Una guía práctica de Cambios de normas de analítica web privada en 2026

Los reguladores quieren menos fatiga de consentimiento y más límites al rastreo, así que los cambios de normas de analítica web privada apuntan a una medición más mínima.

La analítica web privada en 2026 avanza en dos direcciones a la vez. Los reguladores quieren reducir la fatiga de consentimiento para usos genuinamente de bajo riesgo. Al mismo tiempo, están trazando líneas más claras en torno al rastreo, la elaboración de perfiles, la publicidad y el acceso a dispositivos.

Para los equipos de analítica, la respuesta más segura no es esperar a que se asiente cada reforma. Construye una medición lo bastante mínima como para sobrevivir a cualquiera de las dos direcciones.

UE: el Digital Omnibus es una propuesta, no un pase libre

El 19 de noviembre de 2025, la Comisión Europea anunció propuestas del Digital Omnibus destinadas a simplificar partes de la regulación digital de la UE, incluidas las normas del RGPD y de ePrivacy. Las propuestas siguen siendo propuestas legislativas, no derecho actual.

En febrero de 2026, el EDPB y el SEPD emitieron una opinión conjunta que apoya en principio la simplificación, advirtiendo a la vez que no debe debilitar los derechos fundamentales.

La conclusión práctica: no rediseñes la analítica en torno a borradores de normas. Pero sí presta atención a la dirección. Las instituciones de la UE están debatiendo activamente cómo reducir las solicitudes de consentimiento de bajo valor preservando las protecciones contra el rastreo.

Reino Unido: la guía sobre almacenamiento y acceso va más allá de las cookies

El 29 de abril de 2026, la ICO del Reino Unido anunció la guía final sobre tecnologías de almacenamiento y acceso. La guía cubre cookies, píxeles de rastreo, fingerprinting de dispositivos y tecnologías similares bajo PECR y, cuando corresponda, el RGPD del Reino Unido.

Ese lenguaje importa. La conversación en el Reino Unido ya no trata solo de "banners de cookies". Es sobre cualquier tecnología que almacene o acceda a información en un dispositivo.

Para los equipos de analítica, revisa:

• cookies
• localStorage y sessionStorage
• píxeles
• SDKs
• señales de fingerprinting
• decoración de enlaces
• rastreo del lado del servidor que dependa de identificadores del navegador

Francia: las exenciones de consentimiento siguen siendo estrictas

La CNIL sigue siendo uno de los reguladores más claros sobre medición de audiencia. Su guía sobre analítica permite las exenciones de consentimiento solo para una medición de audiencia limitada y afirma que la mayoría de las grandes soluciones de medición de audiencia no califican, sea cual sea su configuración.

Los criterios son prácticos: finalidad limitada, sin rastreo entre sitios, sin combinación con otros tratamientos, retención limitada, información al usuario y sin transferencia o reutilización más allá de las necesidades de medición del editor.

Si tus datos analíticos alimentan publicidad, personalización, benchmarking entre plataformas o conjuntos de datos entre clientes, no los trates como medición de audiencia exenta.

EDPB: el acceso a dispositivos es amplio

Las Directrices 2/2023 finales sobre el artículo 5(3) del EDPB confirman que ePrivacy se aplica a más que las cookies. El almacenamiento y el acceso pueden incluir píxeles de rastreo, identificadores locales, lecturas de SDK y otras interacciones técnicas con el equipo terminal.

Esto importa para los proveedores "sin cookies". Si una herramienta evita las cookies pero hace fingerprinting de dispositivos, lee almacenamiento local o construye identificadores estables a partir de señales del dispositivo, puede que aún requiera consentimiento.

Qué deberían hacer los equipos de analítica en 2026

Audita tu pila con cuatro categorías:

1. Operaciones esenciales: seguridad, balanceo de carga, prevención del fraude, almacenamiento del consentimiento.
2. Medición de audiencia básica: analítica agregada para tu propio sitio.
3. Analítica de producto: uso autenticado del producto y activación.
4. Publicidad y elaboración de perfiles: retargeting, conversión publicitaria, audiencias similares, enriquecimiento de datos.

Cada categoría necesita controles distintos. No las mezcles bajo una única etiqueta de "analítica".

Reglas prácticas de configuración

• Usa analítica sin cookies para la medición del sitio público cuando sea posible.
• Evita identificadores entre sitios.
• No envíes datos analíticos a redes publicitarias por defecto.
• Elimina parámetros de consulta excepto las etiquetas de campaña permitidas.
• Mantén los datos geográficos a baja resolución.
• Excluye páginas sensibles.
• Separa la telemetría de producto de la analítica de marketing.
• Respeta las decisiones de consentimiento y las señales de exclusión.
• Documenta los roles de los proveedores y las transferencias de datos.
• Revisa los contenedores de etiquetas mensualmente.

Cómo preparar la medición para el futuro

El modelo de medición con más probabilidades de sobrevivir a la reforma es sencillo:

• páginas vistas agregadas
• dominios de referidos
• informes de campañas UTM
• páginas más visitadas
• informes de dispositivo y país a baja resolución
• eventos de conversión con cargas mínimas
• retención corta
• sin reutilización publicitaria
• sin identidad entre sitios

Este modelo puede calificar para exenciones en algunas jurisdicciones y, donde no lo haga, es más fácil de explicar y de consentir.

Lista de verificación para 2026

Construye una analítica que pueda sobrevivir al movimiento regulatorio: eventos minimizados, sin datos personales en URL, retención corta, roles de proveedores documentados, evidencia de consentimiento o exención, gestión de GPC para las leyes de privacidad estadounidenses aplicables y un registro de etiquetas que marketing no pueda saltar.

Revisa la configuración trimestralmente frente a la guía actual del regulador. Los sistemas de medición más resilientes son aburridos: pocos scripts, finalidades claras, informes agregados cuando sea posible y un comportamiento del navegador que coincida con el aviso de privacidad.

Conclusión

La regulación de privacidad en 2026 no se está volviendo "todo vale". Se está volviendo más precisa. La medición de audiencia de bajo riesgo puede tener vías más claras. El rastreo al estilo de vigilancia seguirá bajo presión.

Construye la analítica para esa segunda realidad: lo bastante útil para tomar decisiones, lo bastante mínima para generar confianza.

Una lista de verificación para 2026

Trata 2026 como un año de configuración, no solo como un año de monitorización legal. Inventaria todas las tecnologías de almacenamiento y acceso: cookies, almacenamiento local, píxeles, SDKs, señales de fingerprinting, etiquetas del lado del servidor y widgets incrustados. La guía final sobre tecnologías de almacenamiento y acceso de la ICO es útil porque va más allá de la palabra "cookie" y pregunta qué almacena o lee realmente la tecnología.

Después clasifica cada herramienta por finalidad: estrictamente necesaria, medición de audiencia de bajo riesgo, mejora del producto, personalización, publicidad, seguridad o prevención del fraude. No agrupes analítica y publicidad en un único interruptor de consentimiento. Comprueba si cada propiedad de evento es necesaria, si las URL están limpias, si la gestión de IP coincide con tu aviso de privacidad y si la retención está documentada. Prepárate para las señales de preferencia del navegador o del sistema operativo haciendo que las etiquetas sean condicionales y auditables. Por último, mantén un panel de respaldo que no dependa de identificadores personales. Si un cambio de regulador, navegador o proveedor rompe el rastreo de alto riesgo, el negocio aún debería poder saber si el tráfico, el contenido y las conversiones se están moviendo en la dirección correcta.

Preguntas frecuentes

¿Qué es el Digital Omnibus y ya es ley?

El Digital Omnibus es un conjunto de propuestas que la Comisión Europea presentó el 19 de noviembre de 2025 para simplificar partes del RGPD y de las normas de ePrivacy. Todavía no se ha aprobado. Los equipos de analítica deberían seguir la dirección del debate sin rediseñar su medición alrededor de normas en borrador.

¿Apoyaron el EDPB y el EDPS el Digital Omnibus?

En febrero de 2026, el EDPB y el EDPS emitieron una opinión conjunta que respalda la simplificación en principio. También advirtieron que ningún cambio debe debilitar los derechos fundamentales, así que las propuestas no son un camino claro hacia reglas más laxas.

¿La guía británica sobre almacenamiento y acceso solo cubre las cookies?

La guía británica sobre almacenamiento y acceso cubre mucho más que cookies. La guía final de la ICO, publicada el 29 de abril de 2026, aborda píxeles de seguimiento, fingerprinting de dispositivos y tecnologías similares bajo PECR y el RGPD del Reino Unido.

¿Qué deben revisar los equipos de analítica del Reino Unido según la guía de la ICO?

La guía señala cookies, localStorage y sessionStorage, píxeles, SDKs, señales de fingerprinting, decoración de enlaces y seguimiento del lado del servidor que depende de identificadores del navegador. Cualquiera de estos puede entrar dentro de PECR aunque no haya ninguna cookie de por medio.

¿Qué usos de analítica pueden saltarse el consentimiento según las normas de la CNIL?

La guía de la CNIL permite una exención de consentimiento solo para la medición de audiencia limitada, y afirma que la mayoría de las grandes soluciones de medición de audiencia no califican sin importar la configuración. La exención depende de una finalidad limitada, ausencia de seguimiento entre sitios, ninguna combinación con otros tratamientos, retención limitada, información al usuario y ninguna reutilización más allá de la medición propia del editor.

¿Puede una herramienta de analítica sin cookies necesitar igualmente consentimiento?

Una herramienta puede evitar las cookies y aun así requerir consentimiento. Las directrices finales del EDPB 2/2023 sobre el artículo 5(3) confirman que la ePrivacy cubre píxeles de seguimiento, identificadores locales, lecturas de SDK y otras interacciones con el dispositivo, así que el fingerprinting o los identificadores estables basados en el dispositivo pueden activar las mismas reglas que las cookies.

¿En cuántas categorías deben clasificar sus herramientas los equipos de analítica?

En cuatro: operaciones esenciales, medición de audiencia básica, analítica de producto, y publicidad y perfilado. Cada categoría necesita controles propios, y mezclarlas bajo una sola etiqueta de "analítica" es justo el error contra el que advierte el artículo.

¿Qué datos deben quedar fuera de los eventos de analítica para mantenerlos de bajo riesgo?

Elimine los parámetros de consulta salvo las etiquetas de campaña permitidas, mantenga los datos geográficos poco precisos y excluya las páginas sensibles. Los datos de analítica tampoco deberían ir a redes publicitarias por defecto, y la telemetría de producto debe mantenerse separada de la analítica de marketing.

¿Cómo es una configuración de medición que sobrevive a los cambios normativos?

El artículo la describe como páginas vistas agregadas, dominios de referencia, informes de campañas UTM y páginas principales. Añade informes de dispositivo y país poco precisos, eventos de conversión con payloads mínimos, retención corta, sin reutilización publicitaria y sin identidad entre sitios. Ese modelo puede calificar para exenciones donde existen, y donde no, es lo bastante simple para explicarlo y pedir consentimiento.

¿Con qué frecuencia hay que revisar la configuración de las etiquetas?

Los contenedores de etiquetas deben revisarse mensualmente, y toda la configuración debe comprobarse trimestralmente frente a la guía vigente del regulador. Ese ritmo detecta las adiciones de marketing antes de que conviertan un stack de analítica conforme en uno que necesita nuevo consentimiento.