Tag : Retention
Tous les articles du blog avec ce tag.
- 06 Jul, 2026
Rétention des données analytics : combien de temps garder quoi, et pourquoi
« Nous conservons les données analytics pendant vingt-cinq mois. » La phrase semble précise. Elle ne dit pourtant pas :si elle concerne les événements bruts ou les rapports ; si l’identifiant visiteur expire au même moment ; si les logs du collecteur suivent une autre durée ; si les sauvegardes sont purgées ; si les exports CSV restent sur les ordinateurs ; si une nouvelle visite réinitialise le délai ; si les statistiques réellement anonymes sont conservées plus longtemps.Une politique de rétention utile ne repose pas sur un nombre unique. Elle décrit le cycle de vie de chaque couche de données et relie chaque durée à une finalité. La CNIL rappelle que les données personnelles ne peuvent pas être conservées indéfiniment et que le responsable doit déterminer la durée en fonction de l’objectif de la collecte. Elle distingue notamment la base active, l’archivage intermédiaire et, dans des cas particuliers, l’archivage définitif. Pour l’analytics web, la majorité des équipes ont surtout besoin d’une base active bien limitée, d’une suppression effective et, éventuellement, de statistiques suffisamment agrégées pour les tendances longues. Commencer par la finalité, pas par le réglage disponible Un outil peut proposer 2, 14, 25 ou 50 mois. Ces options ne déterminent pas automatiquement la durée juste. Posez d’abord la question métier :Pendant combien de temps cette donnée individualisée reste-t-elle nécessaire pour prendre la décision définie ?Exemples :comparer la saisonnalité d’un site peut justifier plus de douze mois de tendances ; diagnostiquer une rupture de collecte nécessite peut-être quelques semaines de logs ; attribuer une campagne B2B longue peut demander plusieurs mois ; garder un identifiant visiteur pendant plusieurs années « au cas où » est beaucoup plus difficile à justifier ; conserver un total mensuel agrégé peut être possible plus longtemps qu’un événement détaillé.La durée doit être proportionnée à la granularité et au risque. Cartographier sept couches de rétention 1. Traceurs et identifiants sur le terminal Cette couche comprend :cookies ; identifiants en local storage ; identifiants de session ; autres mécanismes persistants.Documentez :durée initiale ; renouvellement lors d’une visite ; portée du domaine ; usage entre plusieurs sites ; suppression au retrait ; comportement lorsque le consentement expire.Dans le cadre français de certains traceurs de mesure d’audience susceptibles d’être exemptés de consentement, la CNIL recommande une durée de vie permettant une comparaison pertinente, par exemple treize mois, sans prorogation automatique à chaque visite. Cela ne signifie pas que treize mois convient à tout identifiant. C’est un repère lié au cadre décrit et aux conditions associées. 2. Événements bruts Les événements contiennent le plus de détail :timestamp ; page ; source ; appareil ; propriétés d’événement ; identifiant éventuel ; métadonnées techniques.Ils servent au diagnostic, aux funnels ou à la reconstruction de rapports. Leur granularité augmente le risque de singularisation et le coût de gouvernance. Questions :les événements sont-ils nécessaires au-delà du cycle d’analyse ? peut-on les agréger après 30, 90 ou 180 jours ? quelles propriétés peuvent être supprimées plus tôt ? les événements invalides sont-ils rejetés ou stockés ? la suppression d’une propriété s’applique-t-elle à l’historique ?3. Données pseudonymisées Un identifiant remplacé, haché ou rotatif ne rend pas automatiquement les données anonymes. Si l’équipe ou le fournisseur peut relier des événements, cette couche reste à traiter avec prudence. Définissez :clé et méthode ; possibilité de réidentification ; séparation des tables ; accès ; période de rotation ; suppression de la table de correspondance ; besoin réel de continuité.Une rotation n’a d’intérêt que si les anciennes périodes ne peuvent pas être reconnectées sans justification. 4. Statistiques agrégées Les rapports quotidiens ou mensuels peuvent parfois être conservés plus longtemps, surtout lorsqu’ils ne permettent plus d’isoler une personne. Exemples : visites mensuelles par site conversions mensuelles par canal pages vues hebdomadaires par catégorie taux de conversion trimestrielMais le mot « agrégé » n’est pas magique. Une cellule avec une seule conversion dans une petite zone peut rester révélatrice. Définissez des seuils, réduisez les dimensions et testez la singularité. Si les données sont véritablement anonymes, elles sortent du champ des données personnelles. Cette conclusion doit être démontrée, pas simplement déclarée. 5. Logs techniques Le collecteur, le CDN, le reverse proxy et l’application peuvent conserver :adresse IP ; URL complète ; user-agent ; codes d’erreur ; payload rejeté ; identifiant de requête.Les logs sont souvent oubliés parce qu’ils ne figurent pas dans le dashboard analytics. Ils répondent à des finalités de sécurité, disponibilité ou diagnostic différentes. Définissez une durée séparée, des accès restreints et un filtrage des données sensibles. Évitez qu’un message d’erreur recopie un payload complet pendant des mois. 6. Sauvegardes Une sauvegarde n’est pas une exemption permanente à la suppression. Documentez :fréquence ; période de rotation ; chiffrement ; personnes habilitées ; procédure de restauration ; comportement d’une donnée supprimée après restauration ; délai de purge ; sauvegardes hors ligne ou snapshots.Il peut être techniquement disproportionné de modifier chaque sauvegarde immédiatement. Dans ce cas, l’organisation doit limiter l’usage, la durée et la réintroduction des données supprimées, avec une procédure documentée. 7. Exports et systèmes secondaires Les exports créent une rétention parallèle :CSV envoyé par email ; feuille de calcul ; entrepôt ; BI ; stockage d’agence ; présentation ; ticket de support ; sauvegarde locale.Le réglage du fournisseur analytics n’efface pas ces copies. Chaque export doit avoir :un propriétaire ; une finalité ; un emplacement approuvé ; une durée ; une règle d’accès ; une suppression.Réduire les exports est souvent plus efficace que rédiger une politique complexe pour les gouverner. Construire une matrice de rétention Un exemple pour une PME SaaS :Couche Finalité Durée proposée Déclencheur Suppression ResponsableIdentifiant de visite limité Mesure de tendance 13 mois maximum dans le cadre analysé Création, sans renouvellement automatique Expiration Analytics ownerÉvénements bruts Analyse et diagnostic 6 mois Date de l’événement Tâche automatique DataRapports mensuels agrégés Pilotage historique 36 mois Fin du mois Agrégation puis purge Finance/GrowthLogs collecteur Sécurité et erreurs 30 jours Réception Rotation EngineeringSauvegardes Reprise d’activité 60 jours Création du snapshot Rotation InfrastructureExports ponctuels Analyse définie 90 jours Date d’export Suppression par propriétaire AnalystePreuve de consentement Démonstration du choix Durée définie selon risque et prescriptions Choix Politique dédiée PrivacyLes valeurs sont illustratives, sauf lorsqu’un cadre précis est explicitement cité. Une autre organisation peut retenir des périodes différentes après analyse. Le tableau doit expliquer le déclencheur. « Six mois » n’a pas le même sens à partir de la collecte, de la dernière visite, de la clôture d’une campagne ou de la résiliation. Comprendre les réglages de l’outil GA4 : distinguer explorations et rapports agrégés La documentation GA4 indique que les contrôles de rétention concernent les données utilisateur et événement. Pour les propriétés standard, les options documentées incluent notamment 2 ou 14 mois pour les données utilisateur et événement. Google précise aussi que ce réglage n’affecte pas les rapports agrégés standards et qu’il concerne notamment les explorations et rapports de funnel. Une équipe peut donc croire avoir réduit toute la rétention alors qu’une partie des rapports reste disponible sous forme agrégée. Le réglage « reset on new activity » peut également repousser l’expiration de certaines données utilisateur à chaque nouvelle activité. Il faut vérifier s’il correspond à la politique choisie. Autres fournisseurs Les outils privacy-first, plateformes auto-hébergées et solutions cloud ont des modèles différents :rétention fixe ou configurable ; événements bruts accessibles ou non ; statistiques agrégées conservées ; sauvegardes gérées par le fournisseur ; suppression par site ; export API ; politique à la résiliation.Ne réutilisez pas une durée trouvée dans un comparatif. Vérifiez la documentation et le contrat au moment de la configuration. La recommandation CNIL des vingt-cinq mois Pour les traceurs de mesure d’audience dans le cadre d’exemption décrit en France, la CNIL recommande que les informations collectées soient conservées pendant une durée maximale de vingt-cinq mois, avec réexamen périodique. Trois précautions :maximum ne signifie pas durée par défaut : une période plus courte peut suffire ; le cadre est conditionnel : finalité, anonymat statistique, absence de recoupement et autres conditions restent nécessaires ; les couches doivent rester séparées : logs, exports et identifiants ont leur propre analyse.Une politique peut donc fixer six mois pour les événements détaillés et vingt-quatre mois pour des rapports agrégés, si cela correspond au besoin et à l’analyse. Elle ne doit pas copier vingt-cinq mois sur toutes les bases par facilité. Tester la suppression Une politique non testée est une intention. Test 1 : données expirées Créez des événements de test horodatés ou utilisez un environnement avec une durée courte. Vérifiez qu’ils disparaissent du stockage, de l’API et des rapports concernés. Test 2 : identifiant Contrôlez l’expiration du cookie ou autre identifiant, le renouvellement et le comportement après retrait. Test 3 : export Suivez un fichier depuis sa création jusqu’à sa suppression. Vérifiez les copies, pièces jointes et corbeilles. Test 4 : sauvegarde restaurée Restaurez une sauvegarde dans un environnement isolé et vérifiez que la procédure réapplique les suppressions ou bloque l’usage des données qui auraient expiré. Test 5 : fin de contrat Demandez au fournisseur :délai d’export ; date de suppression ; sauvegardes ; confirmation ; données conservées pour obligations légales ; sous-traitants concernés.Conservez la réponse avec le dossier de sortie. Éviter les déclencheurs qui prolongent silencieusement la durée Plusieurs mécanismes peuvent repousser la suppression :renouvellement de cookie à chaque visite ; mise à jour de la ligne utilisateur ; import dans un nouvel entrepôt ; agrégation qui conserve les dimensions rares ; sauvegarde jamais tournée ; export dupliqué dans un dossier partagé ; compte de test réutilisé ; changement de politique appliqué seulement aux nouvelles données.Documentez si une modification de durée agit rétroactivement ou non. Rétention et multi-sites Une politique unique ne convient pas toujours à trente propriétés. Un site corporate, un espace authentifié et un centre d’aide peuvent avoir :des finalités différentes ; des volumes différents ; des données différentes ; des risques différents ; des pays différents.Utilisez un socle commun et des exceptions approuvées. Le dashboard multi-sites doit afficher la santé de collecte, mais l’administration doit aussi suivre la durée, le mode et la date de prochaine revue de chaque propriété. Ne mutualisez pas un identifiant entre sites uniquement pour simplifier la rétention. Qui doit valider la durée ? La décision croise plusieurs rôles :le métier explique la période nécessaire ; l’analytics owner décrit la granularité ; l’ingénierie confirme la suppression technique ; la sécurité traite les logs ; le DPO ou conseil évalue le cadre ; l’infrastructure décrit les sauvegardes ; les achats vérifient le contrat.Le propriétaire final doit être nommé. « La data » n’est pas un responsable. Le résumé de collecte et la politique de confidentialité analytics doivent reprendre les mêmes durées, avec un niveau de détail adapté à leur public. Une revue trimestrielle en dix questionsles finalités ont-elles changé ? les données détaillées sont-elles encore utilisées ? les rapports longs peuvent-ils être davantage agrégés ? les identifiants se renouvellent-ils ? les suppressions ont-elles réussi ? de nouveaux exports existent-ils ? les sauvegardes tournent-elles ? les fournisseurs ont-ils changé leur politique ? les documents publics sont-ils alignés ? une propriété inactive peut-elle être supprimée ?La meilleure réduction de risque est souvent la suppression d’un site, d’un export ou d’un événement devenu inutile. Conclusion Une durée de rétention n’est pas un nombre placé dans une politique. C’est un système qui relie finalité, granularité, accès, déclencheur et suppression. Une politique solide :sépare les identifiants, événements, agrégats, logs, sauvegardes et exports ; justifie chaque période ; évite les renouvellements silencieux ; teste les purges ; documente les exceptions ; aligne outils, contrats et information publique.Commencez par les données les plus détaillées. Demandez combien de temps elles servent réellement, puis agrégez ou supprimez. La conservation historique ne doit pas être financée par une collecte individuelle indéfinie. FAQ La CNIL impose-t-elle toujours vingt-cinq mois pour l’analytics ? Non. La CNIL recommande un maximum de vingt-cinq mois pour les informations collectées dans le cadre spécifique de certains traceurs de mesure d’audience exemptés sous conditions. Une durée plus courte peut être nécessaire ou suffisante. Les statistiques agrégées peuvent-elles être conservées indéfiniment ? Seulement si elles sont véritablement anonymes ou si un autre cadre justifie leur conservation. Une agrégation faible ou très segmentée peut encore permettre d’isoler une personne. Le réglage de rétention GA4 efface-t-il tous les rapports ? Non. Google indique que le réglage des données utilisateur et événement n’affecte pas les rapports agrégés standards. Il faut comprendre précisément quelles surfaces et données sont concernées. Faut-il supprimer les données des sauvegardes immédiatement ? La réponse dépend de l’architecture et du risque. Les sauvegardes doivent avoir une rotation limitée, des accès contrôlés et une procédure empêchant la réutilisation de données expirées après restauration. Quand commence la durée de conservation ? Le déclencheur doit être défini : collecte, dernière activité, fin de campagne, agrégation ou clôture du contrat. Évitez le renouvellement automatique lorsque le cadre ou la politique ne le permettent pas. SourcesCNIL, Les durées de conservation des données CNIL, Cookies : solutions pour les outils de mesure d’audience Règlement (UE) 2016/679, article 5, paragraphe 1, point e Google Analytics, Data retention Plausible, Data policy CNIL, Guide pratique sur les durées de conservation