リンク計測におけるプライバシーモードとGDPR：クリックは何を記録するのか

リンク計測におけるプライバシーの話は、どれも最後にはクライアントからの同じ問いにたどり着きます。うちのリンクをクリックした人たちについて、そちらは正確には何を知っているのか、と。この答えはたいていその場で作られ、だからこそたいていどちらかの方向に外れます——システムが保証している以上に安心させてしまうか、はぐらかしに聞こえるほど曖昧かのどちらかです。

この記事は、もっとましな答えを作るための材料です。クリックイベントには何が入っているのか、詳細度がレポートで濾し取られるのではなく書き込みの時点で決まるのはなぜか、ネットワークアドレスはどうなるのか、保持期間は実際にどう働くのか、同意は何を対象にするのか、そしてクライアント側のコンプライアンス担当が求めてくる書類は何か。これは法的助言ではありません——義務の中身は、あなたの法域、オーディエンス、そしてそのデータをあとで何に使うかによって変わります。

クリックが書き残すもの

リダイレクトの時点、まだどのページも読み込まれていない段階で、エンジンが見ているのは1件のリクエストです。そこからイベントが記録できるのは、クリックの瞬間、リンクとドメイン、リンク先、ネットワークアドレスから導かれたおおよその位置、ユーザーエージェントから解析したデバイスの種別・ブラウザー・OS、送られてきた場合の参照元のドメイン、ブラウザーの言語、そしてURLに付いていたキャンペーンパラメータです。

ワークスペースが詳細なレイヤーを有効にしている場合、同じイベントはさらに、地方と都市をそれぞれのGeoNamesの識別子とともに、座標と精度の半径、タイムゾーンと訪問者の現地の時刻、自律システム番号とプロバイダー名、そして品質スコア付きのトラフィックの種類の判定も運べます。そのレイヤーが何のためにあるのかは、トラフィックルールのドキュメントで扱っています。

あえて入れていないものが2つあります。郵便番号は地域データベースが解決しますが、そのあと記録しません。住宅が密集した場所では、郵便番号は住所に近いものだからです。そしてネットワークアドレスそのものは、決して書き込まれません。これについては、下に専用の節を設けています。

イベントに入っていないものも、同じくらい重要です。個人を特定することはありませんし、リンク先のページが読み込まれたのか、購入に至ったのかも語りませんし、サイトをまたぐ識別子も運びません。そこから先はすべて、リンク先の側にもう1つのデータ源が要ります。リンクのクリックを計測する方法のガイドで扱ったとおりです。

データを絞る、性質の違う2つの方法

この2つを取り違えることが、この分野でいちばん高くつく間違いです。しかもベンダーが両者を分けて説明することは、めったにありません。

プランが制限するのは、ワークスペースがどこまで過去をさかのぼって見られるかです。行そのものは残っており、上位のプランならより多くが見えます。これは商業上の制限で、アップグレードすれば元に戻せます。プライバシーモードが制限するのは、そもそも何を書き残すかです。これでオフにしたものは保存先に届かないので、レポートでも、エクスポートでも、サポートへの依頼でも、将来のどんな問い合わせでも取り戻せません——気が変わったとしても、同じです。

| | プランの保持期間 | プライバシーモード | | --- | --- | --- | | 何を制御するか | どこまで過去をさかのぼって見られるか | そもそも何が記録されるか | | どこで効くか | 読み取りの時点 | 書き込みの時点 | | 元に戻せるか | はい、アップグレードで戻せます | いいえ、すでに書き込まれた行については戻せません | | 誰が変えるか | 請求を管理している人 | ワークスペースのオーナーか管理者 |

見落とされがちなのは、両方が同時に効くという点です。閲覧できる深さが2年のプランにいるワークスペースでも、自分で保持期間を30日に設定していれば、残るのは30日です。

詳細度は、書き込みの時点で選ぶ

設定の場所は設定 → 訪問者データとプライバシーです。位置情報の詳細度が3段階と、独立したスイッチが3つあります。

| レベル | イベントに含まれる内容 | | --- | --- | | 完全 | 国、大陸、地方、都市、GeoNamesの識別子、座標、精度の半径、タイムゾーン、現地の時刻 | | 座標なしの都市 | 上記から座標と精度の半径を除いたすべて | | 国のみ | 国と大陸 |

国のみでは、そのイベントのために地域データベースへ問い合わせること自体がありません——国と大陸は、CDNからコストなしですでに届いているからです。この設定はデータだけでなく処理も取り除くので、プライバシーを最大にする選択が、動かすうえでいちばん安い選択でもあります。

スイッチのほうは、もっと狭い範囲を扱います。訪問者のネットワークを保存するが制御するのは自律システム番号とプロバイダー名で、オフにするとネットワークの内訳が空になります。参照元の完全なアドレスを保存するが制御するのは、参照元ページのパスとクエリ文字列だけです——参照元のドメインは常に保持されます。流入元のレポートは、それを土台に作られているからです。トラフィックの種類を判定するをオフにすると、項目が消えるだけでなくチェックそのものが止まります。アドレス範囲の参照も、逆引きの名前の確認も、振る舞いのカウンターもなくなります。

ボタン1つで、要求の厳しい法域に向けた組み合わせを適用できます。位置情報は国のみ、ネットワークは保存しない、参照元の完全なアドレスも保存しない、トラフィックの種類の判定はオフ、保持期間は30日です。残るのは集計の層です——国、デバイス、ブラウザー、OS、参照元のドメイン、キャンペーンタグ、そして日次の訪問者のフィンガープリント。最後のものを残すのは意図的です。これがなければ、ユニークビジターという概念そのものが、その上に組み立てられたすべての集計とともに消えてしまいます。

帰結が2つあり、どちらも両刃です。保存すると、ワークスペース内のすべてのリンクと公開中のプロフィールリンクページのキャッシュ済み設定が書き換えられるので、次のクリックはキャッシュの期限切れを待たずに、もう新しいモードで記録されます——「座標をオフにしたのに、その後もう1日ぶん集め続けた」は、集めないことを目的とする設定の答えとしては受け入れられません。そして変更はさかのぼりません。すでに書き込まれた行は、書き込まれた時点の内容のままです。フィルタリングはどちらの方向にも影響を受けません。都市によって振り分けるトラフィックルールは、都市が記録されていなくても都市によって振り分け続けます。ルールが決めるのは訪問者の行き先であって、その人について何が保存されるかではないからです。

アドレス：切り詰めるか、そもそも持たないか

業界でよくある方法は切り詰めです——IPv4なら最後のオクテットをゼロにし、IPv6ならもっと広い前半部分をゼロにします——そして、まるごと保存するよりはましです。同時に、聞こえるほど強くもありません。切り詰めたアドレスでも、限られた大きさのネットワークは特定できますし、小さな町の訪問者はかなり絞り込めますし、同じ行にあるほかの項目と組み合わせることもできます。切り詰めは解像度を下げるだけで、その項目をシステムから取り除くわけではありません。

もう1つの道は、持たないことです。ここではアドレスは、ちょうど2つのことをするあいだだけ1つの関数の中に存在し、そのあと破棄されます。ハッシュは一方向で、対象はアドレス、ユーザーエージェント、リンクのドメイン、そして毎日UTCの0時にローテーションされる秘密のソルトです。前のソルトは破棄されます。

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

ここから正直な帰結が2つ出てきます。どちらも脚注ではなく、クライアントとの会話に置くべきものです。

1つ目。この指標は1日あたりのユニークビジターです。ソルトは毎晩ローテーションされるので、同じ人でも翌日には別のハッシュになります。したがって月次の数字は、実在の人数を数えたものではなく、日ごとのユニーク数を足し合わせたものです。Cookieなしで正確な月次ユニーク数を報告するベンダーは、認めているより長く識別子を持ち続けているか、推定しているかのどちらかです。

2つ目。アドレスは、あとから誰のためにも取り出せません——あなたのためにも、サポートへの依頼のためにもです。それがこの設計の狙いであり、同時に、それを必要とする調査をクライアントに約束する前に知っておくべき制約でもあります。

この原則は、出力の境界でも続きます。リンクの公開統計ページが地域のレイヤーから受け取るのは、国と都市だけです。ネットワークも、トラフィックの種類も、品質スコアも、座標もありません。これは慣習ではなく、応答の中身を検査するテストで守られています。どの内訳が何を見せるかは、地理分析と地域とトラフィックの品質のページに記載しています。

保持期間は、ワークスペースの設定

保持期間の欄を空のままにすれば、プラットフォームの上限である730日になります。日数を入力すれば、その日数になります。

数字よりも、仕組みのほうが重要です。この値は各イベントの中に同梱され、保存先の期限もその値に基づいて表現されます。30日の設定のもとで書き込まれた行は、そのワークスペースが後から730日へ切り替えたとしても、30日後に削除されます。効くのは、その行が書き込まれた時点で適用されていた設定だからです。

保持期間が、漠然とした安心材料ではなく使える答えになるのは、この仕組みがあるからです。「90日保持しています」は、その90という値が書き込みのたびに各行へ刻まれているなら擁護できますが、実際には2年ぶん残っている行にレポートの絞り込みをかけているだけなら擁護できません。プラットフォームを比べるときは、保持期間が何日かではなく、それがどこで効いているかを尋ねてください——そして、プランの閲覧できる深さも別に尋ねてください。その制限も同時に効くからです。どちらも訪問者データとプライバシーモードに記載しています。

同意が対象にするのはデータであって、リダイレクトではない

ここでいちばん多い混同は、リダイレクトそのものが同意の対象だと考えてしまうことです。短縮リンクをタップした訪問者は、どこかへ連れて行ってほしいと求めており、そこへ連れて行くことがサービスです。同意の問題が結び付くのは、別の2つです。その訪問について何が記録されるか、そして厳密には必要でない技術が訪問者の端末に保存されるかどうかです。

この整理には、実務上の帰結があります。サイトをまたぐ計測用のCookieはありません。多くの同意の制度が想定していた仕組みそのものを、日次のハッシュが置き換えているからです。リダイレクトの経路にあるCookieはちょうど1つ——自分のリダイレクトドメイン上に置かれる初回訪問の印——であり、これはあなたのルールのどれかが、初回の訪問か再訪かを実際に問うたときにだけ設定されます。したがって「そちらのリンクはCookieを設定しますか」への答えは、一般論の方針ではなく、指し示せる設定によって決まります。

トラッキングピクセルは、はっきりした例外です。ワークスペースがリンクにリターゲティングピクセルを付けた場合、そのピクセルと、それが設定するものはすべて、リダイレクトのサービスではなくピクセルの所有者と第三者に属します。その処理についての管理者はリンクの所有者であり、開示と、必要な同意の取得の責任もそちらにあります——クライアントに代わってピクセルを付ける代理店は、これを監査の最中に知るのではなく、クライアントとの契約に書いておくべきです。

役割が重要なのも、同じ理由からです。クリックのデータについては、リンクを作成したワークスペースまたはパートナーが管理者であり、プラットフォームは処理者です。したがって適法性の根拠、プライバシー通知、そして必要な同意は、リンクの所有者の責任になります。クライアントのためにリンクを運用する代理店は、本人が思っているより頻繁にこの立場に置かれます。この点は代理店向けのブランドリンクのガイドで、商業の側面から扱っています。

レビュー担当が求めてくる書類

仕事のほとんどを2つの文書が引き受けます。そして、どちらもその場で作るべきものではありません。

データ処理契約が定めるのは、あなたに代わって行われる処理です。レビュー担当がそこで読むのは、決まった項目の並びです。データの区分ごとに誰が管理者で誰が処理者か、データ主体と個人データの区分、安全管理措置、侵害の通知期限、欧州経済領域または英国の外へデータが出る場合の移転の仕組み、監査の権利、そして契約終了時にデータがどうなるか。当社のDPAは、これらの条件を定めています。侵害の通知期限は72時間、該当する場合は英国向けの追補を伴う標準契約条項、事前の通知による年1回の監査の権利、そしてエクスポート期間の終了から30日以内の削除です。

サブプロセッサー一覧は、プラットフォームに代わってデータを処理する第三者の名称、それぞれの用途、そしてデータの所在を示します。これはマーケティングのページではなくDPAの一部であり、レビュー担当が評価するのは、その周りにある仕組みのほうです。追加や差し替えの前に少なくとも30日の通知、文書化された異議申立ての権利、そして合理的な代替手段がない場合に、影響を受ける部分を違約金なしで解約できること。当社のサブプロセッサー一覧は、現在の提供事業者を用途とデータの所在とともに公開しています。全体の説明はプライバシーポリシーにあります。

ベンダーがこの2つの文書を出せない場合、あるいは通知の仕組みが付いていないサブプロセッサー一覧しか出せない場合、それこそが指摘事項です——認証のロゴがないことではありません。

クライアントとの会話のためのチェックリスト

1. 実際に使っているモードでの項目一覧を出します——プラットフォームの最大値ではなく、そのワークスペースが今日書き込んでいる内容です。
2. 保持期間を日数で、そしてそれがどこで効いているのかを述べます。 プランの閲覧できる深さとは区別し、いま実際に縛っているのはどちらかも伝えます。
3. アドレスについての問いには、1文で答えます。 まるごと保存する、切り詰める、保存しないのいずれかです——保存しない場合は、日次のハッシュと、ユニークビジターが1日単位の指標であることを説明します。
4. リダイレクトの経路にあるCookieを列挙します。 それぞれが何をきっかけに設定されるのかも示してください。「初回訪問のルールを設定していないかぎり1つもありません」は、「必須のCookieのみ」に勝ります。
5. 自分が付けたものと、プラットフォームが行うことを分けます。 ピクセル、第三者のタグ、リンク先側の分析は、リダイレクターではなくあなたの処理です。
6. DPAとサブプロセッサー一覧は、要約せずそのまま渡します。 変更の通知期間も添えてください。
7. プライバシーモードは、自分のレポートが耐えられるいちばん厳しい水準に設定します。 そのうえで、どの内訳が空になったのかを確かめてください——設定を自分で選んだのか、既定のまま流れ込んだだけなのかは、こうして分かります。

この話題の居心地の悪いところは、書き込みの時点の決定が、どちらの方向にも取り返しがつかないという点です。集めないと決めたデータは、あとから都市別の内訳を求められても取り戻せませんし、集めてしまったデータは、あとからなぜ持っているのかと問われても集めなかったことにはできません。だからこそ、既定値をそのまま引き継ぐのではなく、案件の最初に意識して決めるべきなのです。分析にあるものは、いちばん厳しい側でもすべて動き続けます。変わるのは、キャンペーンがどれだけ見えるかではなく、訪問者がどれだけ見えるかのほうです。