Link decoration y parámetros de seguimiento: el problema de privacidad que el marketing pasa por alto
29 de octubre de 2026
•
9 min de lectura
Índice
Volver
Volver arriba
Link decoration y parámetros de seguimiento: el problema de privacidad que el marketing pasa por alto
Un profesional de marketing comparte un enlace de campaña. Un visitante hace clic en él. Se abre la landing page, la analítica registra la visita y el equipo puede ver qué anuncio, email o publicación en redes sociales llevó a esa persona hasta allí.
Ahora fíjate en la barra de direcciones. En lugar de una URL sencilla, quizá veas algo así:
https://example.com/demo?utm_source=linkedin&utm_campaign=autumn_launch&gclid=example-click-id
Esos elementos adicionales se llaman parámetros de URL. Añadirlos a un enlace para medir resultados se conoce habitualmente como link decoration (decoración de enlaces). La pregunta importante no es simplemente si una URL contiene parámetros de seguimiento. Es qué revelan esos parámetros, por dónde viajan y cómo los usan tu sitio web o tus herramientas publicitarias.
Qué es el link decoration
El link decoration consiste en añadir a una URL información que va más allá de lo necesario para abrir la página. Esta información suele aparecer después de un signo de interrogación, con varios parámetros separados por el símbolo &.
Por ejemplo:
https://example.com/guide?utm_source=newsletter&utm_medium=email
Aquí, los parámetros indican al sitio web que la visita llegó desde un email de la newsletter. Por sí solos, no identifican a un suscriptor concreto.
El link decoration se vuelve más delicado cuando transporta un identificador de clic único, un identificador de cuenta u otro valor que pueda asociarse a una persona o a un dispositivo. Ese valor puede guardarse en una cookie, pasarse a otra página, registrarse en un log del servidor, enviarse con un formulario o compartirse con una plataforma publicitaria.
La Information Commissioner's Office (ICO) del Reino Unido incluye expresamente el link decoration y el seguimiento de navegación en su guía sobre tecnologías de almacenamiento y acceso. Dicho de otro modo, el seguimiento no deja de importar para las normas de privacidad solo porque sea visible en la URL en lugar de estar oculto en una cookie.
Parámetros UTM frente a click IDs: conoce la diferencia
Los equipos de marketing suelen agrupar todos los parámetros de URL bajo la etiqueta de “seguimiento”. Pero cada parámetro cumple una función distinta.
| Parámetro | Finalidad habitual | Qué vigilar |
| --- | --- | --- |
| utm_source, utm_medium, utm_campaign | Identificar una campaña o una fuente de tráfico | Suelen ser etiquetas a nivel de campaña, salvo que alguien incluya información personal en ellas |
| gclid | Identificar un clic de Google Ads para la atribución | Puede asociarse a actividad publicitaria y las etiquetas pueden almacenarlo o compartirlo |
| fbclid | Identificar un clic procedente de una plataforma de Meta | Puede formar parte de un flujo más amplio de medición publicitaria |
| msclkid | Identificar un clic de Microsoft Advertising | Puede capturarse para la atribución de conversiones |
| li_fat_id | Apoyar la atribución publicitaria de LinkedIn | Revisa cómo se recoge, cuánto tiempo se conserva y cómo se transmite a los partners |
| user_id, email o contact_id personalizados | Identificar a una persona o cuenta concreta | Especialmente delicados; evita exponer identificadores personales en las URLs |
Un parámetro UTM como utm_campaign=product_launch no es lo mismo que poner la dirección de email de un cliente en un enlace. Incluso un ID de clic único no equivale automáticamente al nombre de una persona, pero puede convertirse en un dato personal cuando se vincula a una persona identificable o se utiliza junto con otra información.
Dónde empieza el problema de privacidad
Imagina que alguien hace clic en un anuncio de LinkedIn y llega a tu sitio web con un identificador de seguimiento en la URL.
A partir de ahí, tu sitio web podría:
- Leer el identificador desde la barra de direcciones.
- Guardarlo en una cookie first-party o en el almacenamiento del navegador.
- Conservarlo mientras el visitante navega entre páginas.
- Añadirlo a una solicitud de demo o a un evento de checkout.
- Enviarlo a un servicio publicitario o de analítica para relacionar la visita con una conversión.
El click ID original puede parecer una cadena aleatoria, pero puede acabar formando parte de un registro que conecta la actividad publicitaria, el comportamiento de navegación y un lead o una compra.
También hay lugares menos evidentes en los que puede aparecer una URL completa: logs de acceso del sitio web, campos de ubicación de página en la analítica, herramientas de monitorización de errores, capturas de pantalla de soporte, historiales del navegador y algunas redirecciones. Según la configuración del navegador y el destino, la información de la URL también puede quedar expuesta a través de los datos del referrer.
¿El link decoration requiere consentimiento de cookies?
No toda URL decorada requiere consentimiento automáticamente. Una simple etiqueta de campaña no es necesariamente lo mismo que leer un identificador único de un dispositivo con fines publicitarios.
La respuesta depende de la tecnología y de la finalidad. Por ejemplo, si un sistema de seguimiento guarda un click ID publicitario en una cookie o accede a información del dispositivo del visitante, pueden aplicarse las normas británicas de privacidad en las comunicaciones electrónicas. La ICO explica que el link decoration y el seguimiento de navegación entran en el ámbito de esas normas cuando implican almacenamiento o acceso en el dispositivo del usuario.
En la UE, las directrices del Comité Europeo de Protección de Datos sobre el alcance técnico de las normas de ePrivacy también analizan el seguimiento basado en URLs y tecnologías similares.
Si los parámetros o los registros asociados se refieren a una persona identificable, también pueden aplicarse los requisitos del GDPR o del UK GDPR. Esos requisitos no se limitan a las cookies e incluyen la transparencia, una base jurídica válida, la minimización de datos y una conservación adecuada.
¿Y qué pasa con Google Consent Mode y URL passthrough?
Aquí es donde el tema cobra especial importancia para los equipos de medios de pago.
Google Consent Mode permite que las etiquetas de Google compatibles ajusten su comportamiento según las decisiones de consentimiento del visitante. Pero desactivar las cookies publicitarias no significa necesariamente que toda la información del clic desaparezca de la URL o de cada solicitud de medición.
Google documenta una función opcional llamada URL passthrough. En las configuraciones compatibles, puede transmitir la información del clic publicitario a través de enlaces del mismo dominio cuando ad_storage está denegado, lo que ayuda a mantener parte de la medición sin guardar esa información en cookies publicitarias.
Google también explica que, según la configuración, las solicitudes de medición pueden seguir incluyendo URLs de página que contienen información del clic publicitario. Su documentación describe controles adicionales de ads data redaction.
Eso no significa que URL passthrough sea una solución universal para eludir el consentimiento. Que una implementación concreta sea adecuada depende de los requisitos legales, de los datos implicados, de la configuración de las etiquetas y del tratamiento que realmente se produzca.
Si usas Google Ads o GA4, revisa tu configuración en lugar de dar por hecho que ad_storage=denied elimina automáticamente todos los identificadores de todas las solicitudes. La solución de Google Consent Mode de CookiePal puede ayudarte a conectar las decisiones de consentimiento con las etiquetas de Google compatibles, pero la configuración general de parámetros y de intercambio de datos sigue necesitando pruebas.
Por qué el seguimiento server-side no es un salvoconducto
Algunos equipos de marketing trasladan la atribución de los scripts del navegador a sistemas server-side. En lugar de permitir que un script publicitario lea directamente un click ID, el sitio web recoge el parámetro y envía los detalles de la conversión mediante una conexión de servidor a servidor.
Un servidor puede seguir recibiendo un click ID, asociarlo a un lead y compartirlo con un proveedor publicitario. Si en el proceso se recoge o se accede a un identificador del navegador, las normas sobre almacenamiento en el dispositivo también pueden ser relevantes. Y si la información es un dato personal, los principios del GDPR siguen aplicándose, tanto si la transferencia final se produce en el navegador como en un servidor.
Cinco errores habituales de los equipos de marketing
Poner información personal en las URLs. Las direcciones de email, los números de teléfono, los números de cuenta y los IDs de contacto del CRM no deberían añadirse a la ligera a los enlaces de campaña. Las URLs pueden copiarse, reenviarse, registrarse en logs y quedar expuestas en lugares que nadie en marketing había previsto.
Conservar los identificadores más tiempo del necesario. Un click ID puede ser útil para un proceso de atribución definido. Eso no significa que tenga que seguir al visitante por todas las páginas de forma indefinida ni quedar vinculado a cada evento posterior.
Confundir la atribución de campañas con un permiso para elaborar perfiles. Saber que una visita llegó desde una campaña de email no autoriza automáticamente la publicidad entre sitios web, el remarketing ni la identificación de visitantes concretos.
Dar por hecho que el bloqueo de cookies cubre todas las vías. Una plataforma de gestión del consentimiento puede ayudarte a controlar cookies y scripts, pero el código personalizado, la captura server-side y el reenvío de URLs deben revisarse por separado.
No probar nunca el recorrido con el consentimiento rechazado. Los equipos suelen comprobar solo si el seguimiento de conversiones funciona después de “Aceptar todo”. También necesitan saber qué se recoge y se transmite cuando alguien rechaza el seguimiento opcional.
Cómo auditar los parámetros de seguimiento de tu sitio web
- Haz una lista de los parámetros entrantes. Revisa Google Ads, Microsoft Ads, Meta, LinkedIn, las newsletters, los enlaces de afiliados y las URLs de campaña personalizadas.
- Separa las etiquetas de los identificadores. Distingue los UTM habituales, los click IDs únicos y cualquier parámetro que contenga un valor específico de una persona.
- Sigue el recorrido del visitante. Abre una URL de landing page de campaña, navega por otras páginas, envía un formulario de prueba y observa qué parámetros se mantienen.
- Inspecciona el almacenamiento y las solicitudes. Usa las herramientas para desarrolladores del navegador para revisar las cookies, el local storage, las solicitudes de red y los campos de formulario enviados antes y después de las distintas decisiones de consentimiento.
- Revisa los destinos server-side. Pregunta por dónde entran los click IDs en tu CRM, backend, APIs de conversiones, analítica, logs y sistemas de reporting.
- Elimina la exposición innecesaria. No añadas información personal a las URLs; minimiza los identificadores, limita su conservación y plantéate eliminar los parámetros innecesarios de las URLs visibles una vez completado el tratamiento necesario. Prueba la atribución antes de hacer cambios.
- Actualiza tu información legal. Explica en tu documentación de privacidad y de cookies los usos relevantes de medición publicitaria y de seguimiento.
Un escaneo de cumplimiento del sitio web con CookiePal es un buen punto de partida para descubrir cookies y trackers. Sin embargo, un escaneo de cookies por sí solo no puede revelar todos los parámetros de URL personalizados, las transferencias de datos en el backend ni los procesos de atribución server-side. Combina el escaneo con una revisión técnica de tus enlaces y flujos de datos.
Incluye el consentimiento en el QA de tus campañas
Antes de lanzar una campaña, confirma que la configuración de gestión del consentimiento está activa en la landing page, que las tecnologías no esenciales responden correctamente al consentimiento y que los identificadores de clic no se copian innecesariamente en formularios o enlaces externos.
Después, prueba los recorridos de “Aceptar” y de “Rechazar”. Comprueba si los identificadores se guardan, se pasan entre páginas o se incluyen en las solicitudes de red. Revisa con tu equipo técnico cualquier función opcional de URL passthrough o de conversiones server-side.
Por último, mantén tu política de cookies y tu aviso de privacidad general alineados con lo que hacen realmente tus herramientas de marketing. Una frase genérica sobre “mejorar nuestros servicios” no es una explicación útil de la atribución publicitaria y el retargeting.
Una mejor atribución empieza con más transparencia
El link decoration no es malo en sí mismo. Los parámetros UTM ayudan a los equipos de marketing a entender qué campañas funcionan, y los identificadores de clic respaldan procesos importantes de medición publicitaria.
El error es suponer que si no hay una cookie visible, no hay un problema de privacidad.
Un parámetro de seguimiento puede pasar por navegadores, formularios, herramientas de analítica, servidores y sistemas publicitarios. Las implicaciones de privacidad dependen de si identifica a alguien, para qué se utiliza, dónde se almacena o desde dónde se accede a él y quién lo recibe.
Empieza por entender tu configuración de seguimiento. Usa el escáner de cumplimiento gratuito de CookiePal para identificar las cookies y los trackers de tu sitio web y, después, revisa junto con ellos tus parámetros de URL y los flujos de datos que dependen del consentimiento.
Este artículo ofrece información general y no constituye asesoramiento legal. Los requisitos de consentimiento y privacidad dependen de sus tecnologías, finalidades, visitantes y la legislación aplicable.
Explorar más
Browser fingerprinting explicado: por qué sigue importando para la privacidad
El fingerprinting puede reconocer un navegador sin guardar cookies, y tu banner quizá no lo cubra. Descubre cómo funciona, cuándo requiere consentimiento y cómo auditar tus scripts.
29 de octubre de 2026
10 min
¿Las herramientas de pruebas A/B requieren consentimiento de cookies?
Las pruebas A/B pueden guardar IDs, compartir eventos y alimentar audiencias publicitarias. Descubre cuándo requieren consentimiento y cuándo puede aplicarse una exención limitada.
22 de octubre de 2026
9 min
Cookies, local storage y session storage: ¿cuál es la diferencia?
Las cookies, el local storage y el session storage funcionan de forma distinta, pero ninguno está exento de consentimiento. Descubre cómo funciona cada uno y cómo revisarlos.
22 de octubre de 2026
9 min