Cómo te vigilan (I): qué recogen de verdad Google Analytics y el Píxel de Meta

Cuando una web te enseña un banner de cookies, casi nunca te explica qué hay detrás. Esta es la primera de cuatro piezas para contarlo. Hoy solo describimos: qué recogen dos de las herramientas más extendidas, Google Analytics 4 (GA4) y el Píxel de Meta, tal como lo documentan Google y Meta. Qué se hace después con esos datos es para una próxima pieza.

Un aviso de método: citamos lo que las páginas oficiales dicen y marcamos lo que no dicen. Donde la documentación no concreta algo, no lo rellenamos. La página principal de Meta que citamos indica, en su versión en castellano, una última actualización de 2023; la damos en las fuentes.

Qué es una etiqueta de seguimiento

Una etiqueta es un fragmento de código que el propietario de la web pega en sus páginas. Cada vez que cargas una página o haces algo en ella, ese código manda un mensaje a los servidores de la empresa dueña de la herramienta. Tú no ves el mensaje; el propietario de la web ve el resultado en un panel.

Meta lo describe así: el Píxel es «a snippet of JavaScript code that allows you to track visitor activity on your website» (un fragmento de JavaScript que permite registrar la actividad de los visitantes). Sus resultados sirven, dice Meta, para medir la eficacia de los anuncios, definir audiencias personalizadas para segmentar anuncios y analizar embudos de conversión.

Qué recoge Google Analytics 4

Cuando una web usa GA4, su etiqueta avisa a Google de ciertas cosas que haces en ella. Según Google, de cada visita anota, sin que la web tenga que programar nada más:

• que es tu primera visita y cuándo empieza tu sesión;
• que la página está en primer plano al menos un segundo;
• el idioma, la dirección y el título de la página, de qué página vienes y la resolución de tu pantalla;
• un identificador de cliente y uno de sesión.

Además, Google documenta (en la versión en castellano de su página de ayuda) que estos eventos se registran de forma predeterminada a través de la «medición mejorada»:

• cada página que cargas;
• cuánto te desplazas, cuando llegas al 90 % de la página;
• los clics en enlaces que te sacan de la web;
• las descargas de archivos (PDF, documentos, audio, vídeo);
• lo que buscas dentro del sitio;
• cuánto ves de un vídeo de YouTube incrustado (10, 25, 50 y 75 %);
• cuándo empiezas a rellenar un formulario y cuándo lo envías.

¿Cómo sabe que eres la misma persona cuando vuelves? Con dos cookies, según Google: _ga, que sirve «para distinguir usuarios», y _ga_<id>, que guarda el estado de la sesión. Las dos caducan por defecto a los 2 años, aunque los navegadores pueden acortarlo (hasta 400 días en Chrome y 7 en Safari si no vuelves). Con _ga, la web sabe que eres el mismo visitante mientras la cookie siga en tu navegador; es nuestra lectura, Google solo dice que sirve para distinguir usuarios.

Hay una opción más: el User-ID. Si la web lo activa, puede asignarte su propio identificador cuando inicias sesión. Según Google, sirve para unir tu actividad entre sesiones, dispositivos y plataformas, y el panel permite ver la actividad de un usuario concreto.

Lo que no podemos afirmar con lo que consultamos: si la medición mejorada viene encendida de serie o la enciende quien configura la web (Google dice que esos eventos se registran a través de ella, no que el interruptor esté activado por defecto), y si GA4 usa o no técnicas de huella digital del navegador (las páginas de Google que consultamos no lo documentan ni en un sentido ni en otro).

Qué recoge el Píxel de Meta

Según la documentación de Meta, el Píxel puede recoger:

• lo que suele ir en las cabeceras HTTP, los datos que viajan en cualquier petición web («anything that is generally present in HTTP headers»). Meta dice que puede incluir la dirección IP, información sobre el navegador, la ubicación de la página, el documento, de dónde vienes y la persona que usa el sitio. La página no explica cómo se determina esa persona, y no lo rellenamos;
• el identificador del Píxel y las cookies de Facebook;
• los botones que pulsas, sus etiquetas y las páginas a las que llegas;
• los nombres de los campos de un formulario (por ejemplo «email» o «address»). Los valores solo se capturan si la web los incluye a través de Advanced Matching o de valores opcionales («We don’t capture field values unless you include them as part of Advanced Matching or optional values»).

Advanced Matching es la función con la que la web puede mandar a Meta datos tuyos para asociarlos a lo que haces en ella, y también se puede activar desde el panel de Meta (Events Manager). Los datos que Meta lista son: correo, nombre, apellidos, teléfono, género, fecha de nacimiento, ciudad, provincia, código postal, país y un identificador propio de la web (un número de socio, por ejemplo). La documentación no dice que la lista sea completa.

Estos datos se envían con un «hash» (SHA-256): una operación que convierte el correo en una cadena ilegible, sin vuelta atrás. Eso no lo vuelve anónimo: el mismo correo da siempre la misma cadena, así que sigue sirviendo para reconocer a la misma persona. El RGPD trata estos datos «seudonimizados» como datos personales mientras puedan atribuirse a alguien con información adicional (art. 4.5 y considerando 26). Esta frase es nuestra lectura, no de Meta.

Meta tiene otra vía, la API de Conversiones: los eventos no salen de tu navegador, sino del servidor de la web. Según Meta, ahí van sin hash tu dirección IP, el tipo de navegador y las cookies _fbp y _fbc. Según Meta, la primera guarda un identificador del navegador (su formato incluye un número aleatorio) y la segunda, el identificador del clic en un anuncio de Meta. Correo, teléfono, nombre y el resto de datos personales de la lista van con hash; el identificador propio de la web (external_id) solo lo recomienda Meta con hash, no lo exige.

Si el mismo evento llega por las dos vías, Meta evita contarlo dos veces comparando su nombre y su identificador. Si llegan con menos de cinco minutos de diferencia, da preferencia al del navegador.

Lo que queda por decir

Hasta aquí, hechos: qué se recoge y por qué mecanismo. Hay dos cosas que esta pieza no afirma:

• No decimos que cada web que usa estas herramientas envíe todos esos campos. Muchos de ellos dependen de que el propietario los active.
• No decimos todavía si eso es bueno o malo. Un contador de visitas y un perfil que te sigue de sitio en sitio son cosas distintas, y la diferencia importa. La mecánica de esa frontera es lo que sigue.

Es la misma defensa que guía la pieza hermana sobre PISA 2025 y la IA en el aula: datos y pruebas en la mano antes de sacar conclusiones, en un caso sobre el rastreo comercial, en el otro sobre el uso de la IA en los centros.

Vamos a ver qué se hace con estos datos y por qué un sistema que solo mide puede acabar interviniendo en lo que haces en la próxima pieza del hub Vínculo digital.

Fuentes

Consultadas el 2026-10-13.

• Meta for Developers. «Meta Pixel». La versión en castellano de la página indica «Updated: 15 nov. 2023»; la versión en inglés no muestra fecha.
• Meta for Developers. «Advanced Matching».
• Meta for Developers. «Server Event Parameters» (API de Conversiones; event_id y deduplicación).
• Google. «Automatically collected events / Enhanced measurement». Ayuda de Analytics.
• Google. «Cookies de Google Analytics» (_ga, _ga_<id>). Ayuda de Analytics.
• Meta for Developers. «Customer Information Parameters» (API de Conversiones; qué lleva hash y qué no).
• Google for Developers. «User-ID».
• Google for Developers. «Cookies and user identification».