Google Analytics 4 establece cookies o lee identificadores del dispositivo y transmite datos de uso a Google (EE. UU.). No es un proceso técnicamente necesario.
En la práctica esto significa: la etiqueta de Google Analytics solo puede ejecutarse después de que las personas visitantes hayan consentido activamente. Un banner que solo se muestra mientras GA ya carga en segundo plano no cumple el requisito del art. 25.1 TDDDG — lo decisivo es que antes del consentimiento no se cargue ningún script de googletagmanager.com o google-analytics.com y no se fije ningún identificador.
Incluso con un consentimiento que funciona, la transferencia a EE. UU. sigue siendo un punto de control aparte: desde el EU-US Data Privacy Framework (decisión de adecuación de 10 de julio de 2023), la transferencia a Google LLC está en principio asegurada mientras Google esté certificado bajo el marco. Aun así, en la política de privacidad deben nombrarse el destinatario, la finalidad, la base jurídica (consentimiento), el plazo de conservación y la base de la transferencia.
Quien use Google Consent Mode v2 debería conocer la diferencia entre «basic» y «advanced»: en el modo advanced, GA envía pings anónimos y sin cookies incluso antes del consentimiento. Si eso es compatible con el art. 25 TDDDG se valora de forma distinta entre especialistas en protección de datos — el modo basic (ninguna comunicación antes del consentimiento) es la opción más conservadora.
Dos ajustes de GA4 son especialmente relevantes para la protección de datos y están mal configurados por defecto: «Señales de Google» (Administrar → Configuración de datos → Recopilación de datos) vincula el comportamiento con cuentas de Google con sesión iniciada para el seguimiento entre dispositivos y los públicos publicitarios — para una simple medición de audiencia debería quedar desactivado. Y la «Conservación de datos de eventos» (Configuración de datos → Conservación de datos) está en 2 meses como valor frugal; 14 meses son el máximo y solo son defendibles con un motivo documentado. La opción «Restablecer con cada actividad nueva» prolonga de hecho la conservación de forma indefinida y debería estar desactivada.
El etiquetado del lado del servidor (GA4 mediante un contenedor de servidor propio de Google Tag Manager) no es una forma de eludir el consentimiento. El hit de medición se envía a través del dominio propio, pero el Client ID se sigue fijando o leyendo en el navegador, y los datos acaban de todos modos en Google. El beneficio está en una mejor calidad de datos y en el control sobre lo que se transmite — el contenedor de servidor tiene que aplicar la comprobación del consentimiento igual que la etiqueta del lado del cliente.
El acceso al dispositivo con fines de análisis solo está permitido según § 25 apdo. 1 TDDDG con consentimiento previo; el tratamiento posterior se apoya en el art. 6 apdo. 1 letra a RGPD. Sin consentimiento operativo (la herramienta se carga a pesar del rechazo, o no hay banner) falta la base jurídica. Las autoridades de control han objetado repetidamente integraciones de Analytics sin consentimiento.
El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.
Este texto es información general según nuestro leal saber y entender, no asesoramiento jurídico. Para un caso concreto, consulta a un despacho especializado en derecho de las TI.