Tracking conforme al RGPD: consenti­miento, flujos de datos y confianza

Para un tracking conforme al RGPD vale una regla sencilla: todo lo que no sea estrictamente necesario (estadísticas, píxeles de marketing, mapas y vídeos incrustados) solo puede cargarse tras un consentimiento válido. A ello se suman flujos de datos documentados, contratos con todos los proveedores implicados y una política de privacidad que se corresponda con la técnica realmente empleada. Quien lo hace bien protege a su empresa y, al mismo tiempo, obtiene cifras más fiables.

Este artículo ofrece una visión técnica para responsables y equipos de pymes: qué exige la ley en lo esencial, cómo documentar los flujos de datos, cómo aplicar el consentimiento, la gestión de etiquetas y el etiquetado en el servidor, y cómo comprobar el resultado. Para la valoración jurídica de su configuración concreta son competentes su delegado de protección de datos o un despacho jurídico.

Los dos niveles jurídicos: el dispositivo y el tratamiento de datos

En el tracking se combinan dos conjuntos de normas. El artículo 25 de la ley alemana de protección de datos en telecomunicaciones y servicios digitales (TDDDG) regula cuándo puede almacenarse o leerse información en el dispositivo del usuario, por ejemplo mediante cookies, Local Storage o fingerprinting. En principio se exige consentimiento, salvo que el almacenamiento sea estrictamente necesario para que funcione un servicio que el usuario ha solicitado expresamente. El RGPD regula después si pueden tratarse los datos personales recogidos y con qué base, y exige, entre otras cosas, transparencia, limitación de la finalidad y minimización de datos.

Un consentimiento válido es libre, informado, referido a una finalidad concreta e inequívoco, y se retira tan fácilmente como se otorgó. Las casillas premarcadas no bastan; así lo resolvieron el Tribunal de Justicia de la UE y el Tribunal Supremo Federal alemán (BGH) en 2019 y 2020. Además, debe poder acreditar el consentimiento (art. 7, apdo. 1 del RGPD). Las infracciones pueden acarrear multas de las autoridades de control, requerimientos de cese y reclamaciones de indemnización; el marco sancionador del RGPD llega hasta 20 millones de euros o el cuatro por ciento del volumen de negocios mundial anual, y en 2024 el BGH confirmó que incluso la pérdida de control sobre datos personales puede ser un daño indemnizable.

Qué servicios requieren consenti­miento

Asigne cada servicio a una categoría. La tabla muestra la clasificación habitual; en caso de duda decide la revisión de su delegado de protección de datos.

Categoría	Ejemplos habituales	Clasificación
Estrictamente necesarios	Carrito, sesión de inicio de sesión, almacenamiento de la decisión de consentimiento, funciones de seguridad	Por lo general sin consentimiento según el art. 25 TDDDG; la información en la política de privacidad sigue siendo obligatoria
Estadísticas y medición de audiencia	Google Analytics 4, analítica alojada en servidor propio con cookies	Por lo general se exige consentimiento
Marketing y remarketing	Píxeles y etiquetas de plataformas publicitarias, seguimiento de conversiones, retargeting	Se exige consentimiento
Contenidos incrustados de terceros	Vídeos, mapas, plugins sociales, widgets de chat	Por lo general consentimiento, o cargar solo tras un clic
Recursos externos	Fuentes, scripts y bibliotecas de servidores ajenos	Mejor alojarlos en local: las llamadas externas transmiten la dirección IP a terceros

Errores habituales del banner de consenti­miento

• Los scripts de seguimiento se cargan antes del consentimiento, a menudo a través del gestor de etiquetas, porque una sola etiqueta carece de condición de consentimiento
• «Rechazar» está oculto o resulta mucho más difícil de alcanzar que «Aceptar»; en sus guías, las autoridades de control esperan una forma igual de fácil de rechazar
• Las categorías opcionales aparecen ya marcadas
• Los ajustes no pueden volver a abrirse ni revocarse más tarde
• La decisión no se registra, y en caso de litigio no hay forma de acreditarla
• Se ponen en marcha herramientas nuevas sin adaptar el banner, el registro ni la política de privacidad

Documentar los flujos de datos

Con el tiempo, muchos sitios web integran cada vez más servicios: analítica, píxeles publicitarios, mapas, vídeos, chat, fuentes. Al cabo de dos o tres años, a menudo nadie sabe con exactitud qué datos van adónde. En un caso real, eso se convierte en un problema: ante una solicitud de acceso, una inspección de la autoridad de control o una brecha de datos.

Los elementos de la docu­menta­ción

• Registro de actividades de tratamiento (art. 30 del RGPD): ¿Qué datos personales se tratan y con qué finalidad?
• Encargo de tratamiento: ¿Con qué proveedores existen contratos de encargo de tratamiento y qué subencargados emplean?
• Mapa de flujos de datos: ¿Qué sistema envía qué datos a qué destinatario, y a qué país?
• Responsabilidades: ¿Quién decide sobre las herramientas nuevas, quién revisa los cambios y quién mantiene la política de privacidad?

Un consejo práctico: establezca que los scripts nuevos solo pueden activarse tras una breve revisión y su inscripción en el mapa. La documentación es también una base de la seguridad web de sus aplicaciones, por ejemplo cuando tras un incidente hay que aclarar rápidamente qué datos están afectados.

Corres­ponsabi­lidad y terceros países

Quien incrusta plugins o píxeles de terceros puede ser corresponsable con ellos: el Tribunal de Justicia de la UE lo resolvió en 2019 en el caso Fashion ID, a propósito de un plugin de una red social. Por eso no revise solo el contrato, sino también qué hace el proveedor con los datos para fines propios. Los servicios que tratan datos fuera de la UE merecen especial atención: la base para las transferencias a Estados Unidos ha cambiado varias veces (el TJUE anuló Safe Harbor y Privacy Shield, y desde 2023 rige la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU.). También ha sido impugnada ante los tribunales, así que para datos críticos no se apoye solo en ella. Anote en su mapa dónde trata los datos cada servicio y con qué base, y prevea para los servicios críticos alternativas con tratamiento dentro de la UE.

Aplicar técnicamente un tracking conforme al RGPD

La aplicación técnica decide si su política de privacidad se corresponde con la realidad. Según su configuración, entran en juego estos elementos.

Gestión del consenti­miento y gestor de etiquetas

Un gestor de etiquetas reúne todos los scripts en un solo lugar y los activa según el consentimiento otorgado. Es importante que cada etiqueta tenga una condición de consentimiento: basta una sola etiqueta olvidada para que fluyan datos antes del consentimiento. Google Consent Mode v2 transmite el estado del consentimiento a los servicios de Google mediante cuatro parámetros (ad_storage, analytics_storage, ad_user_data, ad_personalization) y adapta su comportamiento; para el remarketing y la publicidad personalizada en el Espacio Económico Europeo, Google exige estas señales. Tenga en cuenta los modos: en el modo básico las etiquetas se cargan solo tras el consentimiento, mientras que en el avanzado envían antes señales sin cookies; si eso es admisible sin consentimiento, se valora de forma controvertida. Cómo configurar bien Google Analytics 4 se explica en configurar GA4 correctamente.

Etiquetado en el servidor y minimización de datos

Con el etiquetado en el servidor, los datos pasan primero por un servidor propio antes de enviarse a los servicios de analítica o publicidad. Eso da control: puede acortar direcciones IP, eliminar parámetros y decidir qué información sale de la empresa. No sustituye el consentimiento cuando este es exigible. Rige, en general, la minimización de datos: recoja solo lo que realmente necesita para sus objetivos.

Valorar alternativas respetuosas con los datos

No todas las preguntas requieren un seguimiento publicitario amplio. Para muchos sitios corporativos bastan herramientas de analítica respetuosas con los datos, que se las arreglan con pocos datos y que en parte pueden operarse en servidores propios. Con ellas suelen analizarse bien el alcance y los contenidos más populares, pero el análisis de campañas entre canales solo de forma limitada. Si una medición puede prescindir por completo del consentimiento depende de si se almacena o se lee información en el dispositivo y de en qué se base el tratamiento: una cuestión de cada caso para su delegado de protección de datos.

Cargar contenido de terceros tras un clic y alojar recursos en local

Cargue vídeos y mapas con una solución de dos clics, solo cuando el visitante lo desee. Sirva fuentes, scripts y bibliotecas desde su propio servidor en lugar de pedirlos a proveedores externos: la incrustación dinámica de Google Fonts motivó en 2022 una sentencia muy comentada del Tribunal Regional de Múnich I. El efecto secundario: menos transmisiones de datos a terceros y, a menudo, un mejor tiempo de carga.

Revisar técnicamente con regularidad

Los sitios web cambian de continuo: un plugin nuevo, un vídeo incrustado o una actualización del gestor de etiquetas pueden provocar conexiones adicionales sin que se note. Por eso compruebe, en un perfil de navegador nuevo y sin consentimiento guardado, qué conexiones establece realmente la página: primero antes de cualquier decisión, después tras «Aceptar todo» y tras «Rechazar». Las herramientas de desarrollo del navegador (pestañas «Red» y «Aplicación») muestran las peticiones y las cookies; los escáneres especializados automatizan la comparación.

Ejemplo práctico: la web de un proveedor de maquinaria

Un escenario típico en las pymes: un proveedor con 80 empleados tiene una web con formulario de contacto, vídeos de producto, un mapa incrustado, Google Analytics 4 y un píxel publicitario para campañas de LinkedIn. El sitio ha ido creciendo a lo largo de los años y nadie lo ha revisado desde el relanzamiento. Así se procede:

1. Inventario: Registre todas las conexiones con las herramientas de desarrollo y la vista previa del gestor de etiquetas. El resultado suele ser más largo de lo esperado, por ejemplo por un plugin antiguo o un píxel olvidado.
2. Clasificar: la protección del formulario como necesaria, Analytics y el píxel de LinkedIn como sujetos a consentimiento, el vídeo y el mapa como contenido de terceros que se carga tras un clic.
3. Aplicar: conectar la gestión del consentimiento, fijar condiciones de consentimiento en el gestor de etiquetas, configurar Consent Mode y servir las fuentes en local.
4. Documentar: contrastar con el resultado el registro de tratamientos, los contratos de encargo, el mapa de flujos de datos y la política de privacidad.
5. Probar y aprobar: comprobar antes y después en un perfil de navegador nuevo y fijar un proceso de aprobación para herramientas futuras.

Las cifras de visitantes registradas pueden bajar como consecuencia. A cambio, sus análisis se apoyan en una base sólida y usted sabe qué lagunas puede cubrir, en su caso, con una medición respetuosa con los datos o con valores modelados.

La transpa­rencia como factor de confianza

La protección de datos también es comunicación. Un banner que explica con palabras sencillas para qué se usan los datos resulta más serio que un muro de términos técnicos. Una política de privacidad comprensible (art. 13 del RGPD) y una respuesta rápida y amable a las solicitudes de acceso muestran a los visitantes que se toma en serio sus datos. Sobre todo en sectores como la salud, las finanzas o el inmobiliario, eso puede inclinar la balanza a la hora de elegir proveedor. El marco jurídico sigue evolucionando y también a escala de la UE se debaten cambios: planifique con el derecho vigente y mantenga su configuración lo bastante flexible para que los ajustes no exijan un nuevo desarrollo.

Checklist para un tracking digno de confianza

1. Registrar todos los servicios y scripts en uso
2. Anotar las finalidades y los datos necesarios por servicio
3. Revisar y archivar los contratos de encargo de tratamiento y anotar los países de destino
4. Configurar el banner de consentimiento de modo que los scripts se carguen solo tras el consentimiento
5. Hacer que rechazar sea tan fácil como aceptar
6. Permitir volver a abrir los ajustes en cualquier momento y registrar las decisiones
7. Cargar vídeos y mapas solo tras un clic y alojar fuentes y scripts en local
8. Contrastar la política de privacidad con la configuración real
9. Fijar un proceso de aprobación para las herramientas nuevas
10. Revisar la configuración técnicamente con regularidad, antes y después del consentimiento

Cómo le ayuda Nano Concepts

El tracking conforme al RGPD no es lo contrario del buen marketing, sino su base. Nano Concepts aplica técnicamente soluciones de consentimiento, gestión de etiquetas y tracking en el servidor, como parte de nuestro desarrollo web y de acuerdo con las pautas de su delegado de protección de datos o de su despacho jurídico. La parte de marketing, como campañas y análisis, la atendemos junto con nuestra agencia asociada LOMA DESIGN. Si gestiona boletines y automatización, encontrará las particularidades en el artículo email marketing B2B. En una primera consulta gratuita aclaramos en qué punto se encuentra y qué pasos técnicos tienen sentido.

Este artículo no sustituye el asesoramiento jurídico.