Cookies de análisis y Google Analytics: qué dice la AEPD

¿Necesita consentimiento Google Analytics según la AEPD?

Sí: para la AEPD, las cookies de análisis como las de Google Analytics 4 (GA4) no están exentas y solo se pueden usar después de que el visitante acepte. La Agencia Española de Protección de Datos lo explica en su «Guía sobre el uso de las cookies»: recoge la opinión del antiguo Grupo de Trabajo del Artículo 29 de que estas cookies no quedan fuera del deber de consentimiento, aunque considera poco probable que supongan un riesgo para la privacidad si son propias, tratan datos agregados con una finalidad estrictamente estadística, se informa de ellas y el usuario puede negarse.

Esa matización no convierte a GA4 en una herramienta sin consentimiento. Google Analytics usa cookies propias como _ga, pero los datos se tratan en los servidores de Google y pueden combinarse con Google Ads si enlazas las cuentas. En este artículo verás qué ajustes de GA4 importan, cómo encaja Google Consent Mode v2 y qué puedes comprobar tú mismo. Este artículo no es asesoramiento jurídico.

¿Qué son las cookies de análisis o medición?

Las cookies de análisis son las que permiten al responsable seguir y analizar el comportamiento de los usuarios en la web, incluida la medición del impacto de los anuncios. Así las define la guía de la AEPD. Sirven para saber cuántas personas visitan una página, de dónde vienen, qué hacen y si al final compran o envían un formulario. En GA4 la cookie principal es _ga, que guarda un identificador de cliente para reconocer al mismo navegador en visitas posteriores.

La diferencia con las cookies técnicas es la finalidad. La cesta de la compra existe porque el usuario la necesita. La medición existe porque la empresa la necesita. Por eso la ley de cookies, el artículo 22.2 de la LSSI, exige consentimiento para la segunda y no para la primera.

En la política de cookies conviene nombrar a Google como tercero, explicar la finalidad de medición, indicar la duración de las cookies de GA4 y explicar cómo se retira el consentimiento. La guía de la AEPD pide que esta información sea clara y esté en una segunda capa fácil de encontrar desde el banner. Una tabla con el nombre de cada cookie, su proveedor, su finalidad y su duración es la forma más práctica de cumplirlo, siempre que la mantengas al día cuando cambian las etiquetas.

→ Banner de cookies con Consent Mode v2: conforme y sin cuota mensual

Cómo configurar GA4 para respetar el consentimiento

La forma más limpia de cumplir es que GA4 no use cookies hasta que el visitante acepte la categoría de análisis. Con Google Tag Manager y Google Consent Mode v2, la configuración sigue este orden:

• Definir el estado por defecto como denegado para analytics_storage, ad_storage, ad_user_data y ad_personalization antes de cualquier etiqueta.
• Hacer que el banner actualice esas señales en cuanto el visitante decide, en la misma página.
• Dejar que la etiqueta de Google de GA4 respete esas señales, sin activadores paralelos que la disparen siempre.
• Comprobar en el modo de vista previa de Google Tag Manager el estado de consentimiento antes y después de aceptar.
• Revisar que no quede un código de GA4 antiguo pegado en el tema o en un plugin.

Google Consent Mode v2 tiene dos modos. En el modo básico, las etiquetas de Google no se cargan hasta que el usuario acepta. En el modo avanzado se cargan desde el principio y, si el usuario rechaza, envían pings sin cookies que Google usa para modelar datos. Si el modo avanzado es compatible con la interpretación de la AEPD en tu caso es una pregunta jurídica. El modo básico es la opción más prudente.

Ajustes de GA4 que conviene revisar

Además del consentimiento, varios ajustes de la propiedad de GA4 afectan a la protección de datos. Ninguno sustituye al banner, pero reducen lo que se trata y facilitan explicar tu configuración en la política de cookies.

Según Google, GA4 no registra ni almacena direcciones IP: las usa para calcular una ubicación aproximada y las descarta. Esto es útil para tu documentación, pero no cambia la necesidad de consentimiento, porque la ley de cookies se refiere al acceso al dispositivo, no solo a los datos personales.

→ Configurar Google Consent Mode v2 correctamente: sin advertencias en Tag Assistant

¿Y las transferencias de datos a Estados Unidos?

Durante años, el debate sobre Google Analytics en Europa giró alrededor de las transferencias a Estados Unidos. Desde el 10 de julio de 2023 rige la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que participa Google LLC. Con ella, las empresas certificadas pueden recibir datos personales desde la UE sin garantías adicionales. Conviene mencionar el proveedor y la transferencia en tu política de privacidad y seguir la evolución, porque la decisión puede revisarse.

Ejemplo: una clínica dental de Sevilla

Una clínica dental de Sevilla mide su web con GA4 y recibe citas por un formulario. Su banner tenía botón de rechazar, pero GA4 estaba instalado dos veces: una mediante Google Tag Manager con Consent Mode y otra por un plugin de SEO que añadía la etiqueta sin condiciones. Resultado: la cookie _ga aparecía antes de cualquier decisión y las visitas se contaban doble. Tras quitar la etiqueta del plugin, la cookie solo aparece al aceptar y las cifras de sesiones bajaron, pero ahora reflejan visitas reales.

Esa bajada asustó al principio, pero tiene una explicación sencilla: antes se contaban dos veces las mismas visitas y también las de quienes rechazaban. Con Consent Mode v2 en modo básico, la clínica ve menos sesiones, pero cada cifra se puede explicar y la diferencia entre las solicitudes de cita en GA4 y las que llegan por correo se corresponde con quienes rechazan las cookies.

¿Cómo compruebo si mi Google Analytics espera al consentimiento?

Si quieres saber si tu Google Analytics espera al consentimiento, el check gratuito de Trackum (trackum.app/check) abre tu página tres veces en un navegador real, sin responder al banner, rechazando y aceptando, y te muestra qué etiquetas y cookies cargan. Para una configuración nueva, Trackum instala Google Tag Manager, GA4 y Consent Mode v2 con hasta 15 eventos por 150 € (IVA no incluido), probado con y sin consentimiento.