Google Analytics (GA) es una de las plataformas de análisis web más utilizadas, pero rastrea datos que se consideran información personal según el Reglamento General de Protección de Datos (rgpd), la ley europea general de protección de datos.
Para evitar sanciones por infringir el reglamento, su uso de GA debe cumplir los requisitos de privacidad de datos de la rgpd.
En esta guía empresarial, te indico los pasos que puedes seguir para cumplir rgpd al utilizar GA4, la versión actual de Google Analytics.
- ¿Cómo puedo utilizar Google Analytics 4 (GA4) de forma que rgpd?
- Breve descripción general del rgpd por qué afecta a los usuarios de GA4
- ¿Qué es Google Analytics y cómo utiliza los datos personales?
- ¿Cumple Google Analytics (GA4) rgpd?
- ¿Cómo consigue Google que GA4 rgpd sea compatible?
- ¿Cómo funciona el modo de consentimiento de Google con Google Analytics?
- ¿Cómo puede ayudar Termly ?
- Google Analytics y rgpd: preguntas frecuentes
¿Cómo puedo utilizar Google Analytics 4 (GA4) de forma que rgpd?
En virtud del rgpd, usted, como propietario del sitio web, se considera el responsable del tratamiento de datos y es responsable de recopilar la información personal de los usuarios de conformidad con el reglamento, incluidos los datos recopilados a través de GA4.
Para lograrlo de forma legal, sigue todos los pasos que se indican a continuación.
Paso 1: Obtener el consentimiento para recoger datos personales
Obtener el consentimiento del usuario es una de las bases legales para el tratamiento de datos personales en virtud de la rgpd, y necesitará el consentimiento explícito de sus usuarios para utilizar Google Analytics de forma conforme.
Google lo reconoce directamente en su sección de ayuda de Analytics, que se muestra a continuación.
Para que el consentimiento del usuario sea válido en virtud de la rgpd, debe ajustarse a la definición legal descrita por el reglamento y ser:
Para cumplir las normas de consentimiento de rgpd , debe obtener un consentimiento afirmativo y proporcionar opciones de exclusión en relación con su uso de GA4, de modo que sus usuarios puedan cambiar de opinión fácilmente en cualquier momento.
Para lograrlo:
- Instala en tu página web un banner emergente de consentimiento debidamente configurado que incluya un enlace activo a tus políticas de privacidad y de cookies.
- Asegúrate de que tu política de privacidad explique claramente que utilizas Google Analytics, empleando un lenguaje fácil de leer y comprender.
- Incluye en tu política de cookies una lista de todas las cookies que GA4 instala en los navegadores de los usuarios.
- Ofrece a tus usuarios la opción de aceptar el uso de Google Analytics o de rechazar las cookies por completo, así como la posibilidad de retirar su consentimiento en cualquier momento.
Si lo prefieres, también puedes permitirles personalizar a qué se suscriben y de qué se dan de baja, de forma más específica. Pero no utilices casillas marcadas de antemano, ya que no son compatibles con el rgpd.
Para un cumplimiento completo, asegúrese de que no se produce ningún tratamiento de datos a menos que sus usuarios estén de acuerdo, y asegúrese de que el tratamiento se produce sólo después de obtener el consentimiento.
Paso 2: Pseudonimizar los ID de usuario de Google Analytics
Otro método para cumplir las recomendaciones sobre privacidad de los usuarios de rgpd es la seudonimización de los identificadores de usuario.
No obstante, es importante subrayar que los datos seudonimizados siguen estando incluidos en la definición de "datos personales" de la rgpd. En otras palabras, el cumplimiento de la rgpd sigue siendo necesario y de suma importancia.
La seudonimización es un proceso mediante el cual se altera un dato de tal forma que, sin datos adicionales, ya no sea posible vincularlo a la persona a la que corresponde.
Esto se puede conseguir utilizando un algoritmo para sustituir los datos reales por otros datos (es decir, seudónimos).
En Google Analytics, puedes:
- Utiliza un elemento denominado «user-id» para realizar un seguimiento y vincular los datos de un usuario concreto a lo largo de varias sesiones y dispositivos,
- La combinación de esos datos, asociados a un único usuario, mejora la precisión de los datos y el análisis de GA,
- Sin embargo, este seguimiento preciso se basa en ID de usuario que se consideran datos personales, ya que pueden utilizarse para identificar a usuarios individuales.
Aunque la seudonimización de estas identificaciones puede dar lugar a datos de conversión ligeramente menos precisos, merece la pena cumplir con la rgpd y evitar recibir cuantiosas multas.
Paso 3: No conservar los datos más tiempo del necesario
Al igual que muchas leyes sobre protección de datos, el rgpd que los datos personales solo deben conservarse durante el tiempo que sea necesario para la finalidad original de su recogida.
Tu política de conservación de datos al utilizar GA4 debe cumplir con este aspecto de la normativa.
Afortunadamente, esta función está integrada en GA4, ya que puedes elegir entre dos opciones de retención:
- 2 meses
- 14 meses
Revise y fije el periodo de conservación de datos en el mínimo necesario para sus operaciones.
Paso 4: Facilitar a los usuarios la política de cookies privacidad y política de cookies
El rgpd a los usuarios de la UE y del EEE varios derechos fundamentales, entre ellos el derecho a recibir información completa.
Esto significa que deberás facilitar a dichos usuarios una política de privacidad y política de cookies precisas y conformesrgpd, política de cookies puedan informarse sobre tus prácticas de tratamiento de datos.
En concreto, los interesados de rgpd tienen derecho a saber:
- Qué información personal se recoge de ellos
- Cómo se utiliza
- Cuánto tiempo está reatinado
- Con quién se comparte
- Su fundamento jurídico para utilizar los datos
También debe explicar cómo los usuarios pueden ejercer estos derechos y qué datos comparte con Google (además de cualquier otro tercero).
Dado que las cookies también se consideran información personal, debe mencionarlas en sus políticas de privacidad y cookies para cumplir con la rgpd.
GA4: ¿No es necesario anonimizar las direcciones IP?
Cuando aún existía Universal Analytics, era necesario anonimizar las direcciones IP para seguir cumpliendo la normativa rgpd.
Sin embargo, GA4 sustituyó a Universal Analytics a partir del 1 de julio de 2023. Según Google, GA4 no registra ni almacena ninguna dirección IP, lo que hace innecesario el enmascaramiento de IP.
Una dirección IP es un código único que identifica a cada dispositivo conectado a Internet.
Técnicamente, rgpd considera que las direcciones IP son datos personales, por lo que el tratamiento de esta información estaría sujeto a todos los requisitos explicados en el reglamento.
Breve descripción general del rgpd por qué afecta a los usuarios de GA4
El Reglamento General de Protección de Datos (rgpd) es una ley de la Unión Europea (UE) en materia de protección de datos y privacidad que entró en vigor el 25 de mayo de 2018.
Otorga a los ciudadanos de la UE y del Espacio Económico Europeo (EEE) nuevos derechos sobre la forma en que las empresas, las autoridades públicas, los organismos o incluso otras personas físicas tratan sus datos personales.
Aunque rgpd es un reglamento de la UE, se aplica a empresas de todo el mundo porque se centra en la ubicación del consumidor (o interesado, como se denomina en rgpd), no en la empresa.
Esto significa que la rgpd se aplica a las empresas de EE.UU. y del resto del mundo, y las multas por infringir la rgpd son tan severas en otros lugares como en Europa.
Si desea información más detallada, consulte esta completa guía rgpd . O, si quieres un resumen simplificado, aquí tienes nuestra guíargpd Guide for Dummies.
¿Qué es Google Analytics y cómo utiliza los datos personales?
Google Analytics es una plataforma gratuita de Google que los propietarios de sitios web o aplicaciones pueden utilizar para realizar un seguimiento de los datos y el comportamiento de los visitantes.
El proceso de seguimiento consiste en recopilar datos que incluyen:
- Visitas a la página,
- En qué hicieron clic los usuarios,
- Cuánto tiempo permanecieron en tu página web.
Estas estadísticas fundamentales sobre cómo interactúan tus usuarios con tu plataforma pueden ayudarte a optimizar el sitio web, aumentar las ventas y alcanzar otros objetivos.
La versión actual se llama Google Analytics 4 o GA4, pero ha habido diferentes iteraciones de este servicio de Google, que puede conocer en la tabla siguiente.
| Versión | Nombre | Fragmento de código | Finalizado |
| Google Analytics 1 (GA1) | Urchin Analytics | urchin.js | 9 de mayo de 2007 |
| Google Analytics 2 (GA2) | Análisis clásico | ga.js | 2 de abril de 2014 |
| Google Analytics 3 (GA3) | Analítica universal | analytics.js | 1 de julio de 2023 |
| Google Analytics 4 (GA4) | Google Analytics 4 | gtag.js | Versión actual |
Google Analytics coloca cookies de Internet en los navegadores de los usuarios que contienen un identificador único o ID de cookie. Según rgpd, los identificadores de cookies se consideran datos personales porque pueden utilizarse para identificar directa o indirectamente a una persona.
Las versiones anteriores del servicio también rastreaban y registraban las direcciones IP, otro dato personal según rgpd.
Por defecto, GA4 anonimiza las direcciones IP y solo proporciona ubicaciones geográficas aproximadas. Sin embargo, algunas autoridades de protección de datos (APD) de los Estados miembros siguen investigando si esto ofrece una protección adecuada.
En cualquier caso, si utilizas Google Analytics, se te considera el responsable del tratamiento de datos según el rgpd, y Google es tu encargado del tratamiento. Tanto los responsables como los encargados del tratamiento están sujetos a numerosas obligaciones legales.
¿Cumple Google Analytics (GA4) rgpd?
Aunque Google diseñó su plataforma Analytics para que cumpliera rgpd, es posible utilizarla, ya sea de forma involuntaria o intencionada, de una manera que incumpla dicho reglamento.
Sin embargo, parece que Google ha tomado medidas para garantizar que GA4, como plataforma, cumpla con rgpd .
Me centraré en cómo las cookies de Google Analytics pueden cumplir o infringir partes de la rgpd y mencionaré algunas resoluciones de los Estados miembros al respecto a lo largo de esta siguiente sección.
Google Analytics y cookies de Internet
Google Analytics 4 deja cookies en los navegadores de sus usuarios, y esas cookies están sujetas a los estrictos requisitos de tratamiento de datos que establece la rgpd.
Sin embargo, GA4 utiliza menos cookies que otras iteraciones de este servicio. Solo utiliza las siguientes:
- _ga - esta cookie se utiliza para distinguir a los usuarios y tiene una caducidad predeterminada de 2 años
- _ga_<container-id> — this cookie is used to persist the user’s session state and has a 2-year default expiration time
Aun así, la implementación de estas cookies de Google Analytics debe cumplir con la rgpd si se dirige a personas en la UE/EEE.
Esto significa que debe obtener el consentimiento expreso de cada persona antes de colocar estas cookies en sus navegadores o, de lo contrario, estará infringiendo la normativa.
Si los usuarios optan por no aceptar las cookies, debe respetarse esta preferencia; por lo tanto, no puede colocarlas en sus navegadores.
rgpd Sentencias sobre Google Analytics
Las autoridades de protección de datos de varios Estados miembros de la UE ya se han pronunciado sobre la legalidad del uso de Google Analytics en la dirección rgpd.
Analicemos con más detalle las sentencias de cumplimiento de esos países.
- Austria: En 2022, la Autoridad Austriaca de Protección de Datos (DPA), la Datenschutzbehörde, anunció que el uso de Google Analytics por parte de un sitio web infringía la sentencia Schrems II de 2020. El caso Schrems II invalidó el Marco del Escudo de Privacidad UE-EE. UU., que anteriormente había facilitado la transferencia internacional de datos personales entre los EE. UU. y los Estados miembros de la UE/EEE. Esta decisión se basó en la posibilidad de que el Gobierno de los EE. UU. accediera a los datos personales tras su transferencia a servidores estadounidenses sin informar adecuadamente a los interesados de la UE/EEE y sin que estos últimos tuvieran un control real sobre el tratamiento de sus datos personales, lo que supone una infracción directa del rgpd.
- Dinamarca: En Dinamarca, la autoridad de protección de datos, Datatilsynet, anunció en 2022 que estaba siguiendo de cerca la resolución austriaca contra Google Analytics. La autoridad investigó Universal Analytics y GA4 y, posteriormente, publicó unas directrices sobre el uso del servicio.
- Francia: La autoridad de protección de datos francesa, la Commission nationale de l’informatique et des libertés (CNIL), determinó rgpd febrero de 2022 que el uso de Google Analytics por parte de un sitio web infringía el artículo 44 del rgpd . Esta resolución se debió, una vez más, a la transferencia internacional de datos a un país que carecía de garantías adecuadas en materia de protección de datos. Posteriormente, la CNIL actualizó sus directrices sobre el uso de Google Analytics y recomendó utilizar un servidor proxy; dichas directrices están disponibles aquí en francés.
- Italia: En junio de 2022, Garante, la autoridad italiana de protección de datos, determinó que el uso de Google Analytics por parte de un sitio web infringía el rgpd a la transferencia internacional de datos a un país que carecía de garantías adecuadas en materia de privacidad. La resolución hacía referencia directa a las direcciones IP, que Universal Analytics recopilaba en aquel momento. Sin embargo, desde entonces, GA4 ha sustituido a Universal Analytics, y Google ha declarado que GA4 no realiza un seguimiento ni registra direcciones IP. No obstante, al igual que en los demás Estados miembros, también se hace referencia a la capacidad del Gobierno de EE. UU. para acceder a la información sin informar debidamente a los interesados de la UE/EEE.
- Países Bajos: En los Países Bajos, la autoridad de protección de datos, la Autoriteit Persoonsgegevens, está investigando al menos dos denuncias distintas relacionadas con las transferencias internacionales de datos y Google Analytics. Ambas denuncias se refieren a las mismas cuestiones que plantearon Austria, Italia y Francia, y las investigaciones siguen en curso.
- Noruega: En marzo de 2023, la autoridad noruega de protección de datos, Datatilsynet, también determinó que la transferencia internacional de datos personales a través de Google Analytics infringía el rgpd.
¿Cómo consigue Google que GA4 rgpd sea compatible?
Google ha expresado su compromiso con el cumplimiento de leyes de privacidad como la rgpd y ha detallado cómo practica este compromiso.
Además, han introducido e implementado por completo Google Analytics 4, un enfoque de análisis centrado en la privacidad que ha sustituido a Universal Analytics, disponible anteriormente, y que dejó de procesar nuevas visitas a partir del 1 de octubre de 2023.
A continuación te ofrecemos un breve resumen de las prácticas de privacidad de Google:
- rgpd exige una relación jurídica entre el responsable y el encargado del tratamiento. Google Analytics lo establece a través de sus términos y condiciones, que explican las condiciones de tratamiento de datos y la relación entre el responsable y el encargado del tratamiento.
- rgpd tiene estrictos requisitos de seguridad de datos, que Google se esfuerza por cumplir mediante sistemas de protección de datos de última generación y el mantenimiento de certificaciones de seguridad reconocidas internacionalmente.
- La rgpd estipula que los procesadores de datos deben ayudar a los controladores a identificar e informar de cualquier violación de datos a la autoridad de control pertinente y a sus usuarios. Google lo facilita a través de su programa de gestión de incidentes 24/7.
- La web rgpd exige que la privacidad mediante el diseño sea el enfoque por defecto en la creación de sitios y programas informáticos, y requiere evaluaciones de impacto sobre la protección de datos. Google incorpora ambos conceptos en sus prácticas de privacidad.
- rgpd enumera la minimización de datos como uno de sus principios fundamentales. Sólo debe recopilar los datos esenciales y conservarlos durante el tiempo necesario para el propósito original para el que se recopilaron. Google Analytics cumple este requisito de conservación de datos al permitir a los propietarios de sitios web controlar durante cuánto tiempo se almacenan los datos de los usuarios.
¿Cómo funciona el modo de consentimiento de Google con Google Analytics?
En 2020, Google introdujo el Modo de Consentimiento de Google para ofrecer a los propietarios de sitios web un mayor control sobre sus cookies de publicidad y análisis en relación con las opciones de consentimiento del usuario.
Así es como funciona:
- Cuando los consumidores visitan tu página web por primera vez, aparece un banner de consentimiento en el que se les pregunta si han leído y aceptan tu política de privacidad y tu política de cookies.
- A continuación, la elección de la persona se comunica a GCM a través de las g-tags.
- Si los usuarios aceptan y dan su consentimiento, las cookies de análisis se instalan en sus navegadores como de costumbre.
- Sin embargo, si deniegan su consentimiento, las etiquetas «g-tags» se actualizan y no se instalan cookies en sus navegadores.
- En cambio, GCM utiliza una tecnología inteligente de mapeo de datos basada en IA para evitar lagunas en tus datos de conversión.
Actualmente, el modo Consentimiento funciona con los siguientes servicios de Google:
- Google Analytics
- Anuncios Google
- Proyector
- Conversión Linker
Para acceder a todas sus funciones, debes utilizar en tu página web una gestión del consentimiento (CMP) compatible, como Termly; somos socios oficiales de Google en materia de CMP.
¿Cómo puede ayudar Termly ?
Termly puede ayudarle a utilizar Google Analytics y a cumplir con la rgpd ofreciéndole nuestras herramientas validadas por abogados, entre las que se incluyen:
- rgpd-listo Generador de Política de Privacidad
- rgpd-listo Generador de Política de Cookies
- rgpd-ready gestión del consentimiento Plataforma
Cuando se configura adecuadamente, nuestro CMP se integra a la perfección con el modo de consentimiento de Google para que pueda utilizar Google Analytics sin dejar de respetar las opciones de consentimiento de sus usuarios.
Además, nuestros generadores de políticas le hacen las preguntas adecuadas para garantizar que en sus políticas de privacidad y cookies aparecen las cláusulas y detalles adecuados para que cumpla plenamente la normativa.
¿Y lo mejor? Puedes gestionarlo todo en un solo lugar, directamente desde el panel de control de Termly .
Nos encargamos de las partes complejas del cumplimiento de la privacidad para que pueda ofrecer a sus consumidores una experiencia en línea segura y conforme a la ley.
Google Analytics y rgpd: preguntas frecuentes
A continuación, respondo a algunas de las preguntas más frecuentes Termly sobre Google Analytics y rgpd .
¿Cumple Google Analytics rgpd?
Google Analytics no cumple necesariamente rgpd de forma predeterminada; tendrás que tomar algunas medidas adicionales, como proporcionar una política de privacidad y política de cookies que cumplan con la normativa política de cookies obtener el consentimiento explícito y voluntario del usuario antes de que se active cualquiera de las cookies de GA.
También es importante destacar que el cumplimiento del rgpd un proceso continuo en el que se sigue trabajando.
¿Recopila Google Analytics datos personales?
Google afirma que Google Analytics no recopila "información personal identificable" o IIP. Sin embargo, deja cookies en los navegadores, lo que rgpd considera información personal.
Por tanto, tendrá que tomar medidas para obtener el consentimiento del usuario y comunicar adecuadamente el uso que hace de las cookies para cumplir plenamente la normativa rgpd .
¿Qué cookies utiliza Google Analytics?
Google Analytics 4 utiliza las siguientes cookies de origen:
- _ga - esta cookie se utiliza para distinguir a los usuarios y tiene una caducidad predeterminada de 2 años
- _ga_<container-id> — this cookie is used to persist the user’s session state and has a 2-year default expiration time
¿Puede funcionar Google Analytics sin utilizar cookies?
Sí, si activas el «Modo de consentimiento» de Google, podrás utilizar Google Analytics sin necesidad de recurrir a las cookies, ya que permitirá que tu sitio web funcione en función del estado de consentimiento de tus usuarios.
Esto se debe a que son las g-tags, y no las cookies, las que transmiten a GCM las opciones de consentimiento de tus usuarios.
¿Cuáles son las alternativas a Google Analytics?
Algunas alternativas a Google Analytics son las siguientes:
- Adobe Analytics
- Matomo Analytics
- Análisis plausibles
- Fathom Analytics
- Hotjar
- Haga clic en
¿Cumple Google Analytics otras leyes de protección de datos?
Sí, puedes utilizar Google Analytics y cumplir con otras leyes de protección de datos. No obstante, debes informar sobre el uso de GA en tu política de privacidad.
En virtud de leyes como la Ley de Privacidad del Consumidor de California (CCPA), también debe atender las solicitudes de exclusión voluntaria y de limitación de datos presentadas por los consumidores.
¿Cumplen las demás plataformas analíticas la normativa rgpd?
Si se configura correctamente, puede utilizar otras plataformas analíticas de forma compatible con rgpd, incluidas:
- Análisis sencillos
- PostHog
- Fathom Analytics
- Matomo Analytics
Google Analytics es una herramienta de datos esencial para las empresas, pero utilizarla de forma que cumpla la normativa rgpd implica tomar algunas medidas adicionales.
Las autoridades de protección de datos de la UE y el EEE siguen debatiendo la legalidad de las transferencias internacionales de datos en relación con Google Analytics y si GA4 anonimiza adecuadamente las direcciones IP, por lo que es vital que tome todas las medidas necesarias para demostrar que lo utiliza de forma compatible con rgpd.
Como mínimo, presente a sus usuarios una información precisa sobre privacidad y política de cookies, explique el uso que hace de GA4 y solicite su consentimiento antes de colocar cookies analíticas en sus navegadores, garantizando al mismo tiempo que puedan retirarlo fácilmente en cualquier momento.
Utiliza TermlyGenerador de política de privacidad y gestión del consentimiento de Termly para ayudarte a cumplir con el rgpd otras importantes leyes de protección de datos.
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Teodor Stanciu, CIPP/E, CIPM
Teodor Stanciu es coordinador jurídico y delegado de protección de datos, licenciado en Derecho por la Universidad de Bucarest y máster en Derecho de la Unión Europea y Derecho Mercantil Internacional por la Universidad Radboud.
Leer todas las publicaciones revisadas por Teodor Stanciu, CIPP/E, CIPM
Cumplir con la rgpd GRATIS
