למה צריך את זה?
מכל הסעיפים ב GDPR, הסעיף היחיד שנראה על פניו רלוונטי לעניין הזה הוא "הזכות להשכח". ההגדרה של זה מתוך וויקיפדיה:
"הזכות להישכח" מעוגנת במאמר 17 לרגולציה, וקובעת כי לנושא המידע יש את הזכות לבקש מחיקה של הנתונים האישיים הקשורים אליו ללא דיחוי…."
אבל זה יותר עמוק מזה. גוגל למעשה מאפשרים לכם להבין כמה זמן המידע נשמר ואיך בדיוק על מנת שתוכלו לעדכן את ה Privacy Policy שלכם ולהיות יותר ברורים בנושא. למשל, "הי מבקר אלמוני. רק שתדע שיש לנו מערכות מעקב אנונימיות וכו', אבל אל תדאג, המידע נשמר בדיוק 14 חודשים ולאחר מכן הוא מתאדה. עכשיו במטותא ממך, תבחר כבר מוצר גוד דמיט ותקנה משהו".
צריך לזכור שגוגל, כמערכת SaaS נמצאת פה במלכוד. היא אוספת נתונים ושומרת עליהם ומצד שני זה ניתן כשירות לבעלי האתרים אשר למעשה "ביקשו" מגוגל לעשות את זה. לכן האחריות פה משותפת. גוגל לא יכולים לקבל את ההחלטה לבד, אז הם נותנים למשתמשים שלה את היכולת לשלוט בזה במובן מסויים. הפיצ'ר הזה הוא לחלוטין GDPR-י והוא אמור לשרת גם את הארגונים אשר נדרשים לעמוד בתקנות האלה, ועכשיו גוגל נתן להם את היכולת לעשות זאת.
איך מפעילים את זה?
דרך ממשק ה Admin תוכלו לקבוע כמה זמן הדאטה שגוגל אנליטיקס אוסף ברמת המשתמש – יישאר בשרתים שלהם. הערכים הינם 14,26,38,50 חודשים או בכלל לא, כלומר שלא תהיה מחיקה בכלל. לכאורה זה נראה נורא פשוט. אם נגדיר למשל 14 חודשים, זה אומר שעוד שנתיים בערך כבר לא תוכלו להשוות נתונים לשנה קודמת. האמנם? איך זה הולך לעבוד בדיוק? אני חייב להגיד שקראתי את התיעוד שלהם בנושא, וזה רחוק מלהיות ברור.
איך זה עובד בפועל
בואו נניח שהגדרתם שהדאטה בשרתים של גוגל אנליטיקס יימחק אחרי 14 חודשים. בפועל מה שיקרה, זה שיוזר נניח מגיע בפעם הראשונה בינואר 2018, מקבל את ה Cookie של גוגל ומזוהה כמשתמש חדש (Cookie, עוגיות..הבנתם את הקשר לתמונה?) בדיוק במרץ 2019, אחרי 14 חודשים, ימחקו כל הנתונים שנאספו במהלך ינואר 2018. בחודש אפריל 2019, יימחקו הנתונים שנאספו במהלך פברואר 2018 וכן הלאה. כלומר, תמיד דואגים שיישאר דאטה של 14 חודשים אחורה.
מה זה אומר "המידע נמחק". איזה מידע?
זה מוזר. גוגל טוענים שמה שנמחק זה User-level data וגם event level data אבל הנתונים המצטברים (Aggregated data) נשארים ללא פגע. רגע, מה?
לכאורה זה נראה שאם ביום מסויים מכרתם ב 20K$ באיקומרס, ומידע על משתמש ספציפי שרכש ב $5000 נמחק, לא תוכלו לשלוף ככל הנראה את המכירה שלו על פי ClientID או UserID, אבל הנתונים שלו ישארו בשאר הדוחות בתוך ה Total, כך שלא יקרה מצב שבו בגלל מחיקת הדאטה, כמות המכירות באותו היום תרד פתאום, אחרת נכנס לבעיה רצינית בניתוח הנתונים. גם אם נדע את מספר הטרנזקציה שלו, ככל הנראה לא נוכל לשלוף אותה. או אולי כן. אוף גוגל..איך אתם מעלים פיצ'ר כזה עם תיעוד כל כך מעפן.
איך בכלל אפשר להוציא מהמערכת מידע ספציפי על משתמש?
ראשית, יש דוח בשם User Explorer שכתבתי עליו בעבר. שם אפשר לראות את הביקורים ואת הפעולות הפציפיות שעשה יוזר מסוים, כאשר המזהה שלו זה המזהה שגוגל נתן לו שבדר"כ לא יגיד לכם כלום.
בהטמעות מתקדמות, יש כאלה שלוקחים את ה ClientID של גוגל ודוחפים אותו ל Custom Dimension. אני מניח שגוגל גם יצטרכו לטפל בזה.
מעבר לזה, אם יישמתם את המתודה של User ID, כלומר, לדחוף לגוגל אנליטיקס את ה ID של הלקוח כפי שהוא רשום ב CRM שלכם (במידה ואתם משתמשים באנליטיקס לעקוב אחר לקוחות רשומים במערכת שלכם) – לא תוכלו לבקש יותר מגוגל מידע המבוסס על User ID ספציפי.
ואם לא בא לי?
במסגרת הפיצ'ר הזה, ישנו צ'קבוקס הקרוי Reset on New activity שלא משנה איזה טווח הגדרתם, ברגע שהיוזר יחזור שוב, הטיימר יתאפס וספירת הזמן תתחיל מחדש.
לדוגמא, יוזר נניח מגיע בפעם הראשונה ביונאר 2018, מקבל את ה Cookie של גוגל ומזוהה כמשתמש חדש. הספירה של ה 14 חודשים עבור אותו היוזר התחילה. אממה, היוזר חוזר גם בפברואר 18. ברגע שזה יקרה, המונה יתאפס ושוב המערכת תתחיל לספור 14 חודשים עד למחיקה. אם לכתוב את זה אחרת – המחיקה תתחיל רק 14 חודשים מהפעם האחרונה שהיוזר הגיע לאתר. מה שאומר שבפועל המחיקה תשפיע ככל הנראה על מעט מאד נתונים באתר שלכם, אם בכלל. והפיצ'ר הזה אגב, מופעל כברירת מחדל, כך שבספק אם הרוב ירגישו את השינוי.
נ.ב. קטן
אחת הבעיות עם כל חקיקת ה GDPR היא שהמון התלוננו (כמובן) שזה לא ישים, שזה מייקר את כל הניהול של הדאטה וכו', אבל אחת הטענות שעלתה שוב ושוב היא שזה ייאלץ את הארגונים למצוא פתרונות מתחכמים שיענו על החוק, יעלו המון לארגונים אבל התועלת שלהם תהיה אפסית ולא תשרת את המטרה הכוללת. וכאן יש דוגמא נהדרת לכך.
אם יהיה תיעוד נוסף ודוגמאות יותר ברורות אני אעדכן את המאמר הזה.
בשורה התחתונה
חברות שעובדות עם גוגל אנליטיקס וחייבות להתייחס לעניין ה GDPR במדיניות הפרטיות שלהם - זקוקות לזה. כל השאר, פשוט תגדירו שלא יימחק שום דבר וזהו.
