Analítica sin cookies: opciones, contrapartidas y consentimiento

La analítica sin cookies mide el tráfico de un sitio web sin cookies y recurre en su lugar a los logs del servidor, a recuentos de páginas vistas sin identificadores, a hashes de corta duración o a pings agregados. Suele recopilar menos datos personales y, en algunos países, puede acogerse a exenciones de consentimiento limitadas. Pero no está exenta de consentimiento por defecto: la Directiva ePrivacy abarca el almacenamiento de cualquier información en un dispositivo y el acceso a ella, lo que incluye el almacenamiento local y el fingerprinting.

¿Qué es la analítica sin cookies?

Es cualquier método de medición que no depende de una cookie persistente para reconocer un navegador entre visitas. Lo que sustituye a la cookie varía mucho, desde nada en absoluto hasta un hash de corta duración u otro mecanismo de almacenamiento, y esa elección determina tanto la calidad de los datos como la situación jurídica.

La analítica clásica instala una cookie propia con un ID de cliente aleatorio que dura meses; consulta tipos de cookies. Ese ID enlaza las páginas vistas en sesiones, las sesiones en usuarios recurrentes y los usuarios en campañas. Si lo eliminas, pierdes el vínculo entre visitas. “Sin cookies” describe una técnica, no un nivel de cumplimiento.

¿Cuáles son las principales opciones de analítica sin cookies?

Hay seis enfoques habituales, con perfiles de privacidad y precisión muy distintos.

Enfoque	Cómo se reconoce a los visitantes	Qué obtienes	Principal inconveniente
Análisis de logs del servidor o de la CDN	No se reconocen, o se reconocen por la dirección IP y el user agent de los logs	Solicitudes, páginas, sitios de referencia, errores; sin script en el cliente	No ve las páginas en caché ni los eventos del lado del cliente; cuesta más filtrar los bots
Recuento agregado de páginas vistas	No se reconocen	Páginas vistas, sitios de referencia, campañas, tipo de dispositivo	Sin visitantes únicos, sesiones ni embudos entre visitas
Hash rotativo diario	Hash de la IP, el user agent y un salt que se sustituye a diario	Visitantes únicos y sesiones diarios aproximados	Sin visitantes recurrentes entre días; sigue siendo un dato personal
ID en el almacenamiento del navegador	ID guardado en el almacenamiento local o en IndexedDB	Un nivel de detalle cercano al de las cookies	No es “sin cookies” en términos jurídicos; mismas normas de consentimiento que las cookies
Fingerprinting	Combinación de características del dispositivo y del navegador	Reconocimiento sin almacenar nada	Necesita consentimiento; difícil de ver o controlar para las personas
Pings sin cookies (modo de consentimiento avanzado de Google)	Sin cookies mientras el consentimiento está denegado	Conversiones y tendencias modeladas	Situación jurídica debatida; el modelado se hace en el lado del proveedor

Sobre la última fila: en la configuración del modo de consentimiento avanzado de Google, las etiquetas envían pings sin cookies cuando se deniega el consentimiento, y Google usa el modelado para cubrir los huecos. Si eso es aceptable sin consentimiento es objeto de debate; consulta modo de consentimiento básico frente a avanzado.

¿Necesita consentimiento la analítica sin cookies?

A veces, y prescindir de las cookies no zanja la cuestión. El artículo 5, apartado 3, de la Directiva ePrivacy abarca tanto el almacenamiento de información en un dispositivo como el acceso a información ya almacenada en él, sea cual sea la tecnología. Se requiere consentimiento salvo que el almacenamiento o el acceso sean estrictamente necesarios para un servicio que el usuario haya solicitado expresamente, y la analítica rara vez supera esa prueba por sí sola.

En la práctica:

• El almacenamiento del navegador necesita consentimiento, como una cookie. Un ID en localStorage, sessionStorage o IndexedDB se almacena en el dispositivo.
• El fingerprinting necesita consentimiento. Leer el tamaño de pantalla, las fuentes instaladas, el renderizado de canvas y características similares para reconocer un dispositivo es acceder a información en él, aunque no se almacene nada.
• Los scripts no quedan automáticamente fuera del ámbito de aplicación. Un script de medición indica al navegador que lea y envíe información. Los reguladores europeos han interpretado “obtener acceso” de forma amplia, así que no des por hecho que una herramienta está exenta solo porque no instala nada.
• Los datos personales son una cuestión aparte. En el asunto Planet49, el TJUE declaró que el artículo 5, apartado 3, se aplica tanto si la información es un dato personal como si no. Si los datos se refieren a personas identificables, se aplica además el RGPD y necesitas una base jurídica conforme al artículo 6. Algunos equipos se plantean el interés legítimo para una analítica mínima cuando no se aplica ninguna norma de consentimiento.

Existen excepciones nacionales limitadas. La CNIL francesa ha descrito las condiciones en las que algunas herramientas de medición de audiencias pueden funcionar sin consentimiento, y una ley británica aprobada en 2025 creó una excepción para cierto almacenamiento con fines analíticos, sujeta a condiciones; consulta RGPD del Reino Unido y PECR. Estas normas son específicas y siguen evolucionando, así que revisa las directrices vigentes de tu regulador, como la ICO en el Reino Unido, antes de eliminar el consentimiento para la analítica.

¿Cómo implemento una medición sin cookies de bajo riesgo?

Cuenta páginas, no personas. Una baliza mínima de páginas vistas no necesita cookies, almacenamiento ni identificadores:

// Página vista agregada: sin cookies, sin almacenamiento, sin identificadores.
const referrer = document.referrer ? new URL(document.referrer).hostname : null;

navigator.sendBeacon(
  'https://analytics.example.com/collect',
  JSON.stringify({ path: location.pathname, referrer }), // solo la ruta, sin query string
);

Si necesitas una cifra aproximada de visitantes únicos diarios, una técnica habitual es aplicar un hash a la dirección IP y al user agent con un salt aleatorio que se sustituye cada día y nunca se guarda. Una vez desaparecido el salt anterior, nadie puede volver a calcular las claves de ayer ni vincularlas con las de hoy.

import { createHash, randomBytes } from 'node:crypto';

let salt = randomBytes(32);
let saltDay = new Date().toISOString().slice(0, 10);

export function dailyVisitorKey(ip: string, userAgent: string, site: string): string {
  const today = new Date().toISOString().slice(0, 10);
  if (today !== saltDay) {
    salt = randomBytes(32); // el salt anterior se descarta y nunca se guarda
    saltDay = today;
  }
  return createHash('sha256').update(salt).update(`${site}|${ip}|${userAgent}`).digest('hex');
}

En producción, comparte el salt entre servidores mediante una caché que lo haga caducar a diario, nunca a través de una base de datos o una copia de seguridad. Mientras el salt existe, la clave es un dato personal seudonimizado según el RGPD, no un dato anónimo, y los reguladores discrepan sobre si reconocer a los visitantes por su dirección IP y su user agent equivale a acceder al dispositivo.

Una configuración de bajo riesgo suele cumplir estos requisitos:

1. Sin cookies, sin almacenamiento en el navegador y sin técnicas de fingerprinting.
2. Query strings y fragmentos de URL descartados antes de almacenar.
3. Direcciones IP sin procesar descartadas tras derivar un país aproximado, si es que lo necesitas.
4. Salts rotados y descartados a diario, sin registrar nunca los datos de entrada sin procesar.
5. Solo informes agregados, sin seguimiento entre sitios ni reutilización con fines publicitarios.
6. Conservación breve de los eventos sin procesar y una descripción clara en tu aviso de privacidad.

¿A qué renuncias con la analítica sin cookies?

Sobre todo, a la continuidad entre visitas. El recuento de visitantes únicos pasa a ser una estimación, y un hash diario cuenta a un visitante recurrente como nuevo cada día. Los embudos de varios días, la retención por cohortes y las ventanas de atribución largas desaparecen en gran medida, y el seguimiento de conversiones publicitarias a nivel individual suele seguir necesitando consentimiento.

Cuenta con que tus cifras difieran de las de tu herramienta anterior y anota la fecha del cambio en tus informes. Para muchos sitios de contenidos y de marketing, las tendencias agregadas bastan. Cuando necesitas más, un patrón habitual es el recuento sin cookies para todos, cuando sea lícito, más una analítica completa para los visitantes que la aceptan, en conjuntos de datos separados.

En resumen

La analítica sin cookies es una opción por defecto sólida para una medición respetuosa con la privacidad, pero trátala como “menos datos”, no como “sin reglas”. Elige el enfoque que responda a tus preguntas reales, evita almacenar o leer identificadores en el dispositivo sin consentimiento y revisa primero las directrices nacionales. Herramientas como Cookiesh pueden cubrir los casos en los que el consentimiento sigue siendo necesario, manteniendo bloqueados los scripts de la categoría de analítica hasta que los visitantes los acepten, con banners segmentados geográficamente por región.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.