Google Analytics 4 y RGPD: cómo usarlo legal en España

La duda es concreta: ¿puedo seguir usando Google Analytics en mi web sin meterme en un lío con la protección de datos? La respuesta corta a día de hoy es que sí se puede usar, pero no de cualquier manera: hace falta consentimiento del visitante, una configuración cuidada y tenerlo bien reflejado en tus textos legales. En esta guía vas a ver qué cambió respecto a los años en que Analytics estuvo señalado, qué tienes que activar para que tu uso sea defendible, y en qué casos a una pyme le compensa más una alternativa europea. Sin humo legal: criterios que puedes aplicar tú.

Por qué varias autoridades europeas señalaron a Analytics y qué ha cambiado desde entonces

Hace unos años, autoridades de protección de datos de varios países europeos (Austria, Francia e Italia entre los primeros) declararon que el uso de Google Analytics tal como se hacía entonces no cumplía el RGPD. El motivo de fondo no era el propio contador de visitas, sino que los datos acababan tratándose en Estados Unidos sin una base legal sólida para esa transferencia. En aquel momento no existía un marco válido que amparase enviar datos personales de europeos a servidores estadounidenses, y eso dejaba la herramienta en el aire.

Desde entonces han cambiado dos cosas relevantes. La primera, que Google sustituyó la versión antigua (Universal Analytics) por Google Analytics 4, con un tratamiento distinto de las direcciones IP y de los identificadores. La segunda, y más importante desde el punto de vista legal, es que apareció un nuevo marco para las transferencias a Estados Unidos. Eso no significa que el asunto esté cerrado para siempre, pero sí que el escenario de hoy no es el de aquellos primeros pronunciamientos. Conviene no quedarse con titulares de hace tres años.

El Marco de Privacidad de Datos UE-EEUU: qué cubre y qué no

El llamado Marco de Privacidad de Datos UE-EEUU (Data Privacy Framework) es el acuerdo que hoy permite transferir datos personales a empresas estadounidenses que estén adheridas a él. Google figura entre las adheridas, lo que da cobertura legal a esas transferencias mientras el marco siga vigente.

Qué cubre: da una base para que los datos que recoge Analytics puedan tratarse en Estados Unidos sin necesidad de montar por tu cuenta mecanismos legales adicionales complicados. Qué no cubre: no te exime de lo demás. Aunque la transferencia esté amparada, sigues necesitando el consentimiento del visitante para las cookies de analítica, seguir teniendo tu información legal en orden y respetar los derechos de las personas. El marco resuelve una pieza del puzzle (el viaje del dato al otro lado del Atlántico), no todo el puzzle.

Y un aviso honesto: este tipo de acuerdos han sido tumbados por los tribunales europeos en el pasado. No podemos garantizarte que este vaya a durar. Por eso la recomendación práctica es cumplir bien con lo que depende de ti y no montar toda tu estrategia sobre la suposición de que este marco será eterno.

Consent Mode v2: qué resuelve legalmente y qué no resuelve

Aquí hay una confusión muy extendida que conviene deshacer. El Consent Mode v2 de Google es un mecanismo técnico: sirve para que tus etiquetas de Google (Analytics, Ads) se comporten según lo que el visitante haya aceptado o rechazado en tu banner de cookies. Si el usuario dice que no, las etiquetas ajustan su comportamiento y dejan de usar cookies para ese visitante.

Lo que resuelve: es la pieza técnica que conecta tu banner de consentimiento con las herramientas de Google, y Google lo exige para ciertas funciones de publicidad. Sin él, tu banner puede estar diciendo «no» mientras las etiquetas siguen a lo suyo.

Lo que no resuelve: no es tu base legal. Activar Consent Mode v2 no sustituye a pedir el consentimiento de verdad con un banner en condiciones. Si tu banner no está bien planteado (por ejemplo, si carga Analytics antes de que el usuario acepte, o si el botón de rechazar está escondido), tener Consent Mode activado no te salva. Primero necesitas un banner conforme; Consent Mode es lo que hace que ese «sí» o ese «no» lleguen de verdad a Google. El orden importa: consentimiento válido primero, mecanismo técnico después. Si tu banner es de los que «todo el mundo tiene pero nadie mira», empieza por dejarlo conforme siguiendo la guía de cómo tener un banner de cookies conforme a la AEPD.

Configuración mínima defendible de GA4 para una pyme española

Esto es lo que puedes hacer tú, sin consultora, para dejar tu uso de Analytics en un punto razonable. «Defendible» quiere decir que, si mañana alguien te pregunta, puedes explicar cada decisión:

Nada de Analytics antes del consentimiento. El script de GA4 no debe cargarse hasta que el visitante haya aceptado en el banner. Muchas webs lo cargan al entrar y el banner es puro adorno: eso no vale.
Consent Mode v2 conectado a tu gestor de consentimiento. Para que el «no» del usuario llegue a Google, como veíamos.
Revisa la retención de datos. En la propia configuración de GA4 puedes fijar cuánto tiempo se guardan los datos a nivel de usuario. Elige el plazo más corto que te sirva; no guardes durante años lo que usas para mirar el mes pasado.
Desactiva lo que no uses. Señales de datos, compartición con Google para publicidad, funciones de personalización: si no las necesitas para tu negocio, apágalas. Cada función activa es un tratamiento más que tienes que justificar.
Firma el acuerdo de tratamiento de datos. Al usar Analytics, Google actúa como encargado del tratamiento y hay condiciones que aceptas al configurarlo. Ténlo presente y documentado.

Con estos cinco puntos no estás «blindado» (nadie puede prometerte eso), pero tienes un uso ordenado y explicable, que es lo que se espera de una pyme diligente.

Alternativas alojadas en la UE y qué pierdes al cambiar

Si prefieres quitarte de encima el asunto de las transferencias, existen herramientas de analítica alojadas en la Unión Europea. Las hay que ni siquiera usan cookies y que, por diseño, recogen menos datos personales, lo que simplifica mucho tu cumplimiento (algunas incluso te permiten prescindir del banner para esa parte, aunque eso hay que confirmarlo caso por caso).

Qué ganas: menos exposición legal, datos que no salen de Europa y, a menudo, un panel más sencillo. Qué pierdes al cambiar:

Integración con Google Ads. Si haces campañas de pago en Google, Analytics encaja de forma nativa; una alternativa externa no siempre.
Detalle y funciones avanzadas. GA4 ofrece análisis muy profundos. Las alternativas ligeras dan las métricas que una pyme usa de verdad (visitas, páginas, origen del tráfico), pero no todo.
Histórico. Cambiar rompe la continuidad con tus datos antiguos, salvo que exportes.

Para la mayoría de webs de pyme que solo quieren saber cuánta gente entra y de dónde viene, una alternativa europea cubre de sobra y quita quebraderos de cabeza. Si dependes de campañas de Ads con seguimiento fino, la balanza se inclina hacia quedarte en GA4 bien configurado.

Qué escribir sobre Analytics en tu política de privacidad

Uses lo que uses, tiene que estar reflejado en tus textos legales. En tu política de privacidad y en tu política de cookies debe constar, de forma clara:

Que usas una herramienta de analítica y cuál es.
Para qué la usas (medir el uso de la web, entender de dónde llega el tráfico).
Que implica el uso de cookies y que estas se activan solo con tu consentimiento.
Si hay transferencia internacional de datos, mencionarlo y decir en qué se ampara.
Cómo puede el visitante revocar el consentimiento.

No hace falta prosa jurídica imposible: hace falta que sea veraz y que coincida con lo que tu web hace de verdad. El error más común es tener una política que menciona herramientas que ya no usas, o que no menciona las que sí. Repasa que cuadre. Si quieres asegurarte de que no te falta ningún documento obligatorio, revisa el listado de textos legales obligatorios en una web, y encaja todo esto dentro de las obligaciones de protección de datos y ciberseguridad para pymes.

Errores frecuentes con Tag Manager y píxeles de terceros

Analytics rara vez viaja solo. Lo habitual es tenerlo dentro de Google Tag Manager, junto al píxel de Meta (Facebook), etiquetas de conversión y algún que otro script que instaló alguien en su día y ya nadie recuerda. Ahí es donde se cuelan los problemas:

Etiquetas que disparan antes del consentimiento. Tener el banner no sirve de nada si Tag Manager lanza el píxel de Meta nada más cargar la página. Cada etiqueta que trate datos personales debe respetar el consentimiento.
Píxeles fantasma. Scripts de terceros que siguen ahí de una campaña vieja, enviando datos a saber dónde. Si no lo usas, quítalo.
Perder de vista qué carga tu web. Con el tiempo dejas de saber qué scripts corren en tus páginas. Y lo que no sabes que está, no lo puedes controlar ni declarar.

La regla es sencilla: solo puedes cumplir con lo que sabes que existe. Si no tienes claro qué scripts de terceros carga tu web, míralo gratis con PathScan: verás qué se está cargando visto desde fuera, que suele incluir alguna sorpresa olvidada. A partir de ahí ya decides qué se queda, qué se ata al consentimiento y qué se va.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio