Facebook SDK

El SDK de Facebook escribe la cookie de origen _fbp con el identificador de navegador del Píxel de Meta y una duración de 90 días así como una cookie _fbc que captura la atribución de clic a partir del parámetro fbclid. Cuando el visitante tiene sesión iniciada en Facebook, el SDK lee o escribe las cookies de terceros fr (90 días, publicidad), datr (2 años, seguridad e identificación), c_user (90 días, identidad) y xs (sesión, identidad) en el dominio facebook.com. Todas estas cookies son no esenciales y requieren consentimiento previo.

Sí, el consentimiento es estrictamente obligatorio. El SDK carga scripts que depositan cookies y transmiten datos personales a Meta con fines publicitarios, lo que constituye un tratamiento no esencial conforme al art 5(3) de la Directiva ePrivacy, al art 22.2 de la LSSI CE y al art 6(1)(a) RGPD. El script debe permanecer bloqueado hasta que el usuario otorgue un consentimiento libre, específico, informado e inequívoco a través de una plataforma de gestión conforme. El rechazo debe ser tan sencillo como la aceptación.

La única base jurídica válida es el consentimiento explícito del usuario conforme al art 6(1)(a) RGPD. El interés legítimo no puede invocarse porque el Comité Europeo de Protección de Datos confirmó en 2023 que Meta no puede basarse en el interés legítimo ni en el contrato para la publicidad personalizada. Los operadores deben documentar la prueba de consentimiento, incluido el horodato, alcance y versión de la política, y entregarla a la autoridad de control cuando se solicite.

Para los usuarios del EEE el responsable es Meta Platforms Ireland Limited en Dublín, pero los datos se replican a Meta Platforms Inc en Estados Unidos. Las transferencias se basan en el Marco de Privacidad de Datos UE EE UU adoptado en julio de 2023 y en las cláusulas contractuales tipo con medidas suplementarias. El marco sigue siendo controvertido tras la sentencia Schrems II y la DPC irlandesa sanciónó a Meta con 1.200 millones de euros en 2023 por transferencias ilícitas. Es necesaria una evaluación de impacto de las transferencias.

Sí, una Evaluación de Impacto en la Protección de Datos es obligatoria conforme al art 35 RGPD porque el tratamiento implica supervisión sistemática, elaboración de perfiles, tratamiento a gran escala y transferencias a un país tercero. La EIPD debe describir los flujos de datos, identificar los riesgos para los interesados, evaluar la necesidad y proporcionalidad del tratamiento y definir medidas de mitigación como una CMP conforme, integración del lado servidor mediante la API de Conversiones, truncamiento de IP y una política de conservación documentada.

Despliegue el SDK únicamente tras obtener el consentimiento mediante una plataforma de gestión conforme con IAB TCF v2.2. Si el Píxel de Meta se despliega a través de Google Tag Manager, configure Consent Mode v2 con las señales ad_storage y ad_user_data. Priorice la integración del lado servidor con la API de Conversiones para reducir la exposición del navegador, aplique truncamiento de IP y hasheo de identificadores en el servidor, y documente todo en el registro de actividades de tratamiento conforme al art 30 RGPD.

Las alternativas conformes incluyen la integración del lado servidor con la API de Conversiones sin SDK de navegador, el seguimiento de origen mediante una plataforma de analítica respetuosa con la privacidad, soluciones de publicidad contextual sin datos personales, autenticación nativa mediante proveedores OpenID Connect establecidos en la UE y la incrustación de contenidos sociales mediante previsualizaciones estáticas en lugar de iframes que carguen facebook.com. Cada alternativa reduce o elimina la dependencia de las cookies de Meta y las transferencias internacionales.

Enumere cada cookie depositada por el SDK con nombre, finalidad, duración y categoría, identifique a Meta Platforms Ireland Limited y Meta Platforms Inc como corresponsables o encargados según corresponda, mencione el mecanismo de transferencia (DPF y CCT), describa los derechos de los interesados incluida la oposición y la supresión, enlace a la política de privacidad de Meta y explique cómo retirar el consentimiento. Revise la política al menos una vez al año o cuando Meta actualice su SDK.