Identificar a los visitantes de tu web: qué permite el RGPD (2026)

Sí, identificar a las empresas que visitan tu web puede ser legal en Europa, pero el derecho de la UE lo trata como seguimiento. El Comité Europeo de Protección de Datos (CEPD) interpreta que la regla de consentimiento de la Directiva ePrivacy (artículo 5(3)) abarca los scripts y píxeles de seguimiento, no solo las cookies, y el Tribunal de Justicia de la Unión Europea (TJUE) ha declarado que las direcciones IP pueden ser datos personales (Breyer, C-582/14). Las herramientas de identificación a nivel de persona que revisamos no identifican por su nombre a nadie en el tráfico europeo: RB2B afirma que "Person-Level ID is US-only" (la identificación de personas solo funciona en Estados Unidos), y Warmly indica "no personal-level anonymization in Europe". Las herramientas a nivel de empresa como Albacross, Leadfeeder (antes Dealfront), Leadinfo y Snitcher alojan los datos en la UE y tienen planes gratuitos o precios de entrada por debajo de 70 € al mes con facturación anual, pero documentan el consentimiento de formas muy distintas.

Comprobado el 15 de octubre de 2026 con las fuentes jurídicas y las páginas de cada proveedor. Esto no es asesoramiento jurídico. Revexa desarrolla Leo, un agente de señales de compra que llega a las empresas a través de señales públicas como contrataciones, rondas de financiación y nuevos directivos, en lugar de rastrear a los visitantes. Leo no identifica a los visitantes de una web, así que no es la herramienta adecuada si eso es lo que necesitas, y no aparece en la comparativa de abajo.

Nivel de empresa o nivel de persona: cómo funciona la identificación

Nivel de empresa (reverse IP). El JavaScript del proveedor envía la dirección IP de cada visitante y los datos de la página al proveedor, que busca esa IP en una base de datos que asocia direcciones IP con empresas; la mayoría de los rastreadores también instalan una cookie propia para reconocer las visitas repetidas. El rastreador de Leadfeeder "captures visitor IP addresses, domains, and location data, then matches them against our proprietary IP-to-company databases" (captura las direcciones IP, los dominios y los datos de ubicación de los visitantes y luego los cruza con nuestras bases de datos propias de IP a empresa) (ayuda de Leadfeeder). A quienes teletrabajan es más difícil asociarlos a una empresa, ya que "usually use dynamic IP addresses that change ownership frequently" (suelen usar direcciones IP dinámicas que cambian de titular con frecuencia) (Leadfeeder).

Las cifras de cobertura son las de los propios proveedores: Leadinfo identifica empresas en "typically around 30% of your total traffic" (normalmente alrededor del 30 % de tu tráfico total) (precios), y Warmly indica una "Company identification rate around 60%" (tasa de identificación de empresas de alrededor del 60 %) (ayuda). No encontramos ninguna comparativa independiente.

Nivel de persona (grafos de identidad). Estas herramientas asocian el navegador con una identidad detectada en otro lugar. RB2B cruza a los visitantes "against a fully-permissioned publisher network using a combination of 1st and 3rd party cookies, device IDs and IP addresses" (con una red de editores web con todos los permisos, combinando cookies propias y de terceros, identificadores de dispositivo y direcciones IP) (preguntas frecuentes de RB2B); Warmly busca "Cookies, Fingerprinting or the IP Address of the visitor" (cookies, huella digital del navegador o la dirección IP del visitante). Ambas dejan esta función fuera de Europa: la identificación de personas de RB2B "will not identify individuals located outside the US (for GDPR and CCPA compliance)" (no identificará a personas ubicadas fuera de Estados Unidos, para cumplir el RGPD y la CCPA), y Warmly no la ofrece en Europa.

Las normas de la UE que se aplican

1. Las direcciones IP pueden ser datos personales

En el asunto Breyer (C-582/14, 2016), resuelto con la normativa anterior al RGPD, el TJUE declaró que una dirección IP dinámica registrada por el operador de un sitio web "constituye un dato personal" cuando ese operador "dispone de medios legales" para identificar a la persona con los datos que conserva su proveedor de acceso a Internet (sentencia). Identificar una empresa también puede identificar a una persona, "for instance when it comes to sole traders" (por ejemplo, cuando se trata de empresarios individuales o autónomos), como señala Albacross (política de privacidad).

2. El script necesita consentimiento antes de ejecutarse

El artículo 5(3) de la Directiva ePrivacy solo permite almacenar información en el dispositivo de un usuario, o acceder a ella, con su consentimiento, salvo que sea necesario para transmitir una comunicación o "estrictamente necesario" para prestar un servicio "expresamente solicitado" por el usuario (Directiva 2002/58/CE). En el asunto Planet49 (C-673/17, 2019), el TJUE declaró que esta regla se aplica tanto si la información constituye datos personales como si no (sentencia).

Las Directrices 2/2023 del CEPD (versión 2.0, adoptadas el 7 de octubre de 2024) aplican la regla más allá de las cookies (CEPD). Un código JavaScript que "indica al navegador del usuario que envíe solicitudes asíncronas con la información buscada" entra "claramente" en su ámbito, igual que la recogida de identificadores mediante píxeles de seguimiento. Sobre el seguimiento basado solo en la dirección IP: "Salvo que la entidad pueda garantizar que la dirección IP no procede del equipo terminal de un usuario o abonado, debe adoptar todas las medidas previstas en el artículo 5(3) de la Directiva ePrivacy". El CEPD añade que esto "no significa sistemáticamente que deba recabarse el consentimiento", porque existen excepciones. Según nuestra lectura, identificar a la empresa para la que trabaja un visitante con fines comerciales no es estrictamente necesario para un servicio que el visitante haya solicitado, así que pedir primero el consentimiento es la configuración segura.

3. El contacto posterior se basa en el interés legítimo, con límites

Contactar a alguien de una empresa identificada implica tratar sus datos personales, y la prospección B2B puede basarse en el interés legítimo del artículo 6(1)(f) del RGPD. Un interés comercial puede ser válido, pero el tratamiento debe ser "estrictamente necesario" para ese interés y no deben prevalecer sobre él los derechos de la persona (TJUE, C-621/22, 4 de octubre de 2024) (sentencia). El borrador de Directrices 1/2024 del CEPD añade dos límites: cuando el seguimiento alimenta la mercadotecnia directa, el consentimiento "probablemente constituirá la base jurídica adecuada", "lo que normalmente impide basarse en el artículo 6(1)(f)"; y la ponderación "difícilmente arrojaría" un resultado favorable para el "seguimiento de personas a través de múltiples sitios web, ubicaciones, dispositivos o servicios" (CEPD).

También debes indicar de dónde obtuviste los datos, como muy tarde en el primer contacto (artículo 14(3)(b)), y dejar de contactar a la persona cuando se oponga (artículo 21(3)). La legislación nacional de marketing añade otra capa: en Alemania, el UWG §7 exige consentimiento previo y expreso para la publicidad por email, también en B2B (nuestra guía). Nuestra guía sobre el RGPD y el email B2B explica paso a paso la prueba de ponderación.

4. Lo que puede cambiar

La propuesta Ómnibus Digital de la Comisión (Digital Omnibus, COM(2025) 837) trasladaría la regla al RGPD como artículo 88a y eximiría la medición de audiencia realizada "por el responsable de ese servicio en línea exclusivamente para su propio uso" (propuesta). A 15 de octubre de 2026, seguía en estado "Awaiting committee decision" (pendiente de decisión en comisión) en el Parlamento Europeo (Observatorio Legislativo). Según nuestra lectura, ninguna de las excepciones propuestas cubre la identificación de visitantes con fines comerciales.

Normas nacionales: Alemania y Suecia

Alemania. El §25 de la TDDDG (llamada TTDSG hasta el 14 de mayo de 2024) solo permite almacenar información en el dispositivo de un usuario, o acceder a ella, con un consentimiento otorgado conforme al RGPD, salvo para la transmisión de una comunicación o lo estrictamente necesario para un servicio digital que el usuario desee expresamente (TDDDG §25). La guía de las autoridades alemanas de protección de datos (DSK, versión 1.2, noviembre de 2024) añade que el consentimiento es necesario incluso cuando no hay datos personales en juego, y que debe obtenerse antes de instalar cualquier cookie que lo requiera (DSK).

Suecia. El capítulo 9, §28 de la Ley sueca de Comunicaciones Electrónicas (LEK, SFS 2022:482) solo permite almacenar datos en el equipo terminal de un usuario, o leerlos de él, si se informa al usuario de la finalidad y este da su consentimiento, con las mismas dos excepciones (LEK). El regulador PTS entiende que también abarca técnicas distintas de las cookies (PTS). Según la IMY, solo PTS supervisa las normas sobre cookies de la LEK, mientras que el tratamiento posterior de datos personales, como el análisis o la elaboración de perfiles, corresponde al RGPD y a la IMY (IMY).

Ejemplos de sanciones

• Francia, 150 millones de euros (2025). La CNIL multó a SHEIN (Infinite Styles Services Co. Limited) el 1 de septiembre de 2025. Se instalaban cookies publicitarias "en cuanto llegaban al sitio web", y hacer clic en "Rechazar todo" no impedía que se instalaran cookies nuevas (resumen del CEPD sobre la decisión de la CNIL).
• Suecia, apercibimientos (2025). El 30 de abril de 2025, la IMY sancionó con un apercibimiento a tres empresas suecas por sus banners de cookies: a ATG, en parte por un diseño engañoso, y a Aller Media por basarse en el interés legítimo sin justificarlo ni mostrar una prueba de ponderación (IMY).

Lo que dice cada proveedor sobre Europa

Por orden alfabético.

Albacross (Estocolmo) identifica empresas y vende créditos de emails y teléfonos verificados, y menciona a Cognism como su socio de datos de contacto. Su centro de ayuda es el más explícito: "you must obtain valid consent and inform your visitors on your website" (debes obtener un consentimiento válido e informar a tus visitantes en tu web) sobre su script (preguntas frecuentes sobre el RGPD, lista de comprobación). Entre los datos que trata figura un "Fingerprint hash" (hash de huella digital), y en cuanto añade los datos de tus visitantes a su propia base de datos, "We then become data controllers" (pasamos a ser responsables del tratamiento).

Leadfeeder (antes Dealfront) identifica empresas y vende contactos a partir de su plan Activate. Dealfront pasó a llamarse Leadfeeder el 24 de marzo de 2026 (preguntas frecuentes). Afirma "Yes, Leadfeeder is GDPR compliant" (sí, Leadfeeder cumple el RGPD) (Leadfeeder), aloja los datos en AWS en Irlanda y celebra su contrato de encargo del tratamiento (DPA) de forma automática (página sobre el RGPD). Su modo de consentimiento solo retrasa la cookie: "If the visitor does not grant consent, the tracker will still work and identify companies on your website!" (si el visitante no da su consentimiento, el rastreador seguirá funcionando e identificará empresas en tu web). Leadfeeder desaconseja bloquear todo el rastreador, porque verías menos empresas (ayuda); según la interpretación del CEPD, bloquearlo es la configuración prudente. Su plan gratuito Lite muestra las últimas 100 empresas cada mes (precios).

Leadinfo (Países Bajos) identifica empresas y ofrece una "Database with +300M decision makers" (base de datos con más de 300 millones de responsables de decisión). Trata la dirección IP como un dato personal, aloja los datos en AWS en Irlanda, ofrece "a cookie-free tracking option" (una opción de seguimiento sin cookies) y deja en tus manos la base jurídica, aunque aconseja: "We also recommend obtaining consent from your website visitors before activating the Leadinfo tracking code" (también recomendamos obtener el consentimiento de los visitantes de tu web antes de activar el código de seguimiento de Leadinfo) (página sobre el RGPD).

RB2B identifica a personas en Estados Unidos y a empresas en todo el mundo a través de Demandbase. Su página de inicio dice "Person-Level ID is US-only, GDPR doesn't apply" (la identificación de personas solo funciona en Estados Unidos, el RGPD no se aplica) (RB2B), y su página sobre el RGPD indica que, para identificar empresas en todo el mundo, "you MUST use a Consent Management Solution" (DEBES usar una solución de gestión del consentimiento) (página sobre el RGPD); su centro de ayuda aconseja cargar el snippet solo después del consentimiento cuando este sea obligatorio (ayuda). Dos salvedades: cuando se le pregunta si recoge direcciones IP de la UE "to know when to fire your script" (para saber cuándo activar tu script), RB2B califica esa recogida de "incidental" (accesoria); y el RGPD se aplica a los responsables del tratamiento establecidos en la UE "independientemente de que el tratamiento tenga lugar en la Unión o no" (artículo 3(1)).

Snitcher (Países Bajos) identifica empresas y solo muestra datos de contacto individuales si tú decides revelarlos: "surface individual contact details only when you choose to reveal them" (precios). Se basa en el interés legítimo del artículo 6(1)(f) y aloja los datos en AWS en Fráncfort. Su modo de consentimiento retrasa las cookies, no el script: el rastreador "does not set any cookies or persistent browser storage until the visitor has given consent" (no instala cookies ni almacenamiento persistente en el navegador hasta que el visitante da su consentimiento), pero "only keeps a temporary identifier in sessionStorage" (solo guarda un identificador temporal en sessionStorage) mientras tanto (ayuda sobre el RGPD).

Warmly identifica a personas fuera de Europa y a empresas en Europa. Los clientes pueden "place both the JavaScript and cookie behind a cookie banner" (poner tanto el JavaScript como la cookie detrás de un banner de cookies) o solo la cookie, ya que "The Warmly JavaScript allows for account identification without dropping a cookie" (el JavaScript de Warmly permite identificar cuentas sin instalar una cookie) (cumplimiento).

Tabla comparativa

"Precio desde" es el precio más bajo publicado para el plan más pequeño a 15 de octubre de 2026. Las visitas a la web son una señal de compra entre varias: consulta nuestra comparativa de herramientas de señales de compra y la guía de datos de intención.

Checklist para una configuración conforme

1. Carga todo el script solo después del consentimiento. Pon el rastreador, no solo su cookie, en la categoría de analítica o de marketing de tu herramienta de consentimiento, y haz que rechazar sea tan fácil como aceptar. Cuenta con identificar menos empresas.
2. Mantén el tráfico de la UE a nivel de empresa. No actives las funciones de identificación de personas para los visitantes europeos, y trata como dato personal cualquier coincidencia con un empresario individual o autónomo.
3. Firma el DPA y comprueba quién es responsable de qué. Leadfeeder, Leadinfo y Albacross te definen como responsable del tratamiento y se presentan como encargados; Albacross y Leadinfo también actúan como responsables cuando reutilizan los datos de tus visitantes, así que menciónalos en tu política de privacidad.
4. Actualiza tu política de privacidad y tu lista de cookies. Indica el proveedor, la finalidad, los datos (dirección IP, páginas vistas, identificadores de cookies), la duración de las cookies y el acceso de terceros. Albacross, Leadfeeder, Leadinfo y Snitcher publican textos de ejemplo, y RB2B enumera lo que debes informar.
5. No envíes emails a las personas identificadas sin una base jurídica. Documenta una prueba de ponderación, indica de dónde obtuviste los datos en el primer contacto, detente si se oponen y revisa las normas nacionales. Nuestro consejo: no le digas a un prospecto que viste su visita, porque rara vez sabes quién era.
6. Define plazos de conservación. Decide cuánto tiempo conservas los datos de visitas y los contactos que nunca responden, documéntalo (artículo 5(1)(e) del RGPD) y usa los ajustes de eliminación o anonimización de la herramienta, como la anonimización de IP de Leadfeeder.

Preguntas frecuentes

¿Es legal identificar a los visitantes de una web según el RGPD?

A nivel de empresa puede serlo, si el script solo se ejecuta tras el consentimiento, informas a los visitantes y tienes un DPA con el proveedor. La identificación a nivel de persona se basa en el seguimiento entre sitios, que según el CEPD difícilmente superaría una prueba de interés legítimo, y ni RB2B ni Warmly la ofrecen en Europa.

¿RB2B cumple el RGPD?

RB2B afirma que su identificación de personas solo funciona en Estados Unidos, por lo que el RGPD no se le aplica. Fuera de Estados Unidos solo ofrece identificación a nivel de empresa y dice que para ello debes usar una herramienta de consentimiento. Si tu empresa está establecida en la UE, el RGPD se aplica igualmente a tus propios tratamientos (artículo 3(1)).

¿Leadfeeder (Dealfront) cumple el RGPD?

Leadfeeder afirma que sí, aloja los datos en AWS en Irlanda y celebra un DPA de forma automática. Lo demás depende de tu configuración: su modo de consentimiento solo retrasa la cookie, así que la configuración prudente bloquea todo el rastreador hasta que el visitante dé su consentimiento.

¿Cómo identifico las empresas que visitan mi web en la UE?

Elige una herramienta a nivel de empresa que aloje los datos en la UE (Albacross, Leadfeeder, Leadinfo o Snitcher), carga su script a través de tu herramienta de consentimiento, firma el DPA y actualiza tus avisos de privacidad y de cookies. Contacta solo con una base jurídica documentada, y comprueba antes la cobertura con un plan gratuito o un periodo de prueba.