Píxeles y scripts de terceros: qué datos salen de tu sitio

Un píxel o etiqueta de terceros envía datos del visitante al proveedor en el momento en que se carga, antes de cualquier clic. Según la documentación oficial de cada uno, el Meta Pixel puede enviar lo que va en las cabeceras HTTP (dirección IP, navegador, página, referencia), un identificador en una cookie, los botones en los que se hizo clic y los nombres de los campos de formulario; el Google tag de GA4 registra páginas vistas, desplazamiento, clics de salida, descargas y formularios con un identificador en una cookie de dos años; el TikTok Pixel recoge IP, user agent, hora, metadatos de la página y clics; y un grabador de sesión como Microsoft Clarity registra movimientos del ratón, clics y desplazamiento para reconstruir la visita. En la LGPD (Lei Geral de Proteção de Dados, la ley de protección de datos de Brasil), eso es dato personal siempre que se pueda llegar a una persona identificable, y el identificador por navegador suele permitirlo. Para los píxeles de publicidad, la guía de la ANPD, el regulador brasileño, indica el consentimiento. En la práctica, el script solo puede cargarse después de la aceptación, y el sitio tiene que saber a quién van los datos, a qué país y con qué papel actúa cada proveedor.

Este texto explica la LGPD, las normas y guías de la ANPD y la documentación de los proveedores a partir de las fuentes listadas al final, consultadas el 26 de octubre de 2026. Las citas de la ley y de las guías de la ANPD son traducciones del portugués. No es asesoramiento jurídico: la configuración de cada sitio cambia lo que se envía, y el análisis del caso concreto corresponde al controlador y a su equipo jurídico.

Qué es un píxel, una etiqueta y un script de terceros

Un script de terceros es cualquier código JavaScript cargado desde un dominio que no es el del sitio. Píxel es el nombre que las redes publicitarias dan a su script de medición. Etiqueta (tag) es el nombre genérico que usan Google y los gestores de etiquetas, como Google Tag Manager, que cargan varios de esos scripts a partir de uno solo.

Todos funcionan igual: el navegador del visitante hace peticiones al servidor del proveedor. La petición por sí sola ya lleva la dirección IP y el user agent (el texto que identifica el navegador y el sistema), y el script añade lo que se programó para enviar. La guía sobre LGPD, cookies y consentimiento explica por qué eso ya es uso compartido de datos. Aquí el foco es el contenido del envío.

Qué recoge cada herramienta, según el propio proveedor

La tabla resume las categorías descritas en la documentación oficial de cada proveedor. No mide lo que envía tu sitio: eso depende de la configuración, de los eventos creados y de las funciones activadas.

Meta Pixel

La documentación del Meta Pixel enumera cinco categorías que el píxel "puede recoger": cabeceras HTTP (con IP, información del navegador, página, documento y referencia), datos del píxel (ID del píxel y la cookie de Facebook), clics en botones con sus etiquetas y las páginas visitadas después, valores opcionales que el sitio decide enviar y nombres de campos de formulario, como email o address. Meta dice que no captura el valor de esos campos, salvo que formen parte de la coincidencia avanzada o de los valores opcionales.

La cookie _fbp guarda un identificador único en el dominio del sitio, con un número aleatorio generado por el píxel; la _fbc guarda el fbclid, un parámetro que Meta añade a la URL cuando alguien hace clic en un anuncio en Facebook o Instagram (documentación de fbp y fbc). La coincidencia avanzada envía correo, teléfono, nombre, fecha de nacimiento, género, ciudad, estado, código postal y país, y el píxel aplica hash SHA-256 al correo antes del envío.

Google tag y GA4

Google Analytics 4 recoge sin código adicional los eventos first_visit, session_start y user_engagement, y, con la medición mejorada (enhanced measurement) activada, página vista, desplazamiento, clic de salida, descarga, formularios, vídeo y búsqueda interna. Todo evento lleva idioma, dirección de la página, página de referencia, título y resolución de pantalla (eventos recogidos automáticamente). Las cookies _ga y _ga_<id> sirven para distinguir usuarios y mantener la sesión, con una validez por defecto de dos años (uso de cookies de GA4).

Dos puntos de la documentación de Google piden atención:

• Google dice que en GA4 las direcciones IP "no se registran ni se almacenan" (anonimización de IP). La IP sigue llegando al servidor de Google en la petición; lo que cambia es el almacenamiento.

• La política de Analytics prohíbe enviar a Google información que pueda usar para identificar a la persona, como el correo y el teléfono, y señala dónde se filtra sin querer: URL con parámetros, título de la página, texto escrito en búsquedas y formularios, parámetros utm_ (buenas prácticas para evitar PII). El concepto de "PII" de Google es más estrecho que el de dato personal de la LGPD. Seguir la política de Google no resuelve la cuestión en Brasil.

TikTok Pixel

La página del TikTok Pixel (actualizada en junio de 2026) enumera: información del anuncio en el que se hizo clic o del evento disparado, hora, dirección IP "para determinar la ubicación geográfica de un evento", user agent para marca, modelo, sistema y navegador, cookies, y metadatos de la página con microdatos estructurados, rendimiento y clics en botones. Sobre las cookies, el texto dice que las propias son opcionales y que las de terceros vienen activadas por defecto.

Grabadores de sesión: el ejemplo de Microsoft Clarity

Las herramientas de grabación de sesión, como Microsoft Clarity y Hotjar, reconstruyen la visita para verla después. El ejemplo aquí es Clarity porque su documentación es abierta y detallada. Captura "cómo se está dibujando la página" y las interacciones, como movimientos del ratón, clics y desplazamiento (preguntas frecuentes de Clarity). Usa la IP para la geolocalización, guarda los datos en Azure y conserva las grabaciones 30 días, con las favoritas y una muestra aleatoria guardadas hasta 9 meses.

El enmascaramiento ocurre en el navegador, antes del envío. El modo por defecto es el equilibrado, que oculta números y correos; el estricto oculta todo el texto; el relajado no oculta nada aparte de los campos de entrada y las listas desplegables, que quedan enmascarados en cualquier modo. Clarity guarda cookies propias (_clck y _clsk, con un ID seudónimo del usuario) y cookies en dominios de Microsoft, entre ellas MUID, que la propia documentación describe como usada "para publicidad, análisis de sitios y otros fines operativos" (lista de cookies). Desde el 31 de octubre de 2025, Clarity exige una señal de consentimiento para las visitas del Espacio Económico Europeo, el Reino Unido y Suiza. Esa exigencia es del proveedor para esas regiones; no dice nada sobre Brasil.

Cuándo estos datos son personales en la LGPD

Dato personal es "información relacionada con una persona natural identificada o identificable" (LGPD, art. 5º, I). Identificable es la palabra que importa aquí: el proveedor no necesita saber el nombre de la persona. Un identificador que sigue al mismo navegador entre páginas, visitas y sitios, sumado a la IP, el dispositivo y el historial de navegación, permite llegar a alguien.

Tres reglas de la ley marcan la frontera:

• Dato anonimizado es el que no permite identificar al titular "considerando el uso de medios técnicos razonables y disponibles en el momento de su tratamiento" (art. 5º, III).

• El dato anonimizado deja de ser dato personal, salvo que la anonimización pueda revertirse con esfuerzos razonables o con medios propios de quien la hizo (art. 12).

• Los datos "utilizados para la formación del perfil de comportamiento de una determinada persona natural, si está identificada" también pueden considerarse datos personales (art. 12, § 2º).

La guía de cookies de la ANPD (pp. 8 y 9) lo aplica directamente: la información recogida por cookies puede permitir la identificación indirecta "mediante, por ejemplo, la realización de inferencias y el cruce con otra información", y el perfil de comportamiento asociado a una persona es dato personal.

En la lectura de este texto, dos casos comunes no escapan a la ley:

• Correo con hash. El hash SHA-256 de un correo es siempre el mismo para la misma dirección. La coincidencia avanzada existe justamente para emparejar ese valor con una cuenta en la plataforma, es decir, para identificar. Eso no es anonimización en el sentido del art. 12.

• IP que no se guarda. Sigue viajando y puede usarse en el momento de la recogida, por ejemplo para la geolocalización. No guardarla reduce el riesgo; no elimina el tratamiento, que incluye la recogida y el uso (art. 5º, X).

Controlador, operador o ambos

Controlador es quien toma las decisiones sobre el tratamiento; operador es quien trata datos en nombre del controlador (art. 5º, VI y VII) y sigue sus instrucciones (art. 39). La guía de la ANPD sobre agentes de tratamiento (versión 2.0, abril de 2022) dice que el papel se define por el poder de decisión en el caso concreto, no por la etiqueta del contrato.

El dueño del sitio decide instalar el píxel, elige los eventos y define para qué va a usar los datos. Por eso, respecto a la recogida en tu sitio, es controlador. La duda es el papel del proveedor, y su documentación da la primera pista:

• Las Condiciones de las Herramientas para Empresas de Meta (vigentes desde el 3 de noviembre de 2025) dicen que, fuera de los regímenes europeo y británico, el anunciante es controlador y Meta actúa como operadora en los servicios de coincidencia, medición y análisis. Las mismas condiciones prevén que Meta use los datos de eventos para mejorar la entrega de anuncios (después de agregarlos a otros datos), personalizar funciones y contenido y mejorar sus propios productos.

• La lista de servicios de Google sitúa a Google Analytics entre los servicios en los que Google actúa como operador y a Google Ads entre los servicios en los que actúa como controlador, con excepciones como las conversiones mejoradas y Customer Match.

• Las mismas condiciones de Meta exigen que el anunciante publique, en cada página donde se usa el píxel, un aviso de que terceros, incluida Meta, pueden usar los datos para medición y segmentación de anuncios, y de cómo puede la persona rechazarlo. Donde la ley local exija consentimiento, el anunciante tiene que obtenerlo de forma verificable antes de usar las herramientas.

Cuando el proveedor usa los datos también para finalidades propias, decide finalidades en esa parte, lo que se acerca a la definición de controlador. Que eso forme una corresponsabilidad (controladoria conjunta) con el sitio depende, según la ANPD, de tres criterios acumulativos: más de un controlador con poder de decisión, interés mutuo con finalidades propias sobre el mismo tratamiento y decisiones comunes o convergentes sobre las finalidades y los elementos esenciales (guía de agentes, puntos 49 y 50). Si hay controladoria conjunta, los controladores directamente implicados responden solidariamente por los daños (art. 42, § 1º, II), salvo las excepciones del art. 43. En las fuentes consultadas, la ANPD no publicó una orientación específica sobre píxeles de publicidad; la clasificación de cada proveedor queda para el análisis del caso.

Consentimiento: qué indica la guía de la ANPD para cada tipo

La guía de cookies separa las situaciones por finalidades, y las orientaciones valen también para tecnologías de rastreo parecidas a las cookies (p. 6). El detalle de las bases legales está en la guía principal de esta categoría; para los píxeles, el resumen es este:

La guía también dice que el consentimiento necesita una acción clara y positiva y que las cookies basadas en el consentimiento quedan desactivadas por defecto (pp. 19 y 31). Para un píxel, desactivado quiere decir no cargado: si el script se ejecuta antes de la elección y solo la cookie se deja para después, la petición con IP, página y user agent ya salió.

Transferencia internacional de datos

Meta, Google, TikTok y Microsoft son empresas extranjeras. En las condiciones de Meta, por ejemplo, quien trata los datos fuera de los regímenes europeo y británico es Meta Platforms, Inc. La LGPD solo permite la transferencia internacional en los supuestos del art. 33: país u organismo con un nivel de protección adecuado reconocido por la ANPD, garantías como las cláusulas contractuales tipo, consentimiento "específico y destacado" con información previa sobre el carácter internacional de la operación, entre otros.

La Resolución CD/ANPD nº 19, de 23 de agosto de 2024, reguló el tema y aprobó las cláusulas contractuales tipo de la ANPD. Los puntos que importan para los píxeles:

• Transferencia es la operación en la que un agente de tratamiento "transmite, comparte o da acceso" a datos personales a otro agente (art. 3º, III, del reglamento). Recogida internacional es la recogida hecha "directamente por el agente de tratamiento ubicado en el extranjero" (art. 3º, V), y el reglamento dice que no constituye transferencia (art. 6º), aunque sigue sujeta a la LGPD.

• Corresponde al controlador verificar si la operación es una transferencia internacional y si tiene una base legal y un mecanismo válidos; el operador ayuda con la información que tenga (art. 4º).

• Quien usaba cláusulas contractuales para transferir datos tenía hasta 12 meses desde la publicación para incorporar las cláusulas tipo de la ANPD (art. 2º, párrafo único, de la resolución). El plazo terminó el 23 de agosto de 2025.

• Con cláusulas tipo, el controlador publica en el sitio un documento en portugués, en lenguaje sencillo, con la forma, la duración y la finalidad de la transferencia, el país de destino, la identificación y el contacto del controlador, el uso compartido, las responsabilidades, las medidas de seguridad y los derechos del titular. Ese documento puede estar dentro de la política de privacidad, destacado (art. 17, §§ 2º y 3º, del reglamento).

• La ANPD reconoció a la Unión Europea como organismo con protección adecuada (Resolución CD/ANPD nº 32, de 26 de enero de 2026, según la lista de reglamentaciones de la ANPD). Eso no cubre a los proveedores que tratan datos en Estados Unidos.

Cómo encaja un píxel en esa división no está resuelto en las fuentes consultadas. El navegador del visitante envía los datos directamente al proveedor, lo que recuerda a la recogida internacional. Pero es el sitio el que instala el script y define qué se envía, y, cuando el proveedor actúa como operador del sitio, los datos se tratan en nombre de un controlador brasileño, lo que recuerda a la transferencia. La recomendación de este texto es tratar el flujo como transferencia a efectos de transparencia, informar del país de destino en la política de privacidad y comprobar en el contrato de cada proveedor qué mecanismo del art. 33 ofrece.

Paso a paso para poner en orden los píxeles

Los pasos siguientes son recomendaciones elaboradas a partir de la ley, de la guía de la ANPD y de la documentación de los proveedores. En las páginas de pago, los scripts de terceros también entran en los requisitos de PCI DSS 4.0 para scripts en el checkout.

1. Hacer el inventario. Abre el sitio en una ventana de incógnito, sin tocar el banner, y mira en el panel Network de Chrome DevTools las peticiones a otros dominios. Después revisa el gestor de etiquetas, los plugins del CMS, la plataforma de e-commerce y los widgets (chat, vídeo, mapa), que también cargan scripts.

2. Registrar cada elemento con dominio, proveedor, finalidad, datos enviados, país, papel del proveedor (operador o controlador, según el contrato y el uso real) y base legal.

3. Quitar lo que no se usa. Un píxel de una campaña terminada sigue enviando datos mientras esté en la página.

4. Cargar solo después del consentimiento. El script de cada categoría entra después de la aceptación de esa categoría, no al abrir la página. En Google, el modo básico de consentimiento impide la carga de las etiquetas hasta la interacción con el banner y, si la persona rechaza, no se envía nada. En el modo avanzado, las etiquetas se cargan al abrir la página y, con el consentimiento denegado, envían señales sin cookies con datos como la hora, el user agent y la referencia. Quien elige el modo avanzado tiene que evaluar ese envío en la base legal que usa.

5. Reducir lo que se envía. Desactiva la coincidencia avanzada si no hay base para ella, quita los datos personales de las URL, los títulos y los parámetros utm_, prefiere el modo estricto de enmascaramiento en el grabador de sesión y marca como enmascaradas las áreas con datos de cuenta, pedido y pago.

6. Acortar plazos. GA4 permite cambiar la validez de sus cookies; la guía de la ANPD recomienda limitar la duración de las cookies persistentes todo lo posible (p. 12).

7. Actualizar la política de privacidad con proveedores, finalidades, países y la forma de rechazar. El artículo sobre qué pide la LGPD en una política de privacidad trata este punto.

8. Repetir el inventario con cada nueva campaña, plugin o etiqueta. Basta una etiqueta nueva sin revisar para que el sitio vuelva a enviar datos antes del consentimiento.

Etiquetas en el servidor: qué cambia y qué no

En el etiquetado del lado del servidor, el navegador envía los datos a un servidor controlado por el sitio, y ese servidor los reenvía a los proveedores. Google describe la ventaja así: los datos quedan solo en manos del sitio "hasta que decidas enviarlos a otro lugar", y el sitio controla el formato y el destino (introducción al etiquetado del lado del servidor). Meta tiene un camino parecido, la API de Conversiones, que envía eventos desde el servidor del anunciante a Meta.

Eso ayuda a minimizar datos, porque se pueden quitar campos antes del reenvío. No cambia el resto:

• La base legal sigue siendo la misma. Si la finalidad es publicitaria, el envío desde el servidor también depende del consentimiento.

• El proveedor sigue recibiendo datos personales. Según los parámetros de la API de Conversiones, el correo, el teléfono y el nombre van con hash; la IP, el user agent, fbp y fbc van sin hash.

• El flujo desaparece del navegador. Una auditoría que solo mira las peticiones de la página deja de ver el envío, así que el inventario tiene que incluir la configuración del servidor.

Qué no hacer

• Cargar el píxel en el <head> y mostrar el banner después.

• Tratar "rechazar" como ocultar el aviso, con las etiquetas todavía funcionando.

• Juntar analytics y publicidad en una sola opción del banner.

• Activar la coincidencia avanzada o la recogida automática de formularios sin saber qué envía.

• Dejar el grabador de sesión en modo relajado en páginas de cuenta, checkout o formularios.

• Enviar correo, CPF (el número de identificación fiscal de las personas en Brasil) o teléfono en la URL de las páginas de agradecimiento o en parámetros de campaña.

• Instalar el mismo píxel por dos caminos (código en el tema y gestor de etiquetas) y bloquear solo uno.

• Concluir que el hash, la IP no guardada o el etiquetado en el servidor sacan el tratamiento de la LGPD.

Cómo revisar tu sitio

El verificador de cookies de WebVyze, gratuito, muestra las cookies guardadas antes de cualquier clic, los rastreadores encontrados en el HTML, si hay herramienta de consentimiento y si existe un enlace a la política. La verificación gratuita revisa los riesgos de privacidad y accesibilidad de la página de inicio. En los planes de pago hay monitoreo con auditorías programadas y alertas, y cada problema se convierte en una issue con la ley, la evidencia y una guía de corrección. Las herramientas leen solo páginas públicas y muestran evidencias; no ven los envíos hechos desde el servidor y no sustituyen el análisis jurídico.