Cumplimiento de los requisitos de la ÚOOÚ sobre el consentimiento al tratamiento de datos personales de menores

Los niños en el mundo digital: ¿Por qué su protección es clave para su empresa?

Muchas empresas creen erróneamente que si sus servicios no están dirigidos principalmente a los niños, las estrictas normas de protección de sus datos no les conciernen. Sin embargo, se trata de un error peligroso. El criterio clave que introduce la legislación moderna, como el Código de Diseño Adecuado a la Edad del Reino Unido (Age Appropriate Design Code) o la Ley de Servicios Digitales de la UE (DSA), es si el servicio es "probablemente accesible" para menores.

Este estándar amplía drásticamente el abanico de empresas que deben abordar activamente esta cuestión. Esto afecta no solo a los juegos y las redes sociales, sino también a los portales de noticias con foros de discusión, e-shops con productos generales o incluso herramientas B2B que los estudiantes pueden utilizar para proyectos escolares. Por lo tanto, el alcance de las obligaciones es mucho más amplio de lo que parece a primera vista.

El Reglamento General de Protección de Datos (RGPD)  establece expresamente que los niños merecen una protección especial, ya que pueden ser menos conscientes de los riesgos, consecuencias y de sus derechos en relación con el tratamiento de datos personales. Su vulnerabilidad psicológica los hace más susceptibles a elementos de diseño manipuladores, conocidos como "patrones oscuros" (dark patterns), que pueden inducirlos a facilitar más datos de los necesarios o a elegir configuraciones menos privadas. Los efectos a largo plazo de la recopilación excesiva de datos y de las interacciones en línea sobre su desarrollo, incluido el riesgo de adicciones o la reducción de la empatía, son objeto de seria preocupación tanto para psicólogos como para reguladores.

El principio jurídico fundamental que se deriva de esta situación es la licitud del tratamiento. Para muchos servicios en línea, especialmente aquellos que incluyen marketing, personalización o funciones comunitarias, el único fundamento jurídico válido para el tratamiento de datos personales es el consentimiento del interesado. Sin embargo, es precisamente aquí donde surge una complicación fundamental para las empresas: la capacidad de un menor para otorgar un consentimiento jurídicamente válido está limitada por ley. Un consentimiento obtenido de forma ilegal significa que todo el tratamiento de datos posterior es ilícito, con todas las consecuencias que ello conlleva.

Aunque las multas astronómicas atraen la mayor atención de los medios de comunicación, los daños a la reputación pueden ser aún más devastadores para una empresa. Ser señalado públicamente como una empresa que descuida la protección de los niños puede provocar la pérdida de confianza de los clientes, la fuga de inversores y dificultades en la contratación de empleados con talento. 

Hoy en día, cuando se hace cada vez más hincapié en la responsabilidad social de las empresas, la protección de los datos de los usuarios más vulnerables se convierte en un indicador clave de la cultura e integridad corporativas. Los abogados de ARROWS ayudan a las empresas no solo a orientarse en la compleja legislación, sino también a comprender estos riesgos comerciales y de reputación más amplios, y a configurar procesos que protejan tanto a los usuarios como a la propia empresa.

La edad de la mayoría de edad digital: Artículos clave que debe conocer

Para cualquier operador de servicios en línea es absolutamente fundamental conocer el límite de edad exacto a partir del cual un usuario menor de edad puede otorgar de forma independiente y jurídicamente válida su consentimiento para el tratamiento de sus datos personales. Es precisamente en este punto donde la normativa general europea choca con la legislación nacional, lo que crea una de las trampas más comunes tanto para las empresas internacionales como para las nacionales. El conocimiento preciso de las normas locales es la base de cualquier programa de cumplimiento.

El núcleo de la normativa europea es el artículo 8 del RGPD. Este establece que cuando el tratamiento de datos personales se base en el consentimiento en relación con la oferta directa de servicios de la sociedad de la información a niños, dicho tratamiento será lícito si el niño tiene como mínimo 16 años. Esta es la norma por defecto aplicable en toda la Unión Europea. Sin embargo, el Reglamento también ofrece a los Estados miembros la posibilidad de reducir esta edad, siempre que no sea inferior a 13 años.

La República Checa aprovechó esta opción y estableció su propio límite de edad específico. La disposición clave aquí es el artículo 7 de la Ley n.º 110/2019 Coll., sobre el tratamiento de datos personales, que establece: "El niño adquirirá la capacidad de otorgar el consentimiento para el tratamiento de datos personales en relación con la oferta directa de servicios de la sociedad de la información al cumplir los quince años de edad.".

Por lo tanto, para todas las empresas que operan en el mercado checo, el límite vinculante es de 15 años. La aplicación del límite general de 16 años del RGPD en el territorio de la República Checa es incorrecta y conduce a un tratamiento ilícito de datos en el caso de usuarios de quince años.

Es importante definir en la práctica qué se entiende por "servicios de la sociedad de la información". Este concepto abarca una amplia gama de actividades en línea que habitualmente se prestan a cambio de una remuneración o que contienen comunicaciones comerciales. Se trata típicamente de redes sociales, plataformas de intercambio de contenidos, juegos en línea, e-shops, servicios de streaming, aplicaciones móviles con contenido personalizado o el envío de boletines de marketing. La norma sobre el límite de edad se aplica siempre que el fundamento jurídico para el tratamiento sea el consentimiento.

Por el contrario, si el tratamiento es necesario para la ejecución de un contrato (por ejemplo, una compra única en una tienda online sin marketing posterior), no se requiere el consentimiento y estas normas específicas no se aplican.

La consecuencia jurídica es clara: si el niño tiene menos de 15 años, su consentimiento independiente no es válido. Para que el tratamiento de sus datos personales sea lícito, el consentimiento debe ser otorgado o autorizado por la persona que ejerza la patria potestad (típicamente el progenitor o el tutor legal).

Este límite de 15 años no se estableció al azar. Refleja el esfuerzo del legislador checo por alinear la "mayoría de edad digital" con otros hitos jurídicos importantes en la vida de un adolescente, como la adquisición de la capacidad jurídica parcial y la responsabilidad penal. No se trata de una cifra arbitraria, sino de una elección meditada que refleja el contexto jurídico y social checo, como lo demuestra también el debate previo sobre este límite.

Además del propio límite de edad, también hay que tener en cuenta el principio más amplio del derecho civil checo, que es la "madurez intelectual" del niño. Aunque un usuario de quince años ya puede otorgar el consentimiento por sí mismo, este consentimiento debe seguir siendo informado y libre. Esto significa que la información sobre el tratamiento de datos debe presentarse en un lenguaje comprensible para el adolescente, y el proceso de obtención del consentimiento no debe ser manipulador.

Este principio resuena con el énfasis del Comité Europeo de Protección de Datos (CEPD) en la transparencia y la prohibición de prácticas engañosas.

Por ello, ARROWS asesora a sus clientes no solo sobre cómo cumplir con el límite de edad formal, sino también sobre cómo configurar todo el proceso de obtención del consentimiento para que sea jurídicamente defendible también desde el punto de vista de su calidad.

¿Cómo verificar la edad y obtener el consentimiento de los padres? Guía práctica para su plataforma

Uno de los mayores retos prácticos que el RGPD plantea a los operadores de plataformas en línea es la obligación de realizar "esfuerzos razonables" para verificar la edad del usuario y, en su caso, la validez del consentimiento paterno. La ley no establece deliberadamente un método específico, ya que reconoce que lo que es "razonable" varía en función de la naturaleza del servicio y de los riesgos asociados al tratamiento de datos. Por lo tanto, la clave para una implementación exitosa y defendible es elegir un enfoque basado en la evaluación del riesgo.

No existe una solución universal. El método correcto de verificación de la edad depende de qué datos trate y qué haga con ellos. Este enfoque orientado al riesgo puede dividirse en varios niveles:

Riesgo bajo:

Para los servicios que no presentan un riesgo significativo para los derechos y libertades de los niños —como sitios web de contenidos sin registro, blogs sin elementos interactivos o foros con una recopilación mínima de datos—, una barrera de edad sencilla y neutra (la llamada age-gate) puede ser una medida suficiente. Al acceder, se solicita al usuario que introduzca su fecha de nacimiento. 

Sin embargo, hay que tener en cuenta que este mecanismo es muy fácil de eludir y el Comité Europeo de Protección de Datos (CEPD) ha expresado un considerable escepticismo sobre su uso en escenarios que no sean de bajo riesgo.

Riesgo medio:

Aquí se incluyen las tiendas online habituales, las redes sociales con funciones limitadas o las comunidades en línea. En este caso, la mera declaración de la edad ya no es suficiente. Es necesario recurrir a métodos más robustos que aumenten la probabilidad de que el consentimiento sea otorgado por un adulto. 

Estos métodos incluyen, por ejemplo, el envío de un correo electrónico de verificación o un mensaje al número de teléfono del progenitor, la realización de un micro-pago con tarjeta de crédito (que posteriormente se devuelve), ya que se asume que el menor no dispone de tarjeta propia, o el uso de servicios de terceros, como mojeID o la identidad bancaria.

Riesgo alto:

Si su plataforma trata datos sensibles, realiza perfiles a gran escala con fines publicitarios, permite la interacción libre entre usuarios o proporciona contenidos no aptos para menores (por ejemplo, juegos de azar, venta de alcohol, sitios de citas), los requisitos de verificación de la edad son máximos. En este caso, es necesario implantar métodos fiables y difíciles de falsificar. Puede tratarse de una verificación mediante un documento oficial válido (DNI, pasaporte), en la que el usuario sube una foto del documento, o del uso de un análisis biométrico facial que estima la edad del usuario a partir de un selfie. 

Aunque estos métodos son los más precisos, también conllevan complicaciones jurídicas adicionales, especialmente en relación con el tratamiento de categorías especiales de datos personales.

Al elegir el método, las empresas se enfrentan a la llamada paradoja de la minimización de datos. Los métodos de verificación más fiables (escaneo de documentos, biometría) requieren la recopilación de los datos personales más sensibles, lo que puede entrar en contradicción directa con el principio del RGPD de recopilar únicamente los datos estrictamente necesarios para la finalidad en cuestión.

Por tanto, la elección del mecanismo adecuado consiste siempre en encontrar un equilibrio entre la robustez de la verificación y la protección de la privacidad de los usuarios.

En este contexto, también es importante seguir la evolución tecnológica. ARROWS, como firma moderna, sigue de cerca las tendencias emergentes, como las tecnologías de pruebas de conocimiento cero (zero-knowledge proofs, ZKPs) o el proyecto europeo de identidad digital (eID). Estos sistemas permitirán en el futuro confirmar un hecho (por ejemplo, "la persona es mayor de 15 años") sin necesidad de revelar el dato en sí (la fecha exacta de nacimiento) o la identidad de la persona, resolviendo así de forma elegante la mencionada paradoja.

En caso de una inspección por parte de la Oficina de Protección de Datos Personales (ÚOOÚ), la cuestión clave no será si dispone de algún sistema de verificación, sino si es capaz de justificar por qué eligió ese sistema en concreto. Así, la documentación de su proceso de toma de decisiones, especialmente la evaluación de impacto relativa a la protección de datos (EIPD), se convierte en una prueba fundamental. 

Una empresa que haya utilizado únicamente una barrera de edad sencilla para un servicio de alto riesgo no podrá defender su elección. Por lo tanto, el trabajo jurídico relacionado con el análisis de riesgos y la documentación de las decisiones es tan importante como la implementación técnica.

ARROWS no solo proporciona dictámenes jurídicos, sino que colabora activamente con sus equipos de TI y de producto en el diseño e implementación de soluciones que cumplan con el principio de "cumplimiento desde el diseño" (compliance-by-design). Le ayudaremos a realizar la evaluación de impacto relativa a la protección de datos (EIPD) y a elegir el método de verificación que sea proporcionado para su modelo de negocio, técnicamente viable y, sobre todo, jurídicamente defendible.

¿Opera en el extranjero? Cuidado con los diferentes límites de edad en la UE

Para las empresas cuyas ambiciones van más allá de las fronteras de la República Checa, la cuestión del consentimiento de los menores introduce otra dimensión sustancialmente más compleja. La flexibilidad que el RGPD otorgó a los Estados miembros en su artículo 8 ha dado lugar a un mapa jurídico fragmentado y heterogéneo en toda la Unión Europea. Lo que es legal en un país puede ser ilegal en otro. Operar una plataforma paneuropea unificada sin tener en cuenta estas variaciones nacionales es una receta para graves problemas jurídicos.

Mientras que la República Checa ha fijado el límite de edad en los 15 años, la situación de nuestros vecinos y socios comerciales clave es diferente. Esta fragmentación exige de las empresas no solo conocimientos jurídicos, sino también capacidades técnicas avanzadas.

Los límites de edad varían considerablemente en Europa. El límite por defecto de 16 años según el RGPD se aplica, por ejemplo, en Alemania, Polonia, Eslovaquia e Irlanda. Austria y España han rebajado el límite a 14 años, Francia tiene, al igual que la República Checa, 15 años (en nuestro país según la Ley 110/2019 Coll.), y Bélgica y Suecia han optado por el límite más bajo posible, de 13 años.

El impacto comercial de este mosaico jurídico es fundamental. Para cualquier empresa con una base de usuarios a escala europea, un enfoque único para obtener el consentimiento es sencillamente contrario a la ley. Su plataforma debe ser técnicamente capaz de identificar la ubicación del usuario y, sobre esa base, aplicar dinámicamente normas diferentes. 

En la práctica, esto requiere la implementación de una tecnología de geolocalización fiable y el desarrollo de mecanismos flexibles para mostrar diferentes versiones de los formularios de registro y consentimientos. Esta fragmentación jurídica se traduce directamente en un aumento de los costes de desarrollo, mantenimiento y complejidad técnica general del sistema.

Esta complejidad es precisamente la razón por la que hemos construido durante diez años la red ARROWS International. Nuestros clientes no tienen que buscar y coordinar laboriosamente a expertos locales en cada país. Gracias a nuestra red, garantizamos un asesoramiento jurídico coherente y eficaz en todas las jurisdicciones, ya sea para el lanzamiento de un nuevo servicio en Alemania, Francia o Suecia. Abordamos cuestiones con elementos internacionales prácticamente a diario.

La situación se complica aún más si para el funcionamiento de su plataforma utiliza servicios de proveedores con sede fuera de la UE, por ejemplo en Estados Unidos (lo que es habitual en el caso de almacenamiento en la nube, herramientas analíticas o plataformas de marketing). En tal caso, al problema de los diferentes límites de edad se suma la cuestión de alto riesgo de la transferencia de datos personales a terceros países. 

Especialmente cuando se trata de datos de menores, el nivel de vigilancia y control por parte de las autoridades de control europeas es extremadamente alto. Un ejemplo de ello son los casos de Alemania y Dinamarca, donde las autoridades de protección de datos criticaron el uso de herramientas de Google y Microsoft en las escuelas precisamente debido a la transferencia de datos de los estudiantes a EE. UU., donde no se garantiza el mismo nivel de protección que en la UE.

Análisis de riesgos: El caso TikTok y qué amenaza a su empresa

Los artículos jurídicos abstractos y los riesgos teóricos a menudo solo adquieren una forma real cuando se analizan casos prácticos concretos. Nada ilustra mejor las consecuencias potenciales de un incumplimiento en materia de protección de datos de menores que el caso de TikTok, que se ha convertido en una advertencia para toda la industria digital. La multa de 345 millones de euros (aproximadamente 8.500 millones de coronas checas) impuesta a TikTok en 2023 por la Comisión de Protección de Datos de Irlanda (DPC) no fue solo una sanción por un único error, sino por todo un conjunto de fallos sistémicos.

El análisis de esta resolución ofrece una visión de en qué se centran las autoridades de control y qué prácticas consideran las infracciones más graves del RGPD. Para su empresa, es básicamente un manual de lo que debe evitar:

1. Configuración pública por defecto (Public by Default): Las cuentas de los usuarios menores de edad (de 13 a 17 años) se configuraban automáticamente como públicas. Esto significaba que cualquier persona, dentro y fuera de la plataforma, podía ver y comentar el contenido creado por estos niños. Se trataba de una infracción flagrante del principio clave del RGPD : la protección de datos desde el diseño y por defecto (privacy by design and by default), consagrado en el artículo 25. Las plataformas deben configurar todos los ajustes para menores en el nivel más alto posible de protección de la privacidad por defecto.

2. Función "Sincronización Familiar" no segura: Esta función permitía a un usuario adulto vincular su cuenta con la de un menor para ejercer el control parental. El problema radicaba en que TikTok no verificaba si el adulto era realmente el progenitor o el tutor legal del menor. Esto abría la puerta a posibles abusos y riesgos para los menores. Se trató de un fallo a la hora de garantizar la integridad y confidencialidad de los datos según el artículo 5 del RGPD.

3. Falta de transparencia: La información sobre el tratamiento de datos personales, las condiciones de uso y la configuración de privacidad se presentaban a los usuarios menores de una forma que no era suficientemente clara, comprensible ni adaptada a su edad. Con ello se infringió el artículo 12 del RGPD, que exige una comunicación transparente.

4. Uso de técnicas manipuladoras ("Dark Patterns"): La investigación reveló que el diseño del proceso de registro y de otras partes de la aplicación utilizaba los llamados "patrones oscuros": elementos de diseño engañosos que empujaban sutil pero eficazmente a los usuarios (nudging) a elegir opciones menos privadas y más ventajosas para la empresa. Este comportamiento manipulador contradice directamente el principio de lealtad y licitud del tratamiento según el artículo 5 del RGPD.

Estos fallos dieron lugar a una multa enorme. De conformidad con el artículo 83 del RGPD, la infracción de las normas relativas al consentimiento de los niños, los principios del tratamiento y los derechos de los interesados pertenece a la categoría por la que se pueden imponer multas de hasta 20 millones de euros o el 4 % del volumen de negocios anual global de la empresa, optándose por la de mayor cuantía. 

Aunque la ley de adaptación checa establece límites nacionales más bajos para algunas infracciones, la Oficina de Protección de Datos Personales (ÚOOÚ) tiene plena competencia para imponer sanciones significativas también en el mercado checo.

Para ayudarle a orientarse mejor en las amenazas concretas y nuestras soluciones, hemos preparado la siguiente tabla resumen de riesgos:

Resumen final

Como han demostrado los capítulos anteriores, garantizar el cumplimiento de la ley en el tratamiento de datos personales de menores es una disciplina compleja y dinámica. No se trata de una tarea puntual que se pueda marcar como realizada y olvidar. Es un proceso continuo que requiere un profundo conocimiento del derecho, comprensión de la tecnología y gestión estratégica del riesgo. Hay demasiado en juego como para subestimar esta área.

La protección de datos personales no es solo una de las muchas áreas a las que nos dedicamos. Es una especialización clave de nuestro equipo y la columna vertebral de nuestra práctica. Nuestra amplia experiencia habla por sí sola: hemos ayudado a configurar y gestionar con éxito el cumplimiento del RGPD para más de 150 sociedades anónimas, 250 sociedades de responsabilidad limitada y 51 municipios y regiones en la República Checa. Estas cifras representan cientos de horas de análisis, consultas e implementación de soluciones en entornos empresariales reales, desde pequeñas startups hasta grandes corporaciones.

Entendemos que cada empresa es única. Por ello, no ofrecemos plantillas universales, sino soluciones a medida que reflejan su modelo de negocio específico, sus capacidades técnicas y su perfil de riesgo. Nuestros expertos pueden ayudarle en cada fase de su camino hacia el pleno cumplimiento:

• Auditoría y evaluación de riesgos: Realizaremos un análisis profundo de su plataforma e identificaremos los puntos débiles y los riesgos potenciales.

• Preparación y revisión de documentación: Crearemos o revisaremos toda la documentación necesaria, desde directrices internas y registros de actividades de tratamiento, pasando por contratos con encargados del tratamiento, hasta políticas de privacidad y condiciones de uso comprensibles y jurídicamente sólidas.

• Asesoramiento para sus equipos: Ofreceremos orientación práctica a sus gestores de producto, desarrolladores y especialistas en marketing para que los principios de privacidad se integren directamente en el diseño de sus servicios.

• Formación de empleados: Formaremos a su personal para que comprenda sus obligaciones y sepa cómo tratar correctamente los datos sensibles.

• Representación en procedimientos: En caso de inspección o incidente, le representaremos profesionalmente en la comunicación y en los procedimientos ante la Oficina de Protección de Datos Personales.

Subestimar las normas de protección de datos de menores no es una estrategia, sino un riesgo que una empresa de éxito no puede permitirse. Invertir en un programa de cumplimiento sólido es una inversión en la confianza de sus clientes, en la estabilidad de su negocio y en la tranquilidad para su futuro.

Póngase en contacto con nosotros hoy mismo para concertar una consulta sin compromiso. Analizaremos la situación de su plataforma y le propondremos medidas concretas para garantizar el pleno cumplimiento y la seguridad de su negocio.