Google Analytics 4 es la herramienta de medición que usan la mayoría de los despachos de abogados para saber de dónde llegan sus leads, pero su legalidad en la Unión Europea depende de un acuerdo internacional que en 2026 ha quedado en el aire. Un fallo del Tribunal Supremo de Estados Unidos ha reabierto una discusión que parecía cerrada desde 2023, y la organización que ya tumbó dos veces el marco anterior ha pedido a Bruselas que lo retire. Esto es lo que cambia para tu despacho y qué alternativas existen si el marco cae.
Sí: Google Analytics 4 es legal en la UE desde julio de 2023 gracias al Data Privacy Framework, pero una sentencia del Tribunal Supremo de EEUU de junio de 2026 ha debilitado su base legal y la organización noyb ya ha pedido a Bruselas que lo suspenda.
El Data Privacy Framework sostiene hoy Google Analytics
Desde el 10 de julio de 2023 existe una decisión de adecuación de la Comisión Europea que autoriza el envío de datos personales a empresas estadounidenses adheridas al Data Privacy Framework, sin cláusulas contractuales tipo ni un análisis de riesgo por cada transferencia. Google LLC figura entre las empresas certificadas en el registro oficial, así que Google Analytics 4 opera hoy dentro de ese paraguas legal. La decisión llegó después de que la anterior, el Privacy Shield, cayera en 2020 por la sentencia Schrems II del Tribunal de Justicia de la UE, que consideró insuficientes las garantías frente a la vigilancia masiva estadounidense. El nuevo marco añadió una vía de reclamación pensada para equivaler a un juez independiente. Es precisamente esa independencia la que ahora se cuestiona.
La normativa que regía antes de 2023
Entre 2020 y 2023, sin marco de adecuación, exportar datos de Google Analytics a EEUU dependía de cláusulas contractuales tipo y medidas suplementarias que cada responsable debía justificar caso por caso. Varias autoridades de protección de datos, entre ellas la austriaca y la francesa, resolvieron en 2022 que ese uso incumplía el RGPD porque las garantías adicionales no bastaban frente al acceso de las agencias de inteligencia estadounidenses. La Agencia Española de Protección de Datos no llegó a emitir una resolución equivalente, pero la inseguridad jurídica golpeó por igual a cualquier despacho con Google Analytics instalado. El Data Privacy Framework nació para cerrar exactamente esa brecha.
Un fallo del Tribunal Supremo de EEUU abre una grieta
El 29 de junio de 2026, el Tribunal Supremo de Estados Unidos falló en el caso Trump contra Slaughter que el presidente puede destituir a los comisionados de la Federal Trade Commission sin causa justificada, por seis votos contra tres. La sentencia declara superada la doctrina que blindaba a esa agencia frente a la Casa Blanca para garantizar su independencia, vigente desde 1935. El problema para el Data Privacy Framework es que su propia decisión de adecuación cita la independencia de la FTC como garantía de que la supervisión estadounidense equivale a la europea. Si esa independencia deja de existir en la práctica, el argumento que sostiene el marco pierde su base.
La carta de noyb exige una retirada ordenada
En su carta del 30 de junio de 2026, noyb, la organización de Max Schrems que ya tumbó el Safe Harbor en 2015 y el Privacy Shield en 2020, pide a la Comisión Europea que inicie una retirada ordenada del Data Privacy Framework en lugar de esperar a que lo anule un tribunal. El escrito señala que la decisión de adecuación de 2023 menciona la independencia de la FTC 259 veces como garantía de equivalencia. noyb ya ha anunciado que llevará el marco ante el Tribunal de Justicia de la UE, en lo que varios despachos especializados llaman ya Schrems III, aunque el recurso formal todavía no se ha presentado.
Seguir con Google Analytics implica un riesgo calculable
Hoy, usar Google Analytics en la web de tu despacho sigue siendo legal: el Data Privacy Framework no ha sido suspendido ni anulado, y la Comisión Europea no ha abierto un procedimiento de revisión extraordinaria. Lo que ha cambiado es el horizonte de riesgo, no la legalidad presente. Varios despachos de protección de datos calculan que el Tribunal de Justicia de la UE podría pronunciarse a finales de 2026 o principios de 2027, si sigue el mismo patrón que en Schrems I y Schrems II, ambas resueltas en contra del marco vigente en ese momento.
Eso deja una ventana razonable para prepararse sin urgencia de pánico. La medida más útil no es abandonar Google Analytics mañana, sino documentar la base legal de su uso, revisar que el consentimiento previo a las cookies de medición esté bien configurado, algo que ya condiciona cuántos leads registra tu Consent Mode v2, y tener identificada una alternativa antes de que una eventual sentencia obligue a migrar con prisas.
Alternativas a Google Analytics sin depender de EEUU
Si el marco cae, la migración no tiene que ser improvisada. Las alternativas con sede o alojamiento en la Unión Europea evitan por diseño la dependencia de un acuerdo internacional que puede volver a cambiar, aunque ninguna iguala todavía la cuota de mercado ni la integración de Google Analytics con Google Ads y Search Console.
| Herramienta | Dónde se alojan los datos | Depende del Data Privacy Framework | Consentimiento previo | Coste orientativo |
|---|---|---|---|---|
| Google Analytics 4 | Servidores de Google en EEUU | Sí | Sí, salvo configuración mínima | Gratis hasta 10 millones de eventos al mes |
| Matomo autoalojado | El servidor que elija el despacho | No | Depende de la configuración; con IP anonimizada puede acogerse a exenciones | Coste del hosting, sin licencia |
| Matomo Cloud | Alemania | No | Igual que la versión autoalojada | Desde unos 19 € al mes |
| Plausible Analytics | Alemania y Finlandia | No | No usa cookies de medición | Desde unos 9 € al mes |
| Fathom Analytics | Fráncfort, con aislamiento UE activable | No | No usa cookies de medición | Desde unos 15 $ al mes |
Ninguna de estas herramientas sustituye sin más a Google Analytics: cambiar de proveedor corta el histórico de comparativas interanuales, que es justo lo que se pierde si no se planifica con tiempo la exportación de los datos actuales, por ejemplo hacia BigQuery, como ya vimos al calcular cuánto cuesta exportar GA4 a BigQuery en un despacho. Migrar la herramienta de medición y conservar el histórico son dos decisiones distintas, y conviene tomarlas por separado.
Pasos para proteger tu analítica mientras dura la duda
Mientras se resuelve la incertidumbre, hay margen para actuar sin desmontar nada. El orden que más protege a un despacho pequeño es este:
- Revisar que la política de privacidad mencione expresamente la transferencia de datos a EEUU y su base legal actual.
- Comprobar que el banner de cookies bloquea Google Analytics hasta que haya consentimiento, no solo lo declara en el texto legal.
- Anonimizar la IP y reducir el periodo de retención de datos a lo estrictamente necesario para el análisis del despacho.
- Tener una cuenta de prueba en una alternativa europea, aunque no se use todavía, para no partir de cero si hay que migrar deprisa.
Ninguno de estos pasos exige presupuesto adicional relevante, y todos siguen siendo obligatorios exista o no una sentencia que anule el marco: son las mismas condiciones del RGPD para cualquier herramienta de medición, europea o estadounidense.
Preguntas frecuentes sobre la legalidad de tu analítica
¿Debo dejar de usar Google Analytics ahora mismo?
No. El Data Privacy Framework sigue vigente y Google Analytics 4 continúa siendo legal en la UE. Lo prudente es preparar una alternativa y reforzar el consentimiento de cookies, no desinstalarlo de un día para otro sin necesidad.
¿Qué pasa si el Tribunal de la UE anula el marco?
Si el Tribunal de Justicia de la UE anula la decisión de adecuación, como hizo con el Privacy Shield en 2020, las empresas tendrían que volver a cláusulas contractuales tipo con medidas adicionales o cambiar de herramienta, con un plazo de adaptación fijado en la propia sentencia.
¿Matomo o Plausible cumplen mejor el RGPD que Google Analytics?
Alojar los datos en la UE elimina la dependencia del Data Privacy Framework, pero no exime de las demás obligaciones del RGPD: informar al usuario, anonimizar la IP y, si se usan cookies, pedir consentimiento previo salvo que se acojan a una exención expresa.
¿Necesito consentimiento aunque el marco sea válido?
Sí. El Data Privacy Framework resuelve la transferencia internacional de datos, no la necesidad de consentimiento para instalar cookies de medición. Ambas obligaciones son independientes y hay que cumplir las dos a la vez, tenga o no validez el acuerdo con EEUU.
Fuente: noyb