Facebook Login (Iniciar sesion con Facebook)

Que hace Facebook Login y como aparece en una web

Facebook Login es el servicio de autenticación OAuth 2.0 y OpenID Connect de Meta. Un sitio incluye el botón Iniciar sesión con Facebook cargando el SDK JavaScript de Meta (sdk.js desde connect.facebook.net) o usando directamente el diálogo Facebook Login. Tras autorizar los permisos solicitados (email, perfil publico, lista de amigos, franja de edad, preferencias de marketing), Meta devuelve un token con el que el sitio consulta el Graph API.

En la practica, el editor decide que permisos solicitar, si guardar la ID de Facebook localmente y como combinar los datos de Facebook con el resto del perfil. Cada decisión tiene consecuencias RGPD directas.

Cookies y datos recopilados por Facebook Login

Facebook Login coloca varias cookies en el dominio tercero .facebook.com: c_user (id del usuario conectado), xs (sesión), datr (identificador de navegador, 2 años), sb (seguridad), fr (identificador publicitario, 90 días) y otras. En el dominio del editor, Meta puede guardar un token de Facebook Login en localStorage (fblo_<APP_ID>) y un parámetro state efímero para el handshake OAuth. Las llamadas al Graph API transmiten IP, User-Agent, permisos solicitados y App ID a los servidores Meta.

Implicaciones RGPD y ePrivacy

Cargar el SDK de Meta antes de que el usuario pulse Login con Facebook se considera por varias autoridades europeas (CNIL Francia, Datenschutzbehoerde Austria, AEPD España) un plugin social que requiere consentimiento previo según el artículo 5.3 ePrivacy. La decisión del Bundeskartellamt sobre Meta, confirmada por el TJUE C-252/21 (4 de julio de 2023), exige consentimiento, no interés legítimo, para combinar datos de Facebook con datos fuera de la plataforma. El editor y Meta son corresponsables del tratamiento iniciado por el botón.

Transferencias internacionales

Meta Platforms Inc. (EE. UU.) esta certificada bajo el EU-US Data Privacy Framework. El DPA de Meta incorpora cláusulas contractuales tipo para países fuera del marco. Tras la decisión de la Autoridad irlandesa de protección de datos de 22 de mayo de 2023, Meta ha acelerado su EU Data Center (Irlanda, Dinamarca, Suecia, España) pero la verificación de identidad sigue pasando por infraestructura estadounidense. Se recomienda una evaluación de impacto de transferencias.

Consentimiento y base legal

El consentimiento (artículo 6.1.a del RGPD) se requiere para la carga inicial del SDK de Meta y para el intercambio amplio de datos. La necesidad contractual (artículo 6.1.b) puede cubrir el tratamiento estrictamente vinculado a la autenticación tras pulsar el botón. Cualquier permiso opcional (amigos, audiencias marketing, audiencias personalizadas) requiere consentimiento granular separado.

Pasos prácticos de cumplimiento

Cargar el SDK de Meta solo tras consentimiento explícito, configurar la app de Facebook para pedir los permisos mínimos, almacenar solo la ID de Facebook y los datos estrictamente necesarios, documentar la corresponsabilidad mediante el Meta Joint Controller Addendum, mencionar a Meta como destinatario en la política de privacidad, ofrecer un método de login alternativo (email/contraseña u otro SSO) y un procedimiento sencillo de desconexion y eliminación de la ID de Facebook.