Cómo medir las visitas de tu web cumpliendo la ley de cookies

La mayoría de webs españolas enseñan un banner de cookies, y muchas lo resuelven mal. Unas piden permiso hasta para contar visitas. Otras cargan Google Analytics en cuanto alguien entra, antes de que pulse «Aceptar».

La AEPD deja un margen entre ambos extremos. Hay cookies analíticas que puedes usar sin consentimiento, siempre que se limiten a medir.

Qué cookies analíticas puedes usar sin pedir permiso

El artículo 22.2 de la LSSI obliga a pedir consentimiento antes de guardar o leer información en el dispositivo del usuario. La excepción son las cookies estrictamente necesarias para prestar el servicio, y la AEPD incluye en ese grupo cierta medición de audiencia.

Su guía sobre cookies para herramientas de medición de audiencia, actualizada en enero de 2024, fija las condiciones. La cookie tiene que servir solo para medir la audiencia de tu web y generar estadísticas anónimas para ti.

Los datos no pueden cruzarse con otros tratamientos ni pasar a terceros. Y queda fuera cualquier herramienta que use el mismo identificador en varias webs, porque eso permite seguir a una persona mientras navega.

Una cookie analítica queda exenta de consentimiento cuando mide solo tu web y nadie más puede reutilizar sus datos.

Dentro de ese marco, la AEPD considera necesarias estas mediciones, siempre por página y agregadas por día (los tiempos de carga, por horas):

• Audiencia de cada página.
• Páginas de origen, internas o externas, desde las que llega el visitante.
• Tipo de dispositivo, navegador y tamaño de pantalla.
• Tiempo de carga de la página.
• Tiempo en la página, tasa de rebote y profundidad de scroll.
• Clics y otras acciones del usuario.
• Zona geográfica de origen de las visitas.

Todo lo que vaya más allá de esa lista necesita consentimiento. Con esos datos hay información de sobra para saber qué contenidos funcionan y de dónde llega el tráfico, que es la base para trabajar el posicionamiento SEO de tu web.

Las garantías que tienes que cumplir aunque no muestres el banner

Estar exento del consentimiento no exime de informar. Tienes que explicar en tu política de privacidad o de cookies que usas estas cookies de medición.

La guía limita también su duración. La cookie debe durar lo justo para comparar audiencias en el tiempo, con 13 meses como referencia, y no puede renovarse sola con cada visita. Los datos que recoge se guardan 25 meses como máximo, y ambos plazos hay que revisarlos de forma periódica.

Si la herramienta es de un proveedor externo, el listón sube. Necesitas un contrato de encargado del tratamiento (artículo 28 del RGPD) que le prohíba reutilizar los datos y limite su uso a las mediciones permitidas. Ese contrato también tiene que garantizar que cualquier transferencia fuera de la Unión Europea cumple el RGPD.

Cuando el proveedor da servicio a varias webs, debe recoger y guardar los datos de cada una por separado, con cookies independientes. A ti te toca documentar una evaluación de que la herramienta se puede configurar así y de que la tienes configurada así, por tu cuenta o con un tercero independiente.

Google Analytics, Matomo y dónde se guardan tus datos

La AEPD no ha publicado una lista de herramientas aprobadas ni se ha pronunciado de forma expresa sobre Google Analytics. Su guía dice que quedan fuera de la exención los servicios que reutilizan los datos para otros fines, algo habitual en las grandes plataformas de analítica.

Google Analytics 4 encaja mal con su configuración por defecto. Los datos van a los servidores de Google, que puede usarlos para sus propios servicios según los ajustes de la cuenta, y la cookie _ga dura dos años y se renueva en cada visita. Por eso lo normal es cargarlo solo cuando el usuario acepta.

El modo de consentimiento de Google tampoco cambia la situación. Regula qué datos se envían según lo que elija el usuario, pero no convierte la herramienta en exenta.

Matomo es la alternativa más citada. Es software libre, lo puedes instalar en tu propio alojamiento y los datos se quedan en tu servidor, sin pasar por terceros. La CNIL francesa, con criterios casi idénticos a los de la AEPD, publica una guía para configurarlo en modo exento, y desde abril de 2026 Matomo incluye una opción que aplica esos ajustes en un clic.

Algunas funciones quedan fuera de ese modo. Los mapas de calor y la grabación de sesiones siguen necesitando consentimiento, igual que el seguimiento de comercio electrónico.

Para una web pequeña o mediana, Matomo funciona en un hosting compartido junto a WordPress, porque solo necesita PHP y una base de datos MySQL. Si tienes mucho tráfico, conviene darle recursos propios en un servidor ONE CLOUD para que el registro de visitas no compita con la web.

Lo que cuesta un banner mal configurado

Para todo lo que queda fuera de la exención, el banner tiene que cumplir la guía general de cookies. La AEPD la actualizó en julio de 2023 y desde el 11 de enero de 2024 exige que el botón de rechazar esté en la primera capa, con el mismo formato y la misma visibilidad que el de aceptar.

Saltarse el artículo 22.2 de la LSSI es una infracción leve, con multas de hasta 30.000 euros. La AEPD impuso esa cantidad a Vueling en 2019 por no dejar navegar sin aceptar las cookies. A Iberia le puso la misma multa por un caso parecido, y la Audiencia Nacional la confirmó en 2024.

La comprobación más rápida la puedes hacer tú. Abre tu web en una ventana privada, pulsa «Rechazar» y revisa en las herramientas del navegador qué cookies se han guardado. Si aparece alguna analítica que no cumple las condiciones de la exención, se está cargando sin permiso.

Si quieres estar a la última en tecnología y conocer todo lo que se mueve en el sector, ¡suscríbete a nuestro boletín!

Leer condiciones

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.