Desde que el RGPD entró en vigor en mayo de 2018, la tensión entre las prácticas habituales del marketing digital y los requisitos legales de protección de datos no ha hecho más que crecer. Las herramientas de analítica, retargeting y publicidad programática que constituyen el núcleo del marketing digital moderno funcionan recogiendo datos personales de los usuarios, perfilándolos y compartiéndolos con plataformas de terceros. Cada una de esas operaciones requiere una base jurídica válida bajo el RGPD.

La base jurídica habitual para estas actividades es el consentimiento. Y el consentimiento, bajo el RGPD, tiene requisitos que hacen ilegales muchas de las prácticas que se normalizaron antes de 2018: los banners de cookies que solo ofrecen aceptar, los checkboxes premarcados, las listas de partners de cientos de empresas que el usuario acepta sin saber, los “seguir navegando implica aceptar”.

Google Analytics y el problema de las transferencias internacionales

Google Analytics envía datos de comportamiento de los usuarios a servidores de Google en Estados Unidos. Eso convierte su uso en una transferencia internacional de datos personales sujeta al Capítulo V del RGPD.

Varias autoridades europeas de protección de datos han declarado ilegales configuraciones estándar de Google Analytics. La CNIL francesa actuó en enero de 2022. La autoridad austriaca (DSB) lo hizo antes. La italiana (Garante) en junio de 2022. El argumento central: las Cláusulas Contractuales Tipo no eran suficientes para impedir el acceso de las autoridades estadounidenses a los datos en la práctica.

La situación cambió con el Data Privacy Framework (DPF) adoptado en julio de 2023, que estableció un nuevo marco de transferencias UE-EE.UU. Google Analytics se acogió a él, lo que en principio resuelve el problema de la transferencia internacional. Pero el DPF no resuelve el problema del consentimiento: sigue siendo necesario obtener consentimiento válido antes de activar Google Analytics si se usa con fines que van más allá de la analítica estrictamente técnica.

Qué configuración de Google Analytics es legal

Google ofrece varias opciones que reducen el impacto sobre la privacidad. La anonimización de IP (ya activada por defecto en GA4) elimina el último octeto de la dirección IP antes de que se procese. El modo de consentimiento de Google permite configurar la herramienta para que no envíe datos de cookies hasta que el usuario haya dado su consentimiento.

Para que el uso de Google Analytics cumpla el RGPD en España, son necesarias al menos tres cosas: un banner de cookies que solicite consentimiento específico para analítica antes de activar GA, configuración del modo de consentimiento de Google para que respete las opciones del usuario, y mención en la política de privacidad de Google como destinatario de los datos con enlace a su política.

Usar Google Analytics sin obtener consentimiento previo, apoyándose en el “interés legítimo” como base jurídica, no es una opción válida para la analítica con cookies. Las directrices del CEPD y las resoluciones de la AEPD son claras: las cookies de seguimiento y analítica requieren consentimiento.

Meta Pixel: el rastreador más sancionado de Europa

El Meta Pixel (anteriormente Facebook Pixel) es un fragmento de código JavaScript que, cuando se instala en una web, envía datos de comportamiento de los visitantes a Meta. Esos datos se usan para medir conversiones, crear audiencias personalizadas y hacer retargeting.

El Pixel puede enviar datos personales a Meta incluso cuando el usuario no ha dado consentimiento, y puede transmitir información sensible si se instala en páginas con datos de salud o situación económica. Varios hospitales y clínicas en Europa han enfrentado investigaciones por instalar el Pixel en páginas de cita previa o gestión de pacientes.

Para usar Meta Pixel legalmente: obtener consentimiento específico para publicidad de terceros antes de cargar el código, usar la API de conversiones del lado del servidor cuando sea posible (reduce la cantidad de datos que se envían automáticamente), y configurar las opciones de coincidencia avanzada solo para datos cuyo tratamiento haya sido explícitamente consentido.

Qué es un CMP y por qué no todos valen

Una Consent Management Platform (CMP) es la herramienta que gestiona el consentimiento de los usuarios para el uso de cookies y tecnologías de seguimiento. El problema es que no todos los CMPs cumplen los requisitos del RGPD y de la LSSI. Un CMP que diseña el banner para que “Aceptar todo” sea el botón más prominente, que no ofrece una opción de rechazo igual de accesible, o que activa cookies antes de que el usuario interactúe, no cumple.

Para elegir un CMP que cumpla: verificar que bloquea efectivamente las cookies de terceros hasta obtener consentimiento, que registra las pruebas de consentimiento con fecha, hora e identificador de usuario, que permite retirar el consentimiento con la misma facilidad con que se otorga, y que ofrece una experiencia de rechazo igual de accesible que la de aceptación.

El interés legítimo en marketing: cuándo funciona y cuándo no

El marketing directo a clientes existentes puede ampararse en interés legítimo bajo ciertas condiciones: que la comunicación sea sobre productos o servicios similares a los que el cliente ya contrató, que se le haya informado al recoger sus datos de que podrían usarse para ese fin, y que se le ofrezca siempre la posibilidad de oponerse.

Las cookies de seguimiento y publicidad comportamental no pueden basarse en interés legítimo. El CEPD lo ha dejado claro en sus directrices sobre bases jurídicas para publicidad en línea.

En Adapta RGPD auditamos la configuración de herramientas de marketing digital y ayudamos a implementar un CMP que cumpla dentro de nuestra adaptación web al RGPD y la LSSI, con revisión continua desde 119€/año.

La entrada RGPD y marketing digital: cómo usar Google Analytics, Meta Pixel y herramientas de publicidad sin infringir la ley se publicó primero en Adaptación RGPD.