¿Es GA4 realmente una cookie necesaria? La perspectiva de la KVKK

Actualizado: 3 de septiembre de 2026 · Categoría: KVKK y cumplimiento digital

¿Es GA4 realmente una cookie necesaria? La perspectiva de la KVKK

No existe una nueva decisión del Consejo turco de Protección de Datos Personales específica para GA4. Sus decisiones sobre cookies y la Guía sobre Prácticas de Cookies indican que los cookies de rendimiento/análisis deben evaluarse por separado de los estrictamente necesarios. Si no concurre otra condición legal de tratamiento, deben funcionar con consentimiento explícito opt-in basado en la elección activa del usuario. La implementación de GA4 también debe evaluarse por su finalidad, minimización de datos y transferencias internacionales.

Contenido

Respuesta breve
¿Por qué importa?
¿Qué deben hacer las empresas?
¿Cómo medirlo?
Fuentes
Preguntas frecuentes

Respuesta breve

GA4 no debe clasificarse automáticamente por su nombre como cookie necesaria o que exige consentimiento explícito en todos los casos. Según la KVKK, evalúe la implementación real: cookies, fines de medición, funciones de Google, flujos de datos personales y existencia de otra condición legal de tratamiento. En el caso de la decisión 2024/1361 se exigió consentimiento explícito opt-in para la cookie analítica no esencial porque no concurría otra condición legal de tratamiento.

¿Por qué es importante?

Un error frecuente es sustituir la categoría jurídica por el nombre de la tecnología. Tanto «usamos Google Analytics, por tanto es una cookie necesaria» como «todo uso analítico está sujeto exactamente al mismo régimen» ignoran la arquitectura real del tratamiento. La evaluación KVKK debe identificar los datos tratados, sus fines, los cookies o identificadores utilizados y los terceros que reciben los datos.

En la decisión 2024/1361, el Consejo consideró ilícito activar la cookie analítica no esencial del sitio sin opt-in activo: no era necesaria para el servicio expresamente solicitado y no concurría otra condición legal de tratamiento. No fue una decisión específica sobre GA4; muestra que debe auditarse el comportamiento real de las implementaciones de analítica web.

¿Por qué es importante la configuración de GA4?

Dos empresas pueden usar GA4 con distintos flujos de datos. Una puede medir solo tráfico básico, mientras la otra activa funciones publicitarias, medición entre dominios, User-ID, señales avanzadas, correspondencia CRM u otras integraciones. El nombre de categoría en el banner no basta.

El control debe abarcar cookies del navegador y eventos y parámetros enviados. Impida el envío innecesario de datos personales mediante URL, campos de formularios, cadenas de consulta o eventos personalizados. El etiquetado del lado del servidor no elimina la evaluación jurídica; solo cambia la arquitectura técnica del flujo de datos.

¿Qué deben hacer las empresas? Revisión KVKK de GA4 en ocho pasos

Realice un análisis real de cookies. Examine los cookies realmente instalados en producción en vez de solo la documentación.
Inventaríe las funciones de GA4. Registre por separado funciones publicitarias, Google Signals, User-ID, medición entre dominios e integraciones personalizadas.
Separe las finalidades. No trate la medición básica, el análisis de rendimiento, el remarketing y la optimización publicitaria como una única finalidad.
Pruebe el consentimiento antes de activar etiquetas. Cuando se exige consentimiento explícito, verifique técnicamente que las etiquetas y cookies pertinentes no se activen antes de la aceptación.
Pruebe la vía de rechazo. Rechazar debe ser tan fácil como aceptar y efectivo en la práctica.
Revise las cargas útiles de los eventos. Impida el envío innecesario de datos personales en URL, formularios, dimensiones personalizadas y parámetros de eventos.
Evalúe por separado las transferencias internacionales. No trate el consentimiento de cookies y el mecanismo de transferencia de datos como el mismo acto jurídico.
Mantenga registros de versiones. Repita el análisis cuando cambien el contenedor GTM, los ajustes de consentimiento o la configuración analítica.

¿Cómo probar un banner de consentimiento?

Mostrar el banner no basta. En una sesión nueva del navegador, observe las solicitudes de red enviadas y los cookies instalados antes de cualquier elección. Vuelva a probar las tecnologías analíticas y publicitarias después de elegir «rechazar».

Repita la prueba después de cada cambio importante de GTM o CMP. Aunque el texto jurídico no cambie, una actualización técnica del contenedor puede hacer que una etiqueta antes bloqueada funcione fuera del control de consentimiento.

Modelo de medición propuesto para el B10

Control	KPI	Señal de riesgo
Antes del consentimiento	Número de solicitudes analíticas antes del consentimiento	Solicitud inesperada
Cookie	Cuenta de cookies no clasificadas	Cookie fuera del inventario
Rechazo	Éxito técnico de la vía de rechazo	Etiquetas activas tras el rechazo
Carga útil	Número de parámetros PII inesperados	Datos personales innecesarios
Configuración	Cobertura del inventario de funciones GA4	Función no documentada
Transferencia	Cobertura de evaluación de transferencias	Flujo de datos no revisado

Estas métricas van más allá del diseño del banner de consentimiento: miden si cambia realmente el comportamiento del tratamiento de datos.

Evaluación especializada

El cumplimiento de GA4 debe clasificar el tratamiento en vez del producto. El mismo producto analítico puede generar diferentes riesgos de datos, finalidades y transferencias según su configuración. Vincule en un inventario común la tabla de cookies del equipo jurídico y la configuración GTM/GA4 del equipo técnico.

Soluciones técnicas como Consent Mode o el etiquetado del lado del servidor no certifican por sí solas el cumplimiento jurídico. Verifique en tráfico real qué señales se tratan en cada estado de preferencia de consentimiento.

Análisis de Riesgo Digital y Cumplimiento

B10 puede reunir en un Web Analytics Compliance Audit análisis reales de cookies/etiquetas del sitio, inventarios de funciones GTM y GA4, pruebas de consentimiento antes de etiquetas, revisiones de cargas útiles y mapas de flujos internacionales de datos.

Contenidos relacionados

Fuentes oficiales y primarias

Preguntas frecuentes ¿Por qué es importante ahora?

¿Qué deben comprobar las empresas primero?

Analice los cookies realmente instalados por GA4 y GTM.

¿Basta una revisión puntual?

No. La evaluación no depende solo de si existe GA4. Examine conjuntamente funciones, cookies, datos de eventos, finalidades, mecanismo de consentimiento y estructura de transferencias.

¿Qué puede aportar B10 en este ámbito?

B10 puede medir la diferencia entre el banner de consentimiento y el comportamiento técnico real a través del análisis de cookies, la petición de red, la configuración GTM/GA4 y las pruebas de flujo de datos.