Reconocimiento de visitantes y RGPD: una valoración objetiva

Quien se informa sobre el reconocimiento de visitantes lee afirmaciones contradictorias. Unos proveedores dicen que siempre hace falta un consentimiento. Otros prometen que con su solución no hace falta nada. Ambas posturas son demasiado generales. Este artículo muestra los pasos de comprobación con los que puede preparar usted mismo la cuestión para su sitio web. Es una valoración, no asesoramiento jurídico. No sustituye la revisión por sus delegados de protección de datos o sus abogados.

Estado de las fuentes: 06.11.2026. Antes de decidir, compruebe el texto vigente.

Dos comprobaciones separadas

El reconocimiento de visitantes plantea dos cuestiones que a menudo se mezclan:

1. ¿Puede el script acceder al dispositivo del visitante? Lo regula en Alemania el § 25 TDDDG, en Austria el § 165 apdo. 3 TKG 2021. Ambas normas proceden de la Directiva ePrivacy. En principio solo se puede almacenar o leer con consentimiento, salvo que el acceso sea estrictamente necesario para que funcione un servicio expresamente solicitado.
2. ¿Puede realizarse el tratamiento de los datos? Lo responde el RGPD cuando se trata de datos personales. Necesita una base jurídica según el art. 6, apartado 1, por ejemplo consentimiento (letra a) o interés legítimo (letra f).

Ambas comprobaciones se aplican a la vez. Un interés legítimo según el RGPD no sustituye un consentimiento para el acceso al dispositivo. A la inversa, un consentimiento para el script no hace lícito automáticamente el tratamiento si va más allá de aquello para lo que se consintió.

Un script que no almacena ni lee nada en el dispositivo puede no afectar a la primera cuestión. Si esto es así depende de la técnica y se valora de forma distinta. Pregunte a su proveedor concretamente qué hace el script. Pida que se lo describan por escrito.

¿Es personal la dirección IP?

En pocas palabras: a menudo sí. El Tribunal de Justicia de la Unión Europea decidió en el asunto C-582/14 (Breyer) que también una dirección IP dinámica puede ser personal si el operador dispone de medios legales para llegar a la persona a través de terceros (por ejemplo, el proveedor de acceso). La cuestión depende, pues, del caso concreto. Las autoridades fijan el umbral más bien bajo. La versión detallada la encuentra en Dirección IP y RGPD: ¿es un dato personal?.

Para el reconocimiento de visitantes significa: cuente con que ya cuenta el momento en que la dirección llega al servidor, aunque después se descarte.

Empresa, persona, seudónimo

El reconocimiento de visitantes en el B2B afirma reconocer solo empresas y no personas. Es un buen planteamiento, pero no una licencia libre:

• El nivel de empresa ayuda. Si el resultado es el nombre de una empresa, al final no hay una persona individual. Eso reduce el riesgo, sobre todo en el análisis.
• Empresarios individuales, profesionales liberales y despachos pequeños son empresa y persona a la vez. Un resultado como „Schmidt Beratung“ puede referirse a una persona concreta.
• Teletrabajo. Quien navega desde casa mediante una VPN de empresa aparece como empresa, aunque detrás haya una persona determinada. Más al respecto en Teletrabajo, VPN y red móvil: a quién no ve usted.
• Vinculación. En cuanto busca un interlocutor para la empresa o combina el comportamiento con otros datos, puede surgir un carácter personal.
• La seudonimización es una medida de protección, no una salida. Los datos seudonimizados siguen siendo personales mientras la persona pueda determinarse con información adicional.

Quien usa vídeos del ratón o perfiles de comportamiento se acerca aún más a la persona. Sobre ello: Session replay y protección de datos: cómo usar bien los vídeos del ratón.

Roles y contratos

• Usted, como operador del sitio web, es por regla general responsable en el sentido del RGPD. Usted decide si se recogen los datos y para qué.
• El proveedor del reconocimiento de visitantes trata por regla general los datos por encargo suyo y es entonces encargado del tratamiento. Para ello necesita un contrato según el art. 28 del RGPD. Compruebe si el proveedor usa los datos también para fines propios, porque entonces cambia el papel.
• Los subencargados (alojamiento, bases de datos, proveedores de datos de empresas) deben estar enumerados y vinculados contractualmente. Pregunte por la ubicación del servidor y si los datos fluyen a terceros países.

Obligaciones de información

Los visitantes deben saber qué ocurre. La política de privacidad debería contener al menos:

• que se utiliza un reconocimiento de visitantes y para qué
• qué datos se tratan (por ejemplo, páginas consultadas, momentos, origen, duración de la visita)
• la base jurídica
• cuánto tiempo se almacenan los datos
• el destinatario o la categoría de destinatarios, es decir, su proveedor
• los derechos de los interesados: acceso, supresión, oposición, reclamación ante la autoridad de control

Una frase general sobre „analítica web“ no basta si detrás hay una asignación de empresa. Descríbala como punto propio.

Suiza

Suiza tiene con la Ley de protección de datos revisada (revDSG) normas propias, en vigor desde el 1 de septiembre de 2023. Están menos centradas en el consentimiento y más en la transparencia:

• Debe informar de forma adecuada a los interesados sobre la obtención y el tratamiento de sus datos personales.
• El tratamiento debe ser proporcionado y limitado a su finalidad.
• Quien se opone expresamente, solo puede ver tratados sus datos si existe un motivo justificativo.
• Para cookies y técnicas similares se suman obligaciones de información del derecho de telecomunicaciones.

Si su oferta se dirige también a visitantes de la UE, puede aplicarse además el RGPD.

Lista de comprobación para operadores

1. Describa por escrito qué datos recoge la solución, cuándo y dónde se almacenan.
2. Aclare si el script accede al dispositivo terminal. Decida entonces si obtiene un consentimiento para ello.
3. Elija una base jurídica para el tratamiento y documente la ponderación.
4. Firme un contrato de encargo de tratamiento y pida que le nombren los subencargados.
5. Revise la ubicación del servidor y las posibles transferencias a terceros países.
6. Complete la política de privacidad con un apartado propio.
7. Fije plazos de conservación y controle que se suprime.
8. Bloquee áreas sensibles como la caja, la cuenta y formularios con datos de salud.
9. Establezca una vía para tramitar solicitudes de acceso y supresión.
10. Decida si es necesaria una evaluación de impacto relativa a la protección de datos. Deje constancia del resultado.
11. Incluya el tratamiento en el registro de actividades de tratamiento.

Cómo plantear el proceso de selección lo muestra Comparar el reconocimiento de visitantes: 12 criterios para elegir.

Cuestiones abiertas para su asesoría jurídica

Algunos puntos no están definitivamente aclarados o dependen de su caso. Llévelos consigo:

• Para el acceso al dispositivo, ¿basta un consentimiento en la categoría „Estadística“ o hace falta un consentimiento propio?
• ¿Es sostenible el interés legítimo para una asignación de empresa? ¿Cómo resulta la ponderación en empresas pequeñas y empresarios individuales?
• ¿A partir de qué tamaño o forma jurídica un resultado es inequívocamente „no personal“?
• ¿Con qué precisión hay que informar a los visitantes sobre la asignación de empresa?
• ¿Cómo gestiona las oposiciones cuando la dirección IP no se almacena?

Solo hay respuesta en el caso concreto. Quien le promete de forma general que no queda ningún riesgo jurídico le vende una garantía que nadie puede dar.

Cómo puede gestionarlo un proveedor

Como ejemplo práctico: Whovisit descarta la dirección IP tras la consulta, almacena solo empresas e instituciones y no coloca ninguna cookie. Dónde están los datos y quién participa se indica en la página Principio de protección de datos. Cuánto tiempo se almacena cada cosa figura en la ayuda, en Conservación y supresión. Si esto es suficiente para su sitio web lo decide usted con su asesoría jurídica.

En resumen

Compruebe el reconocimiento de visitantes en dos pasos: acceso al dispositivo y tratamiento. El nivel de empresa reduce el riesgo, pero no lo elimina. Aclare roles y contratos, informe de forma independiente y suprima pronto. Y lleve las cuestiones abiertas a una conversación con alguien que conozca su negocio.