Matricúlate
Cuándo puedes defender un uso exento, cuándo no, y qué evidencias deberías guardar
Hay un error que se repite muchísimo en webs y apps: llamar “analítica” a casi cualquier cosa.
Se mete en la misma bolsa una medición básica de audiencia, un servicio externo con comparativas, una herramienta con replay de sesiones, un módulo de optimización, una integración publicitaria o un sistema híbrido que mezcla medición, atribución y mejora de producto. A partir de ahí llega la frase mágica: “son solo cookies analíticas”. Y ahí empieza el problema.
Este artículo va precisamente de poner orden. No para complicar la vida a nadie, sino para evitar dos extremos igual de malos: creer que todo exige consentimiento aunque no sea así, o creer que casi todo puede pasar como “analítica exenta” cuando no se sostiene. La CNIL, la AEPD y el ICO llevan tiempo afinando este terreno, y la conclusión práctica es bastante clara: la exención existe, sí, pero es estrecha, condicionada y muy dependiente de la configuración real. (cnil.fr)
1) Lo primero: no toda “analítica” es lo mismo
Cuando una organización dice “tenemos analítica”, en realidad pueden estar ocurriendo cosas muy distintas:
- simple conteo de visitas y páginas vistas;
- medición comparativa con proveedor externo;
- análisis de comportamiento con eventos detallados;
- replay de sesiones o heatmaps;
- A/B testing;
- atribución de campañas;
- medición publicitaria;
- antifraude o depuración;
- mejora de producto o perfiles de usuario.
El ICO, además, recuerda que bajo su guía de storage and access technologies no solo hablamos de cookies clásicas, sino también de píxeles, scripts, tags, web storage, fingerprinting y técnicas similares. Es decir, el problema no está en la etiqueta comercial del proveedor, sino en qué hace realmente la tecnología y con qué finalidad. (ICO)
Primera lección: “analítica” no es una categoría jurídica autosuficiente. Es solo una palabra útil para empezar la conversación.
2) Cuándo una medición de audiencia puede acercarse a una exención
Aquí conviene hablar claro. La CNIL mantiene una posición especialmente útil porque aterriza el tema con bastante detalle: ha publicado una página específica sobre soluciones de medición de audiencia y un instrumento de autoevaluación para analizar si una solución puede configurarse de forma que entre en el ámbito de la exención al consentimiento. Pero la propia CNIL advierte algo importante: ese instrumento sirve para ver si la solución puede desplegarse sin consentimiento previo; no equivale a declarar que el tratamiento ya sea conforme en todo su conjunto. (cnil.fr)
La AEPD, por su parte, en su guía sobre cookies analíticas externas, parte de un escenario igualmente práctico: la medición puede estar gestionada por el propio editor o por un proveedor externo que actúe como encargado, y lo determinante pasa a ser la configuración real, la finalidad y las garantías de uso. (Agencia Española de Protección de Datos)
Traducido a lenguaje operativo, una medición de audiencia se acerca a una exención cuando, de forma acumulativa y no cosmética:
- su finalidad es realmente la medición de audiencia del sitio o app;
- no deriva hacia publicidad, personalización o perfilado;
- no se reutiliza para otros fines;
- la configuración reduce al mínimo la intrusión;
- el proveedor y la arquitectura elegidos no rompen el esquema con transferencias o usos laterales no justificados.
Segunda lección: la exención no se “declara”; se construye con una finalidad estrecha y una configuración estricta.
3) Cuándo deja de ser defendible hablar de exención
Aquí es donde más interesa ser concretos. Hay situaciones en las que el discurso de la “analítica exenta” suele derrumbarse muy rápido.
A) Cuando el servicio también sirve para publicidad o medición publicitaria
El ICO es tajante: si una tecnología se usa para fines de publicidad online, no puedes apoyarte en la excepción de estrictamente necesarias. Y lo aclara además para finalidades relacionadas, incluyendo medición publicitaria, rendimiento de campañas, afiliación, fraude de clics, estudios de mercado o mejora de producto asociada a publicidad. (ICO)
B) Cuando hay replay, heatmaps o una observación demasiado intensa del comportamiento
Aunque comercialmente se presenten como “analytics”, aquí ya no estamos en el terreno del simple conteo de audiencia. En estos casos el impacto sobre la persona sube mucho, la expectativa del usuario cambia y la defensa como analítica exenta se vuelve mucho más débil.
C) Cuando el proveedor externo añade capas que tú no controlas
Comparativas, enriquecimiento, soporte global, transferencias a entidades fuera del EEE o usos agregados para otras finalidades pueden complicar mucho la defensa. La CNIL, de hecho, ha subrayado que, cuando persisten transferencias a entidades no amparadas por adecuación, la proxyficación sigue siendo una buena práctica para reducir riesgos y elevar el nivel de protección. (cnil.fr)
D) Cuando la configuración “por defecto” no es minimizada
Si la herramienta viene con opciones invasivas activadas y nadie las revisa, lo que existe no es una medición prudente, sino una dependencia del default del proveedor.
Tercera lección: en cuanto la herramienta se acerca a publicidad, atribución, replay, enriquecimiento o transferencias difíciles de justificar, la narrativa de “analítica exenta” empieza a sonar vacía.
4) Un criterio muy útil: no preguntes “qué dice el proveedor”, pregunta “qué ocurre en red”
Muchas decisiones equivocadas nacen del material comercial del servicio. El proveedor dice “privacy-friendly”, “cookieless”, “lightweight”, “sin seguimiento invasivo”, y el equipo interno da un salto injustificado: de marketing a cumplimiento.
La forma sana de cortar ese problema es esta: antes de aceptar que una medición es defendible, revisa tres capas:
- Qué promete el proveedor.
- Cómo está configurada tu instancia.
- Qué pasa realmente en red y en el navegador.
Ese tercer punto es el decisivo. Si el servicio escribe identificadores persistentes, llama a terceros antes de elegir, dispara scripts no explicados o genera flujos adicionales, la discusión ya no va de folletos, sino de hechos. La herramienta de auditoría web del EDPB y la lógica de pruebas repetibles van exactamente en esa dirección: mirar lo observable y construir evidencia comparable. (ICO)
Cuarta lección: la conformidad de una herramienta analítica no se presume por su nombre. Se verifica en navegador, configuración y contrato.
5) Ejemplo 1 — Analítica básica bien contenida
Imagina un portal institucional o una web corporativa que quiere saber:
- cuántas visitas recibe;
- qué páginas se consultan más;
- desde qué dispositivos se accede;
- qué rutas de navegación básicas existen.
Aquí, una configuración prudente y defendible tendría estas notas:
- finalidad limitada a medición de audiencia;
- ausencia de usos publicitarios;
- reducción de identificadores y retención;
- proveedor acotado o solución interna;
- evidencia clara de cómo está configurado el servicio.
Este es justamente el tipo de escenario al que se dirigen tanto la guía de la AEPD sobre cookies analíticas externas como las orientaciones sobre cookies y analítica web en sitios de Administraciones Públicas. (Agencia Española de Protección de Datos)
Impacto práctico: puedes sostener una posición más fuerte si tu arquitectura y tu finalidad son estrechas y si, además, guardas evidencias de configuración y pruebas de comportamiento.
6) Ejemplo 2 — “Analítica” que en realidad hace bastante más
Ahora piensa en una web comercial que usa una herramienta para:
- medir visitas;
- comparar campañas;
- optimizar conversiones;
- activar experimentos;
- observar clics y scrolls;
- alimentar rendimiento publicitario.
A nivel interno alguien la sigue llamando “analítica”, pero en realidad estamos en un tratamiento bastante más amplio. Si además el proveedor es externo, hay retenciones largas, soporte internacional o usos laterales, la defensa como mera medición de audiencia se vuelve débil.
Impacto práctico: aquí la carga de explicar, limitar y justificar sube mucho. Y en muchos casos la respuesta correcta será aceptar que necesitas consentimiento y diseñar bien el control, en lugar de forzar una exención que no se sostiene.
7) Ejemplo 3 — La trampa de “como es del sector público, todo vale”
No. La AEPD publicó precisamente orientaciones específicas para webs de Administraciones Públicas porque el problema existe también allí. El hecho de estar en el sector público no convierte automáticamente la analítica en exenta; lo que importa sigue siendo qué tecnología se usa, con qué finalidad y bajo qué configuración. (Agencia Española de Protección de Datos)
Impacto práctico: si eres una entidad pública, no basta con suponer que la finalidad “estadística” te ampara. También aquí necesitas un análisis serio, limitado y documentado.
8) Cómo hacer una revisión didáctica en 20 minutos
Te propongo un protocolo simple para cualquier herramienta analítica:
Paso 1 — Hazte cuatro preguntas
- ¿La finalidad es solo medir audiencia?
- ¿Hay publicidad, personalización, replay, A/B testing o atribución?
- ¿El proveedor externo puede añadir complejidad por transferencias o soporte?
- ¿La configuración está minimizada y documentada?
Si la respuesta a la primera es dudosa o la respuesta a las otras tres es sí, la exención empieza a flojear.
Paso 2 — Mira qué tecnologías utiliza de verdad
El ICO recuerda que no solo hablamos de cookies: también scripts, tags, web storage, fingerprinting y técnicas equivalentes. Así que no basta con revisar la pestaña “Cookies”; hay que mirar el comportamiento completo. (ICO)
Paso 3 — Repite el protocolo de la serie
- Pre
- Accept
- Reject
Y si el servicio se presenta como exento o muy poco intrusivo, añade dos comprobaciones:
- ¿se activa algo antes de elegir?
- ¿cambia algo material entre Accept y Reject?
Paso 4 — Revisa la configuración contra una lista objetiva
La CNIL ha hecho un favor enorme al mercado con su autoevaluación para medición de audiencia. No resuelve todo, pero sirve como guía técnica muy concreta para comprobar si una solución puede acercarse al perímetro de exención. (cnil.fr)
9) Qué evidencia guardar para no volver a empezar de cero
Si quieres trabajar bien este tema, la carpeta mínima debería incluir:
- nombre de la herramienta y producto exacto;
- finalidad declarada por la organización;
- proveedor y rol;
- captura de configuración relevante;
- resultado de la prueba Pre / Accept / Reject;
- tabla corta de “por qué creemos que puede defenderse” o “por qué concluimos que exige consentimiento”;
- fecha de revisión y responsable.
Si hay proveedor externo y transferencias o accesos internacionales, añade además la parte de TPRM/transferencias que ya hemos ido trabajando en la serie anterior. La CNIL, de hecho, ha tratado de forma específica el cruce entre medición de audiencia y transferencias de datos, y señala la proxyficación como práctica útil cuando siguen existiendo transferencias problemáticas. (cnil.fr)
Quinta lección: una buena revisión de analítica no termina en el banner; termina en un expediente breve, pero claro.
10) Lo que conviene no perder de vista
Primero: la exención existe, pero es estrecha. Segundo: no toda herramienta llamada “analytics” cabe ahí. Tercero: el proveedor no decide por ti si tu uso es defendible. Cuarto: una configuración prudente vale más que una narrativa grandilocuente. Quinto: si no puedes enseñar qué hace la herramienta, cómo está configurada y por qué consideras que encaja, entonces no la tienes gobernada.
Cierre
Hablar de “analítica exenta” sin revisar finalidad, configuración, tecnologías y flujos reales es la forma más rápida de caer en el autoengaño. La buena noticia es que no hace falta complicarlo demasiado: con preguntas correctas, pruebas básicas y una pequeña carpeta de evidencias, el tema se ordena mucho.
La pregunta útil no es “¿es analítica?”. La pregunta útil es esta:
¿Qué mide, cómo lo mide, qué más hace y qué puedo probar sobre ello?
Siguiente post (Post 7)
“Herramientas que se venden como ‘privacy-friendly’: cómo separar marketing, configuración real y cumplimiento defendible”
Bibliografía y recursos
- CNIL — Cookies : solutions pour les outils de mesure d’audience. Explica que existen condiciones suficientes para que una solución pueda configurarse dentro del ámbito de la exención y enlaza a la autoevaluación. (cnil.fr)
- CNIL — Outil d’auto-évaluation (mesure d’audience). Instrumento técnico para analizar si una solución de medición de audiencia puede desplegarse sin consentimiento previo, sin equivaler a una certificación global de conformidad. (cnil.fr)
- CNIL — Mesure d’audience et transferts de données. Señala que la proxyficación sigue siendo una solución y, en todo caso, una buena práctica cuando persisten transferencias hacia entidades no cubiertas por adecuación. (cnil.fr)
- AEPD — Guía de cookies analíticas externas. Referencia clave para roles, configuración real y enfoque probatorio en servicios analíticos prestados por terceros. (Agencia Española de Protección de Datos)
- AEPD — Guidelines on cookies and web analytics in public administration websites / Orientaciones sobre cookies y analítica web en portales de las Administraciones Públicas. Muy útil para aterrizar el análisis en escenarios institucionales. (Agencia Española de Protección de Datos)
- ICO — Guidance on the use of storage and access technologies. Actualiza el enfoque del ICO sobre tecnologías de almacenamiento y acceso, incluyendo excepciones. (ICO)
- ICO — What technologies does PECR apply to? Aclara que el perímetro cubre cookies, tracking pixels, link decoration, web storage, fingerprinting, scripts y tags. (ICO)
- ICO — What are the exceptions? Precisa que los fines de publicidad online no pueden apoyarse en la excepción de estrictamente necesarias. (ICO)
- EDPB — Website Auditing Tool. Recurso útil para convertir la revisión de estas herramientas en pruebas repetibles y comparables. (ICO)