El GDPR es la referencia mundial en normativa de privacidad. Aunque es una ley de la UE, afecta a toda empresa con visitantes de la UE. En analítica, el GDPR es claro: necesitas consentimiento explícito antes de rastrear la mayor parte del comportamiento de los usuarios, debes documentar tu base jurídica y debes respetar el derecho de los usuarios a acceder a sus datos y borrarlos. Entender el GDPR es la base para construir una analítica que cumpla la norma en cualquier país.
Los requisitos básicos del GDPR para la analítica
El GDPR define los datos personales de forma amplia: todo lo que pueda identificar a una persona, de forma directa o indirecta. Una dirección IP es un dato personal. Una cookie única es un dato personal. Los emails, los teléfonos y los identificadores entran todos en el GDPR. En analítica, esto significa que casi todo el seguimiento activa los requisitos del GDPR.
El requisito del consentimiento
El GDPR exige un consentimiento explícito e informado antes de recoger la mayoría de los datos personales. Esto significa: el usuario debe aceptar de forma activa (no basta con que no se oponga), debe entender a qué accede (no escondido en jerga legal) y el consentimiento debe darse libremente (sin presiones). En analítica, esto suele traducirse en un banner de cookies que explique con claridad qué seguimiento haces y reciba un clic activo en "Acepto".
El consentimiento es la base jurídica más habitual para la analítica bajo el GDPR. Algunas empresas alegan en su lugar un "interés legítimo", pero los tribunales lo han acotado mucho. En la mayoría de los casos de analítica, da por hecho que necesitas consentimiento.
El interés legítimo como alternativa
Algunos fines de analítica (detección de fraude, seguridad del sitio, monitorización básica del rendimiento) pueden permitirse por "interés legítimo" sin consentimiento explícito. Pero el interés legítimo exige: que la necesidad del negocio sea genuina, que la recogida de datos sea proporcional a esa necesidad y que los derechos de privacidad de los usuarios no pesen más que tu interés. La mayor parte de la analítica no pasa esta prueba. Da por hecho que necesitas consentimiento para casi todo el seguimiento.
El contrato de encargado del tratamiento
Si usas una herramienta de analítica de terceros (como Google Analytics), necesitas un contrato de encargado del tratamiento (DPA) con ese proveedor. El DPA establece que el proveedor es tu encargado del tratamiento, no un responsable independiente. Sin DPA, puedes responder de las prácticas del proveedor. Con uno, la responsabilidad queda bien definida.
Derechos de los usuarios bajo el GDPR
El GDPR da a las personas seis derechos principales que afectan a la analítica: el derecho a saber qué datos guardas (derecho de acceso), el derecho a corregir datos inexactos, el derecho a borrar datos (derecho al olvido), el derecho a limitar el tratamiento, el derecho a la portabilidad de los datos y el derecho a oponerse al tratamiento.
Derecho de acceso
Los usuarios pueden pedir todos los datos que guardas sobre ellos. Debes responder en 30 días con un registro completo. En analítica, esto significa que necesitas sistemas para recuperar y comunicar los datos de cada usuario. Si tu analítica se guarda de forma que cuesta recuperarla, tienes un problema de cumplimiento del GDPR.
Derecho al olvido
Los usuarios pueden pedir que borres sus datos. Debes cumplir en 30 días (con algunas excepciones por obligaciones legales). En analítica, esto significa que necesitas poder borrar los registros de cada usuario. Si tus datos de analítica están agregados o anonimizados, es más fácil. Si están ligados a identidades individuales, necesitas sistemas de borrado.
Derecho de oposición
Los usuarios pueden oponerse a cualquier tratamiento de sus datos. Debes parar (salvo que tengas una razón legal de peso para continuar). En analítica, esto significa que necesitas una forma sencilla de que los usuarios rechacen el seguimiento. Rechazar debe ser tan fácil como aceptar.
El cumplimiento del GDPR en la práctica
Cumplir el GDPR en analítica requiere: una política de privacidad clara y fácil de encontrar; un banner de cookies que pida consentimiento explícito antes de rastrear; un contrato de encargado del tratamiento con tu proveedor de analítica; sistemas para responder a las solicitudes de acceso y borrado de los usuarios en 30 días; y que los usuarios puedan retirar su consentimiento en cualquier momento.
Infracciones habituales del GDPR en analítica
Casillas de consentimiento premarcadas: el usuario debe hacer clic de forma activa para consentir. Una casilla ya marcada no es un consentimiento válido.
Consentimiento agrupado: los usuarios deben consentir por separado a la analítica. No puedes juntar el consentimiento de analítica, marketing y otros fines en un único interruptor.
Sin contratos con proveedores: usar una herramienta de analítica de terceros sin DPA es una infracción. Las prácticas del proveedor son responsabilidad tuya.
Sin forma de rechazar: si hace falta consentimiento para rastrear, los usuarios deben tener una forma clara de rechazar. Los enlaces de rechazo escondidos no cuentan.
Borrado imposible: prometer borrar datos sin tener sistemas para hacerlo es una infracción. El borrado debe ser técnicamente posible.
El GDPR y las transferencias de datos
El GDPR restringe transferir datos de residentes de la UE fuera de la UE salvo que existan protecciones equivalentes. Si tu proveedor de analítica guarda los datos en EE. UU., necesitas un mecanismo legal (cláusulas contractuales tipo, normas corporativas vinculantes) para que la transferencia cumpla el GDPR. Es un punto delicado habitual para los equipos de analítica. Muchas herramientas con sede en EE. UU. ofrecen ya servidores en la UE o garantías de residencia de datos para resolverlo.
¿En qué se diferencia el consentimiento del GDPR del interés legítimo? ¿Por qué no basarme en el interés legítimo para la analítica?
El consentimiento es una aceptación explícita. El interés legítimo consiste en alegar que las necesidades de tu negocio pesan más que las preocupaciones de privacidad. Los tribunales han acotado el interés legítimo porque las empresas abusaron de él. En analítica: medir las visitas de página para el rendimiento podría ser interés legítimo. El seguimiento detallado del comportamiento, probablemente no. Los reguladores de la UE dicen: si es para marketing o analítica de comportamiento, consigue consentimiento. No des por hecho que el interés legítimo funciona. Enfoque seguro: trata la analítica como algo que requiere consentimiento.
¿Qué significa de verdad una explicación clara en un banner de cookies?
Clara significa un lenguaje sencillo y legible, no jerga legal. Específica significa que dices qué rastreas, no frases vagas como "mejorar tu experiencia". Ejemplo de vago: "Usamos cookies de analítica." Ejemplo de claro: "Usamos Google Analytics para medir las visitas a las páginas, los clics en botones y el tiempo en la página para mejorar la web." Incluye: el nombre de la herramienta, qué recoge, por qué lo recoges, el plazo de conservación y si lo compartes con terceros. Prueba: ¿podría una persona sin conocimientos técnicos entender qué rastreas sin entrar en tu política de privacidad? Si es así, es lo bastante clara.
¿Necesito un DPA con Google Analytics o solo con proveedores especializados?
Necesitas un DPA con cualquier herramienta que trate datos personales. Google Analytics trata datos personales (IP, sesiones, ID de usuario), así que sí. Google ofrece un DPA de forma automática en sus condiciones. Comprueba: inicia sesión en Google Analytics y confirma que has aceptado su adenda de tratamiento de datos. Los proveedores de analítica especializados también tratan datos personales, así que necesitas DPA con ellos. La mayoría los ofrece en sus condiciones o como documento aparte. Regla: si el proveedor toca datos personales, necesitas un DPA. Si no puedes conseguirlo, no uses al proveedor.
¿Cuál es la diferencia entre las cláusulas contractuales tipo y las decisiones de adecuación?
Ambas son mecanismos para transferir datos de la UE fuera de la UE de forma legal. Una decisión de adecuación significa que la UE ha determinado que un país tiene una protección de privacidad equivalente (EE. UU. no tiene una). Las cláusulas contractuales tipo (SCC) son contratos con los proveedores que los comprometen con los estándares de la UE. Diferencia práctica: las decisiones de adecuación son más sencillas, las SCC requieren contratos. En analítica, la mayoría de los proveedores (incluido Google) ofrece SCC en sus DPA. Verifica con tu proveedor: ¿ofrece cláusulas contractuales tipo para las transferencias de datos de la UE? Si es así, úsalas. Si no, usa solo proveedores con almacenamiento de datos en la UE.
Si recibo una solicitud de acceso a datos, ¿qué debo entregar exactamente de la analítica?
Todo lo que tengas sobre esa persona en un formato legible. De Google Analytics: todas las sesiones y los eventos (si rastreas ID de usuario) o los ID de sesión. Incluye: fechas, páginas visitadas, eventos activados, tiempo en la página y cualquier dato personal identificable (nombres, emails). De otros sistemas: mapas de calor, grabaciones de sesión, seguimiento del comportamiento. Exporta en PDF o HTML, no volcados en bruto de la base de datos. El usuario debe entenderlo sin conocimientos técnicos. Si no puedes recuperar con facilidad los datos de un usuario concreto, tienes un problema con el GDPR. La mayoría de las plataformas permite exportar por usuario. Si la tuya no, cambia de plataforma o crea una exportación a medida.
Mi competencia no tiene banner de cookies y rastrea usuarios. ¿Cómo cumplen el GDPR?
O bien: (1) No cumplen el GDPR y esperan que los reguladores no los pillen (arriesgado). (2) Alegan que su seguimiento es interés legítimo (los tribunales son escépticos). (3) Rastrean solo datos anonimizados o agregados (no hace falta consentimiento). (4) Rastrean solo cookies esenciales (inicio de sesión, CSRF, sin consentimiento). (5) Operan donde la aplicación del GDPR es débil. Realidad: muchos incumplen el GDPR y nunca los pillan. Pero el riesgo es real: una sola queja abre una investigación y multas. Enfoque inteligente: da por hecho que el GDPR se aplica si tienes visitantes de la UE, aplica bien el consentimiento y no cuentes con que otros incumplan.