Meta Pixel y consentimiento de cookies: una configuración que respeta la elección

El Meta Pixel instala cookies propias y envía eventos de navegación a Meta, así que los visitantes de la UE y el Reino Unido tienen que dar su consentimiento antes de que se ejecute. La configuración más segura bloquea el script del píxel hasta que el visitante acepta las cookies de marketing, usa la API de consentimiento de Meta como segunda salvaguarda y condiciona la Conversions API a la misma elección. En EE. UU., añade Limited Data Use y respeta Global Privacy Control.

¿Qué hace el Meta Pixel con los datos de los visitantes?

El píxel es una biblioteca de JavaScript, fbevents.js, que se carga desde los servidores de Meta. Una vez inicializado, envía a Meta eventos como PageView, AddToCart y Purchase, junto con la URL de la página, los datos del navegador e identificadores que ayudan a Meta a asociar al visitante con una cuenta.

Usa dos cookies propias en tu dominio:

• _fbp identifica el navegador entre visitas, para que Meta pueda relacionar los eventos del mismo visitante.
• _fbc guarda el ID de clic cuando un visitante llega desde un anuncio de Meta con un parámetro fbclid en la URL, para que las conversiones puedan atribuirse al anuncio.

Si activas la coincidencia avanzada automática, el píxel también aplica un hash a la información que los visitantes introducen en los formularios, como las direcciones de correo electrónico, y la envía a Meta para buscar coincidencias. Todo esto es seguimiento publicitario y necesita consentimiento según las normas de la UE y el Reino Unido. Para entender por qué el sitio web comparte la responsabilidad, consulta la sentencia Fashion ID del TJUE, que consideró corresponsable del tratamiento a un sitio que incrustaba un plugin de Facebook.

¿Cómo bloqueo el píxel hasta el consentimiento?

No dejes que el navegador descargue fbevents.js hasta que el visitante haya aceptado las cookies de marketing. Marca el fragmento del píxel como inerte y actívalo solo después del consentimiento:

<!-- Inerte hasta que se conceda la categoría de marketing -->
<script type="text/plain" data-consent="marketing">
  !function(f,b,e,v,n,t,s){/* Código base estándar de Meta */}(window, document,
    'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('consent', 'grant');
  fbq('init', 'YOUR_PIXEL_ID');
  fbq('track', 'PageView');
</script>

Tu capa de consentimiento sustituye type="text/plain" por un script real cuando se concede el consentimiento, tal como se describe en cómo bloquear scripts de terceros hasta obtener el consentimiento. Si usas Google Tag Manager, configura la etiqueta de Meta para que requiera consentimiento adicional para ad_storage, o actívala solo desde un evento de consentimiento; la etiqueta de Meta no lee Google Consent Mode por sí sola.

¿Cómo funciona la API de consentimiento de Meta?

Meta ofrece dos llamadas para los sitios que cargan el píxel antes de que se haya tomado una decisión. Llama a fbq('consent', 'revoke') antes de fbq('init') en todas las páginas y el píxel no enviará eventos a Meta. Cuando el visitante dé su consentimiento, llama a fbq('consent', 'grant') y los eventos empezarán a enviarse.

fbq('consent', 'revoke'); // en todas las páginas, antes de init
fbq('init', 'YOUR_PIXEL_ID');
fbq('track', 'PageView');

// Más tarde, desde el controlador de aceptación de tu banner:
onConsent('marketing', () => fbq('consent', 'grant'));

Es útil como salvaguarda, pero es más débil que el bloqueo. Con revoke activo, el navegador sigue descargando fbevents.js desde Meta, lo que envía la dirección IP y los datos del navegador del visitante a Meta antes de cualquier elección. Para el tráfico de la UE y el Reino Unido, bloquea el script y mantén las llamadas de consentimiento como segunda línea de defensa, por ejemplo para cuando un visitante retira más tarde su consentimiento en una página donde el píxel ya se había cargado.

¿Y la Conversions API?

La Conversions API (CAPI) envía los eventos a Meta desde tu servidor en lugar de hacerlo desde el navegador. A menudo se presenta como una solución frente a los bloqueadores de anuncios y las restricciones de los navegadores y, a veces, erróneamente, como una forma de esquivar el consentimiento.

Los eventos del servidor siguen conteniendo datos personales: los valores de _fbp y _fbc, direcciones IP, agentes de usuario y, a menudo, direcciones de correo electrónico o números de teléfono con hash. Enviarlos a Meta con fines publicitarios requiere una base jurídica, y para los visitantes de la UE y el Reino Unido suele ser el mismo consentimiento que necesitas para el píxel del navegador. Además, los valores de _fbp y _fbc proceden de cookies para las que el visitante ya tuvo que dar su consentimiento.

Condiciona ambos canales a la misma elección:

Escenario	Píxel del navegador	Conversions API
Visitante de la UE o el Reino Unido que aceptó el marketing	Cargar y hacer seguimiento	Enviar, con el mismo event_id para la deduplicación
Visitante de la UE o el Reino Unido que rechazó o aún no ha elegido	No cargar	No enviar
Visitante de EE. UU. sin exclusión	Cargar y hacer seguimiento	Enviar
Visitante de EE. UU. que se excluyó o envió GPC	No cargar, o cargar con Limited Data Use	No enviar, o enviar con Limited Data Use

Transmite el estado del consentimiento a tu servidor con cada solicitud, o léelo del registro de consentimiento, y compruébalo antes de llamar a la API. Consulta el patrón general en etiquetado del lado del servidor y consentimiento.

¿Cómo gestiono las leyes de privacidad de EE. UU.?

Las leyes estatales de EE. UU., como la de California, son sobre todo regímenes de exclusión (opt-out): puedes ejecutar el píxel por defecto, pero debes dejar de “vender” o “compartir” datos cuando un visitante se excluye. La opción Limited Data Use (LDU) de Meta le indica que restrinja cómo trata los eventos de esos visitantes.

// Dejar que Meta aplique Limited Data Use según la ubicación del visitante
fbq('dataProcessingOptions', ['LDU'], 0, 0);
fbq('init', 'YOUR_PIXEL_ID');

Llámala antes de init. La Conversions API acepta las mismas opciones de tratamiento de datos en cada evento. Si un visitante envía Global Privacy Control o se excluye a través de tu banner, deja de cargar el píxel para él o aplica LDU, y haz lo mismo en el servidor.

¿Cómo compruebo que funciona?

Abre tu sitio en una ventana privada con una ubicación o una VPN de la UE y, antes de hacer clic en nada:

1. En el panel de red del navegador, filtra por facebook. No debería haber solicitudes a connect.facebook.net ni a facebook.com/tr.
2. En el panel de almacenamiento, comprueba que no existe ninguna cookie _fbp ni _fbc.
3. Acepta las cookies de marketing y confirma que el píxel se carga, que aparecen las cookies y que los eventos se muestran en el Administrador de eventos de Meta.
4. Retira el consentimiento y confirma que el píxel se detiene tras la siguiente carga de página.

Repite la prueba con un rechazo para confirmar que no se carga nada, y con una URL con ?fbclid=test para confirmar que _fbc solo se instala después del consentimiento. Una auditoría de cookies debería incluir estas comprobaciones de forma periódica, porque los fragmentos del píxel tienden a reaparecer en plantillas y plugins.

En resumen

Trata el Meta Pixel como seguimiento publicitario, porque lo es. Bloquea el script hasta el consentimiento, usa fbq('consent') como salvaguarda, condiciona la Conversions API a la misma elección y usa Limited Data Use y GPC para las exclusiones en EE. UU. Herramientas como Cookiesh bloquean rastreadores conocidos, como el píxel, hasta que los visitantes dan su consentimiento, y los análisis programados detectan scripts nuevos, para que no se cuele ningún fragmento suelto.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.