Cumplimiento RGPD en analítica
Cumplir los requisitos del RGPD para la analítica web: base legal para el tratamiento, minimización de datos, limitación de propósito y — si se usan cookies — consentimiento válido recogido antes del tracking.
Requisitos del RGPD para analítica
El Reglamento General de Protección de Datos (RGPD) aplica a cualquier tratamiento de datos personales de residentes UE. Para analítica web, los requisitos clave son:
- —Base legal — habitualmente consentimiento (Art. 6(1)(a)) para tracking con cookies, o interés legítimo para datos no personales
- —Minimización de datos — recoger sólo lo necesario para el propósito declarado
- —Limitación de propósito — usar el dato sólo para el fin de analítica declarado
- —Limitación del almacenamiento — definir y aplicar periodos de retención
- —Derechos del interesado — facilitar acceso, rectificación y borrado
La capa ePrivacy
Más allá del RGPD, la Directiva ePrivacy (Art. 5(3)) exige consentimiento antes de acceder o almacenar información en el dispositivo del usuario — lo que incluye colocar cookies. Por eso las plataformas de gestión de consentimiento son obligatorias para la analítica con cookies.
Cumplimiento por arquitectura
La analítica sin cookies aborda el cumplimiento de otra manera. Al no recoger dato personal y no almacenar nada en el dispositivo del visitante, el requisito de consentimiento bajo ePrivacy no aplica y las obligaciones RGPD son mínimas. Es coherente con la guía de la CNIL (Francia), DSK (Alemania) y otras autoridades UE sobre exenciones de medición de audiencia.
Qué dice la AEPD en España
La guía de cookies de la AEPD, actualizada en 2024, parte de que las cookies analíticas requieren consentimiento previo — y abre una excepción práctica: las herramientas dedicadas exclusivamente a medición de audiencia anónima, sin seguimiento entre sitios, quedan fuera de ese requisito. La excepción no se concede por declararla en la política de cookies: depende de que la herramienta realmente no identifique al visitante ni comparta el dato con terceros con fines propios. En la práctica, esto separa dos mundos que se suelen confundir: instalar GA4 con Consent Mode no lo convierte en medición anónima, mientras que una arquitectura que no escribe nada en el dispositivo ni recoge dato personal sí encaja en el supuesto.
Junto a la AEPD, el Art. 22.2 de la LSSI-CE es la norma que traspone ePrivacy en España, y es el que fija el deber de información y consentimiento antes de almacenar o acceder a información en el equipo del usuario. La consecuencia operativa para un eCommerce español es concreta: si tu medición depende de cookies, tu dato depende del banner, y el porcentaje de rechazo pasa a ser una variable de negocio, no de compliance. El detalle por país está en analítica y RGPD en España.
Qué revisa un DPO antes de aprobar una herramienta
El cumplimiento no se demuestra con una casilla marcada, sino con un expediente que alguien pueda leer. Las preguntas que se repiten en una revisión son cuatro: qué dato concreto sale del navegador, dónde se procesa y se almacena, quién más puede acceder a él, y durante cuánto tiempo se conserva. Una herramienta que no recoge direcciones IP, identificadores de dispositivo ni identificadores de usuario reduce las tres primeras a respuestas cortas, y una retención con TTL automático resuelve la cuarta sin depender de un proceso manual.
Queda la capa de transferencias internacionales. Si el tratamiento ocurre íntegramente en la UE y no hay subencargados fuera del EEE, la evaluación de transferencia posterior a Schrems II deja de aplicar — no porque se haya documentado mejor, sino porque no hay transferencia que evaluar. Es la diferencia entre gestionar un riesgo y eliminarlo, y es la razón por la que la arquitectura pesa más que la lista de certificaciones.