Audita los rastreadores de tu web antes de que lo haga la AEPD
Cada píxel de marketing que instalas es un contrato de cesión de datos que firmas en nombre de cada visitante. La normativa europea trata cada vez más al responsable del sitio, no a la plataforma, como quien debe dar la cara por él.
Instala un solo píxel de marketing y habrás tomado una decisión en nombre de cada persona que cargue tu web a partir de ahora, y esa decisión afecta a sus datos, no a los tuyos. El fragmento de código se sienta en la cabecera de tu página, se dispara antes de que nadie lea una sola palabra, y envía señales de comportamiento a un tercero que jamás vas a inspeccionar. Si nunca te has sentado a auditar los rastreadores de tu propia web, estás operando una exportación de datos que no controlas y que no sabrías describir. Es una relación con un proveedor que firmaste a ciegas, y debería estar en el mismo registro de riesgos que cualquier otra.
Sigue el mecanismo, porque el mecanismo es todo el argumento. Un píxel de rastreo es código que controla el proveedor, ya sea una etiqueta JavaScript o una simple petición de imagen, que el navegador de tu visitante carga bajo la confianza de tu dominio. Lee lo que se le ha dicho que lea y lo envía adonde se le ha dicho que lo envíe. Tú no recibes copia ni justificante. Consumer Reports, en colaboración con la firma Disconnect, escaneó unos 20.000 sitios web y encontró a cientos de organizaciones cediendo en silencio datos de sus visitantes a TikTok, incluidos datos de personas que nunca han instalado la aplicación. Nadie entró a robar nada: fueron los propios sitios quienes incrustaron el código, y la plataforma se limita a recibir lo que el operador aceptó enviarle.
¿Por qué un rastreador invisible te convierte en responsable del tratamiento?
Porque basta con determinar que la recogida ocurre, aunque tú nunca toques el dato. El Tribunal de Justicia de la Unión Europea resolvió en el caso Fashion ID que el operador de un sitio web que incrusta el complemento social de un tercero puede ser corresponsable del tratamiento de la recogida y transmisión de datos de sus visitantes, aunque nunca llegue a acceder a esos datos. Para España, como Estado miembro, esa sentencia no necesita ningún trámite de recepción: se aplica de forma directa e inmediata, y el artículo 26 del RGPD recoge exactamente ese test de corresponsabilidad. Resulta casi irónico que en el Reino Unido, tras el Brexit, esa misma jurisprudencia solo sobreviva como derecho retenido en virtud de la European Union (Withdrawal) Act 2018 británica, mientras que en España se aplica sin necesidad de ese andamiaje. Y en el Reino Unido, la guía de la ICO, su autoridad de protección de datos, sobre responsables y encargados del tratamiento aplica el mismo criterio. Una salvedad importante: ni la AEPD ni ningún tribunal español han dictado todavía una resolución que aplique expresamente esta lógica a un rastreador de marketing, así que lo que sigue es una lectura razonada, no derecho ya asentado. Con esa lectura, si decidiste el medio de recogida, cargas con la responsabilidad de la recogida en sí, aunque no necesariamente con lo que el destinatario haga después con el dato, y la defensa habitual (que fue el proveedor quien recogió el dato) se debilita en cuanto un inspector pregunta quién decidió que el script del proveedor corriera en esa página.
Aquí es donde la economía juega en contra de la mayoría de los stacks de marketing. El flujo de datos no cuesta nada añadir y es invisible en la cuenta de resultados, así que se acumula. Un píxel para atribución, otro para retargeting, una herramienta de mapas de calor, un widget de chat que llama a casa. Cada uno es una decisión defendible por separado. Juntos forman una red de distribución del comportamiento de tus visitantes que nadie en la empresa podría reconstruir de memoria. El pasivo es real y el flujo es invisible, y nadie le ha puesto precio a ninguno de los dos.
¿Cómo se audita los rastreadores de terceros de una web?
Trátalo como una revisión de proveedores, porque es exactamente eso. Abre el panel de red del navegador, o usa un escáner como Blacklight de The Markup, y carga cada página relevante en una sesión limpia, sin caché. Anota cada dominio externo al que llega una petición. Para cada uno, identifica el proveedor, la finalidad y la base de legitimación que invocarías si te lo preguntaran. Después revisa el momento exacto, que es la parte que casi todo el mundo se salta: comprueba si el rastreador se dispara antes de que el visitante haya dado su consentimiento. Una petición a www.facebook.com/tr/ (el píxel de Meta) o a analytics.tiktok.com que se activa al cargar la página, antes de que tu plataforma de consentimiento haya escrito la cookie de aceptación, es exactamente el patrón que hay que marcar, porque el banner que tienes delante no está haciendo nada. Todo lo que recoja datos antes del consentimiento, o que nadie en la sala sepa explicar, se elimina. Mantén el registro, fecha cada revisión y repítela con calendario fijo, porque el script puede cambiar sin que nadie toque tu código.
¿Puede un proveedor cambiar lo que recoge tu píxel después de instalarlo?
La parte incómoda de gobernar los rastreadores es que lo que auditaste el trimestre pasado no tiene por qué ser lo que corre hoy. El script de un proveedor hace lo que el proveedor decida en cada momento, y esa decisión vive en su servidor, no en tu repositorio. El alcance es un ajuste que alguien puede cambiar en remoto, así que conviene tratar el píxel de tu cabecera como código que puede redirigirse sin tu visto bueno.
Aquí es donde el marco español tiene más mordiente de lo que muchos equipos de marketing han notado. Los rastreadores no esenciales están regulados por el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información (LSSI) además del RGPD, en la misma línea que en el Reino Unido regula la PECR: la propia ICO británica es explícita al exigir que el consentimiento se obtenga antes de instalar o leer cookies y tecnologías similares no esenciales, principio que la AEPD aplica igual en su guía sobre el uso de cookies. Una etiqueta que se dispara al cargar la página, antes de que el usuario responda al banner, ya incumple la norma, lo que convierte el disparo previo al consentimiento en un riesgo sancionador, no en un matiz de estilo.
Traslada el hallazgo al contrato. Un acuerdo de encargo de tratamiento no debería limitarse a prometer cuidado con los datos una vez recogidos: debe limitar lo que un script puede recoger desde el principio. Una redacción que puedes adaptar en el anexo de un proveedor diría algo así: «el encargado no recogerá, leerá ni transmitirá datos personales mediante scripts incrustados más allá de los campos y finalidades del Anexo X, no lo hará antes de que el responsable haya registrado el consentimiento del interesado, y no ampliará ese alcance sin la autorización previa y por escrito del responsable». Si un proveedor no acepta una cláusula así, trata esa negativa como información relevante y ponle precio a la hora de decidir si trabajas con él.
Así que las consecuencias de segundo orden aterrizan en compras y contratos, no en el calendario editorial de marketing. Esta es una cuestión de estrategia técnica antes que legal, porque la solución es arquitectónica: conoce cada flujo de salida, condiciónalo a un consentimiento real, y trata cada script de proveedor como código no fiable que has elegido confiar. La misma disciplina que mantiene la capacidad automatizada bajo control humano, un principio que en España empieza a vigilar también AESIA para los sistemas de IA, se aplica al martech que ya tienes en producción. El instrumento de la recogida está en tu propia web, con tu nombre en la decisión de cargarlo, y alegar que no conocías tu propia cabecera no es una defensa que un inspector tenga por qué aceptar.
Preguntas frecuentes
¿Puede un píxel de seguimiento recoger datos antes de que el visitante acepte las cookies?
Sí, y muchos lo hacen. Los scripts colocados en la carga de la página se disparan en cuanto el navegador los alcanza, a menudo antes incluso de que se renderice el banner de consentimiento. La AEPD exige que el consentimiento se obtenga antes de instalar o leer rastreadores no esenciales, así que un píxel que recoge datos antes del consentimiento deja el banner en algo puramente decorativo, y es de lo primero que debe detectar y bloquear una auditoría de rastreadores.
¿Somos responsables si un píxel de un tercero hace mal uso de los datos de nuestros visitantes?
Con la lógica de la sentencia Fashion ID, de aplicación directa en España como Estado miembro de la UE, el operador que incrusta un mecanismo de recogida de un tercero puede ser corresponsable del tratamiento de la recogida y la transmisión que hace posible, aunque nunca acceda al dato. Ni la AEPD ni ningún tribunal español han aplicado todavía esa lógica a un rastreador de marketing en concreto, así que conviene tratarlo como un riesgo vivo y no como derecho ya asentado. La responsabilidad suele limitarse a las operaciones cuya finalidad y medios decides tú, pero elegir cargar el píxel es precisamente una de esas decisiones.
¿Cada cuánto hay que repetir una auditoría de rastreadores de terceros?
Trátala como algo continuo, no anual. Los scripts de los proveedores se actualizan en remoto sin tocar nada de tu código, así que un alcance que aprobaste una vez puede ampliarse sin aviso. Repite el escaneo con calendario fijo y siempre después de cualquier cambio en tu gestor de etiquetas o en tus herramientas de marketing.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.