Google Analytics 4

¿Qué es Google Analytics 4?

Google Analytics 4 (GA4) es la plataforma de análisis web y de aplicaciones de Google basada en un modelo de datos orientado a eventos. A diferencia de Universal Analytics, GA4 ofrece seguimiento entre dispositivos, análisis predictivos y funciones de privacidad mejoradas como el anonimato de IP y el Consent Mode v2. Desde julio de 2023, GA4 es la plataforma estándar tras el cierre de Universal Analytics.

¿Qué cookies y datos recopila GA4?

GA4 instala por defecto las siguientes cookies propias: _ga (2 años, identificador único de visitante), _ga_XXXXXXXX (2 años, estado de sesión para la propiedad). Cuando se usa Google Ads, se añaden cookies publicitarias adicionales. GA4 recopila vistas de página, eventos personalizados, duración de las sesiones, datos del dispositivo y navegador, direcciones IP anonimizadas y, si Google Signals está activado, datos de usuarios de Google conectados en distintos dispositivos.

RGPD, Directiva ePrivacy y decisiones de las autoridades europeas

Varias autoridades europeas de protección de datos han declarado el uso estándar de Google Analytics contrario al RGPD, principalmente por la transferencia de datos a Estados Unidos sin garantías suficientes. Entre ellas se encuentran la DSB austriaca (2022), la CNIL francesa (2022) y el Garante italiano. Con arreglo a la Directiva ePrivacy, GA4 solo puede cargarse tras obtener el consentimiento explícito del usuario, ya que almacena cookies en el dispositivo. El Consent Mode v2 es obligatorio para el uso de las funciones publicitarias de Google desde marzo de 2024.

Base legal y obligación de consentimiento

La única base legal sólida para las cookies de GA4 es el consentimiento conforme al art. 6.1.a del RGPD, en combinación con la Directiva ePrivacy. El interés legítimo (art. 6.1.f) no es suficiente, puesto que el almacenamiento de cookies en el dispositivo del usuario requiere siempre consentimiento previo. El script de GA4 no debe cargarse hasta que el usuario haya dado su aprobación en la Plataforma de Gestión del Consentimiento (CMP).

Transferencia de datos a Estados Unidos

GA4 transfiere datos de forma predeterminada a Google LLC en Estados Unidos. Desde julio de 2023, Google LLC está certificada bajo el Marco de Privacidad de Datos UE-EE.UU. (DPF), lo que permite las transferencias sobre la base de una decisión de adecuación. Google también ofrece la opción de procesamiento de datos en la UE y cláusulas contractuales tipo (CCT). En todo caso, es obligatorio firmar un Acuerdo de Procesamiento de Datos (DPA) con Google.

Pasos prácticos para cumplir el RGPD

Cargar GA4 solo tras el consentimiento del usuario a través del callback de la CMP. Implementar Consent Mode v2 configurando ad_storage, analytics_storage, ad_user_data y ad_personalization. Firmar el DPA con Google y activar la opción de procesamiento de datos en la UE. Reducir el período de retención de datos al mínimo (2 meses). Activar Google Signals únicamente con consentimiento explícito. Actualizar la política de privacidad incluyendo GA4 y las categorías de datos transferidos.