En contexto - Google Analytics 4 y gtm

Esta guía explica el tema Google Analytics 4 y gtm con contexto práctico. Se instalan juntos casi siempre, pero Google Analytics 4 y GTM resuelven problemas diferentes: uno mide lo que ocurre, el otro decide qué scripts se cargan y cuándo.

Google Tag Manager y Google Analytics se instalan a menudo juntos, pero hacen trabajos distintos.

Google Analytics mide la actividad de sitios web y apps. Google Tag Manager es un contenedor que carga y controla etiquetas, incluidas GA4, píxeles publicitarios, scripts de conversión, herramientas de pruebas A/B, widgets de chat y HTML personalizado.

El error de privacidad es asumir que GTM hace el rastreo más seguro. Puede facilitar la gobernanza del rastreo, pero también puede facilitar mucho el despliegue de un rastreo descontrolado.

Qué hace Google Analytics

GA4 recopila eventos como páginas vistas, sesiones, conversiones, fuentes de tráfico y propiedades de usuario. La documentación de cookies de GA4 de Google explica que GA4 usa cookies como _ga para distinguir usuarios y sesiones, salvo que se configure de otra forma mediante el comportamiento de consentimiento.

Eso significa que una configuración estándar de GA4 plantea cuestiones sobre:

• consentimiento de cookies bajo las normas de ePrivacy
• base legal y transparencia bajo el RGPD
• transferencias internacionales
• minimización del payload de eventos
• funciones de Google Ads vinculadas
• retención y control de acceso

Qué hace Google Tag Manager

GTM permite a personas no desarrolladoras desplegar y actualizar etiquetas mediante una interfaz web. Una etiqueta puede dispararse a partir de activadores como la carga de la página, un clic, el envío de un formulario, la profundidad de scroll, el estado del consentimiento o eventos personalizados. También tiene su propio modelo de permisos, espacios de trabajo, versiones, entornos, plantillas personalizadas y formato de exportación de contenedor.

Esto es útil cuando se gobierna bien. Es peligroso cuando el contenedor se convierte en una base de código en la sombra. Los equipos de marketing pueden añadir píxeles sin revisión de código. Las campañas antiguas pueden dejar rastreadores rezagados. Los activadores de consentimiento pueden estar mal configurados. Las etiquetas HTML personalizadas pueden cargar scripts de terceros que nadie audita. Por eso una auditoría de GTM tiene que cubrir personas, permisos, plantillas, activadores, valores de la capa de datos y el historial de publicaciones, no solo la etiqueta de GA4.

Impacto en la privacidad: GTM como multiplicador

GTM no resuelve los problemas de privacidad de las etiquetas que contiene. Si GTM carga el píxel de Meta antes del consentimiento, el problema sigue siendo el píxel de Meta antes del consentimiento. Si carga GA4, LinkedIn Insight Tag, TikTok Pixel y una herramienta de mapas de calor en cada página, tu exposición de privacidad se amplía.

GTM también puede ocultar la complejidad. Un auditor del sitio puede ver un único script de GTM en el HTML, mientras que el contenedor carga diez rastreadores secundarios en el navegador.

Consent Mode no es un programa completo de cumplimiento

La documentación de Consent Mode de Google permite a las etiquetas ajustar su comportamiento en función de señales de consentimiento como analytics_storage y los ajustes relacionados con publicidad. Esto puede ser útil, especialmente para evitar el almacenamiento antes del consentimiento.

Pero Consent Mode no crea por sí solo un consentimiento válido. Aún necesitas un banner o centro de preferencias legítimo, valores predeterminados precisos, reglas regionales, divulgaciones de proveedores, gestión de retiradas y pruebas.

Prueba los estados de consentimiento en GTM Preview y en el navegador. Carga la página antes de cualquier elección, tras el rechazo, tras el consentimiento solo de analítica y tras el consentimiento de marketing. Confirma qué etiquetas se disparan, qué cookies o entradas de almacenamiento aparecen y qué solicitudes de red salen del navegador. Una etiqueta que diga ser "consciente del consentimiento" no basta si su activador o su HTML personalizado se salta el estado de consentimiento.

Cómo auditar un contenedor de GTM

Exporta el contenedor y clasifica cada etiqueta:

Después comprueba los activadores. Una etiqueta llamada "consent safe" puede dispararse igualmente en All Pages si el activador es incorrecto.

Revisa también el acceso a la cuenta y al contenedor. Elimina antiguas agencias, contratistas y cuentas de servicio en desuso. Restringe los permisos de publicación, exige aprobaciones para producción y mantén un registro de quién es responsable de cada etiqueta. La guía de seguridad de Tag Manager de Google enfatiza los controles de acceso porque GTM puede cambiar lo que se ejecuta en un sitio sin un despliegue normal.

Impacto en el rendimiento

Los gestores de etiquetas también pueden perjudicar el rendimiento. Cada script de terceros compite por la red, la CPU y el tiempo del hilo principal. Esto puede afectar a los Core Web Vitals y a la conversión. La propia documentación de Google Search Central trata la experiencia de página como una de muchas señales, y los usuarios sienten las páginas lentas independientemente del posicionamiento.

Elimina las etiquetas antes de optimizarlas. El rastreador más rápido es el que no cargas.

Reglas más seguras para GTM

Si conservas GTM:

• exige un responsable para cada etiqueta
• exige un propósito y una fecha de caducidad
• exporta el contenedor antes y después de cambios importantes
• bloquea las etiquetas de marketing antes del consentimiento de marketing
• bloquea las etiquetas de analítica antes del consentimiento de analítica donde sea obligatorio
• prohíbe el HTML personalizado sin revisión
• revisa los permisos de las plantillas y los endpoints de red
• excluye páginas sensibles
• documenta los payloads de eventos
• prueba con DevTools en estados aceptado y rechazado
• revisa el contenedor mensualmente

Para sitios pequeños, eliminar GTM puede ser más sencillo. Si solo necesitas un script de analítica que priorice la privacidad, hardcodearlo puede ser más seguro que mantener una plataforma de etiquetas.

Lista de comprobación de auditoría de GTM

Exporta el contenedor y construye un registro de etiquetas-responsables:

• Nombre de la etiqueta, proveedor, responsable, propósito, fecha de revisión de caducidad y categoría de consentimiento.
• Condiciones del activador, páginas bloqueadas y requisitos de consentimiento.
• Variables de la capa de datos y lecturas de URL, cookies, almacenamiento o campos de formulario.
• Permisos de plantillas personalizadas y orígenes de scripts de HTML personalizado.
• Historial de publicaciones, cambios de espacios de trabajo y usuarios con acceso de edición o publicación.
• Evidencias de pruebas en navegador con consentimiento rechazado, aceptado y parcial.

Ese es el trabajo específico de GTM que las auditorías genéricas de analítica pasan por alto. Si el contenedor no se puede explicar, no debería tener permiso de publicación en producción.

La conclusión

Google Analytics es una herramienta de medición. Google Tag Manager es una herramienta de despliegue. GTM puede ayudar a gobernar el consentimiento y el lanzamiento de etiquetas, pero también puede multiplicar el riesgo de privacidad, legal y de rendimiento.

Usa GTM solo si estás dispuesto a tratarlo como código de producción.

Reglas de gobernanza para contenedores

Asigna a cada etiqueta un responsable, un propósito, una categoría de consentimiento, una lista de campos de datos y una fecha de revisión de caducidad. Bloquea por defecto las etiquetas de HTML personalizado salvo que ingeniería o seguridad las aprueben. Mantén espacios de trabajo separados para experimentos y producción. Exige revisión por pares para las etiquetas que lean campos de formulario, parámetros de URL, almacenamiento local, cookies o valores de la capa de datos.

Para una analítica que prioriza la privacidad, la regla más segura de GTM suele ser la moderación. Si un sitio solo necesita un script de analítica y unos pocos eventos de conversión, una implementación directa puede ser más fácil de auditar que un contenedor con años de etiquetas heredadas. Si conservas GTM, exporta el contenedor trimestralmente y compáralo con tu inventario de proveedores. Elimina experimentos pausados, píxeles duplicados, mapas de calor abandonados y etiquetas que pertenecían a antiguas agencias. Un contenedor limpio mejora la precisión del consentimiento, la velocidad de página y la revisión legal.

Preguntas frecuentes

¿Google Tag Manager recopila datos por sí mismo?

GTM no recopila datos por sí mismo. Decide qué más se ejecuta, cargando y controlando etiquetas como GA4, píxeles publicitarios, scripts de conversión y HTML personalizado. El riesgo para la privacidad viene de las etiquetas que despliega, no del contenedor en sí.

¿Instalar GTM hace que el tracking sea más seguro?

No de forma automática. GTM puede facilitar la gobernanza del tracking, pero también puede facilitar el despliegue de tracking sin control, sobre todo cuando los equipos de marketing añaden píxeles sin revisión de código.

¿Qué cookie usa GA4 para rastrear sesiones?

GA4 usa cookies como _ga para distinguir usuarios y sesiones, según la propia documentación de cookies de GA4 de Google. Ese comportamiento por defecto solo cambia si la configuración se ajusta de otra forma mediante el comportamiento de consentimiento. Una configuración estándar de GA4 ya plantea preguntas sobre consentimiento y base legal antes de añadir nada más.

¿Puede Consent Mode por sí solo cumplir con el RGPD?

Consent Mode ajusta el comportamiento de las etiquetas según señales como analytics_storage, lo que ayuda a evitar el almacenamiento antes del consentimiento, pero no crea consentimiento válido por sí mismo. Sigue haciendo falta un banner conforme a la ley, valores por defecto correctos y divulgación de proveedores.

¿Por qué un auditor puede pasar por alto rastreadores al revisar el HTML de un sitio?

Quien solo revisa el código fuente de la página ve un único script de GTM, mientras el contenedor carga diez rastreadores adicionales en el navegador. Revisar el contenedor exportado, no solo el código fuente, es la única forma de ver todo lo que se dispara.

¿Qué debe cubrir una auditoría de GTM además de la etiqueta de GA4?

Una auditoría adecuada cubre personas, permisos, plantillas, triggers, valores de la capa de datos y el historial de publicaciones, no solo la etiqueta de GA4. Las campañas antiguas pueden dejar rastreadores atrás, y las etiquetas de HTML personalizado pueden cargar scripts de terceros que nadie ha revisado.

¿Cómo se comprueba si los triggers de consentimiento funcionan de verdad?

Carga la página antes de cualquier elección, después de rechazar, después de aceptar solo analítica y después de aceptar marketing. Después comprueba qué etiquetas se disparan, qué cookies o entradas de almacenamiento aparecen y qué solicitudes de red salen del navegador. Que una etiqueta se llame "consent aware" no basta si su trigger o su HTML personalizado ignoran el estado de consentimiento.

¿Quién debería poder publicar un contenedor de GTM?

El acceso debe limitarse a quien realmente lo necesita, eliminando agencias antiguas, contratistas y cuentas de servicio sin uso. La propia guía de seguridad de Tag Manager de Google recomienda restringir los permisos de publicación y exigir aprobaciones para producción, porque un contenedor puede cambiar lo que se ejecuta en un sitio sin pasar por un despliegue normal.

¿Eliminar GTM es a veces la mejor opción?

En sitios pequeños, sí. Si solo necesitas un script de analítica centrado en la privacidad y unos pocos eventos de conversión, implementarlo directamente es más fácil de auditar que mantener una plataforma de etiquetas con años de etiquetas heredadas.

¿Con qué frecuencia debe revisarse un contenedor de GTM?

El artículo recomienda una revisión mensual como una de las reglas más seguras para GTM, además de una exportación trimestral que se compara con tu inventario de proveedores. Esa comparación es lo que detecta experimentos pausados, píxeles duplicados y etiquetas dejadas por agencias anteriores.