Cómo te vigilan (II): qué hacen Google y Meta con tus datos

Imagina que buscas unas zapatillas. Entras en una tienda online, miras tres pares y cierras la pestaña. Esa tarde, en otra web y en tu red social, te salen anuncios de esas mismas zapatillas. A veces esto ocurre porque la tienda ha activado herramientas de Google o de Meta que envían lo que hiciste a sus sistemas de anuncios.

En el post anterior vimos qué recogen Google Analytics y el Píxel de Meta, dos herramientas que usan muchísimas webs. Hoy: ¿qué hacen Google y Meta con esos datos?

Un aviso de método: cuando el texto dice «a nuestro juicio», es una interpretación propia, no una afirmación de Google, de Meta o de un texto legal — lo marcamos así cada vez para que distingas un hecho documentado de una lectura nuestra.

La respuesta corta: Google y Meta pueden usar lo que haces en una web para decidir qué anuncios te enseñan después, en otros sitios y apps — a veces solo si esa web lo activa. Hay formas de limitarlo: al final te las contamos.

Lo que dicen que hacen

Google dice que su papel básico es trabajar para la web: medir las visitas por encargo de la tienda y según los ajustes de su dueño. Pero si el dueño activa un ajuste de uso compartido de datos, Google «puede acceder y analizar los datos para comprender mejor el comportamiento y las tendencias en línea, y usarlos para mejorar los productos y servicios de Google», por ejemplo las herramientas de Google Ads, y, según su ayuda, Google actúa entonces como responsable del tratamiento independiente de esos datos (ayuda de Analytics). Su política de privacidad añade que, cuando visitas sitios o apps que usan sus servicios de anuncios o analítica, «esos servicios pueden vincular la información de tu actividad en ese sitio o app con la de otros sitios y apps que usan nuestros servicios».

Meta dice, en los términos que aceptan las webs, que puede usar esos datos para medir, para crear las audiencias que la web le pida y para personalizar los anuncios que enseña «dentro y fuera de nuestros productos». Puede combinarlos con otros datos y guardarlos hasta dos años. Y su política de privacidad dice que recibe esta información «tengas o no la sesión iniciada o una cuenta».

Meta afirma que no vende tu información a nadie. Google no dice que la venda y afirma que no comparte con anunciantes información que te identifique, como tu nombre o tu correo, salvo que se lo pidas.

A dónde van: a sus anuncios

Volvamos a las zapatillas. Según las ayudas de las propias empresas, esto puede pasar, siempre que la tienda lo active:

• Con Google, si la tienda vincula Analytics con su cuenta de Google Ads y activa la personalización, el grupo de «personas que vieron un producto y no lo compraron» pasa a Google Ads y sirve para mostrarles anuncios en el buscador, en webs y apps con anuncios de Google y en YouTube (ayuda y ejemplo de remarketing).
• Con Meta, la tienda puede crear grupos de personas con los eventos del Píxel y, si el grupo tiene al menos 100, pedirle a Meta que busque otras «personas parecidas» (documentación). A nuestro juicio, tu visita puede acabar siendo parte del punto de partida con el que Meta decide a quién enseñar anuncios después.

Es el negocio de las dos. Según sus informes anuales a la SEC (el regulador bursátil de EE. UU.), la publicidad aportó más del 70 % de los ingresos de Alphabet en 2025 y, con las cifras de su informe, un 97,6 % de los de Meta. Ninguno de los dos informes las atribuye a Analytics ni al Píxel: a nuestro juicio, explican el interés, no lo prueban.

¿Qué dice la ley?

En resumen, antes de entrar en detalle:

• En la UE y España, la web necesita tu permiso antes de guardar o leer información en tu dispositivo.
• Como «guardianes de acceso», Google y Meta tienen reglas propias —aparte de las que aplican a cualquier web—, aunque el texto no dice que Analytics o el Píxel estén entre los servicios sujetos a ellas.
• En EE. UU. no hay ley federal, pero varios estados —California entre ellos— sí tienen la suya.

La web necesita tu permiso

En la UE y en España, a fecha de octubre de 2026, la web necesita tu permiso antes de guardar o leer información en tu dispositivo, salvo que sea imprescindible para darte el servicio que pides. Lo exigen la directiva europea de privacidad electrónica y la ley española (la LSSI).

La AEPD, la agencia española de protección de datos, dice en su guía de 2024 (que incluye los llamados web beacons: imágenes invisibles que se descargan al visitar una web y permiten registrar la visita) que la analítica tampoco está exenta.

Recoge además la opinión del Grupo del Artículo 29 (el antecesor del actual comité europeo de protección de datos): es poco probable que la analítica propia de una web suponga un riesgo si solo usa cookies de primera parte y datos agregados con una finalidad estrictamente estadística, informa de su uso y permite negarse.

También dice que rechazar debe estar tan a la vista como aceptar.

A nuestro juicio, la ley no prohíbe usarlas; lo que exige, en general, es pedir permiso antes de guardar o leer información en tu dispositivo.

La web también responde

En 2019, a propósito del botón «Me gusta» de Facebook, el Tribunal de Justicia de la UE decidió (con la directiva anterior al RGPD) que la web que lo instala puede ser corresponsable de recoger y enviar esos datos, y debe pedirte el permiso; no de lo que Facebook haga después.

A nuestro juicio, el razonamiento se parece al del Píxel.

Google y Meta tienen reglas propias

Como «guardianes de acceso», el reglamento europeo de mercados digitales les prohíbe, en los servicios básicos de plataforma que la Comisión ha designado, tratar datos personales de quien usa servicios de terceros apoyados en ellos con el fin de prestar publicidad en línea, y combinarlos con los de sus otros servicios, salvo que le ofrezcan una opción específica y obtengan su consentimiento. Este texto no afirma que Google Analytics o el Píxel de Meta estén entre esos servicios.

En abril de 2025 la Comisión multó a Meta con 200 millones de euros porque, según la Comisión, su modelo de «consentir o pagar» no ofrecía una opción real con menos datos personales ni un consentimiento libre para combinar los datos. Meta recurrió la decisión.

En Estados Unidos

En EE. UU., que sepamos, a 20 de octubre de 2026 no hay una ley federal general de privacidad (hay proyectos en el Congreso); varios estados tienen la suya.

En California, si una web envía tus datos a un tercero para publicidad basada en lo que haces en otras webs, la ley lo llama «compartir», aunque nadie pague, y las empresas que superan ciertos umbrales deben ofrecerte un enlace o una señal del navegador para decir que no. Te toca a ti decir que no. La excepción son los menores de 16 años cuando la empresa sabe su edad (o la ignora deliberadamente): ahí hace falta autorización previa (del propio menor entre 13 y 15 años, de sus padres por debajo de 13).

Lo que puedes hacer

• En el aviso de cookies, rechaza lo que no necesites.
• Si tienes cuenta de Meta, usa «Actividad fuera de Meta» (no disponible en todas las regiones). Te deja «desconectar» esa actividad de tu cuenta, aunque su ayuda no dice que se borre lo que ya recibió.
• En Ajustes de anuncios de Google puedes ver y apagar la personalización de anuncios asociada a tu cuenta.
• Pide que dejen de usar tus datos para mercadotecnia directa: en la UE puedes oponerte en cualquier momento, según el artículo 21 del RGPD (a nuestro juicio, la publicidad personalizada de una plataforma encaja ahí). Si no te atienden, reclama ante la AEPD, si vives en España, o ante la autoridad de tu país.
• Si estás en EE. UU., activa en tu navegador la señal Global Privacy Control y usa, cuando exista, el enlace «No vender ni compartir mi información personal».

Lo que te llevas

Según sus documentos, Google y Meta pueden usar lo que haces en una web para sus anuncios (Google, en varios casos solo si la web lo activa) y, según la directiva europea de privacidad electrónica, la web necesita en general tu permiso previo para guardar o leer información en tu dispositivo. Así que, si tras mirar unas zapatillas te siguen sus anuncios, ahora sabes por qué camino puede haber ido. En la próxima pieza contamos lo que hacemos nosotros en su lugar.

Una aclaración que nos incumbe: Xiringase usa Meta Business Suite, la herramienta de Meta para programar publicaciones en redes sociales. No es lo mismo que montar sobre nuestros visitantes las herramientas que hemos descrito, pero estamos dentro de ese ecosistema, y preferimos decirlo. A 20 de octubre de 2026, en el código inicial de las portadas de las siete webs con analítica de Xiringase (xiringase.com, tever.es, labs.tever.es, emtifervienza.com, lavieya.com, tienda.lavieya.com y asturianu.org) no aparecen ni Google Analytics ni el Píxel de Meta (no hemos revisado el resto de páginas).

Fuentes (17)

Consultadas el 2026-10-14; las que sostienen citas literales, cotejadas de nuevo el 2026-10-20.

Google:

• Google. «Safeguarding your data». Ayuda de Analytics (ajustes de uso compartido de datos, Google signals, funciones de publicidad, vinculación con Google Ads, audiencias y su uso en otros productos, conversiones).
• Google. «Política de privacidad» (vigente desde el 16 de octubre de 2026).
• Alphabet. «Annual report (Form 10-K) 2025».

Meta:

• Meta. «Business Tools Terms» (vigentes desde el 2025-11-03).
• Meta. «Política de privacidad» (vigente desde el 2026-07-23).
• Meta. «Actividad fuera de Meta».
• Meta for Developers. «Custom Audiences, Lookalike Audiences y API de Conversiones».
• Meta. «Annual report (Form 10-K) 2025».

Ley (UE y España):

• «Directiva 2002/58/CE, art. 5(3)».
• «LSSI, art. 22.2».
• AEPD. «Guía de cookies» (mayo de 2024).
• «RGPD, arts. 15, 17, 21 y 77».
• «DMA, art. 5(2)».
• Comisión Europea. «Nota IP/25/1085» (2025-04-23).
• TJUE. «C-40/17 Fashion ID» (2019).

Ley (EE. UU.):

• «Código Civil de California § 1798.140, § 1798.120 y § 1798.135».
• Fiscalía de California. «Preguntas frecuentes sobre GPC».