Server side tracking y consentimiento

¿Qué es el server side tracking?

En la medición habitual, el navegador lo hace todo. Tu página carga scripts de Google, Meta y otros proveedores, y cada script envía los datos directamente desde el navegador del usuario a los servidores de ese proveedor.

Con el server side tracking (medición en el servidor), el navegador envía primero los datos a un solo lugar: un servidor que controlas tú, normalmente en un subdominio de tu web, como metrics.tuweb.es. Ese servidor recibe la solicitud, la convierte en eventos y decide qué reenvía a cada proveedor. El ejemplo más conocido es Google Tag Manager server-side: un "contenedor de servidor" que funciona en Google Cloud o con un proveedor de alojamiento especializado, junto al contenedor web normal del navegador. Los usos más habituales son GA4 a través de un contenedor de servidor y la API de conversiones de Meta, con la que tu servidor envía las conversiones a Meta directamente.

Lo importante: en la mayoría de las configuraciones, el navegador del usuario sigue ejecutando un script y sigue enviando los datos. Lo que cambia es adónde van primero.

¿Necesita consentimiento el server side tracking?

Se aplican dos normas, igual que a cualquier otra medición (lo explicamos en La ley de cookies en España):

1. El artículo 22.2 de la LSSI, que traslada a la ley española el artículo 5.3 de la Directiva ePrivacy: usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario necesita su consentimiento, salvo que sea estrictamente necesario para un servicio que ha pedido expresamente. La AEPD aplica esta regla también a tecnologías similares a las cookies, como los píxeles y el fingerprinting.
2. El RGPD: tratar datos personales exige una base legal, transparencia y garantías.

El server side tracking no te saca del artículo 22.2. La norma se refiere a lo que ocurre en el equipo del usuario, no a dónde acaban los datos. Y se aplica a cualquier información, sea o no un dato personal, como confirmó el Tribunal de Justicia de la UE en la sentencia Planet49 (2019). En sus Directrices 2/2023 sobre el alcance técnico del artículo 5.3, el Comité Europeo de Protección de Datos (CEPD) explica que:

• una web que usa JavaScript para que el navegador envíe información está accediendo a esa información, y eso entra en la norma;
• añadir identificadores a las URL o a los píxeles de seguimiento es una instrucción al dispositivo para que devuelva ese identificador, y también cuenta como acceso;
• recoger un identificador único, como un correo electrónico con hash, mediante código en el navegador también entra en la norma;
• incluso el seguimiento basado solo en la dirección IP puede entrar, salvo que puedas garantizar que la dirección no procede del dispositivo del usuario.

Un sistema server-side hace exactamente eso: la etiqueta de Google en el navegador envía eventos a tu servidor, y el contenedor de servidor puede instalar una cookie en tu dominio para reconocer al usuario. Por eso, una cookie propia instalada a través de un contenedor de servidor necesita consentimiento si es de análisis o de marketing, igual que una instalada por un script. La AEPD añade en su Guía sobre el uso de las cookies que una cookie servida desde tu dominio no cuenta como propia si un tercero usa la información para sus propios fines.

En España, además, la AEPD no reconoce una exención para la analítica: las cookies de análisis necesitan consentimiento, aunque las considere de bajo riesgo cuando son propias y tratan datos agregados. Medir en el servidor no cambia eso.

El RGPD también se aplica en el servidor

En cuanto los datos llegan a tu servidor, el RGPD se aplica a todo lo que hagas con ellos: reenviarlos a Google o Meta, enriquecerlos con datos de pedidos o del CRM, crear audiencias. Necesitas una base legal para cada finalidad, y las directrices del CEPD sobre el consentimiento dicen que, cuando la base es el consentimiento, debe obtenerse antes de empezar el tratamiento.

Para publicidad y perfiles, esa base es en la práctica el consentimiento. En la sentencia Meta Platforms contra Bundeskartellamt (C-252/21, 4 de julio de 2023), el Tribunal de Justicia resolvió que la publicidad personalizada no justifica, como interés legítimo, que Meta trate los datos de sus usuarios sin su consentimiento. Una web que envía datos de sus usuarios a una plataforma publicitaria para segmentar o medir conversiones difícilmente podrá alegar un interés legítimo que la propia plataforma no tiene.

Lo que sí cambia el server side tracking

No sirve para evitar el consentimiento, pero puede hacer tu medición más respetuosa con la privacidad y más fácil de controlar:

• Control sobre lo que reciben los proveedores. Según Google, solo tú tienes acceso a los datos del contenedor de servidor hasta que decides enviarlos. Puedes quitar campos, acortar URL o descartar eventos antes de que salgan de tu servidor.
• Direcciones IP e identificadores. Puedes no reenviar la dirección IP completa, o sustituir los identificadores antes de enviar los datos. Eso ayuda a la minimización de datos (artículo 5.1.c del RGPD).
• Menos solicitudes a terceros en el navegador. Menos scripts de proveedores en la página significa menos terceros que pueden leer datos directamente del equipo del usuario.
• Transferencias fuera del EEE. Si tu servidor está en la UE y limpia los datos antes de reenviarlos, llegan menos datos personales a proveedores de fuera de Europa. La autoridad francesa, la CNIL, describe un "proxy" así para la medición de audiencia con condiciones estrictas: no reenviar la IP, sustituir el identificador, quitar el referrer y los parámetros de las URL, no usar identificadores entre sitios y alojarlo de forma que se eviten transferencias fuera de la UE. La CNIL lo presenta como una solución para las transferencias, no como un motivo para prescindir del consentimiento.

Server side tracking con banner de cookies y Consent Mode

La configuración que funciona es la misma que sin contenedor de servidor, con un paso más:

1. El banner de cookies recoge la elección y bloquea las etiquetas de análisis y de marketing hasta que el usuario da su consentimiento.
2. Google Consent Mode v2 transmite la elección (lo explicamos en Google Consent Mode v2, explicado). Según la documentación de Google, solo hace falta configurar Consent Mode en el contenedor web: la etiqueta de Google añade el estado del consentimiento a cada solicitud que envía al contenedor de servidor.
3. Las etiquetas de Google en el contenedor de servidor siguen ese estado. En el modo básico, las etiquetas de Analytics se bloquean por completo y no se instalan ni se leen cookies de Analytics, ni en el navegador ni en el servidor. En el modo avanzado, envían mediciones anónimas. Sin consentimiento, las etiquetas de conversión de Google Ads no leen ni escriben cookies, y se bloquean las solicitudes de remarketing de Google Ads y de Floodlight.
4. Las etiquetas de otros proveedores son cosa tuya. Google solo lo garantiza para sus propias etiquetas. Una etiqueta de la API de conversiones de Meta o de cualquier otro proveedor en el contenedor de servidor solo debe activarse si el estado del consentimiento lo permite; configúralo tú con activadores o condiciones.

Un banner como Cookie Confirm fija los valores por defecto de Consent Mode antes de que se cargue ninguna etiqueta de Google y los actualiza cuando el usuario elige, así que el estado del consentimiento llega al contenedor de servidor con cada solicitud. Sobre GA4 en concreto, lee Google Analytics y el RGPD en España.

La API de conversiones de Meta y el consentimiento

La API de conversiones de Meta conecta tu servidor con Meta, para que puedas enviar eventos de tu web, como compras y leads, sin depender solo del píxel de Meta en el navegador. Meta usa esos eventos para medir y optimizar los anuncios.

Es, por tanto, un tratamiento con fines publicitarios. Las Condiciones de las herramientas para empresas de Meta te exigen tener todos los derechos necesarios y una base legal para los datos que compartes y, en los países que exigen consentimiento para almacenar información en los dispositivos o acceder a ella (las condiciones mencionan la UE), obtener un consentimiento verificable de los usuarios. Según esas condiciones, en la UE tú eres el responsable de esos datos. En la práctica:

• envía eventos a la API de conversiones solo de los usuarios que aceptaron las cookies de marketing en tu banner;
• no uses la API de conversiones para "recuperar" conversiones de usuarios que las rechazaron;
• menciona a Meta y la API de conversiones en tu política de cookies y en tu política de privacidad.

La opción "Uso limitado de datos" de Meta está pensada para algunas leyes de privacidad de estados de EE. UU. No es un mecanismo de consentimiento para la UE.

Errores frecuentes

• "Es cookieless, así que no necesito consentimiento". La norma abarca más que las cookies: según el CEPD, los scripts que hacen que el navegador envíe datos, los píxeles, los identificadores en las URL y los identificadores únicos también entran.
• "Ahora son cookies propias". El artículo 22.2 de la LSSI no distingue entre cookies propias y de terceros, ni entre cookies instaladas por un script o por un servidor. Lo que cuenta es la finalidad.
• Enviar datos antes de la elección. Si tu contenedor de servidor reenvía páginas vistas o conversiones antes de que el usuario haya elegido en el banner, tratas datos sin base legal.
• "El correo con hash es anónimo". Un correo con hash es un dato seudonimizado, que el RGPD sigue considerando dato personal (considerando 26). Se cifra con hash precisamente para que una plataforma como Meta pueda relacionarlo con una persona.
• Olvidar las etiquetas que no son de Google. Consent Mode solo controla las etiquetas de Google. Cada una de las demás etiquetas del contenedor de servidor necesita su propia comprobación del consentimiento.
• No actualizar la política de cookies. Los usuarios deben saber qué proveedores reciben sus datos, también cuando pasan antes por tu servidor. Tienes un modelo en Política de cookies: ejemplo.

Qué arriesgas en España

La AEPD es quien vigila el cumplimiento del artículo 22.2 de la LSSI. Usar cookies o tecnologías similares sin informar o sin obtener el consentimiento es una infracción leve (artículo 38.4 g de la LSSI), con multas de hasta 30.000 €. Si además tratas datos personales sin base legal, por ejemplo al reenviarlos a una plataforma publicitaria, pueden aplicarse las sanciones del RGPD. Más casos en Multas de la AEPD por cookies.

Fuentes

• Ley 34/2002 (LSSI), artículos 22.2 y 38 (BOE)
• AEPD: Guía sobre el uso de las cookies (mayo de 2024)
• Directiva 2002/58/CE (ePrivacy), versión consolidada, artículo 5.3 (EUR-Lex)
• Reglamento (UE) 2016/679 (RGPD) (EUR-Lex)
• CEPD: Directrices 2/2023 sobre el alcance técnico del artículo 5.3 de la Directiva ePrivacy
• CEPD: Directrices 05/2020 sobre el consentimiento
• TJUE: sentencia de 1 de octubre de 2019, Planet49, C-673/17
• TJUE: comunicado de prensa 113/23 sobre el asunto C-252/21, Meta Platforms contra Bundeskartellamt (4 de julio de 2023)
• Google: introducción al etiquetado del lado del servidor
• Google: implementar el modo de consentimiento con Tag Manager del lado del servidor
• Google: dominio personalizado para el etiquetado del lado del servidor
• Meta for Developers: API de conversiones
• Meta for Developers: opciones de tratamiento de datos para usuarios de EE. UU.
• Meta: Condiciones de las herramientas para empresas
• CNIL: medición de audiencia y transferencias de datos (en francés)