---
title: "Privacidad en grabaciones de sesión: guía práctica para CRO"
description: "Cumple tres requisitos para proteger la privacidad en las grabaciones: consentimiento, bloqueo técnico y enmascarado local de datos."
url: https://lgdataone.io/blog/privacidad-en-grabaciones/
date: 2026-11-09
modified: 2026-11-09
author: "LG DATAONE"
image: https://lgdataone.io/wp-content/uploads/2026/11/privacidad-en-grabaciones.jpg
categories: ["Análisis cualitativo"]
type: post
lang: es
---

# Privacidad en grabaciones de sesión: guía práctica para CRO

Sí, puede usar session replay cumpliendo la normativa, pero solo si se dan tres condiciones a la vez: consentimiento previo, libre e informado (o una base legal alternativa debidamente documentada), un bloqueo técnico que impida inicializar el SDK antes de esa aceptación, y enmascaramiento de datos sensibles en el propio dispositivo antes de transmitir nada. Sin las tres, la privacidad en grabaciones queda comprometida y la implementación es vulnerable ante cualquier inspección.

---

> En resumen:
>
> La [grabación](https://lgdataone.io/blog/grabacion-de-acciones-de-usuario-experiencia-ux/) completa de sesiones solo es legal si se obtiene consentimiento previo, informado y si se bloquea la inicialización del SDK antes de ese consentimiento.
> Es imprescindible enmascarar datos sensibles en el dispositivo y limitar la retención de grabaciones entre 30 y 90 días para cumplir con la normativa.
> La firma de un acuerdo de procesamiento de datos y la realización de una evaluación de impacto (DPIA) son obligatorias en tratamientos de riesgo alto y en ciertos sectores.
> La configuración técnica debe impedir la captura antes del consentimiento, utilizando CMP y [Consent Mode](https://lgdataone.io/check-consent-mode/) v2 para controlar la activación del SDK.
> La [auditoría](https://lgdataone.io/auditar-gtm/) automática de LG DataOne ayuda a verificar que las políticas de privacidad se cumplen en producción, detectando inicio precoz del SDK o masking parcial.

---

LG DATAONE
¿Listo para mejorar tu analítica?

Prueba durante 4 meses LG DataOne y empieza a [auditar GA4](https://lgdataone.io/auditar-ga4/), GTM y el [rendimiento](https://lgdataone.io/blog/rendimiento-web-velocidad-sitio/) para decidir con datos.

[Probar 4 meses GRATIS →](https://lgdataone.io/producto/access/?attribute_pa_nivel=standard&coupon=4mesesgratis)

## Tabla de contenidos

- [Tablas resumen: obligaciones, controles y acciones inmediatas](#tablas-resumen-obligaciones-controles-y-acciones-inmediatas)
- [Qué exige la normativa sobre consentimiento y transparencia](#que-exige-la-normativa-sobre-consentimiento-y-transparencia)
- [Cómo bloquear la captura hasta el consentimiento: CMP y Consent Mode v2](#como-bloquear-la-captura-hasta-el-consentimiento-cmp-y-consent-mode-v2)
- [Masking on-device, retención y control de accesos](#masking-on-device-retencion-y-control-de-accesos)
- [Checklist final antes de activar session replay en producción](#checklist-final-antes-de-activar-session-replay-en-produccion)
- [Prioridades y métricas para medir el cumplimiento real](#prioridades-y-metricas-para-medir-el-cumplimiento-real)
- [Perspectiva del equipo de LG DataOne](#perspectiva-del-equipo-de-lg-dataone)
- [Automatiza la auditoría de consentimiento con LG DataOne](#automatiza-la-auditoria-de-consentimiento-con-lg-dataone)
- [Fuentes](#fuentes)
- [Preguntas frecuentes](#preguntas-frecuentes)

## Tablas resumen: obligaciones, controles y acciones inmediatas

Antes de entrar en el detalle legal y técnico, conviene tener a mano qué exige la norma, qué control técnico lo satisface y qué tarea concreta hay que ejecutar primero.

| Requisito legal | Qué exige | Evidencia necesaria |
| --- | --- | --- |
| Consentimiento | Previo, libre, específico e inequívoco | Registro del CMP con marca temporal |
| DPA (Artículo 28) | Contrato firmado con el proveedor de replay | Documento firmado y lista de subencargados |
| DPIA | Obligatoria si el riesgo es alto | Informe con medidas de mitigación |
| Transparencia | Informar de proveedor, finalidad y plazo de conservación | Aviso de privacidad actualizado |

| Control técnico | Función | Momento de aplicación |
| --- | --- | --- |
| Masking on-device | Oculta campos sensibles antes de enviar datos | Antes de la transmisión |
| No init del SDK | Evita captura antes del consentimiento | Carga del [script](https://lgdataone.io/blog/script-google-tag-manager-guia/) |
| Retención corta | Limita el tiempo de exposición de los datos | Configuración del proveedor |
| Exclusión de páginas | Evita grabar zonas de salud o pago | Configuración de reglas |

| Tarea | Responsable | Prioridad |
| --- | --- | --- |
| Verificar bloqueo del SDK | Equipo técnico | Alta |
| Firmar DPA | Legal / compras | Alta |
| Configurar masking | Analítica / desarrollo | Alta |
| Documentar DPIA | DPO / legal | Media |

## Qué exige la normativa sobre consentimiento y transparencia

Las autoridades europeas consideran que las herramientas de grabación de sesión requieren consentimiento previo e informado porque implican operaciones de lectura y escritura en el dispositivo del usuario. Esto descarta de raíz dos prácticas todavía habituales: el aviso genérico [de cookies](https://lgdataone.io/blog/cumplimiento-de-cookies-y-privacidad-web/) que no menciona explícitamente la grabación, y el consentimiento retrospectivo, obtenido después de que la sesión ya se ha capturado.

La [CNIL recomienda](https://www.cnil.fr/sites/default/files/2026-02/recommendation_draft_session_replay.pdf) que la información sobre estas herramientas figure en el primer nivel del banner cuando el seguimiento sea significativo, no enterrada en una política de privacidad de tercer nivel. En la práctica, esto obliga a nombrar el proveedor de session replay junto a las cookies analíticas y publicitarias, no a tratarlo como una categoría genérica de «analítica».

El interés legítimo rara vez cubre la grabación de sesión completa. Puede sustentar analítica agregada de rendimiento, pero no la captura de comportamiento individual con potencial de identificación, salvo que se demuestre una ponderación de intereses documentada y accesible al usuario. Ante la duda, el consentimiento explícito es la vía defendible.

Las obligaciones de transparencia de los artículos 13 y 14 del RGPD exigen indicar:

- el nombre del proveedor de session replay y su rol (encargado del tratamiento);
- la finalidad exacta (optimización de conversión, detección de fricciones);
- el plazo de conservación de las grabaciones;
- la existencia de transferencias internacionales, si las hay.

El Artículo 28 del RGPD obliga a firmar un DPA con cualquier herramienta de replay y a verificar la lista de subencargados. Si alguno de ellos opera fuera del Espacio Económico Europeo, hace falta una evaluación tipo Schrems II sobre las garantías de transferencia. La DPIA se vuelve obligatoria cuando el tratamiento implica seguimiento sistemáticoemático a gran escala o categorías especiales de datos, como ocurre en sitios de salud o financieros; un expediente sancionador de la AEPD recuerda además que condicionar el acceso a una función por aceptar la grabación puede generar reclamaciones, por lo que conviene ofrecer siempre una alternativa funcional equivalente sin grabación.

## Cómo bloquear la captura hasta el consentimiento: CMP y Consent Mode v2

El error más repetido en integraciones reales es cargar el script de session replay antes de que el banner de consentimiento se resuelva. La solución no es solo condicionar el envío de datos después de capturarlos, hay que impedir que el SDK se inicialice.

1. **Cargar la librería en un slot controlado, pero sin inicializarla.** El script puede estar presente en el DOM, pero su función de arranque (`init()` o equivalente) solo se ejecuta tras recibir la señal positiva del CMP.
2. **Mapear los estados del CMP a Consent Mode v2.** Los parámetros `analytics_storage` y `ad_storage` deben reflejar exactamente lo que el usuario aceptó o rechazó. [Consent Mode](https://developers.google.com/tag-platform/security/guides/consent) gestiona esa señal, pero no sustituye la necesidad del consentimiento: si `analytics_storage` está en «denegado», el SDK de replay no debe arrancar.
3. **Definir un modo degradado.** Si el proveedor lo permite, en lugar de detener toda la [medición](https://lgdataone.io/blog/plan-de-medicion-digital/), se puede pasar a datos agregados o muestreados sin grabación individual, útil cuando el usuario acepta analítica básica pero no replay.
4. **Verificar con pruebas reales.** Simular un rechazo, inspeccionar el payload de red y confirmar que no hay buffer ni transmisión previa a la aceptación. Repetir la prueba simulando una retirada de consentimiento a mitad de sesión.
5. **Vincular usuarios autenticados con su ID interno.** Esto permite localizar y eliminar grabaciones asociadas a una cuenta cuando el usuario retira su consentimiento o ejerce su derecho de supresión.

Puede revisar el detalle de implementación en esta [guía técnica sobre Consent Mode v2](https://lgdataone.io/blog/consent-mode-v2-gestion-datos-privacidad), especialmente útil para mapear los estados del banner con las etiquetas de GTM.

**Consejo profesional:** *No confíe en la documentación del proveedor de replay para asumir que respeta Consent Mode de forma nativa. Muchos vendors solo detienen el envío de [eventos](https://lgdataone.io/blog/eventos-automaticos-ga4-necesitas-saber/), no la inicialización del script; compruébelo usted mismo inspeccionando las llamadas de red antes de aceptar el banner.*

## Masking on-device, retención y control de accesos

El enmascaramiento debe ocurrir en el navegador del usuario, no en el servidor del proveedor. Si el dato sensible sale del dispositivo sin máscara, la privacidad en audio y en texto ya se ha vulnerado, aunque luego se elimine en el backend.

- Configure una política *deny-by-default*: todo campo se enmascara salvo que se incluya explícitamente en una lista blanca por atributo o selector CSS.
- Excluya categóricamente páginas y elementos sensibles: [formularios](https://lgdataone.io/check-formularios-web/) de salud, pasarelas de pago, áreas de cuenta con datos personales.
- Fije retenciones cortas, entre 30 y 90 días según [recomendaciones sectoriales](https://www.flexyconsent.com/blog/session-replay-heatmap-tools-consent-guide/), y active anonimización de IP en el proveedor cuando esté disponible.
- Establezca un procedimiento técnico y contractual de borrado por solicitud, con un plazo de respuesta definido y trazable.
- Limite el acceso al visor de grabaciones a roles concretos y registre cada visualización en un log de auditoría.
- Incluya en el DPA una cláusula que prohíba expresamente usar las grabaciones para reentrenar modelos de IA sin consentimiento adicional; esto es especialmente relevante cuando el proveedor ofrece transcripción automática, porque una auditoría avanzada de estructura de datos y modelos LLM puede identificar estos usos y ayudar a cumplir la normativa.

Una política de retención corta y bien documentada también facilita la respuesta ante auditorías; puede apoyarse en criterios similares a los que ya aplica para la [retención de datos en GA4](https://lgdataone.io/blog/retencion-de-datos-ga4).

LG DATAONE
Descubre las funcionalidades en acción

Consulta las demos de LG DataOne para conocer la herramienta antes de empezar.

[Ver las demos →](https://lgdataone.io/demos/)

## Checklist final antes de activar session replay en producción

Antes de pasar a producción, complete y documente estas verificaciones:

1. Confirmar que el CMP bloquea físicamente la inicialización del SDK y que Consent Mode refleja el estado real del usuario.
2. Inspeccionar un payload de prueba para comprobar que el masking ocurre antes de la transmisión, no después.
3. Tener el DPA firmado y la lista de subencargados actualizada y accesible.
4. Completar la DPIA si el tratamiento implica datos sensibles o seguimiento a gran escala.
5. Probar el flujo de borrado por usuario y la retirada de consentimiento a mitad de sesión.
6. Documentar por escrito la retención, el procedimiento de acceso a datos y el plan de respuesta ante incidentes de privacidad.

## Prioridades y métricas para medir el cumplimiento real

Las tres prioridades no cambian con el tamaño de la empresa: consentimiento verificable, bloqueo real de la inicialización y enmascaramiento antes de transmitir. Para saber si funcionan en la práctica, mida el porcentaje de sesiones grabadas con consentimiento positivo confirmado, el tiempo medio de retención de las grabaciones y el número de solicitudes de eliminación resueltas dentro de plazo. El siguiente paso lógico es una auditoría técnica y contractual conjunta, revisando GTM, Consent Mode y el DPA del proveedor en la misma sesión de trabajo.

![Prioridades y métricas para medir el cumplimiento real — overview diagram](https://lgdataone.io/wp-content/uploads/2026/09/1789982071471_Prioridades-y-metricas-para-medir-el-cumplimiento-real-overview-diagram.jpeg)

## Perspectiva del equipo de LG DataOne

En integraciones reales, el fallo más frecuente no es la falta de un banner de consentimiento, sino un script de replay que ya estaba corriendo antes de que ese banner se resolviera. El segundo fallo más común es un masking parcial: se ocultan los campos de contraseña pero no los de dirección o teléfono. Ambos son errores de configuración, no de mala fe, y ambos son detectables con una auditoría de payloads bien hecha. Automatizar esa comprobación, en lugar de confiar en revisiones manuales puntuales, es lo que marca la diferencia entre una política de privacidad que existe en el papel y una que se cumple en producción.

> — Juan

## Automatiza la auditoría de consentimiento con LG DataOne

LG DataOne es la alternativa a revisar manualmente cada cambio de GTM y Consent Mode: automatiza la auditoría de la configuración, detecta si un SDK se inicializa antes de tiempo y verifica que el masking realmente ocurre en el dispositivo antes de que el dato salga hacia el proveedor.

![LG DataOne](https://lgdataone.io/wp-content/uploads/2026/08/1783845650019_lgdataone.jpg)

La plataforma centraliza estos chequeos junto con los tests A/B y los informes de conversión, así que su equipo de analítica no necesita alternar entre cinco herramientas distintas para saber si la implementación de session replay cumple con lo firmado en el DPA. Puede probarlo con la [prueba gratuita de 14 días](https://lgdataone.io/cro-optimizacion-tasas-de-conversion) o revisar directamente los [planes disponibles](https://lgdataone.io/planes-precios) para conocer los precios actualizados.

**Lecturas relacionadas:** consulta [guía de cookies](https://lgdataone.io/blog/guia-de-cookies-aepd/) y descubre cómo [medición de consentimiento](https://lgdataone.io/check-consent-mode/) con LG DataOne.

## Fuentes

- [CNIL – Recommendation draft session replay (2026)](https://www.cnil.fr/sites/default/files/2026-02/recommendation_draft_session_replay.pdf)
- [Google developers – Consent Mode](https://developers.google.com/tag-platform/security/guides/consent)
- [Session replay and heatmap tools: cookie consent guide (FlexyConsent)](https://www.flexyconsent.com/blog/session-replay-heatmap-tools-consent-guide/)

LG DATAONE
¿Necesitas una analítica a medida?

Escríbenos y cuéntanos qué necesitas medir. Te orientaremos sobre un presupuesto de implementación.

[Pedir presupuesto →](mailto:info@lgdataone.io?subject=Presupuesto%20de%20analitica%20web)

## Preguntas frecuentes

### ¿Es legal grabar conversaciones o sesiones de usuario sin avisar?

No, salvo que exista una base legal alternativa claramente documentada. Las autoridades europeas exigen consentimiento previo, informado e inequívoco antes de iniciar cualquier grabación de sesión.

### ¿Qué diferencia hay entre consentimiento y interés legítimo para session replay?

El interés legítimo cubre analítica agregada, pero rara vez justifica grabar el comportamiento individual de un usuario identificable. El consentimiento explícito es la base legal más segura para la privacidad en grabaciones de este tipo.

### ¿Basta con Consent Mode v2 para cumplir con la privacidad en grabaciones?

No. Consent Mode v2 gestiona la señal de consentimiento y evita que las etiquetas se disparen sin permiso, pero no sustituye la obligación de obtener consentimiento previo ni de enmascarar datos sensibles.

### ¿Cuánto tiempo se deben conservar las grabaciones de sesión?

No existe un plazo único fijado por ley, pero las guías del sector recomiendan retenciones cortas de entre 30 y 90 días salvo justificación específica más prolongada.

### ¿Cuándo es obligatoria una DPIA para grabaciones de sesión?

Cuando el tratamiento implica seguimiento sistemático a gran escala o categorías especiales de datos, como en sitios de salud o financieros. En esos casos, la DPIA debe documentar las medidas de mitigación, incluido el masking on-device.

### ¿Puede LG DataOne ayudar a verificar el cumplimiento de Consent Mode?

Sí, LG DataOne automatiza la auditoría de la configuración de Consent Mode, GTM y GA4, y comprueba si el SDK de grabación se inicializa antes o después del consentimiento del usuario.

## Recomendaciones

- [Cumplimiento de cookies y privacidad web](https://lgdataone.io/blog/cumplimiento-de-cookies-y-privacidad-web)
- [Tracking sin cookies para ↑ tu analítica](https://lgdataone.io/blog/tracking-sin-cookies)
- [Retención de datos en GA4](https://lgdataone.io/blog/retencion-de-datos-ga4)
- [Guía de cookies AEPD cumplirmiento analítica +14 días GRATIS](https://lgdataone.io/blog/guia-de-cookies-aepd)