Instagram embed

Qué carga realmente un embed de Instagram

Un embed de Instagram es la forma oficial de mostrar una publicación pública, un reel, un highlight o un perfil dentro de otra web. La integración combina un iframe apuntando al dominio instagram.com y un pequeño archivo JavaScript (embeds.js) alojado en la infraestructura de Meta. En cuanto se carga el iframe, el navegador del visitante contacta con instagram.com, que lee y escribe los mismos identificadores que Instagram utiliza en su propia plataforma (datr, fr, ig_did, mid y la variante c_user si el visitante está conectado). Incluso un embed aparentemente pasivo es un contacto directo con Meta con los mismos flujos de datos que una visita a instagram.com.

Qué datos comparte el embed con Meta

Meta recibe la dirección IP del visitante, el User Agent, el idioma, la URL de referencia (su página) y todas las cookies ya instaladas en instagram.com. Si el visitante está conectado a Instagram o Facebook, Meta recibe además el identificador de cuenta (c_user) y puede reidentificar al visitante en toda la web abierta. El embed se convierte así en una pieza de la infraestructura de tracking de Meta en su dominio. Sin ningún píxel de Meta, el embed básico ya basta para asociar la visita a su página con una cuenta de Meta y alimentar su grafo publicitario.

RGPD, ePrivacy y Schrems II

El embed de Instagram no puede acogerse a la exención de estricta necesidad del artículo 5(3) de la Directiva ePrivacy porque no es indispensable para el servicio solicitado. Requiere consentimiento previo, informado y granular. A ello se suma la transferencia a Meta Platforms Inc en Estados Unidos, una transferencia conforme al capítulo V del RGPD. El TJUE en Schrems II (C 311/18) invalidó el Privacy Shield y los reguladores europeos (CNIL, autoridades alemanas, Garante italiano, EDPB) consideran que compartir datos con Meta conlleva un riesgo residual significativo incluso bajo el Marco UE EE. UU. de Privacidad de Datos, por las leyes de vigilancia estadounidenses (FISA 702, Executive Order 12333).

Requisitos de consentimiento y patrón de doble clic

El patrón recomendado es el embed en doble clic (click to load). El embed se sustituye por un placeholder estático hasta que el visitante acepta de forma explícita. El placeholder debe indicar claramente que el contenido procede de Instagram, que cargarlo transfiere datos personales a Meta en EE. UU. y que el visitante puede rechazarlo. La aceptación debe ser opt in (sin casillas premarcadas), tan fácil de rechazar como de aceptar, y revocable mediante un panel de consentimiento persistente. La CNIL ha sancionado a varios operadores franceses por cargar embeds de Meta antes del consentimiento.

EIPD y evaluación de riesgo

Dado que el embed de Instagram combina un tratamiento a gran escala por parte de Meta, perfiles que pueden revelar datos sensibles (orientación sexual, opiniones políticas, religión a través de las cuentas consultadas) y una transferencia internacional de alto riesgo, la EIPD es obligatoria en muchos Estados miembros. Debe documentar la necesidad, la proporcionalidad de los datos compartidos, las garantías existentes (consentimiento, DPF, CCT, click to load) y las alternativas valoradas. Los operadores en sectores regulados (salud, educación, sector público) deberían en general evitar el embed.

Cumplimiento práctico y alternativas más seguras

Implemente un placeholder click to load, exponga Instagram en su banner de consentimiento como proveedor de redes sociales o publicidad y dispare el embed solo tras un consentimiento granular. Documente el tratamiento en el registro de actividades y actualice la política de privacidad con el enlace a las condiciones de Meta y la lista de cookies instaladas por instagram.com. Las alternativas más seguras incluyen alojar una captura del post en su propia CDN, usar una imagen estática con enlace a la URL de Instagram, o recurrir a APIs oficiales de prensa que entregan el contenido sin que el navegador del visitante contacte con Meta.