¿Necesitas banner de cookies para la analítica web?

Respuesta corta: con una herramienta de analítica sin cookies normalmente no necesitas banner de consentimiento, pero sí tienes que mencionarla en tu política de privacidad. Son dos normas distintas, y mezclarlas es el error más común que vemos.

Esta guía explica las dos con palabras sencillas. No es asesoramiento legal: para tu caso concreto, consulta a un abogado.

Dos normas, dos preguntas#

El banner viene de la primera norma. La política de privacidad, de la segunda. Una herramienta puede librarse de la primera y seguir sujeta a la segunda.

Cuándo la analítica necesita banner#

La analítica clásica (Google Analytics y la mayoría de herramientas basadas en etiquetas) instala cookies o usa localStorage para reconocer a quien vuelve. Las cookies de analítica no son «estrictamente necesarias» para el servicio que pide el visitante, así que la ley exige consentimiento previo y, en la práctica, eso significa un banner.

Dos efectos secundarios que se olvidan:

• Tus datos pasan a ser una muestra. Solo se mide a quien pulsa «aceptar». Según el diseño del banner y tu público, una parte importante de las visitas puede no contarse nunca.
• El banner cuesta conversiones. Es lo primero que ve cada visitante, en cada dispositivo.

Cuándo puedes ahorrarte el banner#

Si el script de analítica no guarda ni lee nada en el dispositivo (ni cookies, ni localStorage, ni fingerprinting), la ley de cookies no se activa para ese script y, en la mayoría de casos, no hace falta banner de consentimiento para él.

Dos matices, para ser honestos:

• Las Directrices 2/2023 del Comité Europeo de Protección de Datos interpretan «acceder al dispositivo» de forma amplia, y algunas autoridades pueden considerar otras técnicas. Los criterios varían entre países.
• Algunas autoridades, como la CNIL francesa, eximen de consentimiento la medición de audiencia que cumple condiciones estrictas (propia, agregada, finalidad limitada).

Por eso los proveedores serios dicen «sin banner en la mayoría de casos», nunca «nunca».

Lo que sí tienes que hacer por el RGPD#

La analítica sin cookies ve la IP del visitante durante un instante, porque así funciona internet. Aunque la IP no se guarde, tratarla es tratar un dato personal, y un identificador diario derivado de ella es un dato seudonimizado mientras se pueda vincular. Así que:

1. Elige una base jurídica. Para una analítica mínima y respetuosa suele ser el interés legítimo (art. 6.1.f RGPD). No hace falta consentimiento.
2. Informa a los visitantes en tu política de privacidad (art. 13): qué herramienta, qué se recoge, para qué, cuánto tiempo y que el proveedor actúa como encargado del tratamiento.
3. Firma un contrato de encargo del tratamiento con el proveedor (art. 28).
4. Ofrece una forma de excluirse que el visitante pueda usar.

Una cláusula para tu política de privacidad#

Analítica web. Medimos el uso de esta web con [herramienta], un servicio de analítica sin cookies que actúa como encargado del tratamiento y aloja los datos en la UE. Tratamos la página visitada, la página de procedencia, el ancho de pantalla y el idioma del navegador y, solo en memoria, tu dirección IP y el user agent, que se usan para obtener la ubicación aproximada, el tipo de dispositivo y un identificador seudónimo que cambia cada día. La IP no se guarda y no se instala nada en tu dispositivo. La base jurídica es nuestro interés legítimo en conocer y mejorar el uso de la web (art. 6.1.f RGPD). Los datos de cada visita se conservan [plazo]; después solo quedan estadísticas agregadas. Puedes oponerte en cualquier momento [cómo].

Cómo lo resuelve byanalytics#

byanalytics no instala cookies ni escribe nada en el dispositivo, nunca guarda direcciones IP y rota cada día el identificador de visitante, así que nadie es seguido de un día a otro. El contrato de encargo se aplica automáticamente a todos los clientes, y nuestra documentación de privacidad incluye una cláusula lista para copiar. Cómo se cuenta sin cookies lo explicamos en Cómo cuenta visitantes únicos la analítica sin cookies; si estás comparando herramientas, mira Alternativas a Google Analytics sin cookies.

Preguntas frecuentes#

¿Es legal usar Google Analytics 4 sin banner de cookies en España?#

En general, no. GA4 usa cookies para identificar a los visitantes, así que la LSSI exige consentimiento previo antes de cargarlo.

Si la analítica no usa cookies, ¿ya no se aplica el RGPD?#

Sí se aplica. La IP se trata durante un instante y el identificador diario es un dato seudonimizado, así que necesitas una base jurídica (normalmente el interés legítimo) y mencionarlo en tu política de privacidad. Lo que normalmente te ahorras es el banner de consentimiento.

¿Necesito consentimiento para los logs del servidor?#

Los logs que se guardan por seguridad suelen ampararse en el interés legítimo y requieren una mención en la política de privacidad, no un banner, porque no se guarda nada en el dispositivo.

¿Puedo usar analítica sin cookies en webs sensibles?#

Sí, pero revísalo con tu abogado si las propias páginas revelan datos sensibles (salud, religión, política), y no envíes datos personales en los eventos personalizados.