Cookies de Google Analytics 4: cuáles usa, cuánto duran y si necesitan consentimiento

Si pones GA4 en la web de un cliente, instalas cookies en el navegador de sus visitantes. Son pocas, se guardan en el dominio de la web y duran mucho. En España eso obliga a pedir permiso antes y, a la vez, a decidir cuánta medición estás dispuesto a perder. Aquí tienes qué cookies usa GA4 según la documentación de Google, qué dice la AEPD y cómo configurarlo.

¿Qué cookies usa Google Analytics 4?

Dos, según la documentación de Google: _ga y _ga_<container-id>. Las escribe la etiqueta de Google, ya la cargues con gtag.js o con Tag Manager. Por defecto se guardan en el dominio de nivel más alto posible de tu web.

Tres matices que conviene conocer:

• Si vinculas GA4 con Google Ads, la etiqueta añade más cookies para medir las interacciones con los anuncios. Las que empiezan por _gac_ vienen de Google Analytics y los anunciantes las usan para medir sus campañas.
• La caducidad se renueva. Con cookie_update en true, que es el valor por defecto, las etiquetas de Google pueden actualizar las cookies en cada carga de página.
• Los navegadores la acortan. Google advierte de que limitan la vida de las cookies propias si el usuario no vuelve: 400 días como máximo en Chrome y 7 en Safari.

Puedes cambiar la caducidad en la administración de Analytics, desde inmediatamente hasta 25 meses, y elegir si cuenta desde la visita más reciente o desde la primera. Ojo: si la configuras en la etiqueta o en Tag Manager, esa configuración manda sobre la de la interfaz.

¿Qué es la cookie _ga?

Es la cookie principal de Google Analytics: distingue a un visitante de otro y dura 2 años. Google precisa que es única para cada propiedad, así que no sirve para seguir a un usuario por webs que no tienen relación entre sí. Va acompañada de _ga_ seguida del ID del contenedor, que mantiene el estado de la sesión.

Para clasificarla, es una cookie propia de análisis. Si necesitas repasar las categorías, las tienes en tipos de cookies.

¿Google Analytics necesita consentimiento en España?

Sí, como regla general. El artículo 22.2 de la LSSI solo exime del consentimiento a las cookies técnicas o estrictamente necesarias para prestar un servicio que el usuario ha pedido. La guía de cookies de la AEPD, en su versión de mayo de 2024, no pone las analíticas en ese grupo.

La guía define las cookies de análisis o medición como las que permiten seguir y analizar el comportamiento de los usuarios, incluida la cuantificación de los impactos de los anuncios. Y recoge el criterio del GT29, el antiguo grupo de autoridades europeas de protección de datos: no están exentas del deber de obtener un consentimiento informado. Añade que es poco probable que supongan un riesgo para la privacidad si son de primera parte, tratan datos agregados con fines estrictamente estadísticos, se informa de ellas y el usuario puede negarse. Menos riesgo no significa exención.

La excepción para la medición de audiencia

La puerta es estrecha. La guía general remite a otra de la AEPD, «Uso de cookies para herramientas de medición de audiencia», con versión de enero de 2024. Según ella, estas cookies podrían quedar exentas si se cumplen, entre otras, estas condiciones:

• La finalidad se limita a medir la audiencia del sitio, en nombre exclusivo del editor, para producir datos estadísticos anónimos.
• Los datos no se cotejan con otros tratamientos ni se transmiten a terceros.
• No permiten seguir la navegación de la persona por distintos sitios o aplicaciones.
• Solo se hacen las mediciones que la AEPD considera necesarias: audiencia por página, páginas de referencia, tipo de dispositivo y navegador, tiempos de carga, tiempo en página y rebote, acciones de los usuarios y zona geográfica, agregadas por página.
• Se informa a los usuarios, por ejemplo en la política de privacidad.
• La vida de la cookie se limita, por ejemplo a trece meses, sin ampliarse sola en nuevas visitas. Los datos se conservan 25 meses como máximo.
• Si hay un proveedor, hace falta un contrato de encargado del artículo 28 del RGPD que le prohíba reutilizar los datos y una evaluación documentada de que la herramienta está configurada para cumplir.

La AEPD añade que algunos servicios de medición quedan fuera de la exención, en particular cuando declaran que reutilizan los datos para otras finalidades.

¿Encaja GA4 en esa excepción?

Con la configuración por defecto, no. La cookie _ga dura 2 años y puede renovarse en cada carga de página, frente a los trece meses sin ampliación automática que pone la AEPD como ejemplo. Además, Google Analytics tiene opciones de uso compartido de datos, como «Productos y servicios de Google», que permiten a Google acceder a los datos de la cuenta y analizarlos.

Puedes acortar la caducidad y desactivar esas opciones. Pero el resto de condiciones (solo las mediciones de la lista, ninguna reutilización, el contrato y la evaluación documentada) tendrías que acreditarlas tú. Si no puedes, pide consentimiento. El marco legal completo está en la guía de la ley de cookies.

¿Cómo medir con GA4 sin incumplir?

Con Consent Mode, que hace que GA4 no lea ni escriba sus cookies hasta que el visitante acepta la analítica. Según la documentación de Google, con analytics_storage en denied no se leen ni escriben cookies propias de Analytics y, si las etiquetas se cargan, envían pings sin cookies. Tienes cómo montarlo en la guía de Consent Mode v2.

Lo que pierdes depende del modo:

El modelado de comportamiento estima lo que hacen quienes rechazan a partir de quienes aceptan. Google pone condiciones: Consent Mode en implementación avanzada, al menos 1.000 eventos al día con analytics_storage denegado durante 7 días y al menos 1.000 usuarios diarios con analytics_storage concedido en 7 de los 28 días anteriores. Además, la identidad para informes tiene que estar en «Mezclado». Muchas webs pequeñas no llegan a esos umbrales. Si dudas entre los dos modos, los comparamos en Consent Mode básico vs avanzado.

Un dato útil para el cliente: Google Analytics no registra ni almacena las direcciones IP individuales de usuarios de la UE, Suiza o Reino Unido.

¿Qué hacer en la web de un cliente?

Pon GA4 detrás del consentimiento y deja constancia de lo que has configurado. En este orden:

1. Busca todas las copias de GA4. En el tema, en plugins de analítica y en Tag Manager. Deja solo una.
2. Pon un banner con «Aceptar» y «Rechazar» en la primera capa y configuración por categorías. GA4 va en la categoría de estadísticas o analíticas.
3. Activa Consent Mode v2 con las cuatro señales denegadas por defecto. El banner de Cookies Marca Blanca, por ejemplo, las envía así y las actualiza cuando el visitante elige.
4. Elige modo básico o avanzado con el cliente, sabiendo lo que pierde en cada caso.
5. Revisa la administración de GA4: la conservación de datos (2 o 14 meses en la versión estándar) y las opciones de uso compartido de datos de la cuenta.
6. Actualiza la política de cookies con _ga y _ga_<container-id>, su duración y que las gestiona Google Analytics.
7. Comprueba el resultado. Antes de decidir y tras rechazar no debe haber cookies _ga en el navegador. Tienes el método en cómo comprobar Consent Mode v2. Si prefieres que lo miremos nosotros, la auditoría gratuita de cookies mide lo que se envía antes de consentir.

Preguntas frecuentes

¿Google Analytics necesita consentimiento?

En España, sí como regla general. La guía de cookies de la AEPD recoge que las cookies de análisis no están exentas del deber de obtener consentimiento informado. Existe una excepción para herramientas de medición de audiencia, pero exige condiciones como no reutilizar los datos y limitar la vida de la cookie, que GA4 no cumple con su configuración por defecto.

¿Qué es la cookie _ga?

Es la cookie principal de Google Analytics. Sirve para distinguir a un visitante de otro y dura 2 años por defecto. Según Google, es única para cada propiedad, así que no sirve para seguir a un usuario por webs que no tienen relación entre sí.

¿Cuánto duran las cookies de Google Analytics 4?

Tanto _ga como _ga_ seguida del ID del contenedor duran 2 años por defecto. Puedes cambiar la caducidad en la administración de Analytics, desde inmediatamente hasta 25 meses. Además, los navegadores limitan las cookies propias si el usuario no vuelve: 400 días como máximo en Chrome y 7 en Safari.

¿GA4 guarda la dirección IP de los visitantes?

No la de los visitantes europeos. Según la ayuda de Google Analytics, no registra ni almacena direcciones IP individuales de usuarios de la UE, Suiza o Reino Unido.

Fuentes

1. [GA4] Uso de cookies en sitios web (Ayuda de Analytics)
2. How Google uses cookies (Políticas de Google)
3. Customize cookies (Google for Developers)
4. Guía sobre el uso de las cookies, mayo de 2024 (AEPD)
5. Guía Uso de cookies para herramientas de medición de audiencia, enero de 2024 (AEPD)
6. Ley 34/2002, de servicios de la sociedad de la información (LSSI), art. 22.2 (BOE)
7. Referencia del modo de consentimiento (Ayuda de Google Ads)
8. Consent mode overview (Google for Developers)
9. [GA4] Behavioral modeling for consent mode (Ayuda de Analytics)
10. [GA4] Identidad para informes (Ayuda de Analytics)
11. [GA4] EU-focused data and privacy (Ayuda de Analytics)
12. [GA4] Conservación de datos (Ayuda de Analytics)
13. Configuración de uso compartido de datos (Ayuda de Analytics)