# Fingerprinting del navegador: protección de datos sin cookies > El fingerprinting del navegador explicado: cómo funciona, por qué el § 25 TDDDG y el § 165 TKG pueden aplicarse sin cookies y dónde está el límite con el servidor. Quelle: https://whovisit.app/es/blog/fingerprinting-navegador-proteccion-datos Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) "No usamos cookies" suena a salvoconducto. Solo vale si tampoco se almacena ni se lee nada más en el dispositivo. El fingerprinting del navegador es la técnica más conocida que funciona sin cookies y aun así permite reconocer a los visitantes. Este artículo explica cómo funciona, cómo la clasifica el derecho y en qué se diferencia de una consulta en el servidor. ## Qué es el fingerprinting En el fingerprinting, un script combina muchas características de un dispositivo en un patrón que rara vez se repite. Elementos típicos son la versión del navegador, el sistema operativo, la resolución de pantalla, la zona horaria, los ajustes de idioma, las fuentes instaladas y particularidades de la salida gráfica. El patrón actúa como un documento de identidad que el visitante nunca ha expedido. No se puede borrar sin más como una cookie, porque no está almacenado en ninguna parte. Surge de nuevo en cada visita a partir de las mismas características. Conviene distinguir dos tipos: - **Activo.** Un script en el navegador consulta propiedades de forma dirigida, por ejemplo mediante interfaces de programación de pantalla, fuentes o gráficos. - **Pasivo.** El servidor evalúa solo lo que el navegador envía de todos modos en cada carga de página, por ejemplo el tipo de navegador en la cabecera de la solicitud y la dirección IP. ## Por qué el § 25 TDDDG puede aplicarse también sin cookies La regla alemana no se aplica solo al almacenamiento, sino también al "acceso a información ya almacenada en el equipo terminal". El texto lo encuentra en [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html). Quien lee características del dispositivo mediante un script accede a esa información. Es la razón por la que la regla se explica en detalle en [§ 25 TDDDG: cookies y seguimiento en Alemania](https://whovisit.app/blog/tdddg-paragraf-25-cookies). La Conferencia de Protección de Datos ha desarrollado al respecto una línea en su [Orientierungshilfe para telemedios](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html). Según ella, un acceso presupone una transmisión dirigida de la información del navegador que no sea provocada únicamente por el usuario final. El fingerprinting activo cae, por tanto, bajo la obligación de consentimiento, la mera evaluación pasiva de lo que se envía de todos modos, según esta lectura, no. Es la opinión de las autoridades de control; en la doctrina jurídica la cuestión no se responde igual en todas partes. A nivel europeo la línea llega más lejos. El Comité Europeo de Protección de Datos ha establecido en sus [Directrices 2/2023](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) sobre el ámbito de aplicación del art. 5, apartado 3 de la Directiva ePrivacy que el fingerprinting entra en su ámbito. También la recogida de información a través de cabeceras de la solicitud o mecanismos de caché puede formar parte si se utiliza para fingerprinting o seguimiento (apartado 43). ## Austria y Suiza **Austria.** El § 165 apdo. 3 TKG 2021 exige un consentimiento para la obtención de datos, con excepciones para lo técnicamente necesario. La Autoridad de Protección de Datos lee la norma de forma amplia. Cómo está estructurada lo explica [Cookies en Austria: el § 165 TKG 2021 explicado](https://whovisit.app/blog/cookies-oesterreich-tkg-165). **Suiza.** El Encargado Federal de Protección de Datos y de Transparencia menciona expresamente en su guía sobre cookies el fingerprinting del navegador como ejemplo de "tecnologías similares" en las que no se almacena nada en el dispositivo. Para ellas se aplican los mismos requisitos de información y posibilidad de rechazo que para las cookies. Más al respecto en [Seguimiento de sitios web en Suiza: revDSG y FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## ¿Y el RGPD? Además se aplica el RGPD en cuanto a partir de la huella se puede identificar a una persona. En un patrón destinado a reconocer a los visitantes a lo largo de varias visitas, suele ser el caso. La huella es entonces un identificador en línea en el sentido del art. 4, n.º 1 del RGPD. Quien lo usa con fines de seguimiento o publicidad necesita una base jurídica, en la práctica normalmente el consentimiento. Cuándo sostiene en su lugar el interés legítimo lo muestra [Interés legítimo según el RGPD: los 3 pasos de la ponderación](https://whovisit.app/blog/berechtigtes-interesse-dsgvo). ## Delimitación: la consulta del titular de red en el servidor Un reconocimiento de empresas a través del titular de red de la dirección IP funciona de otro modo. No lee propiedades del dispositivo y no genera un identificador que permita volver a encontrar a un visitante más tarde. El servidor consulta en el registro público de redes a quién pertenece la red. Después se descarta la dirección IP. Cómo ocurre técnicamente lo describe [¿Cómo funciona el reconocimiento de empresas? La técnica en 6 pasos](https://whovisit.app/blog/firmenerkennung-website-technik). Que por ello quede con seguridad fuera del § 25 TDDDG no es, sin embargo, una evidencia. El Comité Europeo de Protección de Datos establece en las directrices citadas (apartados 54 y 55) que el art. 5, apartado 3 puede aplicarse también en el seguimiento basado únicamente en la dirección IP, siempre que proceda del dispositivo terminal del usuario. Se refiere al seguimiento de la navegación. Que una aplicación afecte al artículo no significa, según el Comité, que siempre haga falta un consentimiento, las excepciones deben examinarse una por una. Por precaución, algunos proveedores, también Whovisit, cargan el script solo después del consentimiento a una categoría de estadística. ## Lista de comprobación para su sitio web 1. Enumere qué scripts leen propiedades del dispositivo. Eso incluye herramientas de análisis, de protección contra el fraude y de publicidad. 2. Pregunte a cada proveedor si utiliza fingerprinting y con qué fin. 3. Compruebe si el fin es "estrictamente necesario" en el sentido de la excepción. La prevención del fraude se argumenta a veces así, pero debe interpretarse de forma estricta y aclararse con su asesoría de protección de datos. 4. Cargue todo lo que no sea necesario solo tras el consentimiento. 5. Describa la técnica de forma comprensible en la política de privacidad. "No usamos cookies" no basta para ello. ## Preguntas frecuentes **¿Está prohibido el fingerprinting?** No. Pero por regla general necesita un consentimiento cuando se trata de seguimiento o publicidad. Para la prevención del fraude y la seguridad se defiende a veces una excepción, que se interpreta de forma estricta. **¿Basta "Do Not Track" o un bloqueador de anuncios como protección para los visitantes?** Protege a la persona, pero no sustituye sus obligaciones. El responsable sigue siendo el operador del sitio web. **¿Entra la evaluación del user agent en el § 25?** Según la línea de la Conferencia de Protección de Datos, no, si el servidor solo aprovecha lo que el navegador envía de todos modos. Si el valor se compone para fingerprinting o seguimiento, la valoración puede ser distinta, como muestran las directrices del Comité Europeo de Protección de Datos.