Du kannst auch alles als %-codiert verwenden. Laut RFC müssen bestimmte SOnderzeichen, wenn sie zu Daten gehören maskiert werden. Denn & ist ein Parametertrenner und # ein Anker.

Anker im Grunde nicht gehören nicht zu CGI-Parametern, weil das Sprungmarken nur für den Browser sind.

Quote

Some of the uric characters are reserved for use as delimiters or as part of certain URI components. These must be escaped if they are to be treated as ordinary data. Read RFC 2396 for further details.

http://search.cpan.org/~gaas/URI-1.35/URI/Escape.pm#DESCRIPTION