Resumen
El TikTok Pixel instala cookies de marketing en tu sitio en cuanto se carga, antes de que el usuario haya dado su consentimiento. Sin una configuración específica, esto infringe el RGPD y la Directiva ePrivacy. Para cumplir la normativa, tu CMP debe bloquear el Pixel hasta que el usuario haya aceptado las cookies de marketing. El consentimiento debe ser previo, libre y estar documentado.
¿Qué es el TikTok Pixel y qué cookies instala?
El TikTok Pixel es un fragmento de JavaScript que los anunciantes integran en su sitio para medir conversiones y segmentar audiencias en TikTok Ads. Instala cookies en cuanto se carga, independientemente de la elección del usuario.
Las dos cookies principales son _ttp (una cookie propia con una duración de 13 meses, que identifica al usuario para la segmentación y la medición de conversiones de TikTok) y _tt_enable_cookie (una cookie de sesión que indica que el seguimiento de TikTok está activo). Ambas pertenecen a la categoría de marketing: alimentan los algoritmos de segmentación publicitaria de TikTok.
En modo Events API (del lado del servidor), TikTok puede recibir datos sin cookies del navegador. Esto no elimina la obligación de consentimiento: si los datos transmitidos pueden identificar al usuario (email cifrado con hash, número de teléfono, dirección IP), sigue siendo necesario el consentimiento previo.
¿El TikTok Pixel cumple el RGPD por defecto?
No. En su configuración estándar, el TikTok Pixel no cumple el RGPD para los visitantes del Espacio Económico Europeo.
Primer problema: cookies de marketing instaladas sin consentimiento previo. El Pixel se carga al abrir la página e instala cookies antes de cualquier interacción del usuario con un banner de consentimiento. Es una infracción directa de la Directiva ePrivacy y del RGPD.
Segundo problema: transferencia de datos personales a terceros países. TikTok (ByteDance) trata datos personales en servidores, algunos de los cuales se encuentran fuera del EEE. Esta transferencia requiere una base jurídica adecuada. Varias autoridades europeas de protección de datos han adoptado decisiones que restringen el uso de TikTok en contextos profesionales.
La situación es similar a la del Meta Pixel: las herramientas de seguimiento publicitario de las grandes plataformas no cumplen el RGPD sin un bloqueo explícito antes del consentimiento.
Cómo bloquear el TikTok Pixel antes del consentimiento
El cumplimiento del RGPD exige que el TikTok Pixel no se cargue hasta que el usuario haya dado su consentimiento a las cookies de marketing. Hay dos métodos principales.
Mediante tu CMP (método recomendado)
El enfoque más fiable es utilizar una plataforma de gestión del consentimiento (CMP) que bloquee automáticamente los scripts sin consentimiento. FlowConsent detecta el TikTok Pixel en tu código y lo bloquea hasta obtener un consentimiento explícito de marketing. El script solo se carga si el usuario acepta la categoría de marketing, y en el momento en que lo hace.
Una condición esencial: el código del Pixel no debe insertarse directamente en el HTML de la página fuera de tu CMP. Cualquier código de TikTok integrado fuera de la CMP se salta el bloqueo.
Mediante Google Tag Manager
Si despliegas el TikTok Pixel a través de GTM, configura la etiqueta con un activador condicional basado en la señal de consentimiento de marketing de tu CMP. La etiqueta solo debe activarse cuando la variable de consentimiento de marketing esté en "granted".
Si tu CMP es compatible con Consent Mode v2, puedes usar la señal marketing_storage: denied como condición de bloqueo en GTM. Consulta la guía de GTM y Consent Mode v2 para conocer los detalles de implementación.
TikTok Pixel y Consent Mode v2: lo que debes saber
Consent Mode v2 es un mecanismo desarrollado por Google que permite a las etiquetas de Google adaptar su comportamiento según el consentimiento del usuario. TikTok no tiene un equivalente nativo a este estándar.
En la práctica, esto significa que, sin consentimiento de marketing, el TikTok Pixel no debe cargarse en absoluto. No existe en TikTok un modo degradado equivalente al modo avanzado de Google (pings anónimos sin cookies). Si se rechaza el consentimiento, el Pixel debe bloquearse por completo.
TikTok ofrece una integración mediante la Events API que envía eventos de conversión desde tu servidor. Este enfoque del lado del servidor no te exime de la obligación de consentimiento: si los datos enviados incluyen identificadores personales (email cifrado con hash, número de teléfono, dirección IP), se requiere el consentimiento previo del usuario antes de cualquier transmisión.
¿Qué datos transmite el TikTok Pixel y cuáles son los riesgos para el RGPD?
Además de las cookies, el TikTok Pixel puede transmitir datos de Advanced Matching: dirección de email, número de teléfono, nombre, apellidos, ciudad, región, código postal, país. Estos datos se cifran con hash en el lado del cliente antes de enviarse, pero siguen siendo datos personales según el RGPD.
La base jurídica aplicable suele ser el consentimiento (art. 6.1.a RGPD). Esto refuerza la obligación de bloquear el Pixel antes de que el usuario haya aceptado las cookies de marketing, aunque no utilices Advanced Matching.
Sobre las transferencias fuera del EEE: TikTok se ha comprometido a almacenar los datos de los usuarios europeos en servidores ubicados en Europa en el marco del proyecto PDPA (Project Clover). Este marco se está implantando de forma progresiva. Consulta las condiciones de tratamiento de datos de TikTok Ads vigentes en el momento de tu revisión de cumplimiento.
Errores frecuentes con el TikTok Pixel y el RGPD
Insertar el Pixel directamente en el HTML sin CMP. El código del TikTok Pixel añadido al head de la página sin condición de consentimiento se carga para todos los visitantes, incluidos los que aún no han visto el banner o lo han rechazado.
Dar por hecho que TikTok gestiona el cumplimiento por ti. TikTok no recoge el consentimiento de tus visitantes. Esa es tu responsabilidad como responsable del tratamiento.
Usar la Events API sin recoger el consentimiento. La transmisión desde el servidor de datos identificativos sin consentimiento previo es una infracción del RGPD, aunque no se instale ninguna cookie en el navegador.
No documentar el consentimiento. La prueba del consentimiento es una obligación del RGPD. Tu CMP debe registrar la fecha, la hora y las elecciones de cada visitante.
Omitir el TikTok Pixel en la política de cookies. Las cookies _ttp y _tt_enable_cookie deben figurar en tu política de cookies con su finalidad, su duración y la mención de la transferencia a TikTok.
Checklist: TikTok Pixel conforme al RGPD
- El TikTok Pixel está bloqueado antes del consentimiento (el script no se carga sin consentimiento de marketing).
- El banner de cookies incluye una categoría de marketing diferenciada con una opción de rechazo visible.
- El botón Rechazar es tan visible como el botón Aceptar.
- Las cookies _ttp y _tt_enable_cookie figuran en la política de cookies con su finalidad y su duración.
- El plazo de conservación (_ttp: 13 meses) está documentado.
- La transferencia a TikTok (datos posiblemente fuera del EEE) se menciona en la política.
- Si utilizas Advanced Matching, el consentimiento cubre la transmisión de datos personales cifrados con hash.
- Si utilizas la Events API, se recoge el consentimiento previo antes de enviar cualquier dato identificativo.
- La prueba del consentimiento se conserva y puede recuperarse en caso de inspección de la autoridad.
- El Pixel se desactiva si el usuario retira su consentimiento o lo rechaza en una visita posterior.
Conclusión
El TikTok Pixel, como cualquier herramienta de seguimiento publicitario, debe bloquearse antes del consentimiento y activarse solo si el usuario acepta las cookies de marketing. No existe un modo conforme sin banner para el TikTok Pixel. El cumplimiento requiere una CMP que bloquee los scripts, un banner de cookies conforme al RGPD con una opción de rechazo clara y un consentimiento documentado.
Analiza tu sitio con el escáner gratuito de FlowConsent para comprobar si el TikTok Pixel se bloquea correctamente antes del consentimiento e identificar todos los rastreadores instalados en tu sitio.