サービスを展開する上でユーザーに登録してもらったEmailアドレス、ログインIDとして使っているサービスもたくさんありますね。
そのログインIDをそのままGAにユーザーIDとして送信していないでしょうか？
今回は、Google Analyticsを利用する上で、理解しておかなければいけない個人情報の取り扱いポリシーについて書きたいと思います。利用する前に絶対に確認して念頭においておくべき点ですが、割とポリシー違反をしている場合が見受けられるので注意喚起の意味も込めて。。

Googleの定義する個人情報

Googleの個人情報の定義は**「それ単体で個人の特定、個人への接触、個人の所在地の特定を可能にするもの」**となっています。
Googleの契約およびポリシーにおける個人情報の扱いによると具体的には下記のような情報が当てはまります。

メールアドレス
住所
電話番号
高精度な位置情報（GPS 座標など。以下の注を参照）
フルネームやユーザー名

これらの情報をGAに送信することはポリシー違反となります。個人情報はユーザーID、ユーザープロパティ、カスタムディメンションなどなどに、絶対に設定しないようにしましょう。

違反したらどうなるの？

単刀直入に言えば、判明した時点で垢バンされます。アカウント停止の前になんらかの警告があるかもしれませんが、センシティブな問題なので、ポリシー違反としていきなり使えなくなる可能性が高いと思います。

回避方法

すでに集めてしまったデータについては、データの削除リクエストを行うことができます。イベントパラメータやユーザープロパティに個人情報を含めてしまった場合にはこちらのリクエストを出すことで削除したいデータのみを削除することができそうです。(※未検証です)

まとめ

GAの計測設計時に、設計者は必ずGoogleのプライバシーとセキュリティのページを確認し、ポリシーに沿った設計を行うようにしなければいけません。
小さな会社のサービスでは、計測設計者=開発者のところも多いかと思います。私が以前所属していた会社がそうで、特に計測設計などは行わず、とりあえずGAの導入ヘルプだけを見て設定を入れるという感じでした。
「設定できるからこれでいいじゃん！」と安易に個人情報を設定しないよう、取り扱いには気をつけたいところです。