Google Analytics y datos personales según el RGPD
Empieza por identificar la configuración concreta: ¿qué propiedad y configuración de Google Analytics se utilizan?
La respuesta breve es: a veces. Que Google Analytics recopile datos personales según el RGPD depende de lo que envíe un sitio web concreto, de cómo los procese Google y de si la información puede vincularse con una persona identificable. El propietario de un sitio no puede resolver esta cuestión limitándose a nombrar el producto.
Empieza por identificar la propiedad utilizada. Un sitio puede usar Google Analytics 4 (GA4), una propiedad antigua de Universal Analytics o ambas durante una transición. Sus métodos de recopilación y los controles disponibles son distintos, y el funcionamiento del producto de Google cambia con el tiempo. Comprueba la configuración actual de la propiedad y de las etiquetas, en lugar de confiar en una guía de instalación antigua.
Después, traza el sistema que la rodea. Una etiqueta de GA4 puede ejecutarse mediante Google Tag Manager, una plataforma de gestión del consentimiento, una etiqueta publicitaria o un complemento que añada campos automáticamente. Una herramienta de formularios o una base de datos de clientes también podría enviar identificadores a Analytics. Por eso, una misma propiedad puede plantear cuestiones de privacidad diferentes en dos sitios web.
Delimita bien el análisis: una propiedad, un conjunto de etiquetas y los datos que realmente envían. Si una cuenta tiene propiedades distintas para un blog público y un servicio al que se accede con inicio de sesión, revísalas por separado. Sus finalidades y flujos de datos pueden ser distintos. Esta revisión es el punto de partida para entender Google Analytics y el RGPD para sitios web.
Sigue una visita a través del flujo de Analytics
Imagina que un visitante abre una página de producto desde un resultado de búsqueda. La página carga una etiqueta de Google Analytics, que puede enviar un evento, como una vista de página, junto con los detalles configurados por el sitio. Según la implementación, esos detalles pueden incluir la dirección de la página, información del navegador, el nombre de un evento o un identificador.
Google recibe y procesa la solicitud conforme a la configuración del producto y las condiciones aplicables. El sitio también puede enviar información mediante servicios vinculados, como funciones publicitarias o una audiencia importada. Una visita no tiene por qué quedar registrada como un dato aislado: la configuración puede influir en cómo se asocian y presentan los eventos, o en cómo se comparten con otras herramientas.
Examina con atención la dirección de la página. Una URL puede contener una dirección de correo electrónico, un término de búsqueda, un número de cuenta u otro dato si el sitio lo incluye en un parámetro de consulta. Por ejemplo, un enlace para restablecer una contraseña puede incluir un token. Si una etiqueta registra la URL completa, el sitio podría estar enviando más que el nombre de una página.
Basta con una sola solicitud.
Eso no significa que cada visita identifique a una persona por su nombre. Sí significa que el propietario del sitio debe inspeccionar la solicitud y los sistemas relacionados, en lugar de suponer que Analytics solo recibe recuentos anónimos. Para saber cómo revisar los datos que envía Google Analytics, utiliza las herramientas del navegador, las vistas previas de etiquetas y una visita de prueba; registra los resultados para la propiedad que estés revisando.
Distingue entre la recopilación de datos y su consideración como datos personales
La recopilación de datos y su consideración como datos personales están relacionadas, pero no son la misma cuestión. Un evento de vista de página es un dato. Que sea un dato personal según el RGPD depende de su contenido y contexto, incluso de si se puede identificar a una persona directa o indirectamente mediante información disponible para el sitio u otra parte.
Un identificador que parece aleatorio también puede ser relevante. Si permite distinguir un navegador a lo largo del tiempo o se puede asociar a un registro de cliente, puede ayudar a identificar a una persona aunque el informe de Analytics no muestre su nombre. Si el sitio puede vincular un ID de evento con una cuenta a la que se ha iniciado sesión, debe evaluar esa conexión, no fijarse únicamente en la etiqueta del campo.
El contexto cambia la respuesta.
Piensa en dos registros con el mismo nombre de evento: «view_item». Uno es un recuento general de una página de producto pública. El otro incluye un ID de usuario persistente que la empresa puede asociar a una cuenta y a su historial de compras. La etiqueta del evento no ha cambiado, pero sí la posibilidad de vincular el registro.
Por eso, la pregunta «¿Google Analytics recopila datos personales según el RGPD?» no tiene una respuesta universal de sí o no válida para todos los sitios web. La evaluación práctica tiene en cuenta los identificadores, los datos adicionales, el acceso y las posibilidades de vinculación que intervienen en el tratamiento concreto. La información seudonimizada no se vuelve anónima automáticamente por el mero hecho de que no incluya nombres.
Comprueba los campos y las funciones que pueden cambiar la evaluación
Revisa los campos y las funciones que pueden afectar a la posibilidad de identificar a alguien o a la cantidad de información recopilada. No des por hecho que una función está activada —o desactivada— porque apareciera en una guía de configuración anterior. Comprueba los ajustes actuales de la propiedad y la documentación de Google.
Tratamiento de las direcciones IP: Confirma qué recibe y procesa la versión actual del producto y qué controles se aplican. No afirmes que las IP se anonimizan basándote en un ajuste de una versión antigua de Analytics.
IDs de usuario: Si el sitio envía un identificador de cuenta, comprueba si es estable, si se puede asociar a un cliente y si el sitio está autorizado a enviarlo para la finalidad configurada.
Google Signals y funciones publicitarias: Comprueba si están activados, qué información utilizan y si modifican los informes o el intercambio de datos de la propiedad.
Parámetros de URL: Prueba páginas reales para detectar datos personales en cadenas de consulta, fragmentos y enlaces de redireccionamiento. Un token o una dirección de correo electrónico pueden acabar en la URL de una página aunque nadie tuviera la intención de utilizarlos como campo de Analytics.
Dimensiones personalizadas y eventos: Inspecciona los nombres y valores que envía el sitio. Un campo personalizado llamado «tipo de plan» puede ser inocuo en una configuración, mientras que un campo con una dirección de correo electrónico, una respuesta de texto libre o un dato de salud plantea una cuestión distinta.
Comprueba también qué ocurre después de que los datos lleguen a la propiedad. Las cuentas vinculadas, las exportaciones y las integraciones pueden ampliar quién accede a la información o cómo se utiliza. Limitar la recopilación con un ajuste no resuelve todas las cuestiones sobre el uso posterior.
Qué aclaran —y qué no— el papel y las condiciones de Google
Los documentos contractuales de Google pueden describir los papeles de Google y del cliente en determinados tratamientos, incluidas las circunstancias en las que Google actúa como encargado del tratamiento. Lee las condiciones aplicables al servicio y a la cuenta, y comprueba que el texto esté actualizado. La descripción de un producto, por sí sola, no determina la situación completa del sitio con respecto al RGPD.
El propietario del sitio sigue teniendo que evaluar sus propias finalidades, base jurídica, transparencia, configuración y las comunicaciones o transferencias que correspondan. Un proveedor puede ofrecer ajustes y condiciones contractuales, pero eso no hace que todos los usos de Analytics sean lícitos automáticamente. Tampoco demuestra que las etiquetas se comporten como promete el banner el hecho de seleccionar uno de consentimiento.
El papel de cada parte también puede depender del tratamiento en cuestión. El sitio puede decidir por qué quiere medir las visitas y qué eventos enviar, mientras que un proveedor trata la información conforme a condiciones específicas del servicio. Los detalles importan: no atribuyas papeles basándote en una plantilla genérica sin comprobar el acuerdo de servicio real.
Para un editor pequeño, el paso práctico consiste en dejar constancia de la propiedad, las etiquetas, los servicios vinculados, las finalidades y las condiciones pertinentes. Si el sitio trata información sensible o depende de integraciones publicitarias complejas, pide asesoramiento especializado en privacidad en lugar de considerar que una pantalla de configuración equivale a una revisión jurídica.
Una auditoría específica para propietarios de sitios web
Una auditoría breve y documentada es más útil que una promesa vaga de «usar ajustes respetuosos con la privacidad». Sigue estos pasos para cada propiedad de Analytics:
Enumera la propiedad y las etiquetas. Anota si el sitio utiliza GA4, una propiedad antigua, Google Tag Manager, complementos o código directo. Incluye las páginas en las que se carga cada etiqueta.
Prueba una visita. Abre una sesión limpia del navegador, visita las páginas principales e inspecciona las solicitudes salientes con las herramientas para desarrolladores del navegador o una función de depuración de etiquetas. Registra los nombres de los eventos, las URL de las páginas y los identificadores; después, elimina o enmascara los valores sensibles que encuentres.
Comprueba cómo funciona el consentimiento. Prueba ambas opciones de la interfaz de consentimiento del sitio. Confirma si las etiquetas de Analytics esperan, se bloquean o se comportan de otra manera, y compara el resultado con la política publicada por el sitio.
Revisa los eventos y las integraciones. Inspecciona los eventos personalizados, los IDs de usuario, los servicios publicitarios vinculados, las importaciones y las exportaciones. Pregunta al equipo responsable de cada integración qué datos envía y con qué finalidad.
Comprueba la conservación y el acceso. Revisa los controles de conservación de datos de la propiedad, los usuarios de la cuenta y los destinos de exportación. Retira los accesos que ya no sean necesarios por motivos empresariales y documenta la configuración actual.
Corrige los datos que se envían por error. Elimina los datos personales de las URL o de los valores de los eventos desde su origen, siempre que sea posible. Si un campo no debe enviarse, impide que llegue a la etiqueta en vez de confiar únicamente en un filtro de informes.
Repite la comprobación después de un rediseño o de instalar un complemento. Un nuevo proceso de compra, un flujo de inicio de sesión o un formulario pueden modificar los datos enviados sin que nadie cambie directamente la propiedad de Analytics.
Ofrece a los visitantes una respuesta precisa y matizada
Un aviso de privacidad útil debe describir las prácticas reales del sitio, no afirmar de forma general que «Google Analytics es anónimo». Indica la finalidad —por ejemplo, saber qué páginas visitan los usuarios— y explica las categorías de datos recopilados, los intercambios de información pertinentes y las opciones disponibles para los visitantes. Asegúrate de que el texto coincida con las etiquetas observadas durante la auditoría.
Explica la base jurídica en la que se apoya el sitio para cada finalidad pertinente y cómo puede un visitante ejercer los derechos que le correspondan. En algunas circunstancias, ciertos tipos de seguimiento pueden requerir consentimiento, pero este no es una respuesta universal a todas las cuestiones del RGPD: el sitio debe evaluar el tratamiento y las normas aplicables.
Sé claro sobre las limitaciones. Si el sitio utiliza un identificador que puede vincularse a una cuenta con sesión iniciada, descríbelo con precisión; si no envía ese identificador, no des a entender que lo hace. La respuesta debe corresponderse con la propiedad, las etiquetas y el flujo de datos comprobados en el sitio, no con una descripción genérica de Google Analytics.
