Google Optimize
Google Optimize fue la herramienta gratuita de pruebas A/B y personalización de Google, profundamente integrada con Google Analytics. El producto se descontinuó el 30 de septiembre de 2023, pero el script optimize.js sigue activo en muchos sitios, leyendo cookies de Google Analytics y transfiriendo datos de exposición a variantes a Google LLC en Estados Unidos. Su uso requiere el mismo consentimiento que Google Analytics según el RGPD y la Directiva ePrivacy.
¿Qué hace Google Optimize?
Que fue Google Optimize y por que sigue importando
Google Optimize fue una herramienta gratuita de pruebas A/B, multivariantes y personalización lanzada en 2017. Permitia a los equipos de marketing crear experimentos sin trabajo de ingeniería, segmentar visitantes con segmentos de Google Analytics y medir el rendimiento de las variantes contra los objetivos de Analytics. Google anuncio el fin de Optimize y Optimize 360 en enero de 2023 y el producto se descontinuó oficialmente el 30 de septiembre de 2023. Desde esa fecha no se pueden crear nuevos experimentos y los existentes dejaron de servir variantes. Sin embargo, la librería optimize.js sigue cargada en numerosas implementaciones heredadas, a menudo vía etiquetas de Google Tag Manager que nunca se desactivaron, y continua leyendo cookies de Analytics y disparando llamadas de red a los servidores de Google en Estados Unidos.
Que datos sigue recogiendo el script heredado
Incluso después del fin de servicio, el script optimize.js sigue leyendo las cookies _ga, _gid y _ga_<MEASUREMENT_ID> que coloca Google Analytics, además de su propia cookie _gaexp con el ID de experimento, índice de variante y expiración. El script accede a la URL completa, al document referrer, al tamaño del viewport, al user agent y a cualquier variable de data layer que el sitio publique, todo ello utilizable para segmentación. Los eventos de página se envían a Google Analytics por HTTPS a www.google-analytics.com o región1.google-analytics.com, la dirección IP es visible para Google a nivel de red. En los sitios que integraron Optimize con Google Analytics 4, los eventos de exposición aparecen como eventos GA4 estándar ligados al Client ID.
Implicaciones RGPD y ePrivacy
Como Optimize lee y escribe cookies que no son estrictamente necesarias para prestar el servicio solicitado, el artículo 5(3) de la Directiva ePrivacy exige consentimiento previo e informado antes de ejecutar el script. Bajo el RGPD, el mismo tratamiento requiere una base jurídica valida: en el contexto web de consumo solo el consentimiento del artículo 6(1)(a) es admisible. Los datos transferidos a Google LLC en Estados Unidos son datos personales en el sentido del RGPD, ya que el Client ID es un identificador en línea persistente. Los operadores deben documentar el mecanismo de transferencia (EU US Data Privacy Framework o Cláusulas Contractuales Tipo), realizar una Evaluación de Impacto de la Transferencia conforme a Schrems II e informar al usuario en la política de privacidad. Varias autoridades europeas (CNIL, Garante italiana, DSB austriaca) han sancionado despliegues de Google Analytics sin consentimiento, y Optimize entra en el mismo perímetro.
Gestión del consentimiento para etiquetas heredadas de Optimize
Los operadores que aun cargan Optimize deben proteger el snippet detrás de una Plataforma de Gestión del Consentimiento. Con Google Consent Mode v2 la etiqueta Optimize solo debe dispararse si se concede analytics_storage; ad_storage controla las audiencias de remarketing de Google Ads derivadas de los experimentos. El anti flicker, que oculta el contenido hasta que carga Optimize, también debe condicionarse al consentimiento: de lo contrario, los visitantes que rechacen veran una página en blanco varios cientos de milisegundos. Las llamadas a dominios de Google antes del consentimiento deben bloquearse mediante integración con la CMP, etiquetado server side o un trigger de exclusión en el tag manager.
Pasos prácticos de cumplimiento
Auditar contenedores de Google Tag Manager y código fuente buscando referencias residuales a optimize.js y eliminarlas. Desactivar el snippet anti flicker, que pierde sentido sin experimentos servidos. Actualizar la política de privacidad y el registro de actividades de tratamiento: retirar Optimize donde se haya eliminado o senalarlo como script heredado pendiente de retirada. Sustituir Optimize: Google recomienda plataformas socias como AB Tasty, Optimizely o VWO; para residencia de datos en la UE, Kameleoon, Convert o GrowthBook auto alojado ofrecen opciones solo UE. Sea cual sea la herramienta elegida, hay que repetir el mismo trabajo de EIPD, consentimiento y transferencias, ya que el marco regulatorio es identico.
Actualización de la política de cookies
Si su política de cookies todavía menciona Optimize, actualícela para indicar que el servicio fue descontinuado por Google y que el script esta siendo retirado. Mantenga la entrada mientras el script no haya desaparecido por completo de producción, ya que la cookie _gaexp puede persistir hasta 90 días en los dispositivos después de retirarlo. Vuelva a escanear el sitio mensualmente para confirmar que la cookie no reaparece y documente la retirada en su registro de tratamientos.
Google Optimize y el RGPD
Google Optimize está clasificado como «Analítica». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies.
- Base jurídica
- Consent (GDPR Art. 6(1)(a) and ePrivacy Directive Art. 5(3))
- Nivel de riesgo
- high
- Normativa aplicable
- GDPR, ePrivacy Directive, French CNIL guidance on Google Analytics, German TTDSG, Italian Garante decisions, Austrian DSB ruling, Schrems II case law
Evaluación de impacto (EIPD)
Google Optimize se apoya en el mismo Client ID _ga que Google Analytics y escribe su propia cookie _gaexp (vida útil 90 días) que contiene el ID de experimento, el índice de variante y la fecha de expiración. Puntos clave de la EIPD: (1) todos los datos se transfieren a Google LLC en Estados Unidos, lo que exige una Evaluación de Impacto de la Transferencia activa, incluso bajo el EU US Data Privacy Framework; (2) el script optimize.js se ejecuta en el top frame y puede leer la URL completa, el referrer y cualquier valor de data layer empujado para reglas de personalización; (3) los eventos de exposición a variantes se fusionan con perfiles de usuario de Google Analytics, ampliando el horizonte de retención de datos de comportamiento; (4) el anti flicker oculta el contenido hasta que carga Optimize, con implicaciones de accesibilidad y rendimiento; (5) tras la descatalogación Google ya no publica actualizaciones ni parches de seguridad, así que los snippets no retirados siguen filtrando datos sin soporte activo del proveedor. Se recomienda una EIPD mientras Optimize siga cargado y la eliminación debe priorizarse.
Texto de ejemplo para su banner
Este sitio utilizaba Google Optimize, un servicio de pruebas A/B y personalización operado por Google LLC. Optimize colocaba la cookie _gaexp en su dispositivo y compartia información de exposición a variantes con Google Analytics. Los datos se transferian a Google LLC en Estados Unidos. El servicio se descontinuó el 30 de septiembre de 2023; si ve este aviso es que aun estamos retirando scripts heredados. Puede rechazar el consentimiento en cualquier momento desde nuestra configuración de cookies.
Lo que Google Optimize instala y contacta
- Método de seguimiento
- JavaScript snippet (optimize.js) loaded via gtag.js or Google Tag Manager. Reads and writes first party cookies, communicates with Google Analytics to attribute variant exposure to events and conversions, and may delay page rendering using an anti-flicker snippet.
- Ubicación de los servidores
- United States (Google LLC global infrastructure)
- Transferencia de datos fuera de la UE
- All Optimize traffic is routed through Google LLC servers in the United States. Google relies on the EU US Data Privacy Framework certification and Standard Contractual Clauses for transfers outside the DPF. Note: Google Optimize and Optimize 360 were sunset on 30 September 2023, however many legacy implementations still load the optimize.js snippet, which continues to read existing Google Analytics cookies and trigger US transfers until removed.
Cookies instaladas (5)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| _gaexp | Personalization / Experimentation | 90 days | Set by Google Optimize. Stores the experiment ID, variant index and expiry timestamp so that the visitor sees the same variant across sessions. Read on every page load by optimize.js to determine which variant to serve and to report exposure to Google Analytics. |
| _gaexp_rc | Personalization / Experimentation | Session | Set by Google Optimize during a redirect experiment to prevent infinite redirect loops. Holds the redirect chain identifier for the current variant. |
| _opt_awcid | Personalization / Experimentation | 24 hours | Set by Google Optimize when Google Ads click identifiers are present. Used to attribute experiment results back to specific Google Ads campaigns. |
| _opt_awmid | Personalization / Experimentation | 24 hours | Set by Google Optimize. Stores the Google Ads campaign ID for experiments that target paid traffic, allowing Optimize to report variant performance per campaign. |
| _opt_utmc | Personalization / Experimentation | 24 hours | Set by Google Optimize to store the utm_campaign value for the current session, enabling traffic source level analysis of experiment results. |
Dominios de terceros contactados (5)
www.googleoptimize.comoptimize.google.comwww.google-analytics.comregion1.google-analytics.comstats.g.doubleclick.net
Preguntas frecuentes sobre Google Optimize
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies coloca Google Optimize?
Google Optimize coloca su propia cookie _gaexp (vida útil 90 días) que almacena el ID de experimento, índice de variante y fecha de expiración. También lee cookies de Google Analytics existentes: _ga (2 años), _gid (24 horas) y _ga_<MEASUREMENT_ID> (2 años), para identificar al visitante y vincular la exposición a variantes con perfiles de Analytics. Tras el fin de servicio de septiembre de 2023 el script sigue escribiendo _gaexp en cada carga de página, así que las auditorías deben tratar Optimize como proveedor activo hasta que se retire el snippet.
¿Hace falta consentimiento para cargar Google Optimize?
Si. Las cookies _gaexp y la familia _ga no son estrictamente necesarias para entregar el sitio, así que el artículo 5(3) de la Directiva ePrivacy exige consentimiento previo e informado antes de que optimize.js pueda ejecutarse. Incluso tras la descatalogación, cargar el script sin consentimiento vulnera tanto ePrivacy como el RGPD. El consentimiento debe ser granular, libre, tan fácil de retirar como de otorgar y con un botón rechazar todo tan visible como aceptar todo.
¿Cuál es la base jurídica del tratamiento vía Optimize?
En el contexto web de consumo, solo la base del consentimiento (RGPD art. 6(1)(a)) es valida. El interés legítimo (art. 6(1)(f)) no suele estar disponible para cookies de rastreo, primero porque no puede neutralizar la exigencia de consentimiento ePrivacy, y segundo porque el CEPD ha reiterado que las expectativas razonables de los usuarios no incluyen el seguimiento de comportamiento entre sitios. En pruebas internas de empleados en intranet podría aplicar la necesidad contractual, pero es un caso estrecho.
¿Google Optimize transfiere datos a Estados Unidos?
Si. Todas las solicitudes de Optimize se envían a servidores de Google LLC en Estados Unidos. Google se autocertifica bajo el EU US Data Privacy Framework, que ofrece una decisión de adecuación para transferencias del EEE a importadores estadounidenses certificados. El DPF sigue impugnado y podría ser anulado como su predecesor Privacy Shield. Se sigue recomendando una Evaluación de Impacto de la Transferencia y la política de privacidad debe informar de la transferencia con detalle suficiente para cumplir los artículos 13 y 14 del RGPD.
¿Necesito una EIPD para Google Optimize?
Se recomienda una EIPD siempre que Optimize este cargado, sobre todo por la combinación de identificadores en línea persistentes, perfilado de comportamiento y transferencia a EE.UU. El artículo 35 del RGPD la hace obligatoria cuando el tratamiento pueda generar un alto riesgo, lo que las directrices del CEPD y la AEPD aplican al rastreo en línea a gran escala. Documente el riesgo, las medidas (consentimiento, anonimización donde sea posible, limites de retención) y revise al menos anualmente.
¿Cómo mantener Optimize en cumplimiento mientras se retira?
Envuelva la etiqueta optimize.js en un trigger CMP que solo dispare cuando analytics_storage este concedido vía Google Consent Mode v2. Desactive el snippet anti flicker, que pierde su propósito. Bloquee las llamadas a www.google-analytics.com y www.googleoptimize.com antes del consentimiento mediante integración con la CMP o tagging server side. Documente el script residual en su registro de actividades con una fecha objetivo de retirada y un responsable.
¿Qué alternativas hay a Google Optimize?
Google recomienda plataformas de experimentación socias: AB Tasty, Optimizely Web, VWO y Dynamic Yield. Para sitios que priorizan residencia de datos en la UE, Kameleoon (FR), Convert (NL), AB Tasty (FR) y GrowthBook auto alojado ofrecen tratamiento solo UE. Sea cual sea la herramienta, repita el mismo trabajo de EIPD, consentimiento y Evaluación de Impacto de la Transferencia, ya que el marco es identico al de Optimize: cookies, identificadores persistentes y, según configuración, transferencias a EE.UU.
¿Cómo actualizo mi política de cookies?
Liste Optimize entre las cookies analíticas o de personalización, nombre la cookie _gaexp, indique su duración de 90 días y explique que almacena información de exposición a variantes compartida con Google Analytics. Añada una nota indicando que el servicio fue descontinuado por Google el 30 de septiembre de 2023 y que el script se esta retirando. Vuelva a escanear el sitio mensualmente; cuando _gaexp ya no aparezca en ninguna sesión, retire la entrada de la política y actualice su registro de tratamientos.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.