{"id":13112,"date":"2026-09-20T18:25:00","date_gmt":"2026-09-20T16:25:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13112"},"modified":"2026-09-09T13:22:05","modified_gmt":"2026-09-09T11:22:05","slug":"tutorial-znajdowanie-danych-osobowych-w-sciezkach-stron-ga4-i-ich-usuwanie","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/data-privacy-pl\/tutorials-pl-data-privacy-pl\/tutorial-znajdowanie-danych-osobowych-w-sciezkach-stron-ga4-i-ich-usuwanie\/","title":{"rendered":"Tutorial: Znajdowanie danych osobowych w \u015bcie\u017ckach stron GA4 i ich usuwanie"},"content":{"rendered":"

Dane osobowe nie trafiaj\u0105 do us\u0142ugi analitycznej wskutek decyzji. Trafiaj\u0105 tam, bo formularz wysy\u0142a metod\u0105 GET zamiast POST, bo odno\u015bnik do resetu has\u0142a niesie adres albo bo pole wyszukiwania wpisuje wpisan\u0105 tre\u015b\u0107 do adresu.<\/p>\n

Nic w interfejsie tego nie zg\u0142asza. \u015acie\u017cka strony to zwyk\u0142y wymiar, a \u015bcie\u017cka z adresem pocztowym wygl\u0105da na li\u015bcie czterech tysi\u0119cy jak ka\u017cda inna. Znalezienie jej kosztuje jedno zapytanie i sze\u015b\u0107 wzorc\u00f3w; pozbycie si\u0119 jej kosztuje dwa osobne dzia\u0142ania, bo wyciek i zapisany zas\u00f3b to r\u00f3\u017cne zadania.<\/p>\n

\n\"Adres
Dwie z pi\u0119ciu stacji mog\u0105 jeszcze usun\u0105\u0107 warto\u015b\u0107. Od czwartej jest ju\u017c zapisana, a zmienia to wy\u0142\u0105cznie wniosek o usuni\u0119cie.<\/figcaption><\/figure>\n

Co w \u015bcie\u017cce strony jest dan\u0105 osobow\u0105<\/h2>\n

Przypadki oczywiste to adresy pocztowe i numery telefon\u00f3w. Mniej oczywiste sprawiaj\u0105 wi\u0119cej k\u0142opotu, bo w og\u00f3le nie zostaj\u0105 rozpoznane jako osobowe.<\/p>\n

Numer zam\u00f3wienia jest dan\u0105 osobow\u0105, gdy tylko da si\u0119 go rozwi\u0105za\u0107 do osoby w innym systemie – a zwykle si\u0119 da. Token do resetu has\u0142a nie jest dan\u0105 osobow\u0105, lecz tajemnic\u0105, a tajemnica w raporcie analitycznym stoi otworem dla ka\u017cdego z prawem odczytu us\u0142ugi. Wyra\u017cenie wyszukiwane jest dan\u0105 osobow\u0105, gdy tylko ludzie wpisuj\u0105 w pole w\u0142asne nazwisko albo adres – w sklepie z wyszukiwaniem zam\u00f3wie\u0144 codziennie.<\/p>\n

Wszystkie \u0142\u0105czy droga: przychodz\u0105 adresem URL, a adres dociera do GA4 w ca\u0142o\u015bci. Wszystko za znakiem zapytania staje si\u0119 cz\u0119\u015bci\u0105 wymiaru strony, a fragment za krzy\u017cykiem jest jedyn\u0105 cz\u0119\u015bci\u0105, kt\u00f3ra nigdy nie opuszcza przegl\u0105darki.<\/p>\n

Pobranie \u015bcie\u017cek stron z us\u0142ugi<\/h2>\n

Data API zwraca te same wymiary co raporty, bez ich ogranicze\u0144 liczby wierszy. Jedno \u017c\u0105danie za d\u0142ugi okres przynosi wszystko, co kiedykolwiek zosta\u0142o zebrane.<\/p>\n

curl -X POST \\\n  \"https:\/\/analyticsdata.googleapis.com\/v1beta\/properties\/123456789:runReport\" \\\n  -H \"Authorization: Bearer $TOKEN\" \\\n  -H \"Content-Type: application\/json\" \\\n  -d '{\n    \"dateRanges\":  [{ \"startDate\": \"395daysAgo\", \"endDate\": \"today\" }],\n    \"dimensions\":  [{ \"name\": \"pagePathPlusQueryString\" }],\n    \"metrics\":     [{ \"name\": \"screenPageViews\" }],\n    \"limit\": 100000,\n    \"orderBys\": [{ \"metric\": { \"metricName\": \"screenPageViews\" }, \"desc\": true }]\n  }'<\/code><\/pre>\n
O kompletno\u015bci wyniku rozstrzygaj\u0105 trzy szczeg\u00f3\u0142y. Wymiar musi by\u0107 tym z ci\u0105giem zapytania – sam pagePath<\/code> odcina dok\u0142adnie t\u0119 cz\u0119\u015b\u0107, w kt\u00f3rej dane zwykle siedz\u0105. Okres powinien si\u0119ga\u0107 tak daleko wstecz, jak us\u0142uga przechowuje dane, bo wyciek naprawiony p\u00f3\u0142 roku temu nadal tkwi w zapisanych wierszach. A us\u0142uga z wieloma \u015bcie\u017ckami wymaga stronicowania: odpowied\u017a niesie liczb\u0119 wierszy, a wszystko poza limitem wymaga drugiego \u017c\u0105dania z przesuni\u0119ciem.<\/p>\n
S\u0142owo o przydziale. API rozlicza znaczniki na us\u0142ug\u0119 i dzie\u0144, a zapytanie za czterysta dni ze stoma tysi\u0105cami wierszy nie jest darmowe. Przeprowadza\u0107 je raz na kwarta\u0142 ma sens; przeprowadza\u0107 w p\u0119tli przy budowaniu zu\u017cywa dzienny przydzia\u0142 w jedno popo\u0142udnie.<\/p>\n
Wzorce, kt\u00f3rych warto szuka\u0107<\/h2>\n
Sze\u015b\u0107 wzorc\u00f3w obejmuje niemal ka\u017cde znalezisko i nale\u017cy je stosowa\u0107 do postaci surowej oraz odkodowanej \u015bcie\u017cki – bo adres przychodzi r\u00f3wnie cz\u0119sto jako %40<\/code> jak jako @<\/code>.<\/p>\n
import re, urllib.parse\n\nMUSTER = {\n    \"mail\":       re.compile(r\"[\\w.+-]+@[\\w-]+\\.[\\w.]{2,}\"),\n    \"mail_kod\":   re.compile(r\"[\\w.+-]+%40[\\w-]+\"),\n    \"telefon\":    re.compile(r\"(?:\\+|00)\\d{7,15}|\\b0\\d{8,13}\\b\"),\n    \"schluessel\": re.compile(r\"[?&](?:token|hash|auth|key|sig|pwd|password)=\", re.I),\n    \"namensfeld\": re.compile(r\"[?&](?:name|vorname|nachname|first|last|user)=\", re.I),\n    \"suche\":      re.compile(r\"[?&](?:q|s|search|query)=\", re.I),\n}\n\ndef pruefe(pfad):\n    formen = {pfad, urllib.parse.unquote(pfad)}\n    return {name for name, m in MUSTER.items() if any(m.search(f) for f in formen)}<\/code><\/pre>\n
Dwa ostatnie wymagaj\u0105 drugiego spojrzenia, zanim cokolwiek zostanie zg\u0142oszone. Parametr o nazwie name<\/code> niesie cz\u0119sto nazw\u0119 produktu, a nie osob\u0119, a parametr wyszukiwania jest problemem tylko wtedy, gdy ludzie wpisuj\u0105 tam dane osobowe – rozstrzyga to przeczytanie dwudziestu prawdziwych warto\u015bci, a nie nazwa parametru.<\/p>\n
Wzorzec telefonu daje najwi\u0119cej fa\u0142szywych trafie\u0144 ze wszystkich: numery zam\u00f3wie\u0144, numery artyku\u0142\u00f3w i daty postaci 20260920 pasuj\u0105 do d\u0142ugiego ci\u0105gu cyfr. Ograniczenie go do parametr\u00f3w, w kt\u00f3rych wyst\u0119puje, zamiast do ca\u0142ej \u015bcie\u017cki, usuwa wi\u0119kszo\u015b\u0107 tego.<\/p>\n
Redakcja na strumieniu zamiast w tagu<\/h2>\n
Gdy znaleziska s\u0105 znane, wyciek zamyka si\u0119 w najwcze\u015bniejszym opanowanym miejscu. GA4 oferuje to na samym strumieniu danych i obowi\u0105zuje to dla wszystkiego, co strumie\u0144 odbiera, niezale\u017cnie od tego, kt\u00f3ry tag wys\u0142a\u0142.<\/p>\n
Ustawienie siedzi w administracji przy strumieniu internetowym, w ustawieniach tagu, pod nazw\u0105 Redagowanie danych<\/strong>. Sk\u0142ada si\u0119 z dw\u00f3ch cz\u0119\u015bci: automatycznego usuwania wszystkiego, co wygl\u0105da jak adres pocztowy, oraz listy nazw parametr\u00f3w, kt\u00f3rych warto\u015bci zostaj\u0105 zast\u0105pione przed zapisem.<\/p>\n
token, hash, auth, key, sig, pwd, password,\nemail, mail, e-mail, user, username,\nphone, tel, mobile,\nname, firstname, lastname<\/code><\/pre>\n
Ta lista nale\u017cy do tego samego miejsca co wyniki przebiegu i powinna by\u0107 uzupe\u0142niana, gdy tylko przebieg znajdzie nowy parametr. Redakcja dzia\u0142a dok\u0142adnie: parametr zapisany na jednej stronie inaczej – e_mail<\/code> zamiast email<\/code> – przechodzi nietkni\u0119ty.<\/p>\n
Dwie uwagi o umiejscowieniu wobec pozosta\u0142ych dr\u00f3g. Nadpisanie page_location<\/code> w mened\u017cerze tag\u00f3w te\u017c dzia\u0142a i chwyta wcze\u015bniej, ale wy\u0142\u0105cznie dla trafie\u0144 tego jednego tagu; drugi tag albo wywo\u0142anie gtag wpisane na sta\u0142e w motyw je omija. Czyszczenie w kontenerze serwerowym jest drog\u0105 najmocniejsz\u0105 i jedyn\u0105 chroni\u0105c\u0105 tak\u017ce przekazanie do platform reklamowych – to osobna praca z w\u0142asnym artyku\u0142em. Ustawienie strumienia jest tym, kt\u00f3re kosztuje dziesi\u0119\u0107 minut i obejmuje wszystko.<\/p>\n
Ju\u017c zapisany zas\u00f3b<\/h2>\n
Redakcja obowi\u0105zuje dla trafie\u0144 od tej chwili. Nie zmienia nic w wierszach le\u017c\u0105cych ju\u017c w us\u0142udze – a w\u0142a\u015bnie one licz\u0105 si\u0119 dla pytania o ochron\u0119 danych.<\/p>\n
Usuwa je wniosek o usuni\u0119cie danych, w administracji na poziomie us\u0142ugi. W\u0142a\u015bciwy typ kasuje wybrane parametry we wszystkich zdarzeniach, a adres strony jest jednym z tych parametr\u00f3w.<\/p>\n
Trzy w\u0142a\u015bciwo\u015bci tego trybu warto pozna\u0107 przed uruchomieniem. Ma okres oczekiwania liczony w dniach, w kt\u00f3rym da si\u0119 go wycofa\u0107 – to zamierzone i po\u017cyteczne. Raz uruchomiony, potrzebuje do oko\u0142o dw\u00f3ch miesi\u0119cy na pe\u0142ne zastosowanie. I jest nieodwracalny: wymiar strony z tego okresu przepada potem tak\u017ce dla \u015bcie\u017cek nieszkodliwych, je\u017celi wniosek obejmowa\u0142 ca\u0142y parametr.<\/p>\n
Czego wniosek nie dotyka, to eksport do BigQuery. Dane wyeksportowane przed usuni\u0119ciem le\u017c\u0105 w zbiorze, nad kt\u00f3rym us\u0142uga nie ma ju\u017c w\u0142adzy, i tam trzeba je usun\u0105\u0107 osobno – instrukcj\u0105 DELETE<\/code> albo przez zbudowanie tabeli na nowo, za ten sam okres.<\/p>\n
UPDATE `projekt.analytics_123456789.events_*`\nSET event_params = ARRAY(\n      SELECT AS STRUCT\n        p.key,\n        IF(p.key = 'page_location',\n           STRUCT(REGEXP_REPLACE(p.value.string_value,\n                  r'([?&](?:email|token|phone)=)[^&]*', r'\\1[entfernt]')\n                  AS string_value, p.value.int_value,\n                  p.value.float_value, p.value.double_value),\n           p.value) AS value\n      FROM UNNEST(event_params) AS p)\nWHERE _TABLE_SUFFIX BETWEEN '20260101' AND '20260920';<\/code><\/pre>\n
Czego przebieg nie widzi<\/h2>\n
Trzy miejsca nios\u0105 ten sam rodzaj danych i w tym raporcie si\u0119 nie pojawiaj\u0105.<\/p>\n
Pierwszym s\u0105 parametry zdarze\u0144 poza adresem strony. Pomiar formularza wysy\u0142aj\u0105cy wpisan\u0105 warto\u015b\u0107 jako parametr odk\u0142ada j\u0105 do wymiaru niestandardowego, a powy\u017cszy przebieg nigdy tam nie zagl\u0105da. To samo zapytanie Data API z wymiarem niestandardowym zamiast \u015bcie\u017cki strony j\u0105 znajduje, i takie zapytanie warto wykona\u0107 raz dla ka\u017cdego zg\u0142oszonego wymiaru.<\/p>\n
Drugim jest pole identyfikatora u\u017cytkownika. Us\u0142uga maj\u0105ca odbiera\u0107 identyfikator u\u017cytkownika, a dostaj\u0105ca zamiast tego adres pocztowy, to naruszenie podr\u0119cznikowe i w raportach niewidoczne, bo w wi\u0119kszo\u015bci z nich pole to w og\u00f3le nie wyst\u0119puje. Sprawdzenie jest takie jak wsz\u0119dzie: obejrze\u0107 prawdziwe warto\u015bci, a nie nazw\u0119 pola.<\/p>\n
Trzecim jest wszystko, co dom ju\u017c opu\u015bci\u0142o. Je\u017celi trafienia sz\u0142y tak\u017ce do platformy reklamowej, redakcja w GA4 nie zmienia nic w kopii, kt\u00f3ra tam dotar\u0142a – a ta platforma ma w\u0142asn\u0105 drog\u0119 usuwania. List\u0119 odbiorc\u00f3w warto spisa\u0107 przed pierwszym wnioskiem o usuni\u0119cie, bo sam wniosek jej nie wytwarza.<\/p>\n
\n
\u0179r\u00f3d\u0142a<\/h2>\n