Tecnoloxía e seguimento

Máis alá das cookies: Os riscos de privacidade e as cuestións legais da pegada dixital do navegador

7 de xullo de 2026 · 15 min de lectura

Resposta rápida: A pegada dixital do navegador é unha técnica de rastrexo sen estado que identifica os usuarios combinando atributos do dispositivo e do navegador, sen necesidade de cookies. A diferenza das cookies, as pegadas dixitais non se poden eliminar, o que as fai moito máis persistentes e legalmente complexas. Segundo o GDPR, a CCPA e un número crecente de leis estatais de privacidade, a pegada dixital cualifica como procesamento de datos persoais e xeralmente require o consentimento explícito do usuario antes do seu despregamento.

Puntos clave

A pegada dixital do navegador recolle ducias de atributos do dispositivo (tipos de letra, resolución de pantalla, GPU, fuso horario) para construír un identificador único sen almacenar nada no dispositivo do usuario.
Bloquear ou eliminar as cookies non detén a pegada dixital; as dúas técnicas operan con mecanismos completamente diferentes.
Un estudo de 2025 descubriu que os rastrexadores automatizados perden case o 45% dos scripts de pegada dixital atopados por usuarios reais, o que significa que a prevalencia real do rastrexo está significativamente subestimada [7].
O GDPR clasifica a pegada dixital como procesamento de datos persoais; o incumprimento pode resultar en multas de ata o 4% dos ingresos anuais globais [1].
A partir de 2026, aproximadamente vinte estados dos EUA promulgaron leis de privacidade completas que abranguen a pegada dixital baixo amplas definicións de información persoal [1].
A pegada dixital do lado do servidor derrota a maioría das ferramentas de privacidade do navegador; só Tor Browser e o modo Resist Fingerprinting de Firefox ofrecen protección fiable [3].
A pegada dixital úsase tanto para a prevención de fraudes como para a publicidade comportamental, creando un problema de dobre uso que complica o tratamento regulatorio [4].
As empresas deben implementar mecanismos de xestión do consentimento que impidan que os scripts de pegada dixital se executen ata que se obteña o consentimento válido do usuario [8].

Que é a pegada dixital do navegador e como funciona

A pegada dixital do navegador é un método de rastrexo que identifica un usuario mediante a creación dun perfil de características do navegador e do dispositivo en lugar de almacenar un identificador no propio dispositivo. Cando un usuario visita un sitio web, un script de pegada dixital consulta o navegador para ducias de atributos simultaneamente, e despois os converte nun identificador único.

Os puntos de datos comúns recollidos inclúen:

Tipo de navegador, versión e complementos instalados
Sistema operativo e configuración de idioma
Resolución de pantalla e profundidade de cor
Tipos de letra instalados (enumerados mediante canvas ou CSS)
Renderizador de GPU e capacidades WebGL
Fuso horario e desfase do reloxo do sistema
Saída de renderizado de Canvas e AudioContext
Cabeceiras HTTP, incluíndo Accept-Language e estado Do Not Track

O hash resultante é estatisticamente único para unha gran proporción de usuarios. Debido a que non se escribe ningún ficheiro no dispositivo, o proceso é invisible para as ferramentas de privacidade estándar que se centran na xestión de cookies. Indo máis alá das cookies, os riscos de privacidade e as cuestións legais da pegada dixital do navegador derivan precisamente desta invisibilidade.

En que se diferencia a pegada dixital do navegador das cookies

A diferenza fundamental é a persistencia e a visibilidade do consentimento. As cookies son ficheiros almacenados no dispositivo dun usuario que se poden ver, bloquear ou eliminar a través da configuración do navegador. As pegadas dixitais do navegador derivan de atributos existentes do dispositivo e non deixan rastro local.

Característica	Cookies	Pegada dixital do navegador
Almacenado no dispositivo	Si	Non
O usuario pode eliminar	Si	Non
Bloqueado pola configuración	Si	Raramente
Require chamada ao servidor	Non	Moitas veces si
Visibilidade do consentimento	Alta	Baixa
Claridade regulatoria	Establecida	En evolución

Esta persistencia é fundamental para que a pegada dixital suscite preocupacións de privacidade máis serias. Un usuario que borra as cookies, usa a navegación privada ou instala un bloqueador de cookies aínda presenta a mesma pegada dixital na seguinte visita [2].

Poden os sitios web rastrexarme con pegada dixital do navegador aínda que bloquee as cookies

Si, completamente. As ferramentas de bloqueo de cookies, as extensións do navegador que rexeitan as cookies de terceiros e incluso os modos de navegación privada non impiden que se executen os scripts de pegada dixital. O script le atributos que sempre están presentes no ambiente do navegador, independentemente da configuración das cookies.

Este é o desafío central que leva a conversa sobre a privacidade máis alá das cookies. Os riscos de privacidade e as cuestións legais da pegada dixital do navegador complícanse polo feito de que os usuarios que cren que optaron por non ser rastrexados a través de banners de cookies aínda poden ser rastrexados de forma exhaustiva mediante a pegada dixital.

Que riscos de privacidade supón a pegada dixital do navegador

A pegada dixital do navegador permite o rastrexo persistente entre sitios, a elaboración de perfís de comportamento e a discriminación de prezos sen que o usuario teña coñecemento nin control. Debido a que a pegada dixital persiste entre sesións e non se pode restablecer, as empresas poden construír perfís lonxitudinais de comportamento de navegación que abarcan meses ou anos [2].

Os riscos específicos inclúen:

Elaboración de perfís de comportamento entre sitios: Unha única pegada dixital pode vincular a actividade entre sitios web non relacionados, creando perfís detallados de intereses e intencións.
Reidentificación despois da exclusión voluntaria: Os usuarios que se exclúen explicitamente do rastrexo baseado en cookies poden ser reidentificados a través da súa pegada dixital.
Riscos de segmentación demográfica: A investigación indica que os usuarios de baixos ingresos enfróntanse a unha exposición desproporcionada á pegada dixital, e os usuarios maiores están máis preocupados e son máis frecuentemente obxecto de pegada dixital [6].
Discriminación de prezos: Os venda polo miúdo e as plataformas de viaxes utilizaron sinais de dispositivos e navegadores para ofrecer prezos diferentes a diferentes segmentos de usuarios.
Expansión do alcance: Os datos recollidos para a prevención de fraudes pódense reutilizar para publicidade ou vender a intermediarios de datos, un problema que o Tech Institute de Georgetown Law sinalou especificamente [4].

Que datos recollen as empresas a través da pegada dixital do navegador

As empresas recollen sinais activos e pasivos. Os sinais pasivos transmítense automaticamente con cada solicitude HTTP (cadea de axente de usuario, enderezo IP, preferencias de idioma). Os sinais activos requiren a execución de JavaScript e inclúen pegadas dixitais de canvas, cadeas de renderizador WebGL, resultados de enumeración de fontes e saída de AudioContext.

A pegada dixital moderna do lado do servidor vai máis alá, enviando telemetría bruta do navegador a sistemas de aprendizaxe automática centralizados que poden vincular sesións mesmo cando os atributos individuais cambian, por exemplo, cando un usuario actualiza o seu navegador ou cambia o seu enderezo IP [3]. Isto fai que a recollida de datos sexa substancialmente máis duradeira que o rastrexo tradicional baseado en cookies.

É legal a pegada dixital do navegador segundo o GDPR e a CCPA

Segundo o GDPR, a pegada dixital do navegador constitúe un procesamento de datos persoais porque xera un identificador único vinculado ao dispositivo dun individuo. A Directiva ePrivacy esixe ademais o consentimento previo informado para calquera técnica que acceda ou almacene información no equipo terminal dun usuario, o que a pegada dixital fai efectivamente ao ler o estado do dispositivo [1].

Requisitos de cumprimento do GDPR para a pegada dixital:

Obter o consentimento explícito e libremente outorgado antes de que se execute calquera script de pegada dixital.
Proporcionar un aviso de privacidade claro que explique que datos se recollen e con que finalidade.
Permitir aos usuarios retirar o consentimento tan facilmente como o outorgaron.
Documentar a base legal para o procesamento nos rexistros das actividades de procesamento.

Segundo a CCPA e a CPRA en California, a pegada dixital entra na ampla definición de "información persoal", outorgando aos consumidores dereitos a coñecer, eliminar e optar por non vender ou compartir eses datos [1]. A partir de 2026, aproximadamente vinte estados dos EUA promulgaron leis comparables, creando un ambiente de cumprimento fragmentado pero cada vez máis esixente. Os Estados Unidos aínda carecen dunha lei federal de privacidade; un proxecto de lei de 2026, a SECURE Data Act, propuxo requisitos de minimización de datos pero non foi aprobado [1].

Cales son as consecuencias legais para as empresas que usan a pegada dixital

A exposición financeira baixo o GDPR é substancial. As multas poden alcanzar os 20 millóns de euros ou o 4% dos ingresos anuais globais, o que sexa maior [1]. A multa de 746 millóns de euros de Amazon en 2021 por violacións relacionadas co rastrexo ilustra que os reguladores están dispostos a aplicar sancións de nivel máximo ás prácticas de procesamento de datos a gran escala [8].

Ademais das multas, as empresas enfróntanse a danos reputacionais, ordes xudiciais que lles esixen cesar completamente a pegada dixital e auditorías obrigatorias. O cumprimento técnico non é negociable: os scripts de pegada dixital deben ser bloqueados para que non se executen ata que se rexistre un consentimento válido, e a retirada do consentimento debe deter inmediatamente toda a actividade de pegada dixital [8].

Que precisa é a pegada dixital do navegador para identificar usuarios

A precisión da pegada dixital é alta pero non perfecta. Os estudos demostraron consistentemente que unha pegada dixital ben construída pode identificar de forma única a unha gran maioría de usuarios dentro dunha poboación determinada. Non obstante, a precisión degrádase cando os usuarios comparten dispositivos, usan configuracións de hardware corporativas idénticas ou empregan ferramentas de privacidade que normalizan os atributos do navegador.

A pegada dixital do lado do servidor con aprendizaxe automática mellora significativamente a precisión ao correlacionar coincidencias parciais entre sesións, o que significa que incluso unha versión do navegador cambiada ou un novo enderezo IP poden non derrotar a reidentificación [3].

Como podo evitar a pegada dixital do navegador no meu dispositivo

A prevención é difícil porque a pegada dixital explota atributos que os navegadores expoñen por deseño. Non obstante, varias aproximacións reducen o risco:

Usar Firefox coa opción Resist Fingerprinting activada: Este modo normaliza ou aleatoriza moitos vectores de pegada dixital e é unha das poucas defensas do lado do cliente eficaces contra as técnicas do lado do servidor [3].
Usar Tor Browser: Encamiña o tráfico a través de múltiples nodos e normaliza agresivamente os atributos do navegador; a protección máis fiable dispoñible [3].
Desactivar JavaScript selectivamente: Bloquea a pegada dixital de canvas e WebGL pero rompe a maioría dos sitios web modernos.
Usar un navegador centrado na privacidade con aleatorización de pegada dixital: Algúns navegadores aleatorizan as saídas de canvas e fontes por sesión.
Evitar as extensións do navegador que engaden sinais únicos: Ironicamente, as extensións de privacidade poden facer que un navegador sexa máis único en lugar de menos.

Escolle Tor Browser se a máxima anonimidade é a prioridade e os compromisos de usabilidade son aceptables. Escolle Firefox con Resist Fingerprinting se se necesita un equilibrio entre protección e navegación diaria.

Que navegadores ofrecen a mellor protección contra a pegada dixital

Tor Browser e Firefox co modo Resist Fingerprinting ofrecen a protección máis forte. A maioría dos outros navegadores principais, incluídos os navegadores baseados en Chromium, ofrecen unha resistencia limitada ou nula á pegada dixital por defecto, mesmo coa configuración de privacidade activada [3].

O mercado máis amplo dos navegadores tardou en adoptar medidas anti-pegada dixital porque moitas técnicas de pegada dixital tamén se usan para a detección lexítima de fraudes, creando presión para non rompelas por completo.

Os VPN e as ferramentas de privacidade deteñen a pegada dixital do navegador

Os VPNs enmascaran os enderezos IP pero non afectan os atributos do navegador que len os scripts de pegada dixital. Un usuario detrás dun VPN aínda presenta a mesma pegada dixital de canvas, a mesma lista de fontes e a mesma cadea de renderizador de GPU. Os bloqueadores de anuncios estándar e os xestores de cookies son igualmente ineficaces contra a pegada dixital a menos que intercepten especificamente os scripts de pegada dixital [3].

O erro común é asumir que un VPN máis un bloqueador de cookies proporciona unha protección completa contra o rastrexo. Non é así. A pegada dixital opera nunha capa que estas ferramentas non alcanzan.

Por que os sitios web usan a pegada dixital en lugar de só cookies

Os sitios web usan a pegada dixital porque é máis duradeira e máis difícil de derrotar para os usuarios. Os requisitos de consentimento de cookies baixo o GDPR e a CCPA fixeron que o rastrexo tradicional baseado en cookies sexa máis restrinxido legalmente e complexo operativamente. A pegada dixital ofrece un identificador persistente que sobrevive á eliminación de cookies, á navegación privada e á retirada do consentimento, o que a fai atractiva para as redes publicitarias e os intermediarios de datos a pesar da súa ambigüidade legal [4].

É precisamente por iso que comprender o alcance completo dos riscos de privacidade máis alá das cookies e as cuestións legais da pegada dixital do navegador é importante: o cambio das cookies non reduciu o rastrexo; en moitos casos, fixo que o rastrexo sexa menos visible e máis difícil de impugnar.

A pegada dixital úsase para a detección de fraudes ou só para o rastrexo

A pegada dixital serve para ambos os propósitos, e este dobre uso é unha das tensións legais e éticas centrais no espazo. A detección de fraudes é un caso de uso lexítimo: bancos, plataformas de comercio electrónico e procesadores de pagos usan as pegadas dixitais dos dispositivos para sinalar as tomas de control de contas, a actividade de bots e os patróns de inicio de sesión sospeitosos [4].

Non obstante, a mesma infraestrutura de pegada dixital pódese reutilizar para publicidade comportamental, rastrexo entre sitios ou discriminación de prezos. O Tech Institute de Georgetown Law sinalou especificamente que os datos recollidos baixo unha xustificación de prevención de fraudes poden ser e foron utilizados para fins moito máis alá dese alcance orixinal [4]. Os reguladores da UE comezaron a examinar este problema de dobre uso máis de preto, e espérase que o próximo Regulamento ePrivacy o aborde de forma máis explícita [9].

Cales son os erros comúns que comete a xente sobre a pegada dixital do navegador

Persisten varias ideas erróneas incluso entre usuarios tecnicamente informados:

"Borrar as cookies detén a pegada dixital." Non o fai. As pegadas dixitais derivan do estado do dispositivo, non de ficheiros almacenados.
"O modo incógnito proporciona anonimato." A navegación privada impide o almacenamento do historial local pero non altera a pegada dixital do navegador.
"Os banners de consentimento de cookies cobren a pegada dixital." Moitos banners de consentimento están configurados só para o rastrexo baseado en cookies. Unha plataforma de xestión de consentimento correctamente configurada tamén debe xestionar os scripts de pegada dixital. Biscotti CMP (www.biscotti-cmp.com) está deseñada para xestionar este requisito, garantindo que os scripts de pegada dixital sexan bloqueados ata que se obteña un consentimento válido.
"A pegada dixital só a usan as grandes redes de anuncios." Un estudo de 2025 descubriu que os usuarios reais atopan a pegada dixital en case o dobre de sitios dos que detectan os rastrexadores automatizados, o que suxire un despregamento xeneralizado en sitios de todos os tamaños [7].
"Os VPNs fan que a pegada dixital sexa imposible." Os VPNs cambian o enderezo IP pero deixan todos os atributos do navegador intactos.

Conclusión

A pegada dixital do navegador representa un cambio fundamental na forma en que opera o rastrexo de usuarios, un que se move decisivamente máis alá das cookies e cara a un territorio onde os controis de privacidade tradicionais ofrecen pouca protección. Para os profesionais da privacidade de datos e as empresas, as obrigas de cumprimento son claras: o GDPR e unha lista cada vez maior de leis estatais dos EUA tratan a pegada dixital como procesamento de datos persoais que require consentimento explícito, con multas que poden alcanzar centos de millóns de euros.

Próximos pasos accionables para diferentes públicos:

Propietarios e desenvolvedores de sitios web: Audita o teu sitio en busca de scripts de pegada dixital, incluídos os incrustados en SDKs de análise e publicidade de terceiros. Implementa unha solución de xestión de consentimento como Biscotti CMP (www.biscotti-cmp.com) que xestione todas as tecnoloxías de rastrexo, incluída a pegada dixital, detrás do consentimento válido do usuario.
Empresas: Realiza un inventario de procesamento de datos que teña en conta explicitamente a pegada dixital do dispositivo. Mapea a base legal para cada caso de uso e asegúrate de que as xustificacións de detección de fraudes non se estendan ao uso publicitario.
Profesionais da privacidade de datos: Presiona para que se establezan restricións contractuais explícitas sobre a pegada dixital nos acordos con provedores e supervisa o progreso do Regulamento ePrivacy da UE para obter orientación actualizada.
Usuarios finais: Cambia a Firefox con Resist Fingerprinting activado ou a Tor Browser para unha navegación sensible. Non confíes só en VPNs ou bloqueadores de cookies.

O panorama legal en torno á pegada dixital endurecerase aínda máis en 2026 e máis aló. As organizacións que hoxe o tratan como unha área gris están asumindo un risco regulatorio e reputacional medible.

Preguntas frecuentes

Cal é a definición máis sinxela de pegada dixital do navegador? A pegada dixital do navegador é unha técnica que identifica un usuario lendo atributos do navegador e do dispositivo, como a resolución da pantalla, as fontes instaladas e o tipo de GPU, e combinándoos nun identificador único, sen almacenar ningún ficheiro no dispositivo do usuario.

É ilegal a pegada dixital do navegador? Non é universalmente ilegal, pero está fortemente regulada. Segundo o GDPR, require consentimento explícito. Segundo a CCPA e leis estatais dos EUA similares, entra nas definicións de información persoal que conllevan dereitos de divulgación e exclusión voluntaria. Despregar a pegada dixital sen mecanismos de consentimento adecuados pode resultar en multas significativas.

Podo saber se un sitio web me está a facer unha pegada dixital? Non facilmente. Os scripts de pegada dixital adoitan estar incrustados en JavaScript de terceiros e execútanse silenciosamente. As ferramentas de desenvolvemento do navegador poden revelar chamadas sospeitosas de enumeración de canvas ou fontes, pero a maioría dos usuarios non as notarían.

O GDPR require que un banner de cookies cubra a pegada dixital? Si, se se usa a pegada dixital no sitio. Un banner de consentimento que só aborda as cookies mentres permite que se executen os scripts de pegada dixital non cumpre a normativa. Todas as tecnoloxías de rastrexo, incluída a pegada dixital, deben estar cubertas polo mecanismo de consentimento.

Cal é o navegador máis eficaz para evitar a pegada dixital? Tor Browser ofrece a protección máis forte ao normalizar os atributos do navegador e encamiñar o tráfico a través de múltiples nodos. Firefox co modo Resist Fingerprinting é a mellor opción práctica para o uso diario.

Un VPN protexe contra a pegada dixital do navegador? Non. Un VPN enmascara o teu enderezo IP pero non altera os atributos do navegador que len os scripts de pegada dixital. A túa pegada dixital de canvas, a lista de fontes e a cadea de GPU permanecen inalteradas detrás dun VPN.

Que é a pegada dixital do lado do servidor? A pegada dixital do lado do servidor envía telemetría bruta do navegador a un servidor backend onde os modelos de aprendizaxe automática vinculan sesións ao longo do tempo, mesmo cando os atributos individuais cambian. Derrota a maioría das ferramentas de privacidade do lado do cliente, excepto Tor Browser e o modo Resist Fingerprinting de Firefox.

Como afecta a pegada dixital á detección de fraudes? A pegada dixital é unha ferramenta lexítima e eficaz de detección de fraudes, utilizada para sinalar as tomas de control de contas, a actividade de bots e as transaccións sospeitosas. O problema legal xorde cando os mesmos datos se reutilizan para publicidade ou elaboración de perfís de comportamento máis alá do alcance orixinal de prevención de fraudes.

Hai industrias onde a pegada dixital é especialmente común? Os servizos financeiros, o comercio electrónico, a reserva de viaxes e a publicidade en liña son os usuarios máis intensivos. A prevención de fraudes impulsa a adopción en finanzas e pagos; a segmentación comportamental impúlsao na publicidade e o comercio polo miúdo.

Que debe facer unha empresa agora mesmo para cumprir a normativa? Auditar todos os scripts de terceiros para detectar comportamentos de pegada dixital, implementar unha plataforma de xestión de consentimento que xestione os scripts de pegada dixital, actualizar os avisos de privacidade para divulgar as prácticas de pegada dixital e documentar a base legal para calquera uso de pegada dixital nos rexistros das actividades de procesamento.