Las políticas de retención de datos son un componente crítico del cumplimiento del RGPD, sin embargo muchas organizaciones que usan Google Analytics no comprenden completamente cuánto tiempo se almacenan los datos de usuario ni qué control tienen sobre los períodos de retención. Esto crea riesgos significativos de cumplimiento.

Cómo funciona la retención de datos en Google Analytics

Google Analytics almacena datos a nivel de usuario y a nivel de evento durante períodos configurables. Las configuraciones de retención predeterminadas y las opciones disponibles han cambiado entre versiones de la plataforma. En GA4, la retención de datos de usuario puede establecerse en 2 meses o 14 meses, mientras que los informes agregados permanecen disponibles indefinidamente.

Sin embargo, la distinción entre datos a nivel de usuario y datos agregados es importante. Incluso después de que los datos a nivel de usuario expiren, Google puede retener datos agregados o desidentificados que se derivaron de los datos personales originales.

Requisitos del RGPD

El principio de limitación del almacenamiento del RGPD exige que los datos personales se conserven solo durante el tiempo necesario para su finalidad de tratamiento. Las organizaciones deben definir y justificar sus períodos de retención, y los datos deben eliminarse o anonimizarse cuando ya no sean necesarios.

Para la analítica web, esto plantea preguntas difíciles: ¿cuánto tiempo necesita genuinamente una organización los datos a nivel de visitante? ¿Se justifica un período de retención de 14 meses para un análisis de tráfico rutinario? ¿Pueden las organizaciones demostrar que sus configuraciones de retención se alinean con sus finalidades declaradas?

Desafíos de cumplimiento

Más allá de los períodos de retención, el problema fundamental es que los datos almacenados por Google Analytics residen en infraestructura controlada por una empresa con sede en EE.UU., sujeta a las leyes de vigilancia estadounidenses. Esto agrava la cuestión de la retención con preocupaciones sobre transferencias de datos que han llevado a múltiples autoridades de la UE a declarar el uso de Google Analytics no conforme con el RGPD.

Las organizaciones deberían revisar sus configuraciones de retención de datos de analítica, asegurarse de que pueden justificar los períodos elegidos y considerar si alternativas respetuosas con la privacidad con almacenamiento de datos transparente dentro de la UE satisfacen mejor sus necesidades de cumplimiento.