Una guía práctica de retención de datos en Google Analytics

Es fácil malinterpretarla: la retención de datos en Google Analytics afecta, en GA4, a los datos a nivel de usuario y de evento usados en Exploraciones y en los informes de embudo, no a los informes agregados estándar.

La retención de datos de Google Analytics es fácil de malinterpretar. En GA4, la configuración de retención afecta los datos a nivel de usuario y a nivel de evento utilizados en Exploraciones y en los informes de embudo, no en los informes agregados estándar. La documentación de Google enumera 2 meses y 14 meses para propiedades estándar, con opciones más largas para Google Analytics 360, y dice que los datos se eliminan automáticamente cuando llegan al final del período de retención (GA4 retención de datos).

Esa configuración no es sólo una conveniencia analítica. Es un control de privacidad.

Por qué es importante la retención según GDPR

El principio de limitación de almacenamiento del GDPR requiere que los datos personales se mantengan en forma identificable solo durante el tiempo necesario para el propósito. Si los datos de eventos sin procesar se conservan porque "podríamos necesitarlos algún día", el propósito es demasiado vago.

Los datos analíticos pueden incluir datos personales incluso cuando los nombres están ausentes. Los datos del dispositivo, los identificadores de cookies, los ID de usuario, las URL completas, la ubicación derivada de IP, los parámetros de eventos y las secuencias de comportamiento pueden identificar o seleccionar a una persona. Una retención más prolongada aumenta el impacto de las infracciones, el riesgo de acceso y la exposición regulatoria.

Qué resuelve y qué no resuelve la retención GA4

Los controles de retención GA4 pueden reducir el tiempo que los datos a nivel de evento permanecen disponibles para ciertas funciones de análisis. Pero no responden todas las preguntas sobre privacidad:

• Los informes agregados estándar no se ven afectados de la misma manera.
• La exportación de BigQuery crea un conjunto de datos independiente bajo tu control.
• Los productos vinculados pueden tener su propio comportamiento de retención.
• Los informes descargados y las copias del almacén necesitan su propia política.
• Las cuestiones de consentimiento y transferencia aún necesitan un análisis por separado.

Si exportas datos GA4 a BigQuery, Google dice que eres el propietario de los datos exportados y administras el acceso a través de los controles de BigQuery (GA4 BigQuery export). Eso significa que la responsabilidad de retención pasa a usted.

Patrones de retención riesgosos

Los problemas comunes incluyen:

• Dejar la retención predeterminada sin comprender las necesidades de presentación de informes.
• Exportación de datos sin procesar a un almacén sin programa de eliminación.
• Mantener los identificadores de usuario en análisis después de la eliminación de la cuenta.
• Almacenamiento de URL de página completa que incluyen correos electrónicos, tokens o términos de búsqueda.
• Brindar acceso amplio al personal a datos a nivel de eventos.
• Conservar datos con fines publicitarios después de que los usuarios opten por no participar.

Un mejor modelo de retención

Usar niveles:

Tiempo real y depuración: de horas a días. Útil para comprobaciones de implementación e investigación de incidentes.

Análisis de eventos sin procesar: 30 a 180 días, dependiendo de los ciclos del producto y la base legal.

Informes agregados: De 12 a 36 meses para análisis de tendencias, sin identificadores personales.

Registros financieros o contractuales: separados de la analítica web y conservados según obligaciones contables o legales.

Documente el propósito de cada nivel y automatice la eliminación. Las políticas de eliminación manual fallan silenciosamente.

Ventaja del análisis que prioriza la privacidad

Una plataforma de análisis que prioriza la privacidad y que evita cookies, identificaciones persistentes, huellas dactilares y almacenamiento IP sin procesar reduce el riesgo de retención desde el principio. Las métricas agregadas a menudo se pueden conservar por más tiempo porque es menos probable que identifiquen a individuos. Los acontecimientos crudos pueden ser de corta duración o evitarse por completo.

El objetivo no es eliminar el historial útil. Se trata de mantener la forma más útil del historial: tendencias, conversiones, campañas y rendimiento del contenido sin rastros personales innecesarios.

Lista de verificación

1. Verifique la configuración de retención de GA4.
2. Identificar todas las exportaciones y productos conexos.
3. Defina la retención de eventos sin procesar, informes y tablas de almacén.
4. Eliminar datos personales de los parámetros del evento.
5. Restrinja el acceso a los datos a nivel de evento.
6. Flujos de trabajo de eliminación de documentos para solicitudes de usuarios.
7. Revisar la retención después de cambios importantes en el producto o legales.

La retención es donde las promesas de privacidad se vuelven realidad. Si no puede decir por qué todavía existe un conjunto de datos, probablemente sea el momento de agregarlo o eliminarlo.

Retención de propiedades del evento

La revisión de retención debe incluir propiedades de eventos, no solo marcas de tiempo de eventos. Una propiedad como search_term, account_id, page_location o checkout_step puede conllevar más riesgos de privacidad que el nombre del evento. Si necesita análisis de búsqueda, considere agrupar consultas, descartar consultas raras o revisar términos para contenido confidencial antes de almacenarlos.

Controles de acceso

La retención breve no ayuda si demasiadas personas pueden exportar datos mientras existen. Limite el acceso a análisis sin procesar a las personas que lo necesitan, prefiera paneles agregados para la mayoría de las partes interesadas y registre las exportaciones desde los almacenes de datos. Los datos analíticos a menudo parecen de bajo riesgo hasta que se combinan con CRM, facturación o datos de soporte. Las políticas de acceso deben asumir que las uniones pueden aumentar la sensibilidad.

Plantilla de política de retención

Redactar la póliza en lenguaje empresarial. Los eventos analíticos sin procesar se conservan durante un breve período de diagnóstico. Los informes agregados se conservan durante más tiempo para el análisis de tendencias. Las propiedades de eventos confidenciales se bloquean o redactan antes del almacenamiento. Las exportaciones requieren un propósito determinado y caducan. La configuración de retención de proveedores se revisa después del lanzamiento de productos, cambios de campaña y traspasos de agencia. La propia documentación GA4 de Google sobre retención de datos muestra que la configuración de retención afecta los datos a nivel de usuario y a nivel de evento de manera diferente, por lo que los equipos no deben asumir que un solo cambio resuelve todos los riesgos.

Para una configuración que priorice la privacidad, separe tres capas. Primero, eventos operativos en tiempo real utilizados para verificar el seguimiento. En segundo lugar, los eventos sin procesar recientes se utilizan para depurar formularios, campañas y embudos. En tercer lugar, agregar métricas históricas utilizadas para la estrategia. La mayoría de los equipos necesitan la tercera capa por mucho más tiempo que las dos primeras. Este diseño mantiene un historial útil y al mismo tiempo reduce la posibilidad de que identificadores, URL, términos de búsqueda o datos personales accidentales antiguos sigan disponibles años después de que expire el propósito original.

Acciones de auditoría de retención

Cree un inventario de retención para GA4 y cada destino conectado. Registre si están habilitadas la medición mejorada, Google Signals, la personalización de anuncios, el ID de usuario, la exportación de BigQuery, el modo de consentimiento, la medición entre dominios y la configuración específica de la región.

Luego separe lo que debe permanecer crudo de lo que puede convertirse en historia agregada. Mantenga los datos GA4 solo cuando el ecosistema de anuncios o informes de Google tenga un trabajo justificado; mueva las páginas de referencia, las referencias, las campañas, los objetivos y los embudos agregados a una configuración de menor riesgo siempre que sea posible.

Preguntas frecuentes

¿Qué controla realmente la configuración de retención de GA4?

La configuración de retención de GA4 rige los datos a nivel de usuario y de evento que se usan en Exploraciones e informes de embudo, no los informes estándar agregados. Las propiedades estándar ofrecen 2 o 14 meses, con opciones más largas en Google Analytics 360. Google elimina los datos automáticamente al llegar al final del periodo elegido.

¿Por qué no basta con acortar la retención en GA4?

La exportación a BigQuery crea un conjunto de datos separado que queda bajo tu propio control, así que acortar la retención en GA4 no cambia nada en esa copia. Los informes descargados y los productos vinculados pueden tener su propio comportamiento de retención. Cada una de esas copias necesita su propia política de eliminación.

¿Quién es dueño de los datos de GA4 exportados a BigQuery?

La propia documentación de Google indica que tú eres dueño de los datos exportados y gestionas el acceso mediante los controles de BigQuery. Eso traslada la responsabilidad de retención a tu equipo en lugar de a la infraestructura de Google. El calendario de eliminación de esa copia en el almacén de datos hay que construirlo aparte de la configuración de GA4.

¿Pueden los datos de analítica ser datos personales aunque no haya nombres?

Los datos de dispositivo, los identificadores de cookies, los ID de usuario, las URL completas, la ubicación derivada de la IP, los parámetros de evento y las secuencias de comportamiento pueden identificar o distinguir a una persona por sí solos. Ninguno necesita un nombre asociado para conllevar ese riesgo. Una retención más larga solo multiplica la exposición si algo de eso se filtra.

¿Cuánto tiempo deberían conservarse los datos de eventos en bruto?

El modelo por niveles del artículo sitúa el análisis de eventos en bruto entre 30 y 180 días, según el ciclo del producto y la base legal. Los datos en tiempo real y de depuración solo necesitan horas o días. Los informes agregados, sin identificadores personales, pueden mantenerse entre 12 y 36 meses.

¿Qué propiedades de evento suponen más riesgo de privacidad?

Propiedades como search_term, account_id, page_location o checkout_step suelen tener más riesgo que el propio nombre del evento. El análisis de búsquedas es una trampa habitual. Agrupar consultas, descartar las poco frecuentes o revisar los términos por contenido sensible antes de guardarlos reduce ese riesgo.

¿Por qué importa limitar el acceso a los datos en bruto si la retención ya es corta?

Una retención corta sirve de poco si mientras tanto demasiadas personas pueden exportar los datos. Lo más seguro es restringir el acceso a los datos en bruto a quien realmente lo necesite y dar al resto de personas interesadas paneles agregados. Las exportaciones desde los almacenes de datos también deberían quedar registradas.

¿Por qué combinar analítica con datos de CRM o facturación eleva el riesgo?

Los datos de analítica suelen parecer de bajo riesgo por sí solos hasta que se combinan con datos de CRM, facturación o soporte. Esa combinación puede convertir una simple vista de página en algo que identifica a un cliente concreto. Las políticas de acceso deberían asumir que esas combinaciones son posibles y diseñarse en consecuencia.

¿Qué debería registrar una auditoría de retención?

Un inventario de retención debería cubrir GA4 y cada destino conectado, anotando si están activados enhanced measurement, Google Signals, la personalización de anuncios, User-ID, la exportación a BigQuery, Consent Mode, la medición entre dominios y los ajustes específicos por región. A partir de ahí, hay que separar lo que debe seguir en bruto de lo que puede pasar a historial agregado. Las páginas base, referencias, campañas, objetivos y embudos agregados suelen poder moverse a una configuración de menor riesgo.

¿Cambia una plataforma de analítica que prioriza la privacidad los cálculos de retención?

Una plataforma que evita cookies, ID persistentes, fingerprinting y el almacenamiento de IP en bruto reduce el riesgo de retención desde el principio. Sus métricas agregadas suelen poder conservarse más tiempo porque tienen menos probabilidad de identificar a alguien. Los eventos en bruto, con este modelo, pueden ser de corta vida o evitarse por completo.