Una guía práctica de ¿Cumple Google Analytics CCPA? Lo que requiere

Esta guía explica ¿Cumple Google Analytics CCPA? Lo que requiere de forma práctica, con un enfoque en decisiones de analítica respetuosas con la privacidad.

El CCPA no pregunta simplemente si una herramienta es "compatible". Pregunta qué información personal se recopila, por qué se recopila, quién la recibe, si se vende o se comparte, si se trata de información personal sensible y si los consumidores pueden ejercer sus derechos.

Google Analytics puede encajar en un programa de cumplimiento CCPA, pero la configuración es importante. Una configuración de análisis mínima es diferente de GA4 vinculada a Google Ads, audiencias de remarketing, conversiones mejoradas e intercambio de datos entre productos.

Por qué los datos analíticos pueden ser información personal

El CCPA define la información personal de manera amplia. Puede incluir identificadores en línea, actividad en Internet, geolocalización, información comercial e inferencias. Las Preguntas frecuentes de la CPPA explican que la información personal confidencial puede incluir geolocalización precisa, información de salud, identificadores gubernamentales, datos de acceso a cuentas y otras categorías.

La analítica de sitios web puede recopilar o transmitir:

• Ubicación derivada de IP.
• Cookies o identificadores de dispositivo.
• URL de páginas.
• Referentes.
• Parámetros de búsqueda o campaña.
• Detalles del navegador y del dispositivo.
• Eventos como registros, compras y envíos de formularios.

Si las URL o los eventos contienen datos personales, el riesgo aumenta rápidamente. Una ruta de página como /conditions/diabetes-care o un parámetro de consulta que contenga una dirección de correo electrónico pueden convertir la analítica de rutina en una divulgación confidencial.

Integraciones de venta, uso compartido y publicidad

Según CCPA/CPRA, "compartir" incluye revelar información personal para publicidad conductual en contextos cruzados. Es por eso que la analítica se vuelve más complejos cuando se conectan a plataformas publicitarias.

Si los datos GA4 se utilizan para crear audiencias, optimizar anuncios, reorientar a los visitantes o conectar el comportamiento del sitio web con los servicios de publicidad de Google, la empresa debe evaluar si está vendiendo o compartiendo información personal y si se requiere un mecanismo de "No vender ni compartir mi información personal".

Google ofrece términos y configuraciones relacionados con las leyes estatales de privacidad de EE. UU. y el procesamiento de datos restringido. Su Apéndice del controlador de las leyes de privacidad estatales dice que los clientes son responsables de su cumplimiento y describe configuraciones de procesamiento de datos restringidos. La ayuda de Google Ads también señala que Analytics puede actuar como un proveedor de servicios en ciertos contextos de procesamiento de datos restringidos, a menos que los datos se exporten o compartan con otros productos.

La lección de cumplimiento: no asuma que la configuración predeterminada es suficiente. Revise todos los enlaces de productos y configuraciones para compartir datos.

Control de privacidad global

California espera que las empresas respeten las señales válidas de preferencia de exclusión voluntaria en circunstancias aplicables. El Control de Privacidad Global es la señal más común a nivel de navegador. Si su sitio vende o comparte información personal, su sistema de etiquetas y consentimiento debe detectar y respetar GPC, no solo mostrar un enlace al pie de página.

Para análisis, esto puede significar:

• Bloqueo de etiquetas publicitarias cuando GPC está presente.
• Deshabilitar la creación de audiencia.
• Evitar el intercambio de datos con plataformas publicitarias.
• Registrar el estado de exclusión voluntaria sin crear un nuevo perfil de seguimiento.

Áreas de riesgo prácticas GA4

URL completas y cadenas de consulta

GA4 puede recibir URL de páginas. Si sus URL contienen correos electrónicos, nombres, ID de pedidos, tokens de reinicio, términos de búsqueda o detalles de salud, puede enviar información personal sin querer. Corrija el diseño de la URL y elimine los parámetros antes de la recopilación.

Seguimiento de formularios

No envíe valores de campos de formulario a GA4. Las políticas Google Analytics prohíben el envío de datos que Google podría reconocer como información de identificación personal, y la orientación de Google sobre HIPAA y Analytics reitera que los clientes no deben pasar PII ni información confidencial a Analytics.

Vinculación de Google Ads

Vincular GA4 a Google Ads puede cambiar el uso de datos. Revise si las audiencias, las conversiones y el remarketing están habilitados. Si no los necesita, apáguelos.

Confusión en el modo de consentimiento

El modo de consentimiento de Google controla cómo se comportan las etiquetas de Google en función de las señales de consentimiento. No es en sí mismo un aviso de privacidad, un mecanismo de exclusión voluntaria CCPA ni una prueba de que su implementación cumple con las normas. Google documenta tipos de consentimiento como analytics_storage, ad_storage, ad_user_data y ad_personalization en su documentación de tipo de consentimiento.

Una lista de verificación CCPA para Google Analytics

1. Actualizar el aviso de privacidad con categorías de datos analíticos recopilados.
2. Explicar propósitos, retención y categorías de proveedores.
3. Revise si los datos de GA4 se venden o comparten, especialmente a través de integraciones de anuncios.
4. Proporcionar controles de "No vender ni compartir" cuando sea necesario.
5. Respetar el Control de Privacidad Global cuando corresponda.
6. Desactive los enlaces innecesarios a productos de Google y el intercambio de datos.
7. No envíe PII, datos confidenciales ni valores de formulario.
8. Elimina los datos personales de las URL y los parámetros de eventos.
9. Defina flujos de trabajo de eliminación de datos analíticos cuando sea posible.
10. Documente la función de Google y los términos aplicables.

La alternativa que prioriza la privacidad

Si el objetivo de análisis de su sitio web es la medición agregada, es posible que no necesite GA4. Una herramienta de análisis sin cookies que evite identificadores personales y la reutilización de publicidad puede reducir las obligaciones CCPA porque recopila menos información personal y genera menos preguntas sobre venta/intercambio.

La mejor estrategia de cumplimiento CCPA es no incluir más texto legal en una pila de alto intercambio. Se trata de recopilar menos datos, compartir menos datos y hacer que las decisiones sean más fáciles de respetar desde el punto de vista técnico.

Un patrón de configuración más seguro

Si mantiene GA4 bajo un programa CCPA, comience desde la configuración más limitada: solo análisis, sin personalización de publicidad, sin audiencias de remarketing, sin enlaces de productos innecesarios, sin ID de usuario, sin PII en las URL y procesamiento de datos restringido cuando corresponda. Luego, agregue funciones solo cuando el propietario de la empresa pueda explicar el propósito, la revisión legal esté completa y la ruta de exclusión voluntaria se aplique técnicamente.

Esto invierte el patrón habitual. En lugar de habilitar toda la pila de Google e intentar redactar una política en torno a ella, comience con una medición mínima y justifique cada expansión.

Mantener evidencia

Documente cada configuración de GA4 en la que confía para el cumplimiento de CCPA: procesamiento de datos restringido, enlaces de productos, personalización de anuncios, comportamiento de consentimiento y manejo de exclusión voluntaria. Las capturas de pantalla y las fechas de cambio son importantes porque las revisiones de privacidad suelen realizarse meses después de que se cambió una etiqueta.

CCPA Verificación de implementación

Revise juntos los píxeles publicitarios, los destinos del administrador de etiquetas, las API de conversión del lado del servidor, los proveedores de enriquecimiento y las propiedades de eventos analíticos. La pregunta clave es si algún proveedor recibe datos para publicidad conductual en contextos cruzados u otro uso que requiera una opción de exclusión voluntaria en California.

Si el análisis agregado responde a la pregunta empresarial, prefiérelo a compartirlo a nivel de visitante. Si sigue siendo necesario compartir, confirme el aviso, el enlace de exclusión voluntaria, el manejo del Control de privacidad global, los límites de datos confidenciales, los términos del proveedor, la retención y la evidencia de cada configuración.