Analítica de farmacia online: qué medir y qué no (432 portadas)

Respuesta corta: mide cuatro pasos de la compra y Search Console, pide permiso antes de la analítica y deja los datos de salud fuera

Una tienda online de farmacia necesita medir poco y medirlo bien: la vista de producto, el añadido al carrito, el inicio del pago y la compra, más lo que cuenta Search Console sobre cómo te encuentran en Google. Con eso sabes en qué paso se pierde el cliente. A Google y a Meta no debe llegar nada que revele qué medicamento pidió una persona: es dato de salud.

La parte legal cabe en tres frases. Las etiquetas de analítica, publicidad y remarketing necesitan consentimiento previo según el artículo 22.2 de la LSSI, y la guía de la AEPD de mayo de 2024 no incluye las cookies de análisis entre las exentas. La guía de la AEPD de enero de 2024 abre una puerta estrecha: una medición propia, anónima y sin terceros puede quedar exenta si cumple unas condiciones literales; en nuestra lectura de los textos, Google Analytics 4 con su configuración por defecto incumple al menos una, la duración de la cookie. Y los datos de salud tienen una prohibición general en el artículo 9 del RGPD.

Para saber cómo está el sector, en MTRYX abrimos las portadas de las 432 tiendas online con carrito del registro DISTAFARMA/AEMPS: 271 llevan alguna etiqueta de medición o de publicidad y 161 no cargan ninguna en el código de la portada; en 209 de las 271 el HTML no retiene la etiqueta ni declara el consentimiento denegado por defecto; y 44 comparten el mismo contenedor de Google Tag Manager, lo que apunta a un proveedor o una agencia y no a la farmacia.

Qué hay en 432 portadas: lectura de la portada, no del sitio entero

Fuente propia: el listado del registro DISTAFARMA (AEMPS) del 31 de octubre de 2026, con sus 432 tiendas con carrito, y sus portadas descargadas el 1 de noviembre de 2026. Con un script contamos qué etiquetas y señales de consentimiento hay en el HTML de cada portada. Tres límites: es la portada (una etiqueta que solo cargue en el carrito, o que un gestor de cookies inyecte al ejecutarse el navegador, no la vemos); lo que hay dentro de un contenedor de Tag Manager es invisible; y no es prueba de incumplimiento de nadie ni nombramos tiendas ni dominios.

Una de cada dos tiendas (51,9 %) lleva GA4 o Tag Manager; la publicidad es la excepción. Solo 87 dejan en la portada la verificación de Search Console, pero esa herramienta también se verifica por DNS o por archivo: que no la veamos no significa que no la tengan.

Tres cosas que nos llamaron la atención

1. Casi cuatro de cada diez no enseñan ninguna etiqueta, y otras tienen una que ya no mide. Son 161 tiendas sin etiqueta; pueden medir con el panel de su plataforma o con los registros del servidor, así que decimos que no se ve, no que no midan. Además, 36 llevan como única etiqueta de analítica de Google un identificador UA-. Google dejó de procesar datos en las propiedades estándar de Universal Analytics el 1 de julio de 2023 («las propiedades de Universal Analytics estándar dejaron de procesar hits», dice su ayuda, leída el 8 de noviembre de 2026). De esas 36, 22 cargan la librería antigua (analytics.js), que no puede enviar datos a GA4: no miden. Otras 13 usan gtag.js y podrían estar reconectadas a GA4 desde el panel de Google sin que se vea en la portada. Cifra prudente: 183 de 432 (el 42,4 %) no cargan en el código de la portada ninguna etiqueta de analítica que funcione hoy (161 sin etiqueta y 22 con solo la librería antigua). Matiz que conviene saber: en 26 de esas 161 hay un identificador de Google guardado en la configuración de la web sin un cargador visible, y no sabemos si lo activa algo que no vemos; descontándolas, el suelo seguro es de 157 (el 36,3 %).

2. Hay un contenedor que no parece de la farmacia. El mismo identificador de Google Tag Manager aparece en 44 tiendas distintas del registro (el 10,2 %), todas PrestaShop; 40 de ellas tienen además su propio identificador de GA4. Lo habitual es que ese contenedor sea de un proveedor o una agencia (lectura nuestra), y eso es una pregunta, no un reproche: lo que se dispara desde él, la farmacia no lo ve sin acceso a la cuenta. Ninguna de esas 44 deja la verificación de Search Console en la portada.

3. Dos caminos a la vez. En 74 tiendas (el 17,1 %) conviven GA4 directo y Tag Manager. Puede ser correcto o contar dos veces la misma visita; desde fuera no se distingue.

Lo que exige la ley a la analítica de tu tienda

Esta parte es lectura nuestra de los textos y no sustituye a tu delegado de protección de datos. El consentimiento de las cookies en general, con sanciones y banner, está en la guía de cookies y consentimiento de la tienda de una farmacia; aquí, solo lo que afecta a medir.

La regla. El artículo 22.2 de la LSSI (texto consolidado del BOE; el apartado se modificó por última vez con efectos del 11 de mayo de 2014) permite usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario «a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización». Salva el acceso que sea, «en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario». Usarlas sin información o sin consentimiento es infracción leve (artículo 38.4.g), con multa de hasta 30.000 euros (artículo 39.1.c).

La guía general de la AEPD (mayo 2024). Su lista de cookies exentas (técnicas, de seguridad, de personalización elegida por el usuario…) no incluye las de análisis. En su apartado 2.1.2.c recoge la opinión del grupo de trabajo europeo del artículo 29: las cookies de análisis «no están exentas del deber de obtener un consentimiento informado para su uso», aunque sea poco probable que supongan un riesgo si son de primera parte, tratan datos agregados con finalidad estrictamente estadística, se informa y se deja negarse. Y la información se facilita «antes del uso de las cookies, incluida, en su caso, su instalación». El PDF que sirve aepd.es el 8 de noviembre de 2026 es el de mayo de 2024 (cabecera: 14 de mayo de 2024); no hemos encontrado otro posterior. Su anexo II remite a la guía de medición de audiencia.

La guía de medición de audiencia (enero 2024): la excepción. Las cookies para estadísticas de tráfico o de rendimiento «podrían estar exentas de consentimiento bajo ciertas condiciones». Tal como las escribe la AEPD:

La guía lista lo estrictamente necesario (audiencia por página, procedencia, dispositivo, tiempos de carga, rebote, clics y zona geográfica, todo «por página y agregadas diariamente») y añade que cualquier otro tratamiento «ha de contar con el consentimiento».

Qué significa para una tienda (lectura nuestra; hay que verlo con tu configuración y tu contrato):

• GA4 con su configuración por defecto no encaja sin tocarla. La ayuda de Google sobre las cookies de GA4 (leída el 8 de noviembre de 2026) da «2 años» de caducidad para la cookie que distingue a los usuarios (_ga) y para la que mantiene el estado de la sesión; la guía habla de trece meses sin extensión automática.
• La publicidad, el remarketing, las audiencias, el píxel de Meta y la unión con Google Ads quedan fuera de esa lista y piden consentimiento previo.
• El camino que describe la AEPD son herramientas que miden sin perfilar al visitante, con IP anonimizada y los datos bajo tu responsabilidad, incluso sin cookies (por ejemplo, con los registros del servidor). Lo dice en un documento para administraciones públicas (febrero de 2023), y avisa de que sus ejemplos no son una recomendación.

Cómo cargan las 271 tiendas con etiqueta, según el HTML

Las repartimos por lo que se ve en el HTML antes de que nadie toque nada. Es lectura nuestra de la portada, no una prueba:

En las dos últimas filas (209 tiendas, el 77,1 %) el HTML no retiene la etiqueta ni anuncia el consentimiento denegado por defecto. Que haya banner no prueba ni que la etiqueta espere ni que dispare antes: algunos gestores de cookies bloquean los scripts cuando el navegador los ejecuta, y eso no se ve en el HTML. Por eso no sacamos conclusión de cumplimiento, sino qué comprobar. De las 31 con Consent Mode, en 21 el aviso aparece antes del primer cargador de Google y en 10 después, el orden contrario al que hace falta. Y de las 46 con alguna etiqueta de publicidad, 33 cargan sin Consent Mode denegado, 15 de ellas sin banner a la vista.

Compruébalo tú en cinco minutos

1. Abre tu tienda en una ventana privada, con las herramientas de desarrollo en la pestaña Red, y filtra por googletagmanager, google-analytics, facebook y doubleclick.

2. Recarga sin tocar el banner y anota qué peticiones salen. Con Consent Mode puede haber peticiones con el consentimiento denegado; lo que no debe haber es la etiqueta funcionando con normalidad.

3. Pulsa rechazar y repite; después acepta y comprueba que ahora sí aparecen. En la pestaña Aplicación, mira qué cookies se guardan y cuánto duran.

Qué medir: cuatro eventos del embudo y Search Console

Los cuatro eventos

GA4 define estos nombres para el comercio electrónico (ayuda de Google Analytics, leída el 8 de noviembre de 2026):

Las razones entre pasos son el único tablero que necesitas al principio:

• De vista de producto a carrito: baja si la ficha no convence (foto, precio, descripción, falta de stock). El SEO de la portada y las fichas también cuenta aquí.
• De carrito a inicio de pago: baja cuando el cliente descubre los gastos, sobre todo el envío y su umbral.
• De inicio de pago a compra: baja si falla algo en el pago, como la pasarela, los medios disponibles o la carga lenta.

Una vez al mes, contrasta las compras de GA4 con los pedidos de tu programa de gestión: si no cuadran, el consentimiento rechazado es parte de la explicación, y la analítica nunca sustituye a la venta registrada. En MTRYX nos conectamos a tu ERP, sea cual sea, y cada pedido online queda en el programa como una venta más: las ventas por producto las lees en tu programa y no hace falta mandárselas a nadie.

Search Console

Search Console no pone nada en el equipo de tus visitantes: la verificación por meta es una etiqueta en el HTML, y lo que mide ocurre en Google antes de que lleguen (lectura nuestra). Su informe de rendimiento da cuatro métricas, con definiciones de la ayuda de Google: clics («el número de veces que un usuario ha hecho clic en tu sitio desde los resultados de la Búsqueda de Google»), impresiones, CTR (clics entre impresiones) y posición media; y seis dimensiones: consultas, páginas, países, dispositivos, aparición en búsquedas y fechas. Dos lecturas útiles: páginas con muchas impresiones y pocos clics (título o descripción que no convencen) y consultas con tu nombre frente a consultas de producto o de zona.

Una advertencia práctica: la propiedad de Search Console y la de GA4 deben estar a nombre de la farmacia. En MTRYX la tienda va en el dominio de la farmacia, así que la propiedad de Search Console de ese dominio es tuya. Con el contenedor de Tag Manager pide lo mismo; es la primera pregunta de la lista del final.

Qué NO medir: los datos de salud

Las normas. El artículo 9.1 del RGPD prohíbe «el tratamiento de datos personales que revelen» el origen étnico, las opiniones políticas y otras categorías, y los «datos relativos a la salud»; el 4.15 los define como «datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud». La excepción más relevante es el consentimiento explícito (9.2.a).

El Tribunal de Justicia de la UE (sentencia C-21/23, 4 de octubre de 2024, Gran Sala): los datos que el cliente introduce al pedir por internet medicamentos de venta obligatoria en farmacias, «tales como su nombre, la dirección de envío y la información necesaria para determinar el medicamento solicitado, constituyen datos relativos a la salud», aunque la venta no exija receta. Más en la guía de protección de datos de la farmacia con tienda online.

El RD 870/2013 sobre lo que ya recoge tu tienda: solo se venden a distancia medicamentos «no sujetos a prescripción médica» (art. 1.1); el pedido lleva nombre, teléfono, correo y dirección (art. 10.2); los cuestionarios sobre el medicamento piden «consentimiento expreso» (art. 10.3); y el registro de pedidos, con el medicamento, la cantidad y los datos del comprador, se mantiene en las farmacias durante «un plazo de al menos dos años» (art. 10.4). Ese registro vive en tu farmacia, no en una herramienta de terceros.

Las plataformas. Google Analytics: «Nuestros contratos prohíben a los clientes enviar información personal identificable a Google Analytics». Los términos de las herramientas para empresas de Meta (vigentes desde el 3 de noviembre de 2025) piden no compartir datos que «incluyan información médica, financiera, de informes de consumidores u otras categorías de información confidencial». Y la política de Google Ads para productos y servicios de salud dice que no puedes usar audiencias seleccionadas por el anunciante; si vas a anunciar, empieza por qué puedes anunciar en Google Ads como farmacia.

Regla de trabajo que sale de juntar todo (lectura nuestra):

El análisis por producto, que sí quieres tener, se hace con tus propias ventas; el embudo y los canales, en la analítica. Mezclarlos es lo que crea el problema.

Qué pedir a tu proveedor antes de firmar o renovar

Si tu tienda la lleva un proveedor, estas preguntas salen de lo que vimos en las portadas. Pídelas por escrito:

1. De quién son las cuentas de GA4, Tag Manager y Search Console: con tu correo como propietario y acceso de administrador.

2. Qué hay dentro del contenedor de Tag Manager y quién puede cambiarlo.

3. Qué etiquetas cargan antes de que el cliente decida y cuáles esperan al consentimiento (con Consent Mode denegado por defecto, antes del cargador).

4. Qué eventos se miden (los cuatro del embudo) y con qué parámetros; que ninguno incluya medicamentos ni texto escrito por el cliente.

5. Cuánto duran las cookies y cuánto se conservan los datos.

6. Que las cuentas sean tuyas y no del proveedor, para no perder el histórico si cambias; es una de las cosas que conviene cerrar al cambiar de proveedor sin perder SEO.

7. Cómo se cuadra el número de compras de la analítica con los pedidos de tu programa de gestión.

Para ver cómo encaja con el coste: en MTRYX es sin cuota; un 8-10 % solo de lo que vendes. Lo que importa es la venta registrada, y esa viene de tu programa. Ilustración nuestra, con cifras inventadas para la cuenta y no medidas: si en un mes entran 2.000 visitas, 30 pedidos y un ticket de 35 €, la tienda ha vendido 1.050 €, la tasa de conversión es del 1,5 % y un 8-10 % de esas ventas son entre 84 y 105 €. Con cero ventas, la cuenta es cero.

Lo que no pudimos verificar

• No abrimos las tiendas en un navegador: lo que cargan al ejecutarse el JavaScript, o lo que hay dentro de cada contenedor de Tag Manager, no lo vemos.
• No sabemos si las 161 tiendas sin etiqueta miden de otra manera, ni si las 13 con UA por gtag.js están reconectadas a GA4.
• Si una configuración concreta de GA4 puede quedar exenta según la guía de enero de 2024 es una valoración jurídica que no hacemos aquí: depende de tu contrato con Google y de la configuración.
• La política de Google Ads para productos de salud la leímos el 8 de noviembre de 2026 en su ayuda, sin fecha de actualización visible.