¿Google Analytics cumple con el RGPD? Guía completa de GA4

TL;DR

Google Analytics 4 no cumple con el RGPD por defecto. Instala cookies (_ga, _ga_<ID>), recopila datos personales (identificador de cookie, navegación, dispositivo, ubicación aproximada) y los envía a Google, incluidos servidores en Estados Unidos. Varias autoridades europeas de protección de datos se pronunciaron en contra de Google Analytics en 2022. Aun así, puede usar GA4 de forma legal si lo bloquea hasta que el visitante dé su consentimiento, configura bien Google Consent Mode v2, minimiza los datos que recoge y documenta el tratamiento. Sin estas medidas, su sitio asume un riesgo jurídico real.

Por qué la pregunta sigue vigente en 2026

Google Analytics sigue siendo la herramienta de analítica web más usada del mundo, y su conformidad con el RGPD lleva años bajo la lupa de los reguladores. No es una cuestión teórica: varias autoridades de protección de datos han sancionado usos concretos de Google Analytics y se siguen presentando reclamaciones.

El problema tiene dos capas que a menudo se confunden:

• El consentimiento. GA4 guarda identificadores en el navegador del visitante con una finalidad que no es estrictamente necesaria. Las normas ePrivacy (en España, el artículo 22.2 de la LSSI) exigen por tanto un consentimiento previo.
• Las transferencias. Los datos van a Google, una empresa estadounidense. Que esa transferencia sea lícita depende del marco jurídico UE-EE. UU. vigente en cada momento.

Resolver una capa no resuelve la otra. Desde julio de 2023, las transferencias a Google vuelven a tener base jurídica, pero la obligación de consentimiento no ha cambiado. Para quien gestiona un sitio web, la pregunta útil no es si Google Analytics es «bueno» o «malo», sino qué hay que configurar para usarlo sin riesgo y en qué casos conviene una alternativa.

Qué exigen el RGPD y la normativa ePrivacy para la analítica

El RGPD regula el tratamiento de datos personales desde mayo de 2018. Se aplica a cualquier sitio que trate datos de personas en la UE, esté donde esté alojado. La Directiva ePrivacy añade una regla propia para cookies y rastreadores: leer o escribir información en un dispositivo requiere consentimiento, salvo que sea estrictamente necesario para el servicio solicitado.

Para una herramienta como Google Analytics, esto se traduce en cinco obligaciones concretas:

1. Una base jurídica. Para las cookies analíticas de terceros como GA4, es el consentimiento. No existe una exención general para la medición de audiencia.
2. Bloqueo previo. El script no debe ejecutarse hasta que el visitante diga que sí. Cargar GA4 al abrir la página, antes de cualquier elección, es la infracción que más detectan los reguladores.
3. Información clara. Su política de privacidad debe explicar qué se recoge, para qué, durante cuánto tiempo, quién lo trata y cómo ejercer los derechos (acceso, supresión, retirada del consentimiento).
4. Transferencias con garantías. Los datos que salen de la UE necesitan un mecanismo jurídico: decisión de adecuación, cláusulas contractuales tipo o medidas complementarias.
5. Responsabilidad proactiva. Debe poder demostrar el consentimiento e inscribir el tratamiento en su registro de actividades (artículo 30 del RGPD).

Qué cookies instala GA4 y qué datos recopila

Las cookies de GA4

La etiqueta estándar de GA4 (gtag.js o la etiqueta GA4 de Google Tag Manager) instala cookies propias en su dominio:

• _ga: identificador único del visitante, válido 2 años por defecto
• _ga_<ID> (donde <ID> es el final de su ID de medición): guarda el estado de la sesión, también válido 2 años

Si un escaneo de su sitio encuentra además _gid o _gat_UA-..., proceden de la antigua biblioteca de Universal Analytics: sigue funcionando una etiqueta antigua en algún lugar y conviene eliminarla.

Dos años superan la duración máxima de 13 meses que recomienda la CNIL para los rastreadores sujetos a consentimiento. Puede acortarla con el parámetro cookie_expires de la etiqueta GA4. Nuestro artículo sobre la duración de las cookies y la regla de los 13 meses detalla los límites aplicables.

Los datos recopilados

GA4 recoge las URL visitadas, los eventos de interacción (clics, desplazamiento, formularios, descargas), datos de sesión, la ubicación aproximada e información técnica (navegador, sistema operativo, tamaño de pantalla, dispositivo). Google afirma que GA4 no registra ni almacena direcciones IP, pero la IP se usa igualmente para deducir la ubicación, y el identificador de la cookie es por sí solo un dato personal según el RGPD.

Google actúa como encargado del tratamiento por cuenta del titular del sitio, que sigue siendo el responsable. Es usted quien decide instalar Google Analytics, así que es jurídicamente responsable de que la recogida sea conforme. Google pone los ajustes a su disposición; activarlos y comprobar que todo funciona de verdad le corresponde a usted.

Qué han decidido las autoridades europeas

Las decisiones de 2022

Tras las reclamaciones de la asociación noyb, varias autoridades examinaron sitios que usaban Google Analytics (entonces Universal Analytics):

• Austria (DSB, enero de 2022) fue la primera en concluir que usar Google Analytics infringía las normas del RGPD sobre transferencias internacionales (capítulo V), con base en la sentencia Schrems II del TJUE.
• Francia (CNIL, febrero de 2022) constató una infracción del artículo 44 del RGPD y requirió a varios sitios franceses que se adecuaran en el plazo de un mes.
• Italia (Garante, junio de 2022) ordenó a un sitio dejar de usar Google Analytics en las condiciones existentes.
• Dinamarca y Noruega llegaron a conclusiones similares.

Todas estas decisiones se basan en lo mismo: la anulación del Privacy Shield por Schrems II en julio de 2020 y la falta de protección frente a los programas de vigilancia estadounidenses. No prohibieron Google Analytics como tal, pero dejaron claro que sin consentimiento previo, sin una configuración correcta y sin evaluar las transferencias no hay conformidad.

El Data Privacy Framework desde julio de 2023

El 10 de julio de 2023, la Comisión Europea adoptó el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, DPF). Google está certificado, lo que vuelve a dar base jurídica a las transferencias a sus servidores en Estados Unidos. En septiembre de 2025, el Tribunal General de la UE desestimó un recurso de anulación contra el DPF (asunto Latombe contra Comisión). Hay un recurso de casación pendiente ante el Tribunal de Justicia (asunto C-703/25 P), así que la solidez del marco a largo plazo sigue sin estar garantizada. Siga documentando su evaluación de las transferencias.

Sobre todo, el DPF solo afecta a las transferencias. La obligación de recabar el consentimiento antes de que GA4 instale sus cookies es totalmente independiente.

¿Existe una exención de consentimiento para GA4?

La CNIL francesa exime de consentimiento a algunas herramientas de medición de audiencia, pero solo si se cumplen todas las condiciones: finalidad limitada estrictamente a medir la audiencia por cuenta exclusiva del editor, sin cruce de datos ni seguimiento entre sitios, sin cesión a terceros, IP anonimizada antes de cualquier tratamiento, vida útil del rastreador de 13 meses como máximo y conservación de los datos de 25 meses como máximo. GA4 en su configuración estándar envía datos a Google para sus propios tratamientos y no puede cumplir estos criterios. Herramientas como Matomo sí pueden, con una configuración concreta. El catálogo de servicios de FlowConsent muestra esta lista de verificación para cada servicio marcado como potencialmente exento.

Cómo usar GA4 de forma conforme

Instalar GA4 con sus ajustes por defecto no basta. Estos son los seis pasos que importan.

Paso 1: bloquee GA4 antes del consentimiento

Es la regla más importante. El script de Google Analytics no debe cargarse hasta que el visitante haya aceptado las cookies analíticas en su banner de cookies. Un banner que se muestra pero no bloquea realmente los scripts no es conforme.

Para comprobarlo, abra su sitio en una ventana privada e inspeccione las peticiones de red antes de tocar el banner. Si ve peticiones a google-analytics.com o googletagmanager.com que instalan _ga, sus scripts se cargan antes del consentimiento.

Paso 2: configure Consent Mode v2

Google Consent Mode v2 comunica a las etiquetas de Google lo que el visitante ha aceptado. Es obligatorio desde marzo de 2024 para conservar las funciones de medición y remarketing con el tráfico del EEE. Usa cuatro señales: analytics_storage, ad_storage, ad_user_data y ad_personalization. Las cuatro deben estar en denied por defecto para los visitantes europeos y actualizarse a través de su CMP cuando el visitante elija.

Entienda los dos modos antes de decidir:

• Modo básico: las etiquetas de Google no se cargan en absoluto antes del consentimiento. Si el visitante rechaza, no se envía nada a Google.
• Modo avanzado: las etiquetas se cargan con el consentimiento denegado y envían pings sin cookies, que Google usa para modelar conversiones. No se escribe ninguna cookie, pero sí se envían datos a Google, algo que algunas autoridades y juristas miran con cautela. Valore esta elección con su DPD.

Con FlowConsent, un script en línea fija los valores por defecto en denied para las cuatro señales antes de que se cargue cualquier etiqueta de Google, y el banner envía la actualización cuando el visitante elige. Un rechazo se traduce en pings sin cookies (gcs=G100) y ninguna cookie.

Paso 3: configure GA4 para minimizar datos

En la administración de GA4:

• Conservación de datos: las propiedades estándar ofrecen 2 meses (valor por defecto) o 14 meses para los datos a nivel de evento que se usan en las exploraciones. Quédese en 2 meses salvo que necesite análisis más largos. Los informes estándar no se ven afectados por este ajuste.
• Google Signals: desactívelo si no necesita informes entre dispositivos ni remarketing. Trata datos adicionales vinculados a cuentas de Google con sesión iniciada y exige una información específica.
• Personalización de anuncios: manténgala desactivada si no hace remarketing con Google Ads.
• Datos detallados de ubicación y dispositivo: desactive su recogida en la UE si su análisis no los necesita.

Ninguno de estos ajustes sustituye al consentimiento. Reducen los datos tratados una vez que el visitante ha aceptado.

Paso 4: cargue GA4 correctamente, con o sin GTM

Si usa Google Tag Manager, el snippet de su CMP debe ir en el <head> por encima del contenedor de GTM, nunca dentro de GTM como etiqueta, y su etiqueta GA4 debe comprobar el estado del consentimiento. Nuestra guía de instalación con GTM y el artículo sobre Google Tag Manager y Consent Mode v2 detallan la configuración.

Si pega el snippet de GA4 directamente en su sitio, su CMP debe bloquearlo hasta la aceptación, y el snippet de la CMP debe ir primero en el <head>: cualquier script colocado encima escapa al bloqueo previo. Compruebe también que GA4 no lo inyecten los ajustes de su hosting o de su creador de sitios, fuera del control del banner.

Los datos enviados desde su servidor (por ejemplo, con el Measurement Protocol de GA4) escapan a cualquier banner. Deben respetar la misma decisión de consentimiento: consulte nuestro artículo sobre server-side tagging y consentimiento.

Paso 5: actualice la política de privacidad y el registro

Su política debe mencionar Google Analytics y a Google Ireland Ltd como proveedor, los datos recogidos, la base jurídica (consentimiento), los plazos de conservación, las transferencias a Estados Unidos y su marco (DPF), y los derechos de los usuarios, incluida la retirada del consentimiento. Inscriba el tratamiento en su registro de actividades (artículo 30) y conserve su evaluación de las transferencias.

Paso 6: use una CMP que bloquee y guarde la prueba

Su plataforma de gestión del consentimiento debe bloquear los scripts antes del consentimiento, transmitir las señales de Consent Mode v2, conservar la prueba del consentimiento y permitir que el visitante cambie de opinión en cualquier momento. Al elegir una CMP, compruebe que gestiona el bloqueo técnico y no solo la visualización de un banner. FlowConsent va un paso más allá: la verificación de cumplimiento carga sus páginas rechazando el consentimiento y lista todo lo que sigue ejecutándose, para que pueda demostrar que GA4 permanece en silencio tras un rechazo.

Errores frecuentes (y cómo evitarlos)

GA4 cargado en el `<head>` sin condición. El script y la cookie _ga se activan al cargar la página, antes del banner. Solución: bloquear la etiqueta con la CMP o condicionarla en GTM con Consent Mode v2.

Confiar solo en Consent Mode. Consent Mode ajusta las etiquetas de Google, pero no bloquea scripts de terceros. Meta Pixel, TikTok y otros rastreadores deben bloquearse por separado desde su CMP. Para entender los distintos tipos de cookies, consulte nuestra guía.

Presentar la anonimización de la IP como sustituto del consentimiento. GA4 no almacena IP, pero el identificador persistente _ga sigue exigiendo consentimiento previo. Son dos cuestiones distintas.

Usar un banner sin opción de rechazo equivalente. Las autoridades europeas, incluida la AEPD, exigen que rechazar sea tan fácil como aceptar. Un gran botón Aceptar junto a un pequeño enlace «Configurar» no es conforme.

No probar tras la configuración. Muchos sitios muestran un banner correcto pero nunca comprueban que los scripts se bloquean de verdad. Haga un escaneo de cookies tras cada cambio, incluidos los del equipo de marketing.

Alternativas a Google Analytics más respetuosas con el RGPD

Si configurar GA4 resulta demasiado pesado para su organización, o prefiere evitar las transferencias transatlánticas, hay otras opciones:

• Matomo en modo exento, autoalojado o alojado en la UE, puede funcionar sin consentimiento en Francia si cumple todas las condiciones de la CNIL. Nuestro artículo sobre Matomo y las cookies explica la configuración.
• Las herramientas de analítica sin cookies miden el tráfico sin identificadores. Ofrecen menos detalle, pero a veces pueden funcionar sin banner: consulte nuestra guía completa de analytics sin cookies.

La exención solo se aplica si la herramienta genera estadísticas anónimas y agregadas, sin transferencias fuera de la UE ni reutilización por parte del proveedor. En cualquier otro caso, el consentimiento sigue siendo obligatorio.

Checklist de cumplimiento GA4 y RGPD

• Bloquee por defecto el script de GA4 o de GTM desde su CMP.
• Configure Consent Mode v2 con las cuatro señales en denied por defecto para el EEE.
• Compruebe en una ventana privada que no se instala ninguna cookie _ga antes de aceptar.
• Elimine cualquier etiqueta antigua de Universal Analytics (cookies _gid, _gat_).
• Reduzca la vida útil de la cookie _ga a 13 meses como máximo.
• Mantenga la conservación de datos de GA4 en 2 meses salvo que necesite 14.
• Desactive Google Signals y la personalización de anuncios si no los usa.
• Mencione GA4 y Google Ireland Ltd en su política de privacidad, con las transferencias y la cobertura del DPF.
• Inscriba el tratamiento en el registro (artículo 30) y documente la evaluación de las transferencias.
• Aplique la misma decisión de consentimiento a los datos enviados desde su servidor.

Conclusión

Google Analytics 4 puede usarse de forma conforme con el RGPD, pero exige una configuración rigurosa: scripts bloqueados antes del consentimiento, Consent Mode v2 en denied por defecto, ajustes de GA4 minimizados, una política de privacidad actualizada y una CMP que conserve la prueba. Empiece con un escaneo gratuito de su sitio para localizar los scripts que se cargan antes del consentimiento y las cookies no declaradas, y corríjalos uno a uno.