Procesar GA4 en la UE es la promesa que Google repite desde que empezó a describir cómo trata el tráfico europeo: ninguna IP sale de sus servidores regionales antes de perderse. Para quien lleva el consentimiento, los informes y la relación con el departamento legal en una empresa de Barcelona, la pregunta no es técnica, es de riesgo: si esa frontera basta para seguir usando Analytics sin un problema detrás. No basta del todo, y conviene saber qué cubre exactamente antes de que llegue la próxima auditoría de protección de datos.
No. Procesar los datos en servidores de la Unión Europea evita que Google registre la IP de los usuarios europeos, pero la base legal de fondo sigue siendo la decisión de adecuación UE-EE. UU. de 2023, hoy recurrida ante el Tribunal de Justicia de la UE (asunto C-703/25 P) y todavía sin fecha de vista.
La frontera de datos de GA4 en la UE
Desde 2023, Google procesa el tráfico de usuarios del Espacio Económico Europeo, Suiza y Reino Unido a través de dominios y servidores situados en esa misma región. La IP se usa solo para calcular una ubicación aproximada y se descarta de inmediato: Analytics no la registra ni la almacena para usuarios de la UE. Es la primera pieza de lo que Google llama datos y privacidad centrados en la UE, Suiza y Reino Unido, documentado en su propio centro de ayuda. Para un responsable de marketing esto resuelve una duda muy concreta: el dato de localización deja de viajar a un servidor en EE. UU. antes de perderse.
El caso de una consultora con sede en Barcelona
Una consultora de marketing con oficina en el Eixample que mide su tráfico con GA4 ve el cambio sobre todo en el panel de administración: la configuración de región muestra que sus visitas desde España entran por un dominio europeo, no por el genérico de Analytics. En la práctica, eso significa que una auditoría de protección de datos ya no puede alegar que la IP de un cliente catalán cruza el Atlántico sin anonimizar. Lo que sigue viajando es otra cosa: los identificadores de usuario, los eventos de conversión y, si está activado, Google Signals, que no entran en esta frontera regional y siguen sujetos al marco de transferencias que ampara a Google LLC como empresa estadounidense.
El marco legal que ampara GA4 en la UE
La frontera regional resuelve la IP, pero el resto de los datos de Analytics —identificadores, eventos, conversiones— sigue saliendo hacia Google LLC en Estados Unidos. Eso solo es legal si existe una base del capítulo quinto del RGPD que lo ampare, y desde julio de 2023 esa base es la decisión de adecuación UE-EE. UU., adoptada por la Comisión Europea tras dos intentos previos —Privacy Shield y Safe Harbor— anulados antes por el Tribunal de Justicia. La decisión certifica que las empresas estadounidenses adheridas al Data Privacy Framework, Google entre ellas, ofrecen un nivel de protección comparable al europeo.
Una decisión de adecuación es el instrumento del RGPD con el que la Comisión Europea certifica que un país fuera de la UE ofrece un nivel de protección de datos comparable al europeo, permitiendo transferencias sin cláusulas contractuales adicionales ni garantías extra por parte de quien exporta los datos.
Esa adecuación es la pieza que sostiene a GA4, a Google Ads y a cualquier otra herramienta que procese datos de clientes europeos en territorio estadounidense. Sin ella, cada empresa tendría que negociar sus propias cláusulas contractuales tipo con Google, algo que ninguna pyme de Barcelona está en condiciones de hacer por su cuenta.
La impugnación de Latombe contra la adecuación de datos
La decisión de adecuación de 2023 no llegó sin oposición. El eurodiputado francés Philippe Latombe pidió al Tribunal General de la UE que la anulara, alegando que el organismo que debe atender las reclamaciones de ciudadanos europeos en Estados Unidos no es realmente independiente del poder ejecutivo. El Tribunal General desestimó el recurso el 3 de septiembre de 2025 (asunto T-553/23) y confirmó que, en el momento de adoptarse la decisión, Estados Unidos ofrecía un nivel de protección adecuado.
Qué pasa si el Tribunal de Justicia lo revoca
Latombe no se quedó en la primera instancia: recurrió ante el Tribunal de Justicia de la UE el 31 de octubre de 2025, en el asunto C-703/25 P, y a mediados de 2026 todavía no hay fecha de vista fijada. Si el Tribunal acabase anulando la adecuación, como pasó con el Privacy Shield en 2020, cualquier empresa que dependa de GA4, Google Ads o Workspace tendría que sustituir esa base legal por cláusulas contractuales tipo de un día para otro, igual que ocurrió entonces. No es un escenario inmediato, pero sí uno que conviene vigilar si la analítica es una pieza central del negocio.
¿Te ayudamos con esto?
Cuéntanos tu caso
Si esto te afecta, escríbenos en dos líneas y te respondemos por email con una valoración concreta.
Lo que GA4 en la UE no resuelve todavía
La frontera regional y la adecuación de 2023 cubren la transferencia internacional, pero no sustituyen al consentimiento. En España, instalar GA4 sigue exigiendo el visto previo del usuario bajo la normativa de cookies y el RGPD: sin esa capa, da igual dónde se procesen los datos. Tampoco resuelve la revisión que la Comisión Federal de Comercio estadounidense abrió sobre el negocio publicitario de Google, ni evita que Google Signals siga enlazando el tráfico anónimo con una cuenta de Google identificada, con sus propios flujos de transferencia. Para un equipo técnico, la lectura práctica es que la frontera de datos reduce superficie de riesgo, no la elimina: sigue haciendo falta una configuración de consentimiento correcta y un registro de actividades de tratamiento que mencione a Google como encargado.
Google Signals, el dato de Analytics que cruza fronteras
Google Signals es lo que permite a Analytics enlazar las visitas de un mismo usuario entre dispositivos cuando ese usuario tiene activada la personalización de anuncios en su cuenta de Google. Ese enlace no se queda dentro de la frontera regional: sirve para alimentar campañas de publicidad y modelos de conversión que Google gestiona de forma global. La propia documentación de Analytics permite desactivar la recogida de Google Signals por región, igual que permite desactivar los datos granulares de ubicación y dispositivo —ciudad, resolución de pantalla, modelo del móvil— que tampoco quedan confinados en Europa.
El coste de desactivar Google Signals por región
Apagar Google Signals para el tráfico europeo no es gratis en términos de datos: la propia Google advierte de que desactivar la recogida granular reduce de forma notable el volumen de conversiones modelizadas en esa región, que es justo lo que rellena los huecos cuando un usuario rechaza las cookies. Para una empresa de Barcelona con un presupuesto de medios ajustado, la decisión suele ser un equilibrio: quien hace poca publicidad de pago puede desactivarlo sin notarlo, pero quien reparte el gasto entre Google Ads y campañas de remarketing va a ver cómo caen sus conversiones atribuidas, sin que eso signifique que las ventas reales también lo hagan.
Ajustes imprescindibles para operar GA4 en la UE
Antes de dar por cerrado el capítulo legal de Analytics conviene repasar una lista corta de ajustes, la mayoría disponibles en el propio panel de administración de la propiedad:
- Confirmar en la configuración de datos que la región de procesamiento asignada es la UE, Suiza o Reino Unido, según corresponda al negocio.
- Revisar si Google Signals está activo y decidir por región, no de forma global, si compensa el dato que aporta.
- Comprobar que el modo de consentimiento está bien configurado y que Analytics solo recoge datos tras la aceptación del usuario.
- Actualizar el registro de actividades de tratamiento para reflejar a Google como encargado y citar la base de adecuación vigente.
Quien prefiera evitarse esta discusión por completo puede plantearse una analítica sin cookies, aunque eso tiene su propio coste en tiempo y en migración de informes. Y si el punto de partida no está claro, una auditoría de analítica web en Barcelona es el primer paso antes de tocar nada en la configuración.
Preguntas frecuentes sobre la frontera de datos de GA4
¿GA4 es legal en España en 2026?
Sí, siempre que haya consentimiento previo del usuario y la transferencia de datos a Google LLC se apoye en la decisión de adecuación UE-EE. UU. de 2023, hoy vigente aunque recurrida ante el Tribunal de Justicia de la UE. Sin esas dos piezas, el uso de GA4 no cumple el RGPD.
¿Qué pasa con los datos ya recogidos si se anula la adecuación?
La anulación de una decisión de adecuación no obliga a borrar lo ya procesado de forma retroactiva, pero sí corta las transferencias futuras hasta que exista otra base legal, como ocurrió con el Privacy Shield en 2020. Las empresas tuvieron entonces varios meses de margen para migrar a cláusulas contractuales tipo.
¿Hace falta activar algo para que GA4 use servidores europeos?
No. El procesamiento de IP en servidores de la UE, Suiza o Reino Unido es automático desde que Google lo implementó y no depende de ninguna casilla que marcar en la configuración de la propiedad de Analytics.
¿Una empresa de Barcelona necesita un contrato de datos aparte con Google?
Google ya ofrece sus condiciones de procesamiento de datos dentro de las condiciones de servicio de Analytics, que cubren su papel como encargado del tratamiento. Conviene revisarlas y dejar constancia en el registro de actividades, pero no hace falta negociar un contrato distinto.
