Una guía práctica de Google Analytics y consentimiento de cookies

Esta guía explica Google Analytics y consentimiento de cookies de forma práctica, con un enfoque en decisiones de analítica respetuosas con la privacidad.

Google Analytics y el consentimiento de cookies están estrechamente relacionados porque GA4 utiliza cookies para distinguir usuarios y sesiones. La propia documentación de cookies GA4 enumera las cookies _ga y _ga_<container-id>, con períodos de vencimiento predeterminados utilizados para la medición de usuarios y sesiones.

En la UE y el Reino Unido, eso generalmente significa que Google Analytics no debe cargarse hasta que el visitante dé su consentimiento válido para el almacenamiento de análisis, a menos que se aplique una exención nacional limitada y la implementación califique. La mayoría de las implementaciones estándar de GA4 no lo hacen.

El consentimiento debe venir antes del seguimiento

Un error común es mostrar un banner cuando Google Analytics ya se ha activado. Eso no es consentimiento. La página ya ha almacenado o accedido a identificadores y enviado datos.

La secuencia correcta es:

1. La página se carga con herramientas analíticas no esenciales deshabilitadas.
2. Aparece el banner o la interfaz de usuario de preferencias.
3. El visitante acepta la analítica.
4. GA4 carga o recibe señales de consentimiento actualizadas.
5. Las cookies y los eventos de análisis comienzan solo después del consentimiento.

Si el visitante rechaza la analítica, GA4 no debe configurar cookies de análisis. Si utiliza el modo de consentimiento de Google, configure los valores predeterminados como denegado antes de que se ejecute cualquier etiqueta de Google.

Comprender el modo de consentimiento

Google documenta tipos de consentimiento como analytics_storage, que controla el almacenamiento relacionado con análisis y señales relacionadas con publicidad como ad_storage, ad_user_data y ad_personalization.

El modo de consentimiento puede ayudar a que las etiquetas se adapten a las opciones de consentimiento, pero no sustituye a una interfaz de consentimiento legal. Tampoco hace que todos los datos fluyan de forma anónima o sin consentimiento. Su CMP, configuración de etiquetas, configuración regional y divulgaciones de proveedores siguen siendo importantes.

Errores de implementación que se deben evitar

Carga de GTM antes del consentimiento sin controles. Google Tag Manager se puede configurar con cuidado, pero también puede cargar muchas etiquetas de terceros antes del consentimiento si los activadores son incorrectos.

Se trata "seguir navegando" como consentimiento. La guía de consentimiento EDPB requiere un acto afirmativo claro. La navegación pasiva no es suficiente.

Hacer que rechazar sea más difícil que aceptar. Los patrones oscuros pueden invalidar el consentimiento y crear un riesgo de cumplimiento.

Olvidar productos vinculados. GA4 vinculado a Google Ads, señales de Google o funciones de remarketing crea un perfil de privacidad diferente al de la medición básica.

Envío de datos personales en eventos. Nunca envíe correos electrónicos, nombres, números de teléfono, ID de cuentas ni textos de formularios a GA4.

Ignorando el retiro. Los usuarios deben poder cambiar las opciones y el seguimiento debe detenerse después del retiro.

Por qué el consentimiento crea lagunas en los datos

Si se requiere consentimiento y algunos usuarios lo rechazan, sus análisis estarán incompletos. Eso no es un error. Es la consecuencia jurídica y ética de preguntar.

Espere brechas por:

• región
• navegador
• tipo de dispositivo
• fuente de tráfico
• preferencia de privacidad de la audiencia
• uso del bloqueador de anuncios

No "arregle" la brecha disparando etiquetas antes del consentimiento. En su lugar, interprete los informes como análisis de usuarios autorizados y utilice herramientas agregadas que prioricen la privacidad cuando necesite una visión más completa del tráfico básico.

Una configuración GA4 más segura

Si conserva GA4, configúrelo de forma conservadora:

• consentimiento predeterminado denegado en las regiones aplicables
• desactivar las señales de Google cuando no sean necesarias
• deshabilitar la ubicación granular y la recopilación de dispositivos cuando corresponda
• evitar audiencias de remarketing a menos que el consentimiento las cubra explícitamente
• desinfectar URL y parámetros de eventos
• establecer la retención deliberadamente
• documentar los términos del proveedor y el mecanismo de transferencia
• probar las cookies antes y después del consentimiento

Google dice que GA4 no registra ni almacena direcciones IP y ofrece controles de datos centrados en la UE, incluido el enrutamiento de recopilación en la UE y la configuración regional. Esos controles son útiles, pero no eliminan las obligaciones de consentimiento de cookies cuando se aplican las reglas ePrivacy.

Cuándo utilizar análisis sin cookies

Para muchos equipos, GA4 es más complejo que la pregunta que necesitan respuesta. Si necesita principalmente páginas vistas, referencias, campañas, páginas principales y conversiones, una herramienta de análisis sin cookies que priorice la privacidad es más sencilla.

Busque:

• sin cookies por defecto
• sin seguimiento entre sitios
• no se comparten datos de la red publicitaria
• informes agregados
• desinfección de cadenas de consulta
• controles de retención cortos
• procesamiento de datos transparente

Esto puede reducir la necesidad de anuncios de consentimiento de análisis en algunas jurisdicciones y reducir la dependencia de los datos de suscripción, sin dejar de respetar a los visitantes. La clave es la configuración real, no la etiqueta sin cookies.

El resultado final

Google Analytics se puede configurar con más cuidado que muchas instalaciones predeterminadas, pero sigue siendo una herramienta que requiere mucho consentimiento en gran parte de Europa. Si lo usa, cárguelo solo después de un consentimiento válido y mantenga las cargas útiles al mínimo.

Si no necesita seguimiento a nivel de usuario o integración de anuncios, elija análisis que fueron diseñados para no necesitarlos.

Lista de verificación de control de calidad del consentimiento

Registre si están habilitadas la medición mejorada, Google Signals, la personalización de anuncios, el ID de usuario, la exportación de BigQuery, el modo de consentimiento, la medición entre dominios y la configuración específica de la región. Luego pruebe el consentimiento como una característica, no como un diseño de banner. En un navegador limpio, cargue el sitio y rechace la analítica. Confirme que no se active GA4, etiqueta de Google, etiqueta de análisis de GTM, píxel publicitario o almacenamiento relacionado antes o después del rechazo. Acepte análisis y confirme que solo se carguen las etiquetas esperadas. Cambie la opción y confirme el estado de las actualizaciones del sitio sin requerir que los usuarios borren las cookies. El informe del grupo de trabajo sobre banners de cookies del EDPB es útil porque muchas fallas son fallas de interfaz e implementación, no solo fallas de redacción legal.

Luego, pruebe los casos extremos: llegar a un enlace profundo, navegar entre páginas, usar formularios integrados, enviar una conversión, cambiar de idioma y regresar después de que expire el consentimiento. Mantenga capturas de pantalla, registros de red, configuraciones de CMP y configuraciones de etiquetas como evidencia. Si GA4 está configurado a través de GTM, pruebe tanto la plataforma de consentimiento como el contenedor. Si su sitio solo necesita una medición de audiencia agregada, compare el costo operativo de este proceso de control de calidad con una configuración de análisis sin cookies que evite identificadores con mucho consentimiento en primer lugar.