Privacidad infantil y protección de datos: diseñar para la edad, la capacidad y la vulnerabilidad

El menor medio no existe. Diseñar para la edad, la capacidad y la vulnerabilidad: una lectura final desde GRC

SERIE PRIVACIDAD INFANTIL · ARTÍCULO 5/5

Dos menores pueden tener trece años y relacionarse de manera completamente distinta con el mismo servicio digital. Uno puede comprender con bastante claridad qué significa compartir su ubicación, modificar una configuración de privacidad o bloquear a otro usuario; otro puede necesitar apoyo para interpretar exactamente la misma interfaz. Uno puede llevar años utilizando redes sociales y otro estar comenzando. Pueden diferir en experiencia digital, desarrollo cognitivo y emocional, entorno familiar, necesidades educativas, situación socioeconómica, confianza, autonomía o exposición previa a determinados riesgos.

La fecha de nacimiento puede ser la misma. La capacidad para comprender, decidir y anticipar consecuencias no necesariamente lo es.

Esta última entrega de la serie parte precisamente de ahí. Hemos hablado de confianza y comprensión, del papel de la familia y la autonomía progresiva, de controles cuya existencia no garantiza su eficacia y, en el artículo anterior, de inteligencia artificial conversacional y relaciones digitales capaces de generar cercanía. Detrás de todos esos problemas ha permanecido una pregunta que ahora merece ocupar el centro:

¿para qué menor estamos diseñando realmente?

La solución más cómoda sería construir un usuario tipo y llamarlo “menor”. El problema es que probablemente ese usuario no exista.

El estudio encargado por el ICO permite observarlo. La edad importa y aparecen tendencias claras a medida que los niños crecen, pero la evolución no puede explicarse exclusivamente mediante los años cumplidos. Algunas capacidades prácticas aumentan mientras aparecen nuevas formas de independencia y elusión; crece la autonomía para manejar configuraciones, aunque la comprensión de los flujos de información continúa siendo desigual; y el entorno familiar, las necesidades educativas o determinadas circunstancias socioeconómicas también aparecen asociados a diferencias relevantes.

Conviene recordar desde el principio que se trata de evidencia obtenida en el Reino Unido. Sus resultados no deben generalizarse automáticamente a menores de otros países. Sí permiten identificar patrones, hipótesis y problemas de diseño y gobernanza que pueden resultar útiles para estudiar otros contextos. La investigación se realizó con 4.132 menores británicos de entre 8 y 17 años y uno de sus padres o cuidadores, con una muestra ponderada para representar diferentes características de la población infantil del Reino Unido.

La ciencia del desarrollo reciente refuerza esta necesidad de evitar simplificaciones. UNICEF Innocenti propone comprender las capacidades evolutivas desde tres dimensiones —desarrollo, protección y emancipación— y destaca que las decisiones sobre los derechos del niño deben ser sensibles al contexto. (UNICEF) Livingstone y Sylwander cuestionan igualmente los umbrales rígidos basados en una lectura demasiado simple de “edades y etapas” y plantean una visión del desarrollo infantil más variable y contextual. (British Psychological Society)

De ahí la tesis de esta última entrega:

diseñar para menores no significa diseñar únicamente para una edad. Significa diseñar para personas cuyas capacidades evolucionan de maneras diferentes, en contextos diferentes y frente a riesgos diferentes.

La edad importa, pero no explica todo

El estudio del ICO muestra una progresión bastante intuitiva en algunas habilidades. El porcentaje de menores que afirma saber cómo denunciar o bloquear a alguien cuando algo les incomoda aumenta del 63 % entre los 8 y 10 años al 80 % a los 17 años.

También aumenta la autonomía para gestionar determinadas configuraciones. En conjunto, el 42 % de los menores afirma haber cambiado ajustes de privacidad por sí mismo o con ayuda. El informe observa además una mayor independencia con la edad: el 34 % de los jóvenes de 17 años declara haber comprobado y cambiado configuraciones por sí mismo, frente al 14 % entre los niños de 8 a 10 años. Entre los más pequeños resulta también más frecuente el temor a equivocarse o que otra persona gestione esas opciones.

Hasta aquí podríamos construir una explicación sencilla: a mayor edad, mayor capacidad digital.

La misma investigación obliga inmediatamente a matizarla.

Cuando se pregunta qué sucede con la información personal una vez compartida, solo el 45 % del conjunto de menores afirma comprenderlo. La incertidumbre disminuye con la edad —el 15 % de los niños de 8 a 10 años responde que no sabe qué ocurre con sus datos, frente al 4 % a los 17—, pero ni siquiera entre los mayores podemos hablar de comprensión universal.

Con la inteligencia artificial encontramos algo parecido. Los niños de 8 a 10 años son más propensos a pensar que la IA mantiene todo lo que dicen en privado —22 % frente al 13 % a los 17 años—, pero crecer tampoco elimina las dudas sobre cómo se trata la información.

Y existe otra cara del aumento de capacidad. Los intentos declarados de sortear controles parentales pasan del 37 % entre 8 y 10 años al 48 % a los 17 años. Entre quienes ya han intentado hacerlo, la proporción que considera fácil eludirlos aumenta del 42 % al 68 %.

Una mayor competencia digital puede ayudar a protegerse, configurar mejor un servicio o ejercer derechos, pero también facilita actuar con mayor independencia, asumir determinados riesgos o encontrar vías para rodear una salvaguardia.

La madurez digital no equivale simplemente a “más seguridad”.

FIGURA 1 (IA): La edad influye, pero comprensión, autonomía y gestión del riesgo no evolucionan siempre al mismo ritmo.

Las capacidades evolutivas no siguen una línea recta

El marco de derechos de la infancia ayuda a comprender mejor esta aparente contradicción.

La Observación general núm. 25 del Comité de los Derechos del Niño concibe las capacidades evolutivas como un principio habilitador vinculado a la adquisición progresiva de competencias, comprensión y autonomía. Su importancia es especial en el entorno digital, donde los menores pueden desenvolverse con una independencia creciente respecto de padres y cuidadores.

La investigación contemporánea sobre desarrollo añade una precisión fundamental: las capacidades no evolucionan necesariamente de forma uniforme ni al mismo ritmo en todas las dimensiones. UNICEF Innocenti integra precisamente desarrollo, protección y emancipación dentro de un mismo marco de capacidades evolutivas y reclama decisiones contextualizadas. (UNICEF)

Un adolescente puede manejar con enorme soltura un dispositivo y no comprender suficientemente una finalidad de tratamiento. Puede crear contenidos con gran habilidad y tener dificultades para anticipar su persistencia futura. Puede reconocer un intento de fraude y, sin embargo, confiar demasiado en una recomendación personalizada o en un interlocutor de inteligencia artificial.

La habilidad técnica, la comprensión de los datos, la autonomía decisoria, el desarrollo emocional y la percepción del riesgo no son la misma cosa.

Livingstone y Sylwander llegan a una conclusión compatible desde la psicología del desarrollo al cuestionar que exista una única “edad correcta” capaz de resolver por sí sola el diseño apropiado de servicios digitales para menores. (British Psychological Society)

La edad sigue siendo una referencia útil.

No es una explicación completa de la persona.

El contexto también forma parte de la capacidad efectiva

Las diferencias que encuentra el estudio del ICO tampoco aparecen exclusivamente entre edades.

Entre los menores incluidos en la categoría SEND —necesidades educativas especiales, discapacidad o determinadas condiciones de larga duración—, el 69 % considera que las configuraciones de privacidad ayudan a mantenerlos privados y seguros, frente al 77 % entre quienes no están en esa categoría. Solo el 47 % encuentra fácil de comprender la información sobre privacidad y seguridad, frente al 55 % de sus compañeros.

También aparecen diferencias asociadas al contexto socioeconómico. Los menores de hogares ABC1 declaran en mayor medida que las configuraciones los mantienen privados y seguros —78 % frente al 72 % en hogares C2DE— y que la información resulta fácil de comprender —56 % frente al 51 %—.

Estas asociaciones no permiten establecer causalidad. Tampoco autorizan a afirmar que una discapacidad, una necesidad educativa o una determinada situación socioeconómica determine por sí misma la capacidad del menor.

Sí cuestionan una ficción muy cómoda del diseño: que todos los usuarios infantiles están en condiciones equivalentes para comprender y utilizar una salvaguardia.

El lenguaje, la accesibilidad, el apoyo disponible, la experiencia previa, la interfaz y el contexto pueden cambiar de manera importante la capacidad efectiva de comprender una opción y ejercerla.

Diseñar para un supuesto “menor medio” puede significar, paradójicamente, diseñar para quienes menos necesitan que adaptemos el servicio.

Vulnerabilidad no significa incapacidad

Aquí debemos ser particularmente cuidadosos.

Hablar de “menores vulnerables” puede convertir con demasiada facilidad una situación concreta en una característica permanente de la persona. Resulta más útil hablar de factores o situaciones de vulnerabilidad.

Un mismo menor puede desenvolverse con mucha autonomía en un entorno y encontrarse especialmente expuesto en otro. Una discapacidad puede requerir una adaptación sin permitirnos presumir incapacidad. Una situación emocional concreta puede aumentar la susceptibilidad frente a determinados diseños persuasivos sin definir de forma permanente a la persona.

La vulnerabilidad puede ser, por tanto, relacional y contextual: aparece en la interacción entre características de la persona, entorno, tecnología y diseño.

Esta lectura evita dos extremos. El primero sería ignorar diferencias reales y ofrecer exactamente la misma respuesta a todos. El segundo sería asumir que proteger exige decidir permanentemente por el menor.

Las capacidades evolutivas exigen combinar protección y autonomía, no elegir una contra la otra.

Participar tampoco depende únicamente de la edad

La Observación general núm. 12, sobre el derecho del niño a ser escuchado, contiene una precisión especialmente importante: la edad por sí sola no determina el peso que debe atribuirse a la opinión del menor. El Comité señala que información, experiencia, entorno, expectativas sociales y culturales y nivel de apoyo contribuyen al desarrollo de la capacidad para formarse una opinión.

La consecuencia para el diseño digital es relevante.

Las bandas de edad pueden servir como orientación, pero no deberían convertirse en compartimentos cerrados dentro de los cuales demos por supuesto qué comprende o decide cualquier menor.

Escuchar tampoco significa trasladarle la responsabilidad.

La participación infantil no consiste en pedir a un niño que determine qué riesgo residual debe aceptar una empresa. Consiste en reconocer que posee información que el diseñador no tiene: qué palabras no entiende, qué avisos ignora, qué controles sabe rodear, qué opciones le resultan confusas, qué diseños generan confianza o presión y qué medidas concebidas para protegerlo experimenta como inútiles o excesivamente intrusivas.

Escuchar es un derecho.

También puede aportar evidencia útil para gobernar mejor.

El diseño apropiado para la edad es más que cambiar una pantalla

El Children’s Code del ICO utiliza el concepto de age appropriate application y exige que la edad probable de los usuarios y sus distintas necesidades de desarrollo ocupen un lugar central en el diseño del servicio. Al mismo tiempo, el propio ICO advierte expresamente de que los niños son individuos y que las bandas de edad no son una guía perfecta de sus intereses, necesidades o capacidades evolutivas. Utiliza 0-5, 6-9, 10-12, 13-15 y 16-17 como referencias orientativas, no como categorías psicológicas rígidas. (ICO)

Conviene recordar además que determinados materiales de orientación vinculados al Children’s Code se encuentran en revisión tras la Data (Use and Access) Act 2025, que entró en vigor el 19 de junio de 2025. Sigue siendo una referencia comparada de gran interés, pero debe utilizarse comprobando el estado actualizado de sus orientaciones. (ICO)

Las Directrices de la Comisión Europea de 2025 sobre el artículo 28 DSA siguen una lógica comparable dentro de su ámbito específico: las plataformas online accesibles a menores. La Comisión conecta la protección con las necesidades evolutivas de los niños y con un análisis más amplio de privacidad, seguridad y protección. (EUR-Lex)

Aquí conviene mantener una frontera clara: esas Directrices interpretan y orientan la aplicación del artículo 28 del DSA. Cuando trasladamos alguno de sus criterios a otros servicios digitales estamos haciendo una extrapolación metodológica, no ampliando jurídicamente el ámbito del Reglamento.

La enseñanza GRC, sin embargo, es perfectamente aprovechable: diseñar para menores exige abandonar la presunción de que todos comprenderán el servicio como lo haría un adulto informado.

Diseñar para comprender, no únicamente para informar

La transparencia infantil tampoco puede reducirse a simplificar palabras.

Una explicación puede ser breve y continuar siendo incomprensible. Puede utilizar lenguaje sencillo y aparecer demasiado tarde. Puede funcionar bien para un adolescente y resultar insuficiente para un niño pequeño. Incluso puede ser comprensible y, sin embargo, generar una expectativa equivocada si el resto de la interfaz comunica otra cosa.

Por eso una verdadera transparencia debería preguntarse no solamente qué hemos explicado, sino qué puede comprender razonablemente la persona y qué decisión esperamos que adopte con esa información.

Los datos del ICO muestran una asociación ilustrativa. Entre quienes consideran fácil de entender la información sobre privacidad, el 77 % afirma sentir control sobre sus datos, frente al 43 % entre quienes no la consideran sencilla.

Eso no demuestra que mejorar una explicación produzca automáticamente mayor control. Sí sugiere que comprensión y capacidad para ejercer opciones no deberían tratarse como problemas completamente separados.

Adaptar no significa perfilar más

Esta precisión me parece esencial.

Reconocer que los menores presentan capacidades, contextos y necesidades diferentes podría conducir a una conclusión equivocada: que para proteger mejor necesitamos conocer cada vez más cosas sobre cada niño.

No debería ser así.

Diseño adaptativo no puede convertirse en una justificación para inferir sistemáticamente madurez psicológica, vulnerabilidad emocional, discapacidad, situación familiar o capacidad decisoria mediante perfiles cada vez más detallados.

Cualquier tratamiento o inferencia utilizado para adaptar la protección debe someterse a los principios de necesidad, minimización y proporcionalidad. La protección de datos desde el diseño y por defecto exige, además, que el tratamiento se limite por defecto a los datos personales necesarios para cada finalidad.

Cuando sea posible, deberíamos favorecer configuraciones protectoras por defecto, accesibilidad, explicaciones adaptables, opciones graduadas y capacidad de elección antes que generar nuevas inferencias sobre la persona.

Esto conecta directamente con una idea que apareció en el tercer artículo:

proteger mejor puede significar saber menos.

Reconocer la diversidad infantil no exige necesariamente identificar exhaustivamente las características de cada menor. También puede significar construir servicios suficientemente flexibles para que diferentes personas puedan comprenderlos y utilizarlos sin convertir todas esas diferencias en nuevos datos que debamos recopilar.

Adaptar tampoco significa sustituir la autonomía

Aquí regresamos al segundo artículo de la serie.

Si diseño apropiado para la edad significara aplicar siempre el máximo nivel de restricción, estaríamos confundiendo protección con sustitución.

Las capacidades evolutivas implican precisamente un aumento progresivo de competencia y autonomía. La protección debería acompañar esa evolución.

Una configuración segura por defecto puede resultar esencial para un niño pequeño y seguir siendo razonable para un adolescente, pero este último puede necesitar mucha más capacidad para comprenderla, modificarla y participar en las decisiones que le afectan.

Lo mismo ocurre con la supervisión parental. Una medida intensa puede ser proporcionada en una determinada etapa y convertirse progresivamente en una interferencia difícil de justificar si permanece inalterada pese al crecimiento de la autonomía.

La buena protección cambia con la persona.

No porque exista un cumpleaños concreto en el que el riesgo desaparezca, sino porque el equilibrio entre protección, participación y autonomía también evoluciona.

De segmentar por edad a diseñar para la diversidad

Desde una perspectiva GRC, propondría utilizar al menos cinco dimensiones como guía:

No es una metodología normativa y, sobre todo, no pretende construir un perfil psicológico individual del menor. Su función es ayudar a comprobar si el diseño y las salvaguardias responden razonablemente a la diversidad previsible de usuarios.

La edad puede ser un buen punto de partida.

No debería ser el final del análisis.

FIGURA 2 (IA): Diseñar para la infancia exige atender a la diversidad real de capacidades, contextos y efectos del servicio.

Una lectura GRC: el menor no es una categoría de riesgo

Desde Gobernanza, la organización debería poder explicar qué población infantil espera que utilice el servicio, cómo incorpora diferencias previsibles de edad y capacidad a sus decisiones, qué grupos pueden quedar peor protegidos o excluidos y de qué manera escucha a los propios menores durante el diseño y la revisión.

Desde Riesgo, el análisis debería partir de escenarios antes que de etiquetas. Debemos identificar quién puede estar expuesto, qué capacidad tiene para comprender o responder, qué impacto podría sufrir y qué factores modifican probabilidad o gravedad. Los factores de vulnerabilidad ayudan a reconocer necesidades de protección; no deberían convertirse en una clasificación permanente de la persona.

Desde Cumplimiento, RGPD, DSA —dentro de su ámbito— y el marco de derechos de la infancia convergen en varias ideas relevantes: protección específica, interés superior, proporcionalidad, accesibilidad, participación, no discriminación, protección desde el diseño y consideración de las capacidades evolutivas.

Y desde el aseguramiento aparece una última pregunta que resume buena parte de esta serie:

¿las salvaguardias funcionan igualmente bien para todos aquellos a quienes afirmamos proteger?

Una cifra media puede esconder precisamente a quienes peor está sirviendo el sistema.

Cinco artículos después: ¿qué hemos aprendido?

Llegados al final, merece la pena regresar al estudio del ICO y observar no solo sus resultados, sino el camino que nos han permitido recorrer.

En «Confianza no es comprensión» encontramos la primera brecha. El 76 % de los menores considera que las configuraciones de privacidad y seguridad ayudan a mantenerlos privados y seguros, mientras solamente el 45 % afirma comprender qué sucede con su información después de compartirla. La primera lección fue que sentirse protegido y comprender el tratamiento no son la misma cosa.

En «Proteger sin sustituir» vimos que la familia es fundamental, pero también que acompañar al menor exige reconocer su autonomía progresiva. Una medida adecuada a los ocho años no tiene por qué seguir siendo proporcionada de la misma manera a los diecisiete.

En «Cuando el control no controla» trasladamos el problema a la eficacia. Una salvaguardia existente no demuestra que el riesgo esté gestionado. Hay que conocer sus errores, su resistencia a la elusión, sus impactos secundarios y el riesgo que permanece después de aplicarla.

En «Cuando los niños hablan con las máquinas» apareció una nueva frontera. La inteligencia artificial conversacional puede convertir la entrega de información en una interacción que se percibe como diálogo. Allí dejamos de preguntarnos solamente qué hace el modelo para preguntarnos también qué relación permite construir el producto con el menor.

Y este último artículo añade la pieza que une a los anteriores: ninguna de esas cuestiones puede resolverse correctamente utilizando como referencia a un supuesto “menor medio”.

La confianza cambia.

La comprensión cambia.

La autonomía cambia.

La capacidad para utilizar —o rodear— una salvaguardia cambia.

El contexto cambia.

Los riesgos cambian.

Y las medidas de protección también deberían poder hacerlo.

Una propuesta final para gobernar la privacidad infantil

Si tuviera que condensar las cinco entregas en una única secuencia de gobierno, propondría esta:

PERSONA Y CONTEXTO → RIESGO → COMPRENSIÓN → AUTONOMÍA → IMPACTO → SALVAGUARDIA → EFICACIA → RIESGO RESIDUAL → REVISIÓN

No pretende sustituir una EIPD, un sistema de gestión de riesgos o una metodología regulatoria. Su función es recordar que la privacidad infantil no puede analizarse únicamente desde el dato, el consentimiento o el control técnico.

Tenemos que observar a la persona, su capacidad para comprender, el contexto en el que decide, el efecto que nuestro diseño produce sobre ella y la evidencia que demuestra que aquello que hemos construido realmente la protege.

Después de cinco artículos, la conclusión quizá sea menos tecnológica de lo que parecía al empezar.

Proteger la privacidad infantil no consiste únicamente en redactar avisos más sencillos, activar configuraciones seguras, implantar controles parentales, verificar edades o añadir límites a una inteligencia artificial.

Todas esas medidas pueden ser necesarias.

Pero antes necesitamos comprender a quién queremos proteger, frente a qué riesgo, con qué grado de autonomía y con qué impacto sobre los demás derechos que también debemos preservar.

El menor medio no existe porque la infancia no es una categoría homogénea. Es un proceso de desarrollo en el que capacidades, relaciones, necesidades y autonomía evolucionan de forma diversa.

FIGURA 3 (IA): La privacidad infantil debe gobernarse como una relación dinámica entre persona, contexto, riesgo, salvaguardias y revisión continua.

Por eso no deberíamos tratar la privacidad infantil como una versión simplificada de la privacidad adulta.

No consiste en coger el mismo servicio, reducir el texto de un aviso y añadir unas restricciones.

Consiste en diseñar desde el principio para personas que pueden comprender menos algunas cosas y mucho más otras; que necesitan apoyo hoy y mayor autonomía mañana; y cuyas diferencias no deberían convertirse ni en motivo de desprotección ni en una excusa para vigilarlas más.

La privacidad infantil no debería gobernarse a partir de una categoría llamada “menor”, sino desde la relación entre persona, capacidad, contexto, tecnología, riesgo y evolución en el tiempo.

Ese es, para mí, el verdadero aprendizaje que dejan estas cinco entregas.

Bibliografía 

DJS Research. (2026). Children’s & parents’ attitudes on information rights. Research commissioned by the Information Commissioner’s Office. Fuente empírica principal de la serie. La evidencia procede del Reino Unido y no debe generalizarse automáticamente a otras jurisdicciones.

Committee on the Rights of the Child. (2021). General comment No. 25 on children’s rights in relation to the digital environment. Referencia para capacidades evolutivas, autonomía y derechos en el entorno digital.

Committee on the Rights of the Child. (2009). General comment No. 12: The right of the child to be heard. Especialmente relevante para la relación entre edad, madurez, experiencia, contexto y capacidad para formarse una opinión.

UNICEF Office of Strategy and Evidence – Innocenti. (2026). Growing with Rights: Understanding and supporting the evolving capacities of the child. Florence: UNICEF Innocenti. Publicado en febrero de 2026; propone un marco de capacidades evolutivas basado en desarrollo, protección y emancipación. (UNICEF)
Growing with Rights — UNICEF Innocenti

Livingstone, S. & Sylwander, K. R. (2026). “Conceptualizing age-appropriate social media to support children’s digital futures”. British Journal of Developmental Psychology, 44, 300–312. DOI: 10.1111/bjdp.70006. Referencia científica revisada por pares sobre desarrollo, diseño apropiado para la edad y límites de los umbrales etarios rígidos. (British Psychological Society)
Artículo en Wiley

Information Commissioner’s Office. Age Appropriate Design Code / Children’s Code. Referencia comparada británica sobre aplicación apropiada a la edad y capacidades evolutivas; determinados materiales continúan en revisión tras la Data (Use and Access) Act 2025. (ICO)

European Commission. (2025). Guidelines on measures to ensure a high level of privacy, safety and security for minors online pursuant to Article 28(4) of Regulation (EU) 2022/2065, C/2025/5519. Referencia europea para plataformas online accesibles a menores. (EUR-Lex)
Directrices oficiales — EUR-Lex

Unión Europea. Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Especialmente artículos 5, 12, 24 y 25 y considerando 38, en relación con minimización, transparencia, responsabilidad y protección de datos desde el diseño y por defecto.