※記事内容に理解不足による誤解があったようですので大幅に書き換えました。
※特別な理由のない限り、基本的に「データ保持」の設定はデフォルトのままにしておくのが安全で行儀のよい状態となります。
＜2018年5月7日改訂済＞
アナリティクスの謎のメッセージは「データ保持」の新設定？
4月12日、 google アナリティクスを見たら上部に謎のメッセージが表示されてました・・・
「We've recently launched new Data Retention controls that may affect your data starting May 25, 2018. Please review your settings and make any changes required. Learn more」
何か、2018年5月25日から新しい設定がスタートするようなのですが・・・
よく分からないので「Learn more」をクリックすると、
「データの保持」のヘルプが表示されました。
どうやら、アナリティクスのサーバーに保存されているユーザーデータとイベントデータの保持期間の設定のようです。
この「ユーザーデータ」と「イベントデータ」って何なのでしょうか・・・。アナリティクスにいつも表示されている「ユーザーサマリー」とか「集客レポート」とか「ページレポート」とかの分析結果のことなんでしょか？
保持期間は、Cookie、ユーザーの識別子（例: ユーザー ID）、広告 ID（DoubleClick Cookie、Android の広告 ID、Apple 広告主向け識別子など）に関連付けられたユーザー単位やイベント単位のデータに適用されます。
集約されたデータは影響を受けません。
＜ヘルプより抜粋、マーカはオクラによる＞
どうやら「ユーザーデータ」と「イベントデータ」というのはCookieやユーザーIDや広告IDなどの個人情報と関連付けられた個別のデータのことを指すようです。
「集約されたデータは影響を受けません。」とあるので、「集客レポート」なんかの分析結果に関する保持期間の設定ではないようですね。
「データ保持」の設定項目は２つ
新しい設定は、「管理」→「トラッキング情報」→「データ保持」から行います。
★印のルートで「データ保持」が呼び出せます
「データ保持」には以下の２つの設定項目があります。
「ユーザーデータとイベントデータの保持」
「新しいアクティビティをリセット」
設定項目は★印の２つ（デフォルト状態）
「ユーザーデータとイベントデータの保持」の設定
これは個人情報と関連付けられたユーザ単位やイベント単位のデータをどれくらいの期間保持しておくかという設定のようです。CookieやユーザーIDや広告IDなどの個人情報を含んでいることがあるデータです。
設定項目は以下の5つ
・14 か月
・26 か月
・38 か月
・50 か月
・自動的に期限切れにならない
デフォルトは「26か月」になっています。2年と2カ月ということですね。
「自動的に期限切れにならない」以外だとせっかくのデータが消えてしまうので、なんだかもったいないような気もしますが・・・
ここでの設定の対象となるのは「集約されたデータ＝分析結果」のデータではなく、その材料となる個々の個人情報です。必要もなく他人の個人情報を長期間保持し続けるというのは、マナー的にもリスク管理的にもおすすめの行為ではありません。
なので、特別な理由がない限りは、
デフォルトの「26か月」のままにしておくのがよろしいのではないでしょうか。
「新しいアクティビティをリセット」の設定
この設定、デフォルトでは「オン」になっています。
でも、何の設定なんでしょうか？ヘルプ読んだけどよくわかりません。なんかのタイミングでアクティビティがリセットされるよ～とのことですが、意味がさっぱりわかりません。
＜日本語版ヘルプより抜粋＞
新しいアクティビティをリセットこのオプションをオンにすると、特定のユーザーからの新しいイベントが発生するたびにユーザー識別子の保持期間がリセットされます（したがって、有効期限はイベント発生時刻から保持期間が経過した時点になります）。
あらためてヘルプをじっくり読んでみると、ユーザー識別のための情報を、イベント発生のたびにリセットするかどうかの設定のようです。ユーザ識別のための情報ですから当然、個人情報を含んだデータということになります。
そして、ここでいうイベントとは、一般的にもっとも頻度が高いのは、セッションの開始ということになるんではないでしょうか。
「オン」の場合
セッションが開始されるたびに個々のユーザを判別するための情報（ユーザー識別子）はリセットされます。そしてリセットされる前に「ユーザーデータとイベントデータの保持」で設定した保持期間が過ぎるとユーザー識別子は削除されるというイメージですね。
「オフ」の場合
「ユーザーデータとイベントデータの保持」で設定した期間の間はユーザを判別するための情報（ユーザー識別子）を保持し続けるということになります。そして保持期間がすぎると「オン」の場合と同様にユーザー識別子は削除されます。
ということは、この設定を「オフ」にしておいて「ユーザーデータとイベントデータの保持」を「自動的に期限切れにならない」にしておくと、ユーザー識別子はずーっと保持されるということになります。
この「新しいアクティビティをリセット」というのは、例えるなら、お客さん（ユーザー）が店（ブログ）を訪れるたびに「ご新規さん」として扱うのか、それとも保持期間の間は「常連さん（リピーター）」として扱うのかという設定ということになるんですかねぇ。
でもこれ、そもそもどういう仕組みで「ご新規さん」「常連さん」を区別するんでしょうか？Cookieを使ってるというのが考えられますが・・・
いずれにせよ区別のために個人情報を含んだデータを使っていると思われます（だからこそgoogleさんが新しく設定を追加したということです）。
なのでこちらも特別な事情がない限り、デフォルトの「オン」にしておくのがよろしいのではないでしょうか。
アナリティクスの新設定はGDPRへの対応
なぜこのような新設定が提供されたかと言うと、5月25日からEUにて新たに施行される法律に対応するためです。
一般データ保護規則（GDPR）という従来より大幅に強化された新しい個人情報保護法への対応です。
GDPRというのはEU域内で取得された個人情報の扱いに関する法律で、基本的には企業や組織が処罰の対象となります。
GDPRは「個人情報は基本的人権のひとつである」という基本理念を持っています。また、各個人は必要であれば個人情報を削除してもらえる権利も与えられるといった非常に先進的（いい意味でヨーロッパ的）なものです。
その精神を尊重し、不必要な個人データをいつまでも保持し続けるというのは特別な理由がない場合は避けるべきです。
それに、保持し続けるということによって要らぬリスクを招く恐れもありますので。
GDPRの求めるシステム設計の要件
日経BP社から『欧州GDPR全解明』という本が出ています。近所の本屋においてたんで立ち読みさせていただきました。
ざっと目を通しただけですが、コンサルの人が書かれてるみたいで、なかなか親切でわかりやすくまとめられてました。基本的なことだけでなく、プロジェクトの進め方まで記載されています。
その本によると、GDPRにて求められているシステム設計の要件には以下の２つがあります。
デザイン（設計）でのデータ保護：システムのデザインにデータ保護可能な仕組みを組み込む
デフォルトでのデータ保護：システムの初期設定でデータ保護が実現できるように設計する
そして、GDPRの基本理念には以下のような考えも含まれています。
データの最小化：保持する個人情報は必要最低限にしましょう
処理内容に応じた保持期間の制定：適切な保持期間を定め、必要な期間を超えて個人情報を保持し続けないようにしましょう
立ち読みなんでうろ覚えですが、こんな感じのことが書かれてました。
アナリティクスの新設定はこれらをふまえた対応だったんですね～、ちょっとだけ理解が深まってスッキリしました。
詳しく知りたい方や仕事で関係ある方は、購入されてみてはどうでしょうか。
まとめ
googleさん的にはGDPRへ対応するにあたり、個人情報関連の設定はそれぞれ個々の判断でやってくれということでしょう。
GDPRで要求されている「デフォルトでのデータ保護」というシステム設計の要件に従い、リスクのない無難な設定をデフォルトとして提供し、それ以外は各企業や組織の実務にあわせて自分たちの責任のもとで設定しておくれ～ということになります。
個人でブログやっているようなワタシにはあまり関係ない法律です。でも、とりあえず無難に、そしてお行儀よくデフォルトのままにしておきます。
（注：GDPR適応の対象となる企業・組織においては、状況に応じた適切な設定が必要になると思われます。GDPRの対象であるか等まで含め、正確な判断が必要な場合は関連部署または専門家へご相談ください。）
※関連記事：「一般データ保護規則（GDPR）」を最短で分かりたい方はこちらをどうぞ
関連記事 [pagelink id=5138]
※関連記事：またまたGDPR関連の新メッセージが、「データ処理の修正条項」に同意は必要？
関連記事 [pagelink id=4025]
