Què fa realment el seguiment de Meta

Abans de poder controlar-lo correctament, cal tenir una imatge clara del que envia el seguiment de Meta, d'on prové i sota quins identificadors. Meta Pixel i CAPI no són alternatives: en una configuració de producció, funcionen junts, reforçant el senyal mútuament.

Meta Pixel

El Meta Pixel és un fragment de JavaScript que activa esdeveniments des del navegador: PageView, ViewContent, AddToCart, Purchase i qualsevol esdeveniment personalitzat que definiu. Llegeix i escriu la cookie de primera part _fbp, llegeix la cookie d'ID de clic _fbc i envia esdeveniments a facebook.com/tr. Cada esdeveniment porta els identificadors de les cookies, l'agent d'usuari, l'URL de la pàgina i qualsevol paràmetre d'esdeveniment inclòs en la vostra implementació.

Conversions API (CAPI)

CAPI és un canal del costat del servidor. El vostre backend publica esdeveniments directament a graph.facebook.com amb identificadors d'usuari hashats (correu electrònic, telèfon, ID extern), adreça IP, agent d'usuari i qualsevol dada d'esdeveniment personalitzada. CAPI es desplega sovint mitjançant contenidors del servidor de Google Tag Manager, una integració de Segment o una implementació de backend nadiu.

Per què tots dos junts

Els esdeveniments de Pixel que sobreviuen als bloquejadors d'anuncis i a les restriccions de cookies representen aproximadament el 50-60 per cent del volum històric. CAPI omple el buit, donant al motor d'optimització de publicitat de Meta una visió més completa. La puntuació d'Event Match Quality (EMQ) de Meta premia l'enviament de tots dos i l'ús del camp event_id per a la deduplicació. Una puntuació de 7-8 o superior és típica per a una configuració ben ajustada.

Per què la pila de Meta és un camp de mines de compliment

Els reguladors han estat notablement específics sobre on el seguiment de Meta supera el límit, la qual cosa significa que hi ha un conjunt ben documentat de riscos al voltant del qual cal dissenyar.

GDPR i el problema Schrems II

Els servidors de Meta es troben als EUA, i les transferències de dades als EUA s'han qualificat repetidament d'il·legals en virtut de Schrems II. Diverses DPA europees han dictaminat que l'execució del Meta Pixel sense consentiment explícit, i sense un mecanisme de transferència vàlid, és una violació del GDPR. Les DPA austríaca i francesa han emès decisions que qualsevol seguiment de Meta basat en cookies requereix consentiment opt-in abans de qualsevol crida de xarxa. El Data Privacy Framework proporciona un remei parcial, però només cobreix les empreses que s'han certificat formalment, i continua sent objecte de desafiaments legals actius.

Directiva ePrivacy

Fins i tot al marge del GDPR, la Directiva ePrivacy tracta la lectura o escriptura de qualsevol cookie no essencial, incloses _fbp i _fbc, com un acte regulat que requereix consentiment previ en totes les jurisdiccions de la UE/EEE. Es tracta de responsabilitat estricta: sense equilibri d'interès legítim, sense opt-in suau.

CCPA, CPRA i demandes col·lectives de wiretapping

Als EUA, el Meta Pixel ha estat objecte d'una onada de demandes col·lectives que citen les lleis estatals de wiretapping de dues parts, la teoria és que enviar interaccions d'usuari a Meta sense consentiment constitueix una intercepció no autoritzada. Els editors de salut i preparació fiscal han afrontat els acords més grans. El CPRA tracta explícitament els fluxos de dades del Meta Pixel com a «compartició» per a publicitat conductual de context creuat, la qual cosa activa els drets d'exclusió.

El flux de consentiment que necessiten el Pixel i el CAPI

Una implementació conforme per al 2026 requereix que la capa de consentiment controli tant el píxel del navegador com el CAPI del costat del servidor, i que propagui els canvis de senyal durant la sessió.

Pas 1: Bloquejar fins al consentiment

En el trànsit de la UE/EEE i el Regne Unit, el Pixel no ha de carregar, establir cookies ni activar cap esdeveniment abans que es registri el consentiment opt-in. Això significa que la crida fbq('init', ...) i l'etiqueta d'script fbevents.js s'han de diferir dins d'un slot d'script controlat per CMP. Cap PageView previ al consentiment. Cap seguiment automàtic previ al consentiment.

Pas 2: Configurar el mapeig del Consent Mode v2

Google Consent Mode v2 s'ha convertit en el format d'intercanvi de facto per als senyals de consentiment entre CMP, gestors d'etiquetes i contenidors de servidor. Assigneu el Meta Pixel i el CAPI als senyals següents:

• ad_storage — controla les cookies _fbp i _fbc. Si es denega, desactiveu-les totes dues.
• ad_user_data — controla si el correu electrònic, el telèfon i l'ID extern hashats s'envien a Meta. Si es denega, elimineu aquests camps dels payloads de CAPI.
• ad_personalization — controla si els esdeveniments alimenten la personalització i el retargeting. Si es denega, envieu l'esdeveniment amb un indicador de límit data_processing_options.

Pas 3: Utilitzar el Consent Mode del Meta SDK

Meta va llançar el seu propi Consent Mode a finals del 2024. Quan es fa la senyalització amb fbq('consent', 'revoke'), el Pixel continua entregant conversions modelades agregades i sense cookies al sistema de publicitat de Meta. Del costat de CAPI, incloeu el camp data_processing_options: ['LDU'] amb els codis de país i estat adequats per a CCPA Limited Data Use. Això reflecteix el comportament del Pixel del costat del servidor.

Pas 4: Gestionar les exclusions en temps real

Si l'usuari revoca el consentiment a meitat de la sessió o activa un senyal de Global Privacy Control, heu d'activar fbq('consent', 'revoke'), fer caducar la cookie _fbp, buidar qualsevol cua de CAPI i establir indicadors LDU en els esdeveniments del costat del servidor posteriors. Aquest és el pas que es trenca més sovint en les implementacions publicades.

Detalls d'implementació de CAPI que importen

Com que CAPI s'executa del costat del servidor, molts equips suposen incorrectament que funciona fora del règim de consentiment. Els reguladors estan radicalment en desacord.

El PII hashat continua sent PII

El CAPI de Meta utilitza adreces de correu electrònic, números de telèfon i ID externs hashats amb SHA-256 com a ancores d'identitat. El hashing és seudonimització, no anonimització. Tant en virtut del GDPR com del CCPA, el PII hashat continua sent informació personal perquè es pot combinar i revertir en qualsevol altre conjunt de dades que contingui el text pla. Necessiteu una base jurídica per enviar-lo, i el consentiment és el camí més net.

Adreça IP i agent d'usuari

CAPI transmet la IP del client i l'agent d'usuari en cada esdeveniment. Tots dos es tracten com a dades personals a la UE. Si un usuari ha denegat el consentiment, elimineu la IP mitjançant una regla a nivell de passarel·la o envieu el valor action_source: 'other' sense identificadors a nivell de xarxa.

Deduplicació d'esdeveniments

El patró correcte: genereu un event_id al servidor, passeu-lo al client per a l'esdeveniment Pixel i publiqueu el mateix event_id via CAPI. Meta deduplicarà en 48 hores. Si activeu el Pixel sense consentiment i CAPI amb consentiment, encara esteu violant ePrivacy; el consentiment controla tots dos o cap.

Llista de verificació d'auditoria per al 2026

• El Pixel es carrega únicament després del consentiment afirmatiu a la UE/EEE/Regne Unit, i només en les jurisdiccions on la compartició de dades de Meta està coberta sota la vostra certificació del Data Privacy Framework o un mecanisme de transferència equivalent
• fbq('consent', 'revoke') s'emet en el rebuig del CMP, la retirada del consentiment i la detecció de GPC
• Els payloads de CAPI eliminen el correu electrònic, el telèfon i l'ID extern hashats quan ad_user_data es denega
• Els esdeveniments de CAPI porten data_processing_options: ['LDU'] amb els valors correctes de país i estat per a les exclusions dels EUA
• Les cookies _fbp i _fbc caduquen quan es retira el consentiment
• L'Event Match Quality es monitoritza i no regressiona per sota d'un llindar definit després dels canvis de consentiment
• La política de privadesa indica Meta Platforms Ireland (per al trànsit de la UE) o Meta Platforms, Inc. (per al trànsit dels EUA) amb la base jurídica i les categories de dades transmeses
• L'Addendum de Tractament de Dades amb Meta es firma i s'arxiva
• Els Registres de Tractament (Article 30) enumeren els fluxos de Pixel i CAPI com a activitats de tractament separades
• Una DPIA documentada cobreix el seguiment de Meta a qualsevol pàgina on es puguin recollir dades de categoria especial (salut, política, religió, biomètrica)

Què no s'ha de fer

Tres patrons continuen apareixent en les auditories d'editors, i els tres atrauen l'atenció dels reguladors.

Activar CAPI com a solució alternativa de compliment

Alguns equips configuren CAPI perquè s'activi fins i tot quan el CMP bloqueja el píxel del navegador. La lògica: «CAPI és del costat del servidor, de manera que la llei de cookies no s'aplica.» Això és incorrecte per dues raons. En primer lloc, l'àmbit d'ePrivacy és el tractament de les dades del terminal de l'usuari, no només les cookies. En segon lloc, la «compartició» de CCPA/CPRA s'aplica independentment del canal. Si el Pixel es bloqueja per raons de consentiment, CAPI també s'ha de silenciar per a aquest usuari.

Només PageView previ al consentiment

Un compromís comú: «Només activem el PageView abans del consentiment, la resta està controlada.» Els reguladors han rebutjat això: el PageView continua establint _fbp, continua transmetent l'URL i continua contribuint al perfil de Meta. Requereix consentiment com qualsevol altre esdeveniment.

Dependre del Do-Not-Track del navegador

El Meta Pixel respecta GPC només si el connecteu. Activar un gestor GPC al vostre CMP que reenviï a fbq('consent', 'revoke') és un canvi de cinc línies que moltes implementacions ometen.

Les perspectives per al 2026

La pila de seguiment de Meta no es simplificarà. El Data Privacy Framework es troba sota desafiament als tribunals europeus, CAPI s'està convertint en l'estàndard per als editors optimitzats per a la publicitat, i les lleis estatals dels EUA continuen tractant els fluxos de dades de Meta com la categoria de compartició de major risc. La inversió adequada per al 2026 és tractar el consentiment com una part de primera classe de la vostra integració de Meta: activar el Pixel i el CAPI junts quan el consentiment ho permet, suprimir-los nétament quan no ho permet i preservar el senyal de conversió modelat de Meta mitjançant el Meta Consent Mode en el trànsit sense cookies. Els editors que ho connectin correctament retindran la major part del seu senyal publicitari mentre se situen en un terreny legal sòlid. Els que prenguin dreceres continuaran heretant un risc d'aplicació d'alt impacte mediàtic.