¿Cumple Google Analytics el RGPD?

Google Analytics 4 se puede usar legalmente en la UE, pero conlleva obligaciones que las herramientas sin cookies evitan. Esta página resume la situación en octubre de 2026. Es información general, no asesoramiento jurídico.

Hace falta consentimiento

GA4 instala cookies (_ga y _ga_<id>, guardadas hasta dos años) para reconocer a los visitantes que vuelven. Según las normas de la UE, eso requiere el consentimiento previo del visitante, y la propia política de consentimiento de usuarios de la UE de Google obliga a los sitios a obtenerlo. En la práctica: un banner de cookies, y GA4 solo se carga después de que el visitante acepte.

Transferencias a Estados Unidos

Google LLC es una empresa de EE. UU. Entre 2020 y 2023, varias autoridades de la UE concluyeron que usar Google Analytics infringía el RGPD porque los datos llegaban a EE. UU. sin una protección adecuada. En julio de 2023 la UE adoptó el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), y Google está certificado en él, lo que vuelve a hacer lícita la transferencia.

El marco no está asentado. Un recurso contra él (asunto T-553/23, Latombe) fue desestimado por el Tribunal General de la UE en septiembre de 2025 y ahora está recurrido ante el Tribunal de Justicia. Si el marco cae, como cayeron sus predecesores en 2015 y 2020, la cuestión vuelve a abrirse.

Conservación de datos

GA4 guarda los datos a nivel de evento durante 2 o 14 meses, según tu configuración. Los informes estándar agregados no se ven afectados.

Qué significa esto para ti

• Mantén GA4 detrás del consentimiento y acepta que los visitantes que lo rechazan faltan en tus informes.
• Documenta la transferencia a Google en tu política de privacidad y en tus registros.
• Sigue el recurso Latombe.

O usa una analítica que no instale cookies, no guarde datos personales y almacene todo en la UE, para que nada de lo anterior se aplique. Eso es lo que hace Statsdot; consulta Statsdot frente a Google Analytics.