En contexto - Directrices de Google Analytics

Aquí se explica el tema Directrices de Google Analytics con ejemplos prácticos. Decir «usamos cookies para mejorar el sitio» no cubre los requisitos de la política de privacidad cuando GA4 está instalado: hay que describir el flujo de datos real.

Si tu sitio web utiliza Google Analytics, tu política de privacidad no puede limitarse a decir "usamos cookies para mejorar el sitio". Necesita explicar el flujo de datos real con la claridad suficiente para que los visitantes y los reguladores entiendan lo que ocurre.

La redacción exacta depende de tu jurisdicción, tu configuración y los enlaces con productos de Google. Una configuración mínima de GA4 es distinta de una configuración de GA4 conectada a Google Ads, remarketing, modo consentimiento, IDs de usuario y eventos de comercio electrónico.

Qué recopila Google Analytics

Empieza por las categorías, no por la jerga. Según la configuración, Google Analytics puede recibir:

• URL y títulos de página.
• Información del referido.
• Información del dispositivo y del navegador.
• Ubicación aproximada derivada de la dirección IP.
• Identificadores de cookies o de aplicación.
• Datos de eventos como clics, registros, compras o descargas.
• Parámetros de campaña.
• Detalles de transacciones de comercio electrónico.

Google indica que las etiquetas JavaScript de GA4 utilizan cookies propias como _ga y _ga_ para distinguir usuarios y sesiones en su documentación sobre cookies de GA4. Si se usan esas cookies, tu política y tu aviso de cookies deberían indicarlo.

Divulga las finalidades

Explica por qué utilizas GA:

• Medir el tráfico del sitio web.
• Entender qué páginas son más populares.
• Analizar el rendimiento de campañas.
• Medir conversiones.
• Mejorar el rendimiento del sitio.
• Publicidad o remarketing, si están habilitados.

No incluyas finalidades que no sean ciertas. Si los datos de GA están vinculados a Google Ads, audiencias o remarketing, dilo aparte de la analítica básica.

Las funciones publicitarias requieren divulgación adicional

La política de funciones publicitarias de Google indica que los sitios que utilizan funciones publicitarias de Google Analytics deben divulgar qué funciones usan, cómo se utilizan conjuntamente los identificadores propios y de terceros y cómo pueden los visitantes optar por excluirse.

Algunos ejemplos de funciones publicitarias incluyen el remarketing, las funciones de informes publicitarios, los informes demográficos y de intereses, o las integraciones que utilizan datos de Analytics para anuncios.

Si no necesitas estas funciones, deshabilitarlas puede simplificar tu política y reducir el riesgo.

No envíes PII

Tu política no debería prometer seguridad mientras tu implementación filtra datos personales. Google prohíbe a los clientes enviar información de identificación personal a Google Analytics, como se describe en Salvaguardar tus datos.

Audita en busca de PII accidental:

• Direcciones de correo electrónico en URL.
• Nombres en rutas de página.
• Términos de búsqueda que contengan datos personales.
• Valores de campos de formulario en eventos.
• IDs de cuenta en dimensiones personalizadas.
• Detalles sanitarios o financieros en etiquetas de eventos.

Si descubres una recopilación accidental, revisa la documentación sobre solicitudes de eliminación de datos de Google y corrige el origen de la fuga.

Explica el consentimiento y las opciones de exclusión

En Europa, las cookies de analítica suelen requerir consentimiento bajo las normas de ePrivacy salvo que aplique una excepción restringida. Tu política debería explicar cómo pueden los usuarios aceptar, rechazar o retirar el consentimiento. El banner debería bloquear las etiquetas antes del consentimiento cuando sea necesario.

Google también ofrece controles de exclusión y publicidad. Si utilizas funciones publicitarias, enlaza a las herramientas de exclusión de Google relevantes, como My Ad Center o el complemento del navegador de exclusión de Google Analytics, cuando proceda.

Explica las transferencias internacionales

Si los visitantes están en el EEE, el Reino Unido o Suiza, explica si los datos pueden transferirse internacionalmente y qué mecanismo de transferencia aplica. El Marco UE-EE. UU. de Privacidad de Datos puede ser relevante para las organizaciones estadounidenses que participan, pero tu política debería coincidir con tus condiciones reales con el proveedor y tu configuración.

No copies texto antiguo de Schrems II sin revisar la base de transferencia actual.

Ejemplo de estructura de política

Una sección clara sobre Google Analytics puede incluir:

1. Para qué se utiliza Google Analytics.
2. Categorías de datos recopilados.
3. Cookies o identificadores utilizados.
4. Si están habilitadas las funciones publicitarias.
5. Si los datos se comparten con Google Ads u otros productos de Google.
6. Cuánto tiempo se conservan los datos o dónde pueden los usuarios obtener más información.
7. Cómo pueden los usuarios optar por excluirse o retirar el consentimiento.
8. Información sobre transferencias internacionales.
9. Una declaración de que no envías PII intencionadamente a Google Analytics.

Mejor alternativa: evitar la carga de divulgación

Si utilizas analítica privada sin cookies, tu política se vuelve más corta y clara. Puedes explicar que mides páginas vistas agregadas, referidos, campañas y conversiones sin cookies, identificadores personales ni perfiles publicitarios.

Eso suele ser más fiable que una política larga que intenta justificar una pila de rastreo complicada.

Cláusula de ejemplo en lenguaje claro

Una sección sencilla puede decir:

"Usamos Google Analytics para entender cómo los visitantes utilizan nuestro sitio web, como qué páginas se visitan, qué campañas atraen tráfico y si los formularios se completan. Google Analytics puede usar cookies o identificadores similares y puede recibir información técnica como la URL de la página, el navegador, el dispositivo, la ubicación aproximada y el referido. Cuando se requiere, solo cargamos Google Analytics tras el consentimiento. No enviamos intencionadamente nombres, direcciones de correo electrónico, contenidos de formularios u otra información directamente identificativa a Google Analytics."

Si están habilitadas las funciones publicitarias, añade un párrafo aparte que explique el uso publicitario y la vía de exclusión. No ocultes el remarketing dentro de una frase genérica de analítica.

Mantén la política sincronizada con la realidad

Revisa la política cada vez que alguien cambie Google Tag Manager, vincule GA4 a otro producto de Google, añada eventos de comercio electrónico, cambie el modo consentimiento o lance un nuevo formulario. Las políticas de privacidad a menudo se vuelven inexactas porque los cambios de rastreo se tratan como operaciones de marketing en lugar de cambios de privacidad.

No prometas de más

Evita decir que los datos son anónimos a menos que estés seguro de que la implementación es realmente anónima bajo la legislación aplicable. Los identificadores de cookies seudónimos, los datos derivados de la IP y los historiales de eventos aún pueden estar relacionados con una persona identificable. Usa una redacción precisa: informes agregados, identificadores de cookies, ubicación aproximada o IDs de analítica seudónimos, según lo que sea cierto.

Un lenguaje claro es más seguro que un lenguaje tranquilizador.

Si la implementación es lo bastante compleja como para que nadie pueda explicarla con claridad, esa es una señal para simplificar la pila de rastreo antes de reescribir la política otra vez.

Lista de verificación de revisión de la política de GA

Antes de publicar la redacción de Google Analytics, verifica la implementación en lugar de copiar una plantilla. Confirma los eventos recopilados, si se utilizan cookies o identificadores, qué enlaces con productos de Google están habilitados, si las funciones publicitarias están activas, cómo funciona el consentimiento y cuándo expiran los datos a nivel de evento.

Después prueba el sitio en un perfil de navegador limpio. Si GA se carga antes del consentimiento donde se requiere consentimiento, recibe datos personales en URL o envía eventos que la política no explica, corrige el rastreo antes de pulir la cláusula.

Preguntas frecuentes

¿Necesita Google Analytics una política de privacidad?

Las pautas de Google Analytics esperan que la política explique el flujo de datos real, no solo que diga "usamos cookies para mejorar el sitio". El texto exacto depende de tu jurisdicción, tu configuración y qué productos de Google están conectados a tu GA4.

¿Para qué sirve la cookie _ga?

Según la documentación de cookies de GA4 de Google, la etiqueta de JavaScript usa cookies propias como _ga y _ga_ para distinguir usuarios y sesiones. Si tu sitio usa estas cookies, tu política y tu aviso de cookies deben mencionarlo.

¿Qué cuenta como función publicitaria en Google Analytics?

El remarketing, los informes publicitarios, los informes de datos demográficos e intereses, y las integraciones que usan datos de Analytics para publicidad cuentan como funciones publicitarias según la política de funciones publicitarias de Google. Los sitios que usan alguna de ellas deben divulgar cuál usan y cómo pueden excluirse los visitantes.

¿Puede Google Analytics recopilar información personal?

Google prohíbe enviar información de identificación personal a Google Analytics, según se describe en su documentación sobre la protección de tus datos. Las filtraciones comunes incluyen direcciones de correo en URLs, nombres en rutas de página y valores de campos de formulario capturados en eventos.

¿Qué hacer si Google Analytics recopiló PII por error?

Revisa la documentación de Google sobre solicitudes de eliminación de datos y corrige la fuente de la filtración, como un parámetro de URL o un evento que captura valores de formulario. Tu política de privacidad no debe prometer una seguridad que tu implementación no cumple.

¿Los visitantes de la UE deben dar su consentimiento antes de que cargue Google Analytics?

Según las normas de ePrivacy, las cookies de analítica en Europa suelen requerir consentimiento salvo que aplique una excepción limitada. Donde se requiera consentimiento, el banner debe bloquear las etiquetas de Google Analytics hasta que el visitante acepte.

¿Cómo pueden los visitantes excluirse de las funciones publicitarias de Google Analytics?

Google ofrece controles de exclusión y de publicidad como My Ad Center y el complemento de exclusión de Google Analytics para el navegador. Los sitios que usan funciones publicitarias deben enlazar la herramienta correspondiente y explicar la vía de exclusión por separado de la divulgación general de analítica.

¿Se transfieren los datos de Google Analytics fuera del EEE?

Que los datos de GA4 salgan del EEE depende de los términos con tu proveedor y de tu configuración. Si tienes visitantes en el EEE, el Reino Unido o Suiza, la política debe indicar si los datos se transfieren internacionalmente y qué mecanismo de transferencia aplica. El EU-US Data Privacy Framework puede ser relevante para organizaciones estadounidenses participantes, pero no debe copiarse texto antiguo de Schrems II sin revisar la base de transferencia actual.

¿Son anónimos los datos de Google Analytics?

No necesariamente. Los identificadores de cookie seudónimos, los datos de ubicación derivados de IP y los historiales de eventos pueden seguir relacionándose con una persona identificable. Por eso una política solo debe afirmar anonimato si la implementación es realmente anónima según la ley aplicable.

¿La analítica sin cookies reduce la carga de divulgación de la política de privacidad?

La analítica sin cookies y centrada en la privacidad puede acortar la política, porque mide páginas vistas, referrers, campañas y conversiones agregadas sin cookies, identificadores personales ni perfiles publicitarios. Eso suele resultar más confiable que una política larga tratando de justificar un stack de seguimiento complicado.