Twitter Analytics

Las páginas con widgets X o el píxel X escriben cookies desde x.com y twitter.com. Se encuentran guest_id (identificación del visitante, unos dos años), personalization_id (segmentación entre sitios, unos dos años), ct0 (token CSRF, de seis horas a un año), twid (id del usuario autenticado, persistente), lang (idioma) y _twitter_sess (sesión). Todas se emplean para seguimiento, publicidad y analítica.

Sí. Las cookies entran en el art. 5(3) ePrivacy y en el art. 22.2 LSSI y constituyen perfilado del art. 22 RGPD. Los operadores deben recoger un consentimiento previo, libre, específico, informado e inequívoco antes de cargar las etiquetas X. Un simple aviso o un consentimiento implícito no bastan según las directrices CEPD 03/2022 y la sentencia Planet49.

Solo el consentimiento del art. 6(1)(a) RGPD es viable. El interés legítimo del art. 6(1)(f) queda descartado por el perfilado sistemático, el alcance entre sitios del grafo X y la transferencia internacional. La ejecución contractual (6(1)(b)) tampoco aplica porque el visitante no tiene contrato con el sitio que incrusta las cookies de X.

Sí. X Corp trata los datos en Estados Unidos y se retiró del EU US Data Privacy Framework en mayo de 2023. Las transferencias se apoyan en cláusulas contractuales tipo con medidas suplementarias. Tras Schrems II (C 311/18) es obligatoria una evaluación de impacto de transferencia que cubra FISA 702 y EO 12333.

Una EIPD del art. 35 RGPD es altamente recomendable porque el tratamiento combina perfilado a gran escala, seguimiento entre sitios y transferencia a un tercer país sin decisión de adecuación. La EIPD debe cubrir garantías técnicas, corresponsabilidad, plazos de conservación y derecho de oposición, conforme a la lista AEPD de tratamientos de alto riesgo.

Bloquee por defecto los widgets X y el píxel en el gestor de etiquetas, exponga una categoría de consentimiento granular, cargue los scripts X solo tras el opt in, documente la corresponsabilidad con X Corp, firme el adenda de tratamiento del píxel X y realice una evaluación de transferencia. Conserve el registro del consentimiento y ofrezca una retirada en un clic.

Para medir audiencias, soluciones europeas como Matomo, Plausible, Piwik PRO o AT Internet (Piano Analytics) aportan análisis comparables con modos sin consentimiento. Para la medición social pueden valorarse Buffer Analyze, Hootsuite, Iconosquare o las analíticas nativas de LinkedIn y Mastodon, idealmente con capturas estáticas en lugar de embeds X dinámicos.

Indique a X Corp como destinatario externo con transferencia a EE. UU., enumere las cookies (guest_id, personalization_id, ct0, twid, lang, _twitter_sess) con sus plazos, enlace a la política de privacidad de X y explique cómo retirar el consentimiento. Actualice la política siempre que añada o retire un widget o el píxel de X.