Google Analytics y el RGPD en España

¿Necesita Google Analytics consentimiento en España?

Sí. Google Analytics 4 instala cookies de análisis, como _ga, y el artículo 22.2 de la LSSI exige el consentimiento para cualquier cookie que no sea estrictamente necesaria.

La AEPD lo deja claro en su Guía sobre el uso de las cookies: las cookies de análisis no están exentas del deber de obtener el consentimiento. La guía añade, citando al antiguo Grupo de Trabajo del Artículo 29, que es poco probable que supongan un riesgo para la privacidad si son de primera parte, tratan datos agregados con fines estadísticos y el usuario puede negarse. Pero eso no las libera del consentimiento.

Además, según la AEPD, una cookie servida desde tu dominio no cuenta como propia si un tercero usa la información para sus propios fines. En España no existe, por tanto, una configuración "exenta" de Google Analytics como la que admiten las autoridades de otros países para herramientas de medición muy limitadas.

Las decisiones de 2022 sobre las transferencias a EE. UU.

Después de que el Tribunal de Justicia de la UE anulara el Privacy Shield en 2020 (sentencia Schrems II), la asociación noyb presentó reclamaciones contra webs de toda Europa que usaban Google Analytics. En 2022 varias autoridades europeas, empezando por la austriaca, concluyeron que esas transferencias a EE. UU. no tenían garantías suficientes. Por ejemplo:

• Francia: la CNIL requirió en febrero de 2022 a un gestor de web que dejara de usar Google Analytics en esas condiciones.
• Italia: el Garante amonestó en junio de 2022 a la empresa Caffeina Media y le dio 90 días para adaptarse.

El problema de fondo no eran las cookies, sino el posible acceso de los servicios de inteligencia estadounidenses a los datos.

Lo que cambió con el Marco de Privacidad de Datos

El 10 de julio de 2023 la Comisión Europea adoptó la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, DPF). Desde entonces, los datos pueden transferirse sin garantías adicionales a las empresas estadounidenses certificadas. Google LLC está certificada y, según Google, se apoya en el DPF para transferir datos personales del EEE a EE. UU. en sus servicios publicitarios y de medición.

El DPF ha superado su primera prueba judicial: el 3 de septiembre de 2025 el Tribunal General de la UE desestimó el recurso del diputado francés Philippe Latombe (asunto T-553/23). Latombe recurrió ante el Tribunal de Justicia (asunto C-703/25 P), que en la fecha de esta revisión no había dictado sentencia. Si el DPF cayera, la cuestión de las transferencias volvería a plantearse.

Importante: el DPF resuelve las transferencias, no el consentimiento. Las cookies de Analytics siguen necesitando permiso.

Cómo usar Google Analytics correctamente

1. Carga Analytics solo después del consentimiento. Tu banner debe bloquear la etiqueta de Google Analytics hasta que el usuario acepte las cookies de análisis.
2. Usa Google Consent Mode v2. Así Analytics conoce la elección del usuario. El modo básico no envía nada a Google sin consentimiento; el avanzado envía pings sin cookies, lo que en Europa no está claro que sea compatible sin consentimiento.
3. Revisa los términos de tratamiento de datos. Para las cuentas de clientes del EEE, el Reino Unido o Suiza, Google ya ha incorporado sus Condiciones de Tratamiento de Datos de Google Ads; desde otros lugares se aceptan en la configuración de la cuenta de Analytics.
4. Revisa la configuración de uso compartido de datos y desactiva lo que no necesites, como compartir datos con otros productos de Google.
5. Explica Analytics en tu política de cookies: las cookies, su finalidad, su duración, que Google es el tercero y las transferencias a EE. UU.

Sobre la IP: según Google, Google Analytics 4 no registra ni almacena direcciones IP. En Universal Analytics había que activar la anonimización de IP; en GA4 ya no hace falta.

¿Y las alternativas?

Hay herramientas de analítica que puedes instalar en tu propio servidor, como Matomo, de modo que los datos no salen de tu infraestructura. Eso facilita las transferencias, pero en España no te libra del consentimiento si la herramienta usa cookies o tecnologías similares no estrictamente necesarias.

Cookie Confirm bloquea Google Analytics hasta que el usuario acepta, envía las cuatro señales de Consent Mode v2 y guarda cada consentimiento 12 meses, para que puedas demostrar que lo pediste.

Fuentes

• AEPD: Guía sobre el uso de las cookies (mayo de 2024)
• Ley 34/2002 (LSSI), artículo 22.2 (BOE)
• CNIL: requerimiento por el uso de Google Analytics y las transferencias a EE. UU. (febrero de 2022)
• Garante per la protezione dei dati personali: Google Analytics, junio de 2022
• Diario Oficial de la UE: recurso de casación de Philippe Latombe, asunto C-703/25 P
• Google: transferencias de datos de los servicios publicitarios y el Marco de Privacidad de Datos
• Ayuda de Google Analytics: anonimización de IP
• Ayuda de Google Analytics: Condiciones de Tratamiento de Datos de Google Ads
• Ayuda de Google Analytics: configuración de uso compartido de datos