, które się broni: surowe dzienniki żądań rotowane w ciągu dni, zdarzenia kliknięć trzymane około roku, żeby działało porównanie sezonowe, agregaty przechowywane bezterminowo i rzeczywiście anonimowe, wszystko oparte na zgodzie usuwane po jej wycofaniu, a każde odstępstwo nazwane wraz z powodem.
Następnie przeglądaj to raz w roku, konfrontując z tym, na co zespół faktycznie patrzy. Niemal każde okno retencji, jakie widziałam, po takim przeglądzie zostało skrócone, bo raportowanie sięgające dalej niż trzynaście miesięcy okazywało się czymś, co ludzie deklarowali jako potrzebne, a nie czymś, co faktycznie otwierali. Rezydencja danych UE dla zespołów marketingowych opisuje drugą połowę tej rozmowy - to, gdzie dane leżą, dopóki je przechowujesz.
Przeczytaj serię cornerstone
Ten wpis mieści się w klastrze zgodności. RODO dla skracaczy URL to cornerstone, a przewodnik po dowodach SOC 2 opisuje artefakty audytowe, które towarzyszą harmonogramowi retencji.
Powiązane na blogu
Najczęściej zadawane pytania
Jak długo mogę przechowywać dane o śledzeniu kliknięć zgodnie z RODO?
Tak długo, jak potrafisz to uzasadnić celem, w jakim je zebrałeś - i ani chwili dłużej. Art. 5 ust. 1 lit. e ustanawia ograniczenie przechowywania jako zasadę, a nie konkretną liczbę, więc nie ma prawnego maksimum, na które można by wskazać. Organ nadzorczy pyta o Twoje uzasadnienie, spisane na piśmie, oraz dowód, że usuwanie danych rzeczywiście odbywa się zgodnie z harmonogramem, który ustaliłeś.
Czy adres IP w dzienniku kliknięć to dane osobowe?
Tak, w typowym przypadku. Adres IP identyfikuje łącze abonenckie za pomocą informacji, które posiada operator sieci, a to wystarczy, żeby uczynić go danymi osobowymi, nawet jeśli sam nigdy nie pozyskujesz tych informacji. Obcięcie adresu już w momencie zbierania, zanim cokolwiek zostanie zapisane, jest tym, co wyprowadza to pole poza tę kategorię.
Czy zagregowane liczniki kliknięć podlegają RODO?
Nie, o ile są rzeczywiście anonimowe - czyli nikt nie może na ich podstawie wyodrębnić konkretnej osoby żadnym sposobem, którego użycie jest racjonalnie prawdopodobne. Dzienna liczba kliknięć w podziale na kraje spokojnie spełnia ten próg. Liczba kliknięć na link w ujęciu co minutę, dla linku wysłanego do czterech osób, już nie - bo grupa jest na tyle mała, że można ją ponownie zidentyfikować.
Jaki okres retencji ustawić dla analityki linków?
Uzasadniona wartość domyślna to krótki okres dla surowych dzienników żądań, około roku dla spseudonimizowanych zdarzeń kliknięć - tak, żeby porównanie rok do roku nadal działało - i czas nieokreślony dla anonimowych agregatów. Dostosuj to do swoich własnych celów: zabezpieczenie prawne, zobowiązanie kontraktowe lub dochodzenie w sprawie nadużycia - wszystkie uzasadniają dłuższy okres, a każdy z tych powodów powinien znaleźć się w rejestrze.
Czy żądanie usunięcia obejmuje dane o kliknięciach?
Obejmuje wszystko, co jest powiązane z daną osobą. Jeśli Twoje zdarzenia kliknięć zawierają obcięty prefiks sieciowy i żaden identyfikator, nie ma niczego do znalezienia ani do usunięcia - i powinieneś umieć wyjaśnić dlaczego. Jeśli kliknięcia są powiązane z rekordem kontaktu w CRM, to właśnie to powiązanie jest tym, do czego sięga żądanie usunięcia.
Czy kopie zapasowe też trzeba usuwać?
Muszą być objęte harmonogramem, co nie jest tym samym co usunięcie tego samego dnia. Sensowne podejście polega na tym, że kopie zapasowe wygasają w stałym cyklu, że przywrócone dane są ponownie filtrowane przed użyciem, i że całe to rozwiązanie jest spisane. Milczenie na temat kopii zapasowych to właśnie to, co zwykłe pytanie zamienia w ustalenie audytowe.
Wypróbuj Elido
Wklej URL, otrzymaj krótki link
Bez rejestracji. Link działa 30 dni. Zarejestruj się, aby zachować go na zawsze.
Za darmo, bez rejestracji · 2 dziennie