La IP, ahora identificador: Google impulsa el fingerprinting para personalizar anuncios en Europa

Google ha notificado a anunciantes que, a partir del 3 de agosto de 2026, comenzará a utilizar direcciones IP en la Unión Europea, el Espacio Económico Europeo, el Reino Unido y Suiza no solo para enrutar tráfico, sino también para identificar dispositivos con fines de medición y personalización de anuncios. En la práctica global esto es habitual, pero en el EEE y el Reino Unido la IP se considera datos personales y su uso con fines de identificación encaja en la definición legal de rastreo que exige consentimiento explícito bajo las normas de protección de datos aplicables.

La novedad no es tanto la recepción de la IP por parte de Google —que ya la obtiene a través de etiquetas, SDKs, llamadas HTTP y cargas—, sino el cambio de propósito: usar esa señal automática para vincular comportamiento entre servicios y perfilar a usuarios. Google ha anunciado además su registro al marco de transparencia del IAB Europe para la llamada “Feature 3”, la pieza del framework que reconoce el uso de datos transmitidos automáticamente para distinguir dispositivos; no obstante, la adhesión al TCF no sustituye las obligaciones de consentimiento que imponen leyes como el GDPR. Para consultar la explicación legal sobre IP como dato personal puede verse el texto del GDPR en https://gdpr-info.eu/recitals/no-30/ y la nota del IAB sobre Feature 3 en https://iabeurope.eu/iab-europe-transparency-consent-framework-policies/#:~:text=scanning%20device%20characteristics-,Feature,-3.

Desde el punto de vista técnico, situar la IP como pieza de identificación forma parte de lo que se conoce como fingerprinting: combinar señales (IP, headers, huellas del navegador, fingerprints de canvas o fuentes) para reconocer un dispositivo aun cuando se borren cookies. La precisión real de la IP varía: en redes domésticas proporciona una pista geográfica y a veces de proveedor, mientras que en móviles la NAT/CGNAT y los proxies compartidos reducen la unicidad. Aun así, cuando se combina con otros identificadores puede facilitar la correlación cross-site que preocupa a reguladores y defensores de la privacidad.

El contexto regulatorio hace que la decisión de Google tenga implicaciones audibles: el Reino Unido y la comisión europea están revisando las reglas de consentimiento para la publicidad en línea. La Oficina del Comisionado de Información del Reino Unido (ICO) ya declaró públicamente su preocupación cuando Google flexibilizó en 2024 su prohibición interna sobre fingerprinting, y en mayo de 2026 publicó recomendaciones que favorecen mantener obligatorio el consentimiento para técnicas que perfilen a usuarios a través de servicios. Los responsables de tratamiento y anunciantes que usen estas señales se enfrentan, por tanto, a dos riesgos simultáneos: el técnico (posible inexactitud y sesgos de la identificación por IP) y el regulatorio (inspecciones, multas o requerimientos de ajuste por parte de autoridades de datos).

Para anunciantes y editores la instrucción de Google de “obtener y gestionar el consentimiento” no exime de responsabilidad: antes del 3 de agosto deben revisar etiquetas, SDKs y contratos con proveedores para asegurar que cualquier uso de IP con fines de personalización esté cubierto por un consentimiento válido y documentado. Es recomendable realizar una evaluación de impacto de protección de datos (DPIA) centrada en el reuso de señales técnicas, actualizar los banners de consentimiento para dejar explícitos estos fines, y revisar las cláusulas contractuales con Google y otros intermediarios. La política de Google sobre consentimiento en la UE puede consultarse en https://www.google.com/about/company/user-consent-policy/.

Para los usuarios finales, las opciones inmediatas siguen siendo las conocidas: negar cookies no esenciales, rechazar consentimiento en los banners y revisar la configuración de personalización de anuncios en la cuenta de Google en https://myadcenter.google.com/. También ayudan medidas de protección en el dispositivo y en la red, como navegadores orientados a privacidad, extensiones bloqueadoras de rastreadores o el uso de redes privadas virtuales que cambian la IP vista por los servicios. Es importante entender, sin embargo, que estas defensas no son perfectas y que la verdadera protección depende en gran parte de la adecuada aplicación del marco legal por parte de las empresas y las autoridades.

Desde la perspectiva de políticas públicas, el movimiento de Google plantea una prueba sobre cómo se aplicarán normas de privacidad en la práctica: si los grandes proveedores pueden normalizar la reutilización de señales técnicas bajo marcos de consentimiento, el ecosistema de publicidad digital podría virar hacia un modelo en el que la línea entre contextual y conductual quede borrosa. Los reguladores europeos y del Reino Unido están atentos; las empresas que actúen ahora para documentar bases legales, limitar la retención de señales identificativas y ofrecer controles claros a usuarios reducirán su exposición legal y reputacional.

En resumen, la novedad que entra en vigor en agosto no es técnica sino legal y de gobernanza: usar la IP como identificador para personalización cambia las reglas del juego en territorios donde esa señal se considera dato personal. Los anunciantes deben auditar su pila publicitaria, actualizar sus procesos de consentimiento y preparar pruebas de cumplimiento; los usuarios deben revisar y ejercer sus opciones de privacidad; y las autoridades tendrán la última palabra sobre si este tipo de práctica respeta los límites que el derecho de protección de datos impone. Mientras tanto, conviene seguir la evolución de las decisiones regulatorias y las guías públicas de la ICO y de otras autoridades europeas.