RGPD y SEO local: gestión de reseñas y tracking conformes con la protección de datos

Para el SEO local, el cumplimiento del RGPD no es un accesorio jurídico, sino un requisito técnico y de procesos. Quien solicita reseñas, crea citaciones y mide el comportamiento de los usuarios trata datos personales. En Austria se aplican el RGPD, la Ley de Telecomunicaciones (TKG 2021) y el marco del Derecho de la UE. Este artículo muestra cómo los negocios locales pueden configurar la gestión de reseñas, el consentimiento de cookies y el tracking conforme a la ley sin poner en riesgo su visibilidad.

Por qué el cumplimiento del RGPD es decisivo para el SEO local

El SEO local vive de los datos. Las reseñas son una señal de posicionamiento, el tracking aporta la base para las decisiones de optimización y las citaciones distribuyen los datos de la empresa por la web. Cada uno de estos elementos afecta al RGPD en cuanto se puede identificar a personas físicas.

La relevancia es grande y medible. En Austria, a principios de 2025, 8,69 millones de personas usaban internet, lo que equivale a una penetración del 95,3 % (datos de Austria). Con este alcance, la visibilidad digital es un canal de venta central para los negocios locales, y cualquier tratamiento de datos en ese canal está sujeto a la normativa de protección de datos.

Las reseñas son especialmente sensibles porque afectan a la vez a la confianza y al derecho. Según un estudio internacional, el 97 % de los consumidores lee reseñas online de negocios locales (datos principalmente de EE. UU. y Reino Unido, no específicos de la región DACH: Alemania, Austria y Suiza). Al mismo tiempo, muchos usuarios esperan una respuesta: según la misma encuesta internacional, el 89 % de los consumidores espera que las empresas respondan a las reseñas. Precisamente en esas respuestas acecha el riesgo para la protección de datos cuando se hacen públicos datos personales.

La tensión es real: protección de datos y visibilidad parecen tirar en direcciones opuestas. En realidad, se refuerzan mutuamente si se combinan bien. La obligación de aviso legal, por ejemplo, obliga a publicar datos correctos de la empresa y, con ello, refuerza a la vez la coherencia NAP y el E-E-A-T.

Bases jurídicas: visión general

Tres normativas definen el marco para los negocios locales en Austria.

• RGPD: El Reglamento General de Protección de Datos de la UE regula todo tratamiento de datos personales. Exige una base jurídica (art. 6), transparencia, limitación de la finalidad y el respeto de los derechos de los interesados, como el acceso y la supresión.
• TKG 2021 (§ 165 y § 174): La transposición austriaca de las disposiciones de ePrivacy regula el acceso a los equipos terminales. Las cookies y tecnologías similares que no sean técnicamente necesarias requieren un consentimiento previo. Esto equivale funcionalmente al § 25 de la TDDDG alemana (antes TTDSG). El § 174 de la TKG 2021 supedita además los correos publicitarios a un consentimiento previo. En caso de duda, las solicitudes de reseña por correo electrónico entran en ese supuesto.
• Directiva Ómnibus de la UE: La Directiva (UE) 2019/2161 refuerza la protección de los consumidores. Prohíbe publicar o encargar reseñas falsas y afirmar que las reseñas proceden de clientes reales sin haberlo comprobado adecuadamente. En Austria se ha transpuesto a través de la UWG, y ambas prohibiciones figuran en los puntos 23b y 23c del anexo de la UWG. Quien da acceso a reseñas, por ejemplo en su propia web, debe indicar además si comprueba su autenticidad y cómo lo hace (§ 2, apdo. 6b, de la UWG).

Para los negocios locales, esto implica un orden claro: primero aclarar la base jurídica y la transparencia, después implantar la tecnología. El tracking sin consentimiento es la infracción más frecuente y, a la vez, la más fácil de evitar.

Gestión de reseñas conforme al RGPD

Solicitar reseñas está permitido, pero sujeto a reglas. Lo decisivo es la base jurídica, el tratamiento de los datos de los autores de las reseñas y la separación clara entre incentivo y reseña.

• Solicitud de reseña por correo electrónico: Pedir una reseña busca impulsar las ventas, por lo que en caso de duda debe tratarse como publicidad directa. En Austria, por correo electrónico, por regla general solo está permitida con consentimiento previo según el § 174, apdo. 3, de la TKG 2021. Una relación comercial existente no basta por sí sola. La excepción del apdo. 4 solo se aplica si se cumplen las cuatro condiciones: la dirección procede de una compra o de un servicio, el correo promociona productos o servicios propios similares, el cliente pudo oponerse de forma gratuita y sencilla ya en el momento de la recogida y vuelve a tener esa posibilidad en cada correo, y no se ha opuesto, tampoco a través de la lista ECG prevista en el § 7, apdo. 2, de la E-Commerce-Gesetz. No está claro si una simple solicitud de reseña entra en esta excepción como publicidad de productos propios similares. La vía segura es un consentimiento que obtengas directamente en la compra.
• Sin incentivos no permitidos: Las reseñas pagadas o conseguidas con descuentos infringen las directrices de las plataformas y la normativa de competencia desleal. Según un estudio internacional, el 97 % de los consumidores considera adecuado sancionar a las empresas por reseñas falsas (datos de EE. UU.), y las ofertas de descuento a cambio de reseñas bajaron del 36 % en 2025 al 27 % (datos de EE. UU.).
• Tratamiento de los datos de los autores de reseñas: El nombre, el perfil y el contenido de una reseña son datos personales. Quien exporta reseñas, las guarda en sistemas CRM o las analiza con herramientas de monitorización necesita una base jurídica y, en su caso, un contrato de encargado del tratamiento con el proveedor de la herramienta.
• Derecho de supresión y reclamaciones: Los interesados pueden exigir la supresión de sus datos. En las reseñas publicadas en plataformas de terceros, esto suele gestionarse a través del operador de la plataforma; en el tratamiento interno, la empresa debe responder por sí misma.

Responder a reseñas sin infringir la protección de datos

La respuesta a una reseña es pública y, por tanto, delicada desde el punto de vista de la protección de datos. El error más frecuente es revelar en la réplica más de lo que el propio autor ha hecho público.

Lo seguro es confirmar solo lo que ya es público y, por lo demás, mantenerse en términos generales. Queda descartado mencionar públicamente otros detalles como el número de pedido, el tratamiento, el diagnóstico, el lugar de residencia o el hecho de que exista una relación contractual concreta, salvo que el cliente los haya mencionado él mismo. Especialmente delicadas son las categorías especiales de datos personales del art. 9 del RGPD, como los datos de salud en el caso de médicos, terapeutas o farmacias.

La regla práctica es: responder en público de forma objetiva y general, y trasladar los detalles a un canal privado. Una respuesta breve y profesional con la oferta de aclarar el caso directamente cumple las expectativas de quienes la leen y evita, al mismo tiempo, cualquier infracción de la protección de datos. También tiene sentido comercial, porque según un estudio internacional el 80 % de los consumidores elige con más probabilidad una empresa que responde a todas sus reseñas (datos de EE. UU.).

Consentimiento de cookies y plataformas de gestión del consentimiento

Las cookies de tracking y los scripts de analítica solo pueden cargarse tras un consentimiento activo. Para ello, el banner de consentimiento debe estar diseñado conforme a la ley, y la autoridad austriaca de protección de datos (DSB) y el Tribunal Administrativo Federal (BVwG) han endurecido los criterios.

• Botones equivalentes: Aceptar y rechazar deben estar igual de accesibles en la primera capa y ser visualmente equivalentes, es decir, comparables en tamaño, color, contraste y tipografía. Un botón de aceptar llamativo junto a un enlace gris para rechazar se considera nudging no permitido.
• Granularidad: Los usuarios deben poder gestionar por separado categorías como estadística y marketing. Una lógica global de todo o nada no es suficiente.
• Sin preselección: Las cookies no necesarias no pueden estar activadas de antemano. El silencio o seguir haciendo scroll no es consentimiento.
• Retirada y documentación: Retirar el consentimiento debe ser tan fácil como darlo. El consentimiento debe registrarse para poder acreditarlo.

Una plataforma de gestión del consentimiento (CMP) automatiza el bloqueo de scripts hasta que hay consentimiento y documenta la aceptación. Lo importante es que la CMP active realmente las etiquetas no necesarias solo después del consentimiento, y no se limite a mostrar el banner.

Configuración de tracking conforme a la protección de datos

En el tracking, la elección de la herramienta determina el riesgo. El uso de herramientas estadounidenses lleva años en discusión. La DSB austriaca determinó en una decisión publicada en enero de 2022 que el uso que entonces se hacía de Google Analytics en un sitio web austriaco vulneraba el RGPD, porque se transferían a EE. UU. datos personales como la dirección IP y los ID de usuario. El origen fue una reclamación de noyb de agosto de 2020, con la sentencia Schrems II del TJUE como trasfondo. Por tanto, la decisión se refería al periodo anterior al EU-US Data Privacy Framework. Hoy Google LLC está certificada conforme al DPF, así que la transferencia vuelve a tener base jurídica. Queda un riesgo residual; encontrarás más sobre esto en la sección sobre transferencias internacionales de datos.

De ahí se derivan varias opciones.

• Alternativas con sede en la UE: Herramientas como Matomo (self-hosted o en una nube de la UE) o etracker mantienen los datos en la UE y reducen notablemente el riesgo de transferencia. A menudo también ofrecen configuraciones sin cookies o que reducen la dependencia del consentimiento.
• Google Analytics 4 con Consent Mode: GA4 solo puede funcionar tras el consentimiento y con ajustes de minimización de datos. El Consent Mode controla si las etiquetas se activan por completo o solo de forma agregada. Aun así, el riesgo de transferencia transatlántica sigue siendo una cuestión abierta.
• Tracking del lado del servidor: El server-side tagging puede agrupar y filtrar flujos de datos, pero no sustituye al consentimiento. No cambia la base jurídica, solo la arquitectura técnica.

Transferencias internacionales de datos: Schrems II y el riesgo residual

Toda herramienta estadounidense plantea la cuestión de la transferencia a terceros países conforme al capítulo V del RGPD. Tras la sentencia Schrems II, el EU-US Data Privacy Framework (DPF), vigente desde 2023, ofrece una base jurídica siempre que el destinatario estadounidense esté certificado. Eso reduce el riesgo, pero no lo elimina.

El Tribunal General de la UE desestimó el 3 de septiembre de 2025 un recurso de anulación contra el DPF (asunto T-553/23, Latombe). El demandante interpuso recurso de casación ante el TJUE (asunto C-703/25 P). El procedimiento sigue pendiente allí (a octubre de 2026). Hasta que el TJUE decida, sigue siendo posible un Schrems III, es decir, la anulación del DPF. Mientras dure esta incertidumbre, para los negocios locales vale un principio pragmático: cuando una solución europea cumple la misma función, es la opción con menos riesgo. Quien usa herramientas estadounidenses debería comprobar la certificación DPF, acordar cláusulas contractuales tipo como respaldo y documentar los flujos de datos.

Cómo gestionar el Perfil de Empresa de Google cumpliendo la protección de datos

El Perfil de Empresa de Google (GBP) es el canal de visibilidad local más importante y, al mismo tiempo, un tratamiento de datos. Hay tres puntos relevantes.

• Aclarar los roles: En el mantenimiento básico del perfil, la empresa actúa en gran medida de forma autónoma. Sin embargo, en cuanto se usan parámetros de seguimiento o funciones de reservas o mensajes, hay que revisar los acuerdos correspondientes y, en su caso, un encargo del tratamiento.
• Revisar las cesiones de datos: Funciones como las reservas o la mensajería transfieren datos de clientes a Google y a terceros. Estos flujos deben figurar en la política de privacidad.
• Medir las interacciones del GBP: Si añades parámetros UTM al enlace web del perfil, mides los clics procedentes del GBP. Esta medición se produce en tu propia web y, por tanto, está sujeta a la obligación de consentimiento.

Buenas prácticas: checklist de cumplimiento para negocios locales

Una rutina sencilla y documentada cubre las obligaciones más importantes.

• Mantener actualizada la política de privacidad: Indicar todas las herramientas utilizadas para analítica, reseñas, mapas y reservas, con su finalidad, base jurídica y vínculo con terceros países.
• Firmar contratos de encargado del tratamiento: Con cada proveedor que trate datos personales por encargo, como la CMP, la herramienta de analítica o el servicio de monitorización de reseñas.
• Revisar el banner de consentimiento: Botones equivalentes, granularidad, sin preselección y bloqueo efectivo de scripts antes del consentimiento.
• Definir el flujo de reseñas: Quién pide reseñas y cuándo, con qué base jurídica, y quién las responde y con qué reglas.
• Mantener completo el aviso legal: Unos datos NAP correctos cumplen la obligación legal y, a la vez, refuerzan las señales locales y el E-E-A-T.
• Mantener la documentación: Tener a mano consentimientos, contratos y el registro de actividades de tratamiento como prueba.

Errores frecuentes

Los puntos débiles recurrentes se pueden evitar de forma específica.

• Tracking antes del consentimiento: Los scripts de analítica que se cargan en cuanto se abre la página son la infracción más frecuente. El banner por sí solo no basta; los scripts tienen que estar bloqueados de verdad.
• Datos personales en las respuestas a reseñas: Mencionar públicamente detalles del contrato, datos de salud o el lugar de residencia. Los detalles van al canal privado.
• Herramientas estadounidenses sin revisión: Integrarlas por defecto sin certificación DPF, sin cláusulas contractuales tipo y sin documentación.
• Falta de contratos de encargado del tratamiento: Usar servicios de monitorización y analítica sin base contractual.
• Reseñas compradas: Los incentivos o las reseñas falsas exponen a multas y a daños reputacionales.

Métricas y medición pese a las pérdidas por consentimiento

El tracking conforme a la protección de datos implica menos datos. Con un banner conforme a la ley, según un estudio de benchmark, se pierde de media alrededor del 60 % de los datos de visitas cuando se requiere consentimiento (datos de Alemania/UE). Esta brecha es sistemática, no aleatoria, y distorsiona las estadísticas. Quien lo ignora toma decisiones sobre una base sesgada.

Aun así, es posible hacer análisis fiables.

• Tendencias en lugar de valores absolutos: La evolución relativa a lo largo del tiempo sigue siendo significativa mientras las condiciones de medición se mantengan constantes.
• Tasa de consentimiento como indicador propio: Medir la propia tasa de aceptación para valorar la base de datos disponible y evaluar el rendimiento del banner.
• Usar señales del lado del servidor y sin cookies: La medición agregada y no personal aporta una perspectiva adicional que no requiere consentimiento.
• Incluir las estadísticas del GBP y los datos de las SERP: Las llamadas, las solicitudes de cómo llegar y los rankings son evidencias independientes que no se ven afectadas por la pérdida de consentimiento.

Riesgos de sanción y requerimientos

Las consecuencias de las infracciones son reales. El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial. El tracking sin consentimiento y los banners de consentimiento deficientes son con regularidad objeto de inspecciones y reclamaciones.

A esto se suma la normativa sobre competencia desleal. Las reseñas falsas y los incentivos no permitidos infringen la UWG, que en Austria transpone la Directiva Ómnibus. Estas infracciones pueden dar lugar a requerimientos y a multas. Para los negocios locales se acumulan así tres niveles de riesgo: multas del RGPD impuestas por la autoridad de control, requerimientos por competencia desleal y la pérdida de confianza de la clientela.

Más información

El SEO local conforme al RGPD no es un proyecto puntual, sino una rutina. Quien coloca el consentimiento por delante del tracking, solicita y responde reseñas correctamente, prefiere herramientas cercanas a la UE y lo documenta todo une seguridad jurídica y visibilidad. La política de privacidad, un banner de consentimiento revisado y un flujo de reseñas claro son la base sobre la que ampliar el alcance local con seguridad jurídica.