--- title: "RGPD, CNIL y analítica: Consent Mode, IA, DPF | 2026" description: "RGPD, Consent Mode v2, DPF, AI Act: análisis factual del marco normativo aplicado a las herramientas de analítica y de publicidad. Guía para anunciantes." url: https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil lang: es --- > Índice del sitio para agentes, que conviene leer antes de explorar: https://edgeangel.co/llms.txt > Página HTML de referencia, que incluye además los esquemas y los elementos visuales: https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil [Nota de expertos](https://edgeangel.co/es/notes) # RGPD, CNIL y analítica: Consent Mode e IA | 2026 [RGPD & Privacy](https://edgeangel.co/es/notes?category=rgpd-compliance) Olivier Chubilleau • 2 de abril de 2026 • Publicado el 20 jun 2022 ## Introducción Este dossier presenta nuestras claves de lectura sobre el uso de las herramientas de medición de audiencia y de publicidad en el marco del RGPD, de la ley francesa Informatique et Libertés y de las distintas posiciones de la CNIL. Publicado inicialmente en junio de 2022 tras los requerimientos de la CNIL relativos a Google Analytics, se actualizó en profundidad en abril de 2026 para integrar el Data Privacy Framework, el Consent Mode v2, el AI Act y las tensiones geopolíticas entre la UE y EE. UU. EdgeAngel no es un despacho de abogados. Invitamos al lector a tomar la debida distancia respecto a nuestras interpretaciones y a abrir el debate con nosotros si sus análisis y conclusiones difieren: [hello@edgeangel.co](mailto:hello@edgeangel.co) 👋 ## RGPD & Google Analytics ![Cronología del RGPD y la analítica: de Schrems II (2020) a la autoevaluación de la CNIL (2026)](https://edgeangel.co/images/notes/rgpd-chronologie-reglementaire-2026.png) Cronología normativa del RGPD y la analítica (2020-2026) ## El marco normativo en 2026 ### RGPD: los fundamentos El Reglamento General de Protección de Datos (RGPD), aplicable desde el 25 de mayo de 2018, da continuidad a la ley francesa Informatique et Libertés de 1978. Armoniza las normas de protección de datos personales en la Unión Europea \[1\]. **¿A quién afecta?** A toda organización cuya actividad se desarrolle en la Unión Europea y que trate datos personales (art. 3 del RGPD). **¿Qué es un dato personal?** «Toda información sobre una persona física identificada o identificable» (art. 4 del RGPD). Un dato que permite identificar directa o indirectamente a un usuario. So pena de sanciones que pueden ir del requerimiento a multas potencialmente considerables, sin contar el daño a la imagen. En 2025, la CNIL impuso 487 millones de euros en multas, por todo tipo de incumplimientos \[2\]. El nivel de vigilancia está en su punto más alto. ### Art. 82 de la ley Informatique et Libertés El artículo 82 es la transposición francesa de la directiva europea ePrivacy (2002/58/CE). Este texto va más allá que el RGPD en un punto concreto: regula todos los rastreadores y operaciones de lectura y escritura en el equipo terminal del usuario (cookies, localStorage, device fingerprinting), y no únicamente los datos personales \[3\]. Se requiere el consentimiento del usuario, salvo si la recogida: - tiene «como finalidad exclusiva permitir o facilitar la comunicación por vía electrónica» - o es «estrictamente necesaria para la prestación de un servicio de comunicación en línea a petición expresa del usuario» En este texto se basa la CNIL para intervenir sobre los rastreadores, más allá del ámbito estricto del RGPD. La interpretación de la «finalidad exclusiva» es el núcleo de la cuestión para las herramientas de medición de audiencia. **Punto técnico**: la directiva ePrivacy debía sustituirse por un reglamento ePrivacy. Este texto está en negociación en el Consejo de la UE desde 2017. En 2026 sigue sin adoptarse. Es el artículo 82 (y sus equivalentes en los demás países de la UE) el que sigue aplicándose. ### El papel de la CNIL y sus límites La CNIL es la autoridad de protección de datos en Francia. Aplica el RGPD y la ley Informatique et Libertés. Tiene autoridad para emitir requerimientos, sancionar y publicar recomendaciones y directrices. Pero no redacta la ley. La interpreta y la hace cumplir. Su interpretación puede impugnarse ante las autoridades competentes: el Conseil d'État o el Tribunal de Justicia de la Unión Europea (TJUE). Es un punto importante. En 2025-2026, la CNIL intensificó sus controles, en particular en el e-commerce, los medios de comunicación, la sanidad, las finanzas y los servicios públicos \[4\]. Su plan estratégico 2025-2028 hace de la inteligencia artificial uno de sus cuatro pilares de actuación. ### AI Act: el nuevo texto que hay que conocer El AI Act (Reglamento (UE) 2024/1689) es el primer marco jurídico del mundo dedicado a la inteligencia artificial. Complementa el RGPD, sin sustituirlo. Cuando un sistema de IA trata datos personales, los dos textos se aplican simultáneamente \[5\]. **Calendario de aplicación** - **Febrero de 2025**: prohibiciones (puntuación social, reconocimiento biométrico no selectivo) - **Agosto de 2025**: obligaciones sobre los modelos de IA de uso general (GPAI) - **Agosto de 2026**: obligaciones para los sistemas de IA de alto riesgo **¿Por qué afecta a los anunciantes?** Los sistemas de IA integrados en las herramientas publicitarias (audiencias predictivas de GA4, Performance Max, Demand Gen) tratan datos. La CNIL ha publicado fichas prácticas sobre el entrenamiento de modelos de IA con datos personales \[6\]. El interés legítimo se admite como posible base jurídica, pero con condiciones estrictas: evaluación de impacto (EIPD) obligatoria, minimización de datos y documentación exhaustiva. El AI Act prevé sanciones de hasta 35 millones de euros o el 7 % de la facturación mundial por las prácticas prohibidas. El tema se está estructurando. Volveremos sobre él en la sección [RGPD e IA](https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil#rgpd-ia). ## Google Analytics y la CNIL: de la crisis a la resolución Lo esencial En 2026, **Google Analytics puede usarse legalmente** en Europa. El problema que planteó la CNIL en 2022 (la falta de un marco jurídico para las transferencias de datos a Estados Unidos) quedó resuelto con la adopción del Data Privacy Framework (DPF) en julio de 2023. Google tiene la certificación DPF. **La condición: usar una CMP (plataforma de gestión del consentimiento) que cumpla la normativa** y respetar las reglas de recogida. Si es tu caso, tu uso de GA4 cumple el RGPD. El resto de esta sección detalla la cronología completa, los matices importantes y las estrategias complementarias (etiquetado server-side, exención de consentimiento) para quienes quieran ir más allá. ### La crisis: los requerimientos de 2022 El 10 de febrero de 2022, la CNIL emitió un requerimiento a un gestor de un sitio web francés que usaba Google Analytics (en su versión Universal Analytics). La constatación \[7\]: - la herramienta recogía datos personales (dirección IP, GA Client Id almacenado en la cookie «\_ga») y, por tanto, estaba sujeta al RGPD; - Google no ofrecía garantías suficientes para la transferencia de esos datos a Estados Unidos. El TJUE había invalidado el Privacy Shield en 2020 (sentencia Schrems II); - no era aplicable ninguna cláusula de excepción (art. 49 del RGPD). El 7 de junio de 2022, la CNIL precisó que, fuera cual fuera la configuración, el uso de Google Analytics con datos personales podía considerarse ilegal **mientras no existiera un marco jurídico para las transferencias transatlánticas** \[8\]. Una precisión importante: **GA nunca estuvo «prohibido»**. El riesgo era jurídico, ligado a la falta de un marco legal para la transferencia de datos personales a Estados Unidos. Esa carencia se ha corregido desde entonces. **¿Qué datos personales?** Como mínimo: el identificador del visitante (GA Client Id) y la dirección IP. Pueden añadirse los identificadores de usuario, los identificadores de pedido y los parámetros de URL ligados a la fuente de tráfico (GCLID, UTM). La vinculación entre Google Analytics y otros productos de Google (Google Ads, Google Signals) puede convertir un dato no personal en un dato personal por cruce de información. **Repercusión** Los requerimientos iban más allá de la cuestión de Google Analytics. Cuestionaban el conjunto de soluciones desarrolladas por empresas vinculadas a una entidad de fuera de la Unión Europea. Otras soluciones (Google Ads, Meta) también estaban en el punto de mira de NOYB \[9\]. ### La resolución: el Data Privacy Framework El 10 de julio de 2023, la Comisión Europea adoptó el Data Privacy Framework (DPF), un nuevo marco jurídico que regula las transferencias de datos personales a Estados Unidos \[10\]. En pocas palabras Google LLC figura en la lista de organizaciones certificadas DPF \[11\]. **El problema de fondo de los requerimientos de 2022, la falta de un marco legal para las transferencias, está resuelto.** Desde esa fecha, las transferencias de datos a Google tienen un marco jurídico. **Primera revisión anual (octubre de 2024)** La Comisión concluyó que Estados Unidos ha implantado las estructuras y los procedimientos necesarios. El Data Protection Review Court (DPRC) funciona como mecanismo de recurso independiente para los ciudadanos europeos \[12\]. **El DPF sigue bajo vigilancia** En septiembre de 2025, el Tribunal General de la UE desestimó el recurso de un eurodiputado francés que impugnaba la decisión de adecuación, y confirmó que el DPF ofrece un nivel de protección «sustancialmente equivalente» \[13\]. Esta sentencia se recurrió ante el TJUE el 31 de octubre de 2025. El procedimiento sigue en curso. Volvemos sobre ello en la sección [Tensiones entre la UE y EE. UU.](https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil#tensions-ue-us) ### Proxificación y etiquetado server-side **Lo que había exigido la CNIL** En junio de 2022, la CNIL indicó que Google Analytics podía seguir usándose a condición de pasar por un servidor intermedio (proxy) que elimine los datos personales _antes_ de cualquier transferencia a Google \[8\]. Es el principio de la proxificación: al retirar en el servidor la dirección IP, el `client_id` y los identificadores publicitarios, el tratamiento sale del ámbito del RGPD. Sin este proxy, GA no podía configurarse de forma que cumpliera la normativa en el contexto posterior a Schrems II. La solución técnica más extendida para implementar esta proxificación: [Google Tag Manager Server-Side (sGTM)](https://edgeangel.co/es/notes/server-side-tagging-avec-google-tag-manager). Consulta también nuestra [oferta de GTM y sGTM](https://edgeangel.co/es/data-foundations/gtm-sgtm). **Desde el DPF: ya no es un requisito previo de cumplimiento** Con la adopción del Data Privacy Framework en julio de 2023, la cuestión de la transferencia está resuelta jurídicamente. **La proxificación ya no es un requisito previo para usar GA cumpliendo la normativa.** En cambio, sigue siendo una palanca pertinente para los anunciantes cuyo DPO o cuya política interna obliga a limitar los datos que se transmiten a Google y a otras herramientas de terceros. El proxy da un control total sobre lo que sale: el anunciante elige con precisión qué información transmitir, eliminar o transformar. **sGTM: una infraestructura cuyo valor va mucho más allá del RGPD** Con independencia de cualquier cuestión normativa, el etiquetado server-side es una infraestructura técnica con beneficios concretos: **mejor calidad de la recogida de datos** (menos bloqueos por parte de los bloqueadores de anuncios, eventos más fiables), **mejor rendimiento web** (menos scripts en el lado del cliente, impacto positivo en las Core Web Vitals) y **activación más sencilla de los datos first-party** (enriquecimiento en el servidor, integraciones directas con el CRM). Para profundizar en el tema, consulta nuestra [nota de expertos dedicada al etiquetado server-side](https://edgeangel.co/es/notes/server-side-tagging-avec-google-tag-manager). Si el DPF llegara a invalidarse (ver [Tensiones entre la UE y EE. UU.](https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil#tensions-ue-us)), las organizaciones que tienen un sGTM implementado disponen además de un seguro estructural: como los datos enviados a Google ya están anonimizados, el marco legal de la transferencia pasa a ser secundario. ### GA4 y el consentimiento: lo que hay que saber Por defecto: el consentimiento es obligatorio GA4 trata datos personales (identificador de cliente, dirección IP, datos de navegación). Por tanto, el consentimiento del usuario es jurídicamente necesario antes de activar la etiqueta, de acuerdo con el RGPD y el artículo 82 de la ley Informatique et Libertés. Para gestionar esta restricción, Google creó el **Consent Mode**: un framework que transmite el estado del consentimiento del usuario a las etiquetas de Google (`granted` o `denied`) para distintas finalidades. Según el modo de implementación elegido, el comportamiento de GA4 cambia radicalmente. Es una elección estructural entre un enfoque conservador (menos datos, menos riesgo jurídico) y un enfoque completo (zona gris jurídica, pero datos modelados en GA4). Para un detalle técnico completo, consulta nuestra [nota dedicada al Consent Mode v2](https://edgeangel.co/es/notes/google-consent-mode-v2-essentiel-a-savoir). Modo Basic: enfoque conservador Las etiquetas de Google **no se activan** mientras el usuario no haya dado su consentimiento. Si lo rechaza, no se envía ningún dato a Google. - Jurídicamente, el más seguro - Pérdida de datos del 30 al 70 % - Modelado de conversiones limitado Modo Advanced: zona gris jurídica Las etiquetas se activan **incluso sin consentimiento**, con el parámetro `denied`. Envían pings degradados (sin cookie, sin identificador) que Google usa para **modelar el tráfico sin consentimiento**. Resultado: en GA4 encuentras todo el tráfico, incluida la parte reconstruida estadísticamente. - Datos completos en GA4 (modelados) - Mejor modelado de conversiones - Sin validación de la CNIL hasta la fecha sGTM y exención de consentimiento Una configuración específica con etiquetado server-side (sGTM), destinada a eliminar los datos personales en el servidor (dirección IP, `client_id`, identificadores publicitarios), podría servir de marco para una exención de consentimiento en Google Analytics. La idea: si el tratamiento ya no afecta a datos personales en el sentido del RGPD, la obligación de consentimiento previo deja de aplicarse. Los criterios siguen siendo los del RGPD y del artículo 82: (1) no tratar datos personales, (2) entrar en el marco de la excepción de lo «estrictamente necesario». Corresponde al editor del sitio aportar la prueba. **El consentimiento sigue siendo el principio por defecto.** sGTM no es un mecanismo para eludirlo: la exención depende de la configuración efectiva, no de la infraestructura. Y el nivel de anonimización requerido tiene un coste funcional real (se acaban el profiling y la activación publicitaria). Es una decisión que hay que tomar con conocimiento de causa. La posición de la CNIL La CNIL había puesto en marcha un programa de evaluación para inventariar las soluciones de analítica exentas de consentimiento. Este programa ha terminado: la CNIL ya no «valida» herramientas. GA4 nunca figuró en él ni figurará \[14\]. **Desde julio de 2025, la CNIL ha pasado a un modelo de autoevaluación** \[15\]. **Nota sobre el derecho de oposición:** en sus directrices, la CNIL recomienda ofrecer un mecanismo de oposición (opt-out) incluso para los rastreadores exentos. Es una buena práctica que figura en el pliego de condiciones de la CNIL, pero no una obligación recogida en el artículo 82 ni en la directiva ePrivacy. Jurídicamente, si la herramienta no trata datos personales (condición misma de la exención), el derecho de oposición del RGPD (art. 21) no se aplica, por definición. En la práctica, ofrecer un opt-out sigue siendo prudente y refuerza la postura de cumplimiento. ## Los nuevos retos ### Consent Mode v2: las claves de lectura El Consent Mode se ha detallado en la sección anterior ([GA4 y el consentimiento](https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil#exemption-consentement)). Lo que hay que retener aquí es lo siguiente: la elección entre el modo Basic y el modo Advanced determina la postura jurídica del anunciante. El modo Basic es jurídicamente seguro, pero priva al anunciante de una parte significativa de sus datos. El modo Advanced ofrece una vista completa (modelada) en GA4, pero se basa en un mecanismo que la CNIL no ha validado. La zona de sombra La cuestión jurídica se centra en un punto concreto: ¿constituye el envío de un ping HTTP degradado (sin cookie, sin identificador) un acceso al equipo terminal del usuario en el sentido del artículo 82? Google considera que estos pings no son identificativos \[17\]. Varios expertos consideran que activar etiquetas antes del consentimiento supone un riesgo de incumplimiento \[18\]. Hasta la fecha, ninguna autoridad de protección de datos ha dictado una decisión formal. Para los anunciantes que eligen el modo Advanced, el [etiquetado server-side](https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil#proxyfication) permite mitigar este riesgo: el proxy intercepta los pings y elimina los datos residuales antes de que lleguen a Google. ### Tensiones entre la UE y EE. UU.: ¿es duradero el DPF? El Data Privacy Framework (DPF) es el tercer acuerdo transatlántico que regula la transferencia de datos personales a Estados Unidos. El Tribunal de Justicia de la Unión Europea invalidó los dos anteriores: Acuerdo Periodo Desenlace Safe Harbor 2000-2015 Invalidado por el TJUE (Schrems I) Privacy Shield 2016-2020 Invalidado por el TJUE (Schrems II) Data Privacy Framework 2023-? En vigor, recurso ante el TJUE presentado en oct. de 2025 **El DPF se mantiene, pero sus cimientos se han debilitado** El DPF, adoptado en 2023, sigue en vigor. Más de 3500 empresas estadounidenses tienen la certificación, y las transferencias de datos a las herramientas de Google (GA4, Google Ads) están cubiertas por este marco. El PCLOB: el eslabón debilitado La decisión de adecuación se apoyaba explícitamente en el PCLOB (Privacy and Civil Liberties Oversight Board), un organismo independiente de supervisión de los programas de inteligencia. En enero de 2025, la Administración Trump destituyó a tres de sus cinco miembros y lo privó del quórum necesario \[19\]. Pese a una resolución judicial que declaró ilegales esas destituciones, el Tribunal de Apelación del Circuito de D.C. bloqueó la readmisión \[20\]. A día de hoy, el PCLOB sigue inoperante. **¿Hacia un Schrems III?** En octubre de 2025 se presentó un recurso ante el TJUE contra la decisión de adecuación. El argumento: el desmantelamiento del PCLOB debilita las garantías de control independiente sobre las que se validó el DPF. Si el Tribunal sigue este razonamiento, el DPF podría invalidarse, como sus dos predecesores \[21\]. El clima político actual entre Estados Unidos y la UE (tensiones comerciales, aranceles, cuestionamiento de algunas cooperaciones transatlánticas) añade una capa de incertidumbre. No es un riesgo teórico: es un escenario documentado, que ya se ha producido dos veces. A los anunciantes que dependen exclusivamente de herramientas estadounidenses para su medición y su activación les conviene prever alternativas o, como mínimo, estructurar una arquitectura modular. ### RGPD e IA: ¿qué marco para el modelado? La inteligencia artificial está ya integrada en las herramientas de medición y de publicidad. GA4 usa modelos para cubrir los huecos de datos ligados al consentimiento (modelado de conversiones, audiencias predictivas). Performance Max y Demand Gen se apoyan en la IA para optimizar las pujas y la segmentación \[22\]. En el plano normativo, se superponen dos textos: - El **RGPD** se aplica en cuanto un sistema de IA trata datos personales (entrenamiento, inferencia, elaboración de perfiles). El art. 22 da a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos significativos. - **El AI Act** añade obligaciones de transparencia y de documentación, clasificadas por nivel de riesgo. Los sistemas de IA de alto riesgo (entre ellos algunas herramientas de scoring crediticio o de selección de personal) tienen obligaciones específicas desde agosto de 2026. **Las preguntas abiertas para los anunciantes** La CNIL ha publicado fichas prácticas sobre el tema \[6\]. Tres puntos merecen atención: - **Base jurídica para el entrenamiento**: el interés legítimo se admite como posible base jurídica para entrenar un modelo de IA con datos personales, pero con condiciones estrictas (evaluación de impacto, minimización, documentación). - **Modelado de GA4**: los modelos de comportamiento y de conversión de GA4 tratan datos procedentes del Consent Mode. Las autoridades europeas no han aclarado formalmente la base jurídica de este tratamiento por parte de Google. - **Responsabilidad compartida**: cuando un anunciante usa audiencias generadas por IA (Performance Max, Demand Gen), el tratamiento de los datos personales es compartido entre el anunciante y Google. El anunciante no puede eximirse de su responsabilidad invocando la tecnología del proveedor. Este tema está en construcción. Las primeras decisiones de las autoridades de protección de datos sobre la articulación entre el RGPD y el AI Act se esperan en los próximos meses. Seguimos este dossier y actualizaremos esta sección a medida que lleguen las decisiones. ## La opinión de EdgeAngel **El cumplimiento normativo en analítica es un tema técnico, cambiante y estructural.** Entre las incertidumbres sobre el DPF, el despliegue del AI Act y el paso a la autoevaluación de la CNIL, es un dossier que no se resuelve de una vez por todas. Cada cambio normativo afecta a la capacidad de los anunciantes para medir, optimizar y activar sus datos. **Nuestra convicción: invierte en una arquitectura modular.** Los anunciantes mejor preparados son los que han construido un stack de datos con piezas intercambiables. ¿Una herramienta de medición prohibida o degradada mañana? Puedes cambiar de rumbo sin empezar de cero. Es el principio del modern data stack aplicado al cumplimiento normativo: CMP, recogida, tratamiento, activación; cada capa puede evolucionar de forma independiente. **Documéntalo todo.** Tus elecciones de CMP, tu configuración de Consent Mode (Basic o Advanced), tus reglas de purga en el server-side, tus bases jurídicas por tratamiento. La era de la autoevaluación de la CNIL obliga a poder justificar cada decisión. Esta documentación no es un ejercicio burocrático: es tu palanca de agilidad. Cuando el marco evoluciona, sabes exactamente qué hay que adaptar. **Privacy by design, sin perder de vista el negocio.** El equilibrio entre protección de datos y rendimiento de marketing no es un compromiso: es una cuestión de ingeniería. Los anunciantes que sobreprotegen sin reflexionar pierden visibilidad. Los que ignoran el tema se exponen a sanciones y a una deuda técnica. El punto de equilibrio adecuado depende de tu sector, de tu exposición al riesgo y de tus palancas de activación. Es nuestro día a día en EdgeAngel: dar a cada anunciante las claves de lectura para definir su propio marco, con conocimiento de causa. ## Entonces, EdgeAngel, ¿qué hay que hacer? En concreto, estos son los cuatro proyectos que recomendamos a cada anunciante. **1\. Una CMP que funcione de verdad (web y app)** - La elección de la plataforma ([Didomi](https://edgeangel.co/es/data-foundations/didomi), Axeptio, OneTrust, Cookiebot, o nuestra propia solución [Cookie Consent](https://edgeangel.co/es/solutions/cookie-consent)...) y su configuración no son temas binarios. La tasa de opt-in depende directamente de la calidad de la implementación: textos, diseño, momento de aparición, gestión del rechazo. - Objetivo: maximizar el consentimiento informado respetando a la vez a tus usuarios. Cada punto de tasa de opt-in que se gana son datos de más para gestionar tu marketing. - Es un tema de especialidad por derecho propio, no una casilla que marcar. **2\. Documentar tus elecciones y tu estrategia de consentimiento** - ¿Qué herramientas usas? ¿Con qué base jurídica? ¿Qué configuración de Consent Mode (Basic / Advanced) y por qué? ¿Qué datos recoges y para qué destinatarios? - Esta documentación es tu red de seguridad ante un control de la CNIL y tu palanca de agilidad cuando el marco normativo evoluciona. **3\. Definir tu marco: exención, Consent Mode, server-side** - **Consent Mode Basic**: la configuración más estricta. Las etiquetas esperan al consentimiento explícito para activarse. Cumple la normativa, pero pierdes la visibilidad sobre el tráfico sin consentimiento. - **Consent Mode Advanced**: los pings degradados alimentan el modelado de Google. Más datos, pero un riesgo jurídico sin resolver. Es una elección que hay que asumir y documentar. - **[Etiquetado server-side](https://edgeangel.co/es/notes/server-side-tagging-avec-google-tag-manager)**: sus beneficios principales son la mejora de la calidad de la recogida de datos, el rendimiento web (menos scripts en el lado del cliente) y la activación de los datos first-party (enriquecimiento en el servidor, conexión directa con las API publicitarias). También es una palanca para establecer un marco de RGPD más controlado: control de los datos transmitidos, eliminación de los datos personales antes de la transferencia y posible exención de consentimiento. Una inversión estructural, pertinente para las [organizaciones que quieren recuperar el control](https://edgeangel.co/es/data-foundations/gtm-sgtm) de todo su stack de datos. **4\. Auditar y hacer seguimiento con regularidad** - El marco se mueve. DPF, PCLOB, AI Act, directrices de la CNIL: una auditoría anual como mínimo es imprescindible para comprobar que tu configuración sigue alineada. - Audita tu plan de etiquetado: ¿sabes con precisión qué datos personales salen de tu web y hacia qué destinatarios? Es la primera pregunta en caso de control. - Implanta una vigilancia estructurada de los cambios normativos. No es un extra opcional: es un requisito previo para gestionar con tranquilidad. ## Fuentes y referencias - \[1\] [CNIL: el RGPD, ¿de qué hablamos?](https://www.cnil.fr/fr/rgpd-de-quoi-parle-t-on) - \[2\] [CNIL: informe de actividad 2025 (487 M€ en multas)](https://www.cnil.fr/fr/bilan-dactivite-2025) - \[3\] [Legifrance: art. 82 de la ley Informatique et Libertés](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978) - \[4\] [CNIL: plan estratégico 2025-2028](https://www.cnil.fr/fr/plan-strategique-2025-2028) - \[5\] [EUR-Lex: AI Act (Reglamento 2024/1689)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689) - \[6\] [CNIL: fichas prácticas de IA para profesionales](https://www.cnil.fr/fr/intelligence-artificielle-fiches-pratiques-pour-les-professionnels) - \[7\] [CNIL: requerimiento sobre Google Analytics (10 de febrero de 2022)](https://www.cnil.fr/fr/utilisation-de-google-analytics-et-transferts-de-donnees-vers-les-etats-unis-la-cnil-met-en-demeure) - \[8\] [CNIL: Google Analytics, solución de proxificación (7 de junio de 2022)](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/google-analytics-et-transferts-de-donnees-comment-mettre-son-outil-de-mesure-daudience-en-conformite) - \[9\] [NOYB: 101 reclamaciones sobre las transferencias entre la UE y EE. UU.](https://noyb.eu/en/101-complaints-eu-us-transfers-filed) - \[10\] [CNIL: adopción del Data Privacy Framework (julio de 2023)](https://www.cnil.fr/fr/transferts-de-donnees-vers-les-etats-unis-la-commission-europeenne-adopte-une-nouvelle-decision) - \[11\] [Data Privacy Framework: lista de organizaciones certificadas](https://www.dataprivacyframework.gov/) - \[12\] [Comisión Europea: primera revisión anual del DPF (oct. de 2024)](https://ec.europa.eu/commission/presscorner/detail/es/ip_24_5047) - \[13\] [TJUE: desestimación del recurso Latombe (sept. de 2025) y recurso de apelación en curso](https://curia.europa.eu/) - \[14\] [CNIL: soluciones de medición exentas de consentimiento](https://www.cnil.fr/fr/solutions-de-mesure-daudience-exemptees-de-consentement) - \[15\] [CNIL: preguntas frecuentes sobre cookies y rastreadores (autoevaluación)](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ) - \[16\] [Google: documentación del Consent Mode](https://developers.google.com/tag-platform/security/concepts/consent-mode) - \[17\] [Google: guía de implementación del Consent Mode](https://developers.google.com/tag-platform/security/guides/consent) - \[18\] [DataGuard: análisis de los riesgos del Consent Mode Advanced](https://www.dataguard.com/) - \[19\] [Lawfare: análisis del PCLOB y de su impacto en el DPF](https://www.lawfaremedia.org/) - \[20\] [Brennan Center: destituciones en el PCLOB y procedimiento judicial](https://www.brennancenter.org/) - \[21\] [NOYB: posición de Max Schrems sobre el DPF](https://noyb.eu/en/privacy-shield-20-first-reaction-max-schrems) - \[22\] [Google: modelado de conversiones en GA4](https://support.google.com/analytics/answer/10710245?hl=es) ### 🏅 ¿Por qué confiar en nosotros en estos temas? - **[Didomi Gold Partner](https://edgeangel.co/es/data-foundations/didomi)**: EdgeAngel forma parte de las pocas agencias certificadas por Didomi, la CMP de referencia en Europa. Trabajamos con nuestros clientes en la implementación, la optimización y la gestión de las tasas de consentimiento. - **[Cookie Consent](https://edgeangel.co/es/solutions/cookie-consent)**: nuestra propia solución de gestión del consentimiento, diseñada para los anunciantes que buscan una alternativa ligera y que cumpla la normativa. - **+60 anunciantes acompañados** en temas de server-side, Consent Mode y cumplimiento normativo en analítica desde 2020. - [Más información sobre EdgeAngel →](https://edgeangel.co/es/a-propos/agence) ¿Necesitas ayuda con la privacidad y la analítica? Auditoría de cumplimiento normativo, despliegue server-side, estrategia de Consent Mode: ayudamos a los anunciantes a construir un sistema de medición que cumple la normativa y rinde. [Contacta con nosotros](https://edgeangel.co/es/contact) [Todos los recursos](https://edgeangel.co/es/notes) ### ¿Más notas como esta? Publicamos con regularidad en LinkedIn lo que aprendemos en los proyectos. El algoritmo no nos favorece, así que activa la campana para no perderte nada. [Seguir en LinkedIn](https://www.linkedin.com/company/edgeangel) ```json {"@context":"https://schema.org","@type":"Organization","name":"EdgeAngel","url":"https://edgeangel.co","logo":"https://edgeangel.co/assets/brand/edgeangel-logo.svg","sameAs":["https://www.linkedin.com/company/edgeangel"],"contactPoint":{"@type":"ContactPoint","email":"hello@edgeangel.co","telephone":"+33 1 84 16 42 20","contactType":"customer service"}} {"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://edgeangel.co/es"},{"@type":"ListItem","position":2,"name":"Recursos","item":"https://edgeangel.co/es/notes"},{"@type":"ListItem","position":3,"name":"RGPD & Privacy","item":"https://edgeangel.co/es/notes?category=rgpd-compliance"},{"@type":"ListItem","position":4,"name":"RGPD, CNIL y analítica: Consent Mode e IA | 2026","item":"https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil"}]} {"@context":"https://schema.org","@type":"Article","headline":"RGPD, CNIL y analítica: Consent Mode, IA, DPF | 2026","description":"RGPD, Consent Mode v2, DPF, AI Act: análisis factual del marco normativo aplicado a las herramientas de analítica y de publicidad. Guía para anunciantes.","image":"https://edgeangel.co/open-graph","author":{"@type":"Person","name":"Olivier Chubilleau"},"publisher":{"@type":"Organization","name":"EdgeAngel","logo":{"@type":"ImageObject","url":"https://edgeangel.co/assets/brand/edgeangel-logo.svg"}},"datePublished":"2022-06-20","dateModified":"2026-04-02","mainEntityOfPage":{"@type":"WebPage","@id":"https://edgeangel.co/es/notes/dossier-rgpd-google-analytics-cnil"}} ```