Cookies de analítica sin consentimiento es la pregunta que se hacen cada vez más responsables de marketing y equipos técnicos cuando el banner de cookies frena visitas antes de que carguen las primeras métricas. La Agencia Española de Protección de Datos publicó en enero de 2024 una guía específica que fija en qué condiciones una cookie de medición de audiencia queda exenta del consentimiento previo. No es una interpretación de agencia ni una zona gris: son cuatro requisitos cerrados y un listado tasado de qué se puede medir. Esto es lo que cambia si gestionas la analítica de una empresa.
Una cookie de analítica está exenta de consentimiento en España solo si mide audiencia en nombre exclusivo del editor, produce datos agregados y anónimos, no se cruza con otros tratamientos y no permite rastrear al usuario entre sitios o apps distintas. Google Analytics, instalado por defecto, no cumple esta última condición: comparte identificadores con la infraestructura publicitaria de Google.
Qué exige la AEPD sobre cookies de analítica
La gestión de cualquier sitio o aplicación requiere estadísticas de tráfico y de rendimiento que a menudo son esenciales para prestar el servicio. La guía Uso de cookies para herramientas de medición de audiencia de la AEPD parte de esa base para trazar una frontera clara: qué cookies de analítica pueden instalarse sin pedir permiso y cuáles caen bajo la regla general, la misma que exige que rechazar sea tan fácil como aceptar y que cada finalidad se consienta por separado, recogida en la guía general de cookies de la propia agencia. A diferencia de las cookies de terceros, pensadas para identificar a una persona entre webs distintas, una cookie de analítica bien configurada no sale del sitio que la instala.
Los cuatro requisitos que fija la AEPD
Para que una cookie de medición de audiencia quede exenta del consentimiento, conforme al artículo 22.2 de la Ley de Servicios de la Sociedad de la Información, debe cumplir las cuatro condiciones que fija la AEPD:
- Tener una finalidad estrictamente limitada a medir la audiencia del sitio o la aplicación, sin usarse para nada más.
- Procesarse en nombre exclusivo del editor, aunque el tratamiento técnico lo ejecute un proveedor externo.
- Producir únicamente datos estadísticos anónimos, sin cotejarse con otras operaciones de tratamiento.
- No permitir el seguimiento agregado de la persona entre distintas aplicaciones o sitios web con el mismo identificador.
Basta con incumplir una sola condición para perder la exención. Cualquier herramienta que reutilice los datos con fines publicitarios, o que comparta el identificador entre dominios para construir un perfil cruzado, queda fuera automáticamente, aunque el resto de su configuración sea impecable.
Qué mediciones exime la AEPD sin consentimiento previo
La AEPD no deja la definición de medición “estrictamente necesaria” al criterio de cada editor: fija un listado cerrado de siete mediciones. Cualquier dato que no esté en esa lista, tanto si lo trata el editor como un proveedor externo, necesita consentimiento para ser lícito.
Estadísticas de comportamiento y rendimiento por página
El listado cubre la medición de audiencia página por página, la lista de páginas de origen del enlace que trajo la visita (el referente, interno o externo, agregado por día) y las estadísticas de tiempo de carga, agregadas por hora en vez de por visitante individual. También entran el tiempo dedicado a cada página, la tasa de rebote y la profundidad de desplazamiento, siempre agregados diariamente y nunca asociados a una persona identificable a lo largo del tiempo. Las estadísticas sobre acciones del usuario, como clics o selecciones, completan este bloque, agregadas por página y por día. La lógica común a las seis mediciones es la misma: sirven para entender cómo funciona una página, no para reconstruir el recorrido de un visitante concreto entre sesiones.
Dispositivo, navegador y zona geográfica de origen
El listado añade dos mediciones más: el tipo de dispositivo, navegador y tamaño de pantalla de quien visita, agregados por página y por día, y la zona geográfica de origen de las solicitudes, con el mismo criterio de agregación diaria. Ninguna de las dos puede usarse para afinar un perfil individual ni para segmentar campañas publicitarias por ubicación exacta: la AEPD exige que quede en estadística de administración del sitio. En cuanto un editor añade capas por encima —remarketing por zona, puntuación de leads por comportamiento, perfiles enriquecidos con CRM—, esas cookies concretas dejan de estar exentas, aunque convivan con las que sí lo están.
Por qué Google Analytics 4 no está exento
Google Analytics 4, en su configuración estándar, no encaja en la exención porque su modelo de negocio depende precisamente de lo que la AEPD prohíbe: compartir identificadores entre propiedades para fines publicitarios. Con las señales de Google activadas, la cookie _ga se vincula a la cuenta de Google de la persona y a su actividad en otros sitios que también usan servicios de Google, tal y como reconoce la propia política de cookies publicitarias de Google. Eso es exactamente el seguimiento agregado entre sitios que la guía de la AEPD excluye de la exención, sin excepciones.
Desactivar las señales de Google y la publicidad reduce el problema, pero no lo resuelve del todo: los datos siguen transfiriéndose a servidores de Google fuera de la Unión Europea y muchas cuentas conservan funciones activadas que nadie llegó a revisar. Por eso la mayoría de agencias mantiene el banner de cookies incluso con Consent Mode bien configurado: es la vía más segura mientras no se audite y documente esa configuración caso por caso.
Herramientas de analítica que sí cumplen la AEPD
No todas las herramientas de analítica cargan con el mismo problema. Antes de decidir si tu sitio puede prescindir del banner para las cookies de medición, conviene comparar cómo se comporta cada opción frente a los cuatro requisitos de la AEPD, algo que conviene revisar dentro de cualquier auditoría web periódica:
| Herramienta | Cede datos a terceros | Rastreo entre sitios | Exención AEPD |
|---|---|---|---|
| Google Analytics 4, con señales de Google activas | Sí, a la infraestructura publicitaria de Google | Sí, vía identificador compartido entre propiedades | No exenta |
| Google Analytics 4, con señales y publicidad desactivadas | No para fines publicitarios | Reducido, pero persiste la transferencia fuera de la UE | Dudosa, exige auditoría propia |
| Matomo autoalojado, sin módulo de seguimiento entre dominios | No, los datos quedan en el servidor del editor | No | Exenta si respeta los plazos de conservación |
| Plausible o Fathom, sin cookies propias | No | No aplica, no usan almacenamiento en el dispositivo | Exenta, queda fuera del ámbito de la norma de cookies |
| Etiquetado del lado del servidor con proxy propio, sin reenvío a redes publicitarias | Depende de los destinos que configure el editor | No, si no reenvía identificadores a terceros | Exenta si se limita a medición pura |
La tabla no sustituye una auditoría: confirma solo el punto de partida técnico de cada herramienta. Un Matomo mal configurado, con el plugin de seguimiento entre dominios activado, pierde la exención igual que la perdería Google Analytics. Lo que garantiza el cumplimiento no es el logo del proveedor, sino la configuración concreta que se audita y se documenta, y que conviene revisar junto con la analítica web del propio sitio.
Plazos de conservación y garantías del proveedor
Aunque una cookie de analítica cumpla los cuatro requisitos, la AEPD exige además unos plazos concretos: la cookie no debe durar más de trece meses sin renovarse automáticamente en cada visita, y los datos que genera no pueden conservarse más de veinticinco meses. Ambos plazos deben revisarse de forma periódica para no quedarse más tiempo del estrictamente necesario, y conviene dejarlo por escrito en la política de cookies del sitio.
Si la analítica la gestiona una agencia para varios clientes —una clínica dental, una gestoría fiscal y un ecommerce de moda, por ejemplo, cada uno con su propio panel—, la guía añade garantías adicionales: un contrato conforme al artículo 28 del RGPD que prohíba reutilizar los datos, la obligación de tratar y almacenar los datos de cada cliente de forma independiente, y cookies completamente separadas entre sitios, sin ningún identificador compartido. Sin ese contrato, la exención no protege ni al editor ni al proveedor.
Preguntas frecuentes sobre cookies de analítica sin consentimiento
¿Necesito banner de cookies si solo mido audiencia?
No, si esa cookie cumple los cuatro requisitos de la AEPD: uso exclusivo del editor, fines estadísticos anónimos, sin cruce de datos y sin rastreo entre sitios. En cuanto añades una herramienta publicitaria, un mapa de calor con grabación de sesión o un CRM conectado, esa cookie concreta sí necesita consentimiento.
¿Cuánto puede durar la cookie de medición de audiencia?
Como máximo trece meses sin renovarse de forma automática en cada visita, y los datos que genera no pueden conservarse más de veinticinco meses desde su recogida. Pasado ese plazo, la AEPD exige revisar si sigue siendo estrictamente necesario mantenerlos.
¿Matomo o Plausible evitan el banner de cookies?
Evitan el problema más habitual, que es compartir el identificador con una red publicitaria, siempre que estén autoalojadas o configuradas sin funciones de seguimiento cruzado. La exención no es automática por elegir esa herramienta: sigue exigiendo revisar plazos de conservación y ausencia de cesión a terceros.
¿Basta con anonimizar la IP en Google Analytics?
No basta por sí sola. Anonimizar la IP reduce el riesgo, pero si las señales de Google y las funciones de publicidad siguen activas, la cookie continúa vinculándose a actividad en otros sitios de Google, que es justo lo que excluye la exención de la AEPD.