Matricúlate
Analítica externa en tu web y app: cómo decidir con criterio (y demostrarlo en auditoría)
Durante años, muchas organizaciones han tratado la analítica web como una decisión “técnica” o “de marketing”.
Pero hoy, en cumplimiento y auditoría, la analítica externa es una decisión GRC: riesgo + terceros + transferencias + evidencia.
Porque cuando insertas herramientas de medición (o SDKs) en una web o app, no solo “mides visitas”:
estás activando código de un tercero, gestionando potencialmente identificadores online y, en muchos casos, abriendo la puerta a transferencias internacionales o a un tratamiento complejo difícil de explicar al usuario.
Este post te da una guía práctica (y defendible) para decidir si usar analítica externa, cómo configurarla, y sobre todo, cómo documentarla para que sobreviva a una auditoría o a una inspección.
1) El error más común: “tenemos banner, entonces está resuelto”
Tener un banner de cookies no es lo mismo que gobernar el riesgo.
Un enfoque serio de cumplimiento exige responder y probar:
¿Qué herramienta de analítica usamos exactamente?
¿Qué datos recoge? ¿Qué identificadores activa?
¿Con qué finalidades?
¿Dónde se procesan los datos?
¿Hay transferencias internacionales?
¿Existen subencargados?
¿Se pueden aplicar alternativas menos intrusivas?
¿Qué configuración concreta se ha aplicado?
¿Cómo lo demostramos con evidencias?
La clave GRC es simple:
No basta con “tener consentimiento”. Hay que poder justificar la arquitectura y demostrar la trazabilidad.
2) ¿Qué se considera “analítica externa” (y por qué implica TPRM)?
Hablamos de analítica externa cuando la medición se apoya en un tercero que aporta:
Scripts embebidos en la web (tags)
SDKs en apps móviles
Endpoints de terceros
Lectura/escritura de identificadores
O telemetría a dominios externos
Aunque tú solo quieras “medir”, la herramienta puede habilitar:
seguimiento cross-site,
perfiles,
enriquecimientos,
correlaciones,
y exposición de datos a ecosistemas AdTech.
En términos de gobierno, esto activa de lleno TPRM (Third Party Risk Management):
✅ Due diligence del proveedor
✅ Cláusulas y garantías contractuales
✅ Gestión de subencargos
✅ Control de cambios (versiones, releases, nuevos endpoints)
✅ Evidencias operativas y auditoría
3) El “núcleo duro” legal: no es solo RGPD
En Europa, este tema no se decide solo con RGPD. Hay dos planos:
A) Plano dispositivo/terminal (cookies y acceso al terminal)
El acceso o almacenamiento de información en el terminal del usuario (cookies y tecnologías similares) exige reglas específicas de consentimiento.
📌 Aunque tu analítica no “parezca personal”, si accede al dispositivo o utiliza identificadores, entra en el ámbito de cumplimiento de cookies/trackers.
Referencia operativa clave:
B) Plano tratamiento de datos personales (RGPD)
Direcciones IP, identificadores online, IDs persistentes, huellas de navegador… pueden ser datos personales (o volver a serlo por correlación).
Y aunque se minimice, tu obligación es Accountability: explicar y demostrar que el diseño es conforme.
4) Qué están diciendo las autoridades: criterios prácticos (lo que de verdad “piden”)
Las autoridades han empezado a bajar esto al terreno de la implementación real.
4.1 CNIL: “medición de audiencia” con condiciones (y con autoevaluación)
La CNIL ha publicado recursos prácticos que funcionan como checklist de decisión: qué es aceptable, qué medidas exige, y cómo evaluar la conformidad de una configuración.
📌 Traducción GRC: CNIL está diciendo “si quieres medir, hazlo con límites, configuración, minimización y evidencia”.
4.2 EDPB: auditoría web automatizada (y esto cambia el juego)
Si una autoridad te puede auditar a escala con herramientas, tu defensa debe ser trazable y objetiva.
📌 Traducción GRC: no se audita ya “a ojo”. Se audita con inspección técnica, capturas y evidencia automática.
5) Marco GRC de decisión: “¿puedo usar analítica externa de forma defendible?”
Aquí tienes un árbol de decisión práctico.
Paso 1 — Inventario técnico real (sin suposiciones)
Antes de hablar de base jurídica, necesitas saber qué ocurre “de verdad”.
Herramientas rápidas (útiles en auditoría):
📌 Evidencia recomendada:
capturas del escaneo,
listado de dominios contactados,
lista de cookies/identificadores,
endpoints externos detectados.
Paso 2 — Clasificar el “modo” de analítica (bajo/medio/alto riesgo)
No toda analítica es igual. Puedes clasificar así:
Nivel 1 (bajo riesgo):
agregada,
sin ID persistente,
sin cross-site,
con IP truncada,
sin transferencia fuera del EEE,
con retención corta,
con control contractual.
Nivel 2 (medio riesgo):
pseudónimos,
métricas avanzadas,
eventos por usuario,
análisis de embudos,
posible exposición a subencargos.
Nivel 3 (alto riesgo):
tracking multi-sitio,
integraciones AdTech,
remarketing,
correlación con CRM,
perfiles,
transferencias internacionales.
📌 Este paso te define el nivel de control documental que necesitas.
Paso 3 — TPRM y transferencias: la pregunta que no se puede evitar
En GRC, la analítica externa es un caso típico de:
✅ Proveedor crítico o proveedor con tratamiento relevante
✅ Potencial transferencia internacional
✅ Subencargos complejos (ecosistemas de tags)
Aquí el control mínimo es:
due diligence del proveedor,
registro de subencargos,
contrato y DPA,
evaluación de transferencias (si aplica),
control de cambios.
Paso 4 — Evidencia: si no puedes probarlo, no existe
En auditoría, el estándar es simple:
Lo que no está evidenciado, no está controlado.
Evidencias “mínimas” recomendadas:
configuración documentada de la herramienta,
justificación de necesidad (por finalidad),
registro de decisiones (por comité o responsable),
resultados de pruebas técnicas (escaneo),
política/aviso actualizado y coherente,
gestión de consentimientos (si aplica).
6) El entregable “pro”: tu expediente GRC de analítica externa
Si quieres hacerlo de forma realmente profesional, crea un expediente único:
Expediente GRC — Analítica externa (Web/App)
Descripción del servicio y alcance
Mapa de proveedores y subencargos
Flujos de datos y ubicaciones
Configuración técnica (resumen y evidencias)
Matriz de riesgo (inherente / residual)
Decisión formal (aceptar / mitigar / cambiar)
Evidencias y anexos (escaneos, capturas, logs)
Control de cambios (versionado)
Este expediente sirve para:
auditoría interna,
due diligence externa,
inspección de autoridad,
y defensa jurídica basada en hechos.
7) Conclusión: medir sí, pero con gobierno y prueba
La analítica externa se puede usar, pero no como “plugin invisible”.
La pregunta no es “si marketing lo necesita”, sino:
✅ ¿Puedo justificarla?
✅ ¿Puedo configurarla con minimización real?
✅ ¿Puedo gobernar al tercero (TPRM)?
✅ ¿Puedo demostrarlo con evidencia?
Si la respuesta es “no”, tienes un riesgo que no está en el banner: está en tu arquitectura.