Google Analytics 4: ¿Por fin cumple con el GDPR? (Y qué significa para tu web)

¿Es GA4 realmente GDPR compliant?

Google Analytics 4 ha introducido cambios significativos en la recogida y tratamiento de datos, como la ausencia de direcciones IP y la agregación de datos. Sin embargo, la responsabilidad última sigue siendo del responsable del tratamiento (tú).

La respuesta corta: GA4 ofrece herramientas para cumplir, pero no garantiza el cumplimiento automático. Depende de cómo configures la herramienta y de las decisiones que tomes como editor del sitio web.

¿Qué ha cambiado respecto a Universal Analytics?

Universal Analytics almacenaba direcciones IP completas (aunque luego las anonimizaba). GA4 no almacena direcciones IP en absoluto. Además, GA4 permite desactivar el almacenamiento de datos de usuario y usar modos de consentimiento más flexibles.

Pero ojo: el cambio más importante es que GA4 se basa en un modelo de datos basado en eventos, no en sesiones. Esto reduce la cantidad de datos personales recogidos por defecto.

¿Sigue siendo necesario el consentimiento?

Sí, en la mayoría de los casos. Aunque GA4 no almacena IPs, sigue recogiendo datos como el user-agent, la ubicación aproximada (a nivel de ciudad) y otros identificadores. Si tu sitio web está dirigido a usuarios de la UE, necesitas obtener el consentimiento explícito para las cookies de analytics y para la transferencia de datos a EE.UU. (si procede).

La sentencia Schrems II sigue vigente, por lo que las transferencias a EE.UU. requieren garantías adicionales, como las Cláusulas Contractuales Tipo (SCC) o un Escudo de Privacidad válido (que ya no existe). Google ha implementado medidas como la anonimización de datos y la retención mínima, pero la responsabilidad es tuya.

¿Qué dice la AEPD y otras autoridades?

La Agencia Española de Protección de Datos (AEPD) aún no se ha pronunciado oficialmente sobre GA4, pero ha sido muy crítica con Universal Analytics. Otras autoridades europeas, como la CNIL francesa, han aprobado GA4 siempre que se configure correctamente (sin compartir datos con Google para fines publicitarios, con consentimiento previo, etc.).

Mi consejo: no te fíes de la configuración por defecto. Revisa cada ajuste y, si tienes dudas, consulta con un DPO.

Checklist para cumplir con GDPR usando GA4

• Activar la anonimización de IP (aunque GA4 no las almacena, por si acaso).
• Desactivar el intercambio de datos con Google (para fines publicitarios).
• Configurar un período de retención de datos mínimo (2 meses).
• Implementar un banner de cookies con consentimiento granular.
• Usar el modo de consentimiento de Google (Consent Mode v2).
• Firmar las SCC con Google (si no lo has hecho ya).
• Realizar una evaluación de impacto (DPIA) si tu sitio tiene alto riesgo.

FAQ