La respuesta corta es que no es automáticamente ilegal, y tampoco es automáticamente correcto. Las dos afirmaciones se repiten con confianza y ninguna sobrevive al contacto con las resoluciones reales.

Esto es un resumen para gente que está tomando una decisión sobre una herramienta, no un consejo jurídico.

Qué decidieron de verdad las autoridades de protección de datos

Entre 2022 y 2023, las autoridades de control de Austria, Francia, Italia, Dinamarca, Finlandia, Noruega y Suecia declararon ilícitas, cada una, instalaciones concretas de Google Analytics. Las reclamaciones venían de noyb, la organización de defensa de la privacidad fundada por Max Schrems, y se presentaron contra muchos sitios a la vez.

El razonamiento iba de las transferencias internacionales, no de la analítica. Después de que el Tribunal de Justicia de la Unión Europea invalidara el Escudo de Privacidad UE-EE. UU. en la sentencia Schrems II, las transferencias a Estados Unidos necesitaban otra base jurídica. Las autoridades consideraron que las cláusulas contractuales tipo en las que se apoyaba Google no bastaban por sí solas, porque no impiden que el derecho de inteligencia estadounidense alcance los datos. Las medidas complementarias que Google había añadido (el cifrado en tránsito, la opción de truncar una dirección IP) no lo cambiaban, porque Google seguía pudiendo leer los datos.

Dos detalles de esas resoluciones se pierden al contarlas, y los dos importan:

  • Truncar la dirección IP no lo salvó. La autoridad austriaca consideró que la combinación de un identificador de cliente con otros datos seguía identificando al visitante, así que quitar una parte de la dirección IP no convertía el dato en no personal.
  • Eran resoluciones sobre sitios concretos, con configuraciones concretas, en un momento concreto. No eran una prohibición general del producto.

Qué cambió el Data Privacy Framework

En julio de 2023 la Comisión Europea adoptó una decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework). Para una empresa estadounidense que se autocertifique bajo el DPF (Google lo hace) las transferencias pueden apoyarse en esa decisión de adecuación en vez de en cláusulas contractuales tipo.

Eso cambia de verdad la base sobre la que se apoyaban las resoluciones de 2022-2023. Aquellas resoluciones iban de la ausencia de un mecanismo de transferencia válido, y ahora existe uno.

La salvedad es que este es el tercer marco de este tipo. El Safe Harbor se anuló en 2015, el Privacy Shield en 2020, y noyb anunció su intención de impugnar el DPF el mismo día en que se adoptó. Una impugnación no es una anulación, y sería falso decirte que el marco está a punto de caer. Es igual de falso planificar como si la cuestión estuviera cerrada para siempre, dado que las dos respuestas anteriores duraron unos cinco años cada una.

Qué tiene que seguir siendo cierto

La cuestión de las transferencias es la que se llevó los titulares. No es la única, y es en las otras donde la mayoría de las instalaciones de GA4 son de verdad vulnerables.

Un consentimiento recogido como es debido. La analítica no es estrictamente necesaria, así que en la UE necesita consentimiento antes de que se almacene nada en el dispositivo o se lea de él: en España es el artículo 22.2 de la LSSI, que aplica la AEPD, y GA4 almacena un identificador. El consentimiento tiene que ser libre, específico, informado e inequívoco. Un banner con un solo botón de «Aceptar» no es nada de eso. Uno que pone el identificador antes de que hagas clic, tampoco.

Un modo Consentimiento bien configurado. El modo Consentimiento de Google cambia el comportamiento de GA4 cuando se rechaza el consentimiento, pero de serie sigue mandando peticiones sin cookie y modela el hueco. Si las cifras modeladas te valen es una cuestión de medición; si las peticiones son aceptables es una cuestión jurídica, y depende de una configuración que tienes que comprobar en vez de suponer.

Un rastro que pudieras enseñar. Al amparo del artículo 5, apartado 2, del RGPD tienes que poder demostrar el cumplimiento. Eso significa una evaluación de impacto relativa a la protección de datos donde sea necesaria, un registro de actividades de tratamiento, una política de conservación que apliques de verdad, y un consentimiento documentado.

Todo lo que le añadiste por encima. La mayoría de los problemas de GA4 en la práctica no vienen de GA4. Vienen del User-ID que resultó ser una huella de una dirección de correo, de la URL de página que lleva un token o un número de pedido en un parámetro de consulta, o de la carga útil de comercio electrónico que incluye un nombre de cliente.

Qué significa esto para una decisión

Si ya usas GA4 y está correctamente consentido, correctamente configurado y documentado, la decisión de adecuación te da hoy una posición defendible. Arrancarlo esta tarde por un titular de 2022 es una reacción exagerada.

Si estás eligiendo ahora, el planteamiento honesto es de riesgo. Mantener los datos en la UE con un encargado del tratamiento establecido en la UE saca la cuestión de las transferencias de tu registro de riesgos por completo, en vez de responderla. Eso vale algo, y cuánto depende de tu sector, de tu autoridad de control, y de las ganas que tengas de volver a pelear esto a finales de la década.

Hay además un argumento puramente operativo que no tiene nada que ver con el derecho: si tu analítica necesita consentimiento, solo estás midiendo a los visitantes que aceptaron, que no son una muestra aleatoria de tu tráfico.

Dónde se sitúa Skomi

Skomi almacena sus datos en la UE y deriva la identidad del visitante en el servidor a partir de una sal que rota a diario, así que no se escribe nada en el dispositivo del visitante ni se lee de él. No hay ninguna transferencia que evaluar y, con el ajuste de serie, ningún consentimiento que recoger.

Es también un producto más pequeño que GA4, y la página de comparación lista lo que pierdes junto a lo que ganas, incluidas las filas que gana GA4, que son reales.

Fuentes que vale la pena leer tú mismo

  • La resolución de la DSB austriaca de diciembre de 2021, la primera de la serie y la más detallada sobre por qué truncar la dirección IP era insuficiente.
  • Las resoluciones de la CNIL sobre Google Analytics y sus guías posteriores sobre la medición de audiencia exenta.
  • La decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU., julio de 2023.
  • Las recomendaciones 01/2020 del CEPD sobre medidas complementarias, que exponen el análisis que aplicaron las autoridades.

Quien te diga que esto es sencillo no las ha leído.

Lo que hace Skomi en su lugar es sin cookies de serie: no se escribe nada en el dispositivo del visitante, así que no hay ninguna transferencia de un identificador que sopesar, y sobre eso está construido el producto Analytics, en vez de ser un modo que se activa. El terreno más amplio de sustitutos, con el nuestro colocado honestamente entre ellos, está en las alternativas a Google Analytics.