Google Analytics 4 se puede usar en una web WordPress dentro de la legalidad europea, pero no viene preparado de fábrica para cumplir el Reglamento General de Protección de Datos (RGPD): hace falta el consentimiento previo del visitante, una configuración cuidadosa de la herramienta y una información clara en la política de privacidad y de cookies. El riesgo jurídico que en 2022 llevó a varias autoridades europeas a declararlo incompatible con el RGPD se ha reducido con el Marco de Privacidad de Datos UE-EE. UU., en vigor desde julio de 2023, pero las obligaciones sobre cookies siguen intactas.
Las claves de Google Analytics 4 y el RGPD en 20 segundos
Este artículo no sustituye al asesoramiento jurídico, pero sí repasa lo que cualquier responsable de una web WordPress debería revisar si usa Google Analytics: por qué fue tan polémico, qué ha cambiado y qué ajustes concretos conviene aplicar. Para una visión más amplia, en WP Directo tenemos una guía sobre privacidad y cumplimiento en WordPress.
El problema de fondo nunca fue Google Analytics en sí, sino el envío de datos personales a Estados Unidos. En julio de 2020, el Tribunal de Justicia de la UE anuló el Privacy Shield con la sentencia conocida como Schrems II, al considerar que la legislación estadounidense permitía un acceso excesivo de sus servicios de inteligencia a los datos de ciudadanos europeos. A partir de ahí, las denuncias presentadas por la organización noyb llevaron a varias autoridades a pronunciarse contra el uso de la versión anterior, Universal Analytics: la austriaca y la francesa (CNIL) a principios de 2022, la italiana (Garante) en junio de ese año y la noruega en 2023, entre otras.
El escenario cambió el 10 de julio de 2023, cuando la Comisión Europea adoptó una decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework). Las empresas estadounidenses adheridas pueden recibir datos de Europa sin necesidad de garantías adicionales, y Google afirma que Google LLC está certificada y que se apoya en este marco desde el 1 de septiembre de 2023 para las transferencias de sus servicios de publicidad y analítica.
El marco ha superado una primera prueba: el 3 de septiembre de 2025, el Tribunal General de la UE desestimó el recurso del diputado francés Philippe Latombe (asunto T-553/23). Pero no es definitivo. Latombe recurrió ante el Tribunal de Justicia y el caso sigue pendiente, mientras en Estados Unidos persisten dudas sobre los organismos de supervisión en los que se apoya el acuerdo. Si el marco cayera, como ocurrió con sus dos predecesores, el uso de herramientas estadounidenses volvería a quedar en entredicho.
Que las transferencias tengan base legal no exime de pedir permiso. GA4 instala dos cookies propias, _ga, que distingue a los usuarios, y _ga_<ID del contenedor>, que mantiene el estado de la sesión, ambas con una duración por defecto de dos años. En España, la Ley de Servicios de la Sociedad de la Información (LSSI) solo permite instalar sin consentimiento las cookies estrictamente necesarias para prestar el servicio, y las de analítica de terceros como Google Analytics no entran en esa categoría. Por tanto, no deben cargarse hasta que el visitante acepte.
La Agencia Española de Protección de Datos (AEPD) actualizó su guía sobre el uso de cookies el 11 de julio de 2023, con un plazo de adaptación que terminó el 11 de enero de 2024. Entre otras cosas, exige que el banner muestre en la primera capa un botón para rechazar con el mismo formato, lugar y nivel que el de aceptar, de forma que rechazar no resulte más complicado. Las casillas premarcadas y el «si sigue navegando acepta» no valen como consentimiento, y retirar la aceptación debe ser tan sencillo como darla. En WP Directo ya explicamos los cambios en la normativa de cookies en España.
Estos son los pasos básicos que conviene revisar:
Sobre la IP, Google indica que GA4 no registra ni almacena direcciones IP, por lo que la anonimización que había que activar en Universal Analytics ya no es necesaria. Universal Analytics dejó de procesar datos el 1 de julio de 2023.
Para integrar Analytics en WordPress hay varias vías: el código de seguimiento directamente, Site Kit de Google o plugins como MonsterInsights o Analytify. Ninguno exime de configurar el consentimiento, así que hay que comprobar que funcionan correctamente junto al banner de cookies. Si se parte de cero, nuestra guía para configurar Google Analytics en WordPress explica la instalación.
Quien quiera depender menos de transferencias internacionales o de la continuidad del Marco de Privacidad tiene opciones. Matomo se puede alojar en un servidor propio en Europa, y herramientas como WP Statistics, Koko Analytics o Fathom plantean una analítica más sencilla y orientada a la privacidad. Que una herramienta no use cookies no significa automáticamente que quede fuera del RGPD: si trata datos personales, sigue sujeta a sus obligaciones.
Sí, siempre que se obtenga el consentimiento previo del visitante, se configure correctamente y se informe en la política de privacidad. Las transferencias a EE. UU. se apoyan hoy en el Marco de Privacidad de Datos UE-EE. UU.
Sí. En España solo están exentas las cookies estrictamente necesarias, y las de Google Analytics no lo son, así que no deben instalarse hasta que el visitante acepte.
Según Google, GA4 no registra ni almacena direcciones IP, por lo que no hace falta activar la anonimización que exigía Universal Analytics.
Las transferencias a EE. UU. volverían a necesitar otras garantías, como las cláusulas contractuales tipo, y el uso de herramientas estadounidenses quedaría de nuevo bajo escrutinio. El recurso contra el marco está pendiente ante el Tribunal de Justicia de la UE.
Fuentes:
