Matricúlate
Confianza no es comprensión en menores
La brecha invisible de la privacidad infantil desde el riesgo, la lealtad y la responsabilidad proactiva (1/5)
(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).
Hay una escena que seguramente nos resulta familiar. Un niño o un adolescente abre una aplicación, comprueba que su perfil está configurado como privado, decide quién puede escribirle, revisa algún permiso y continúa utilizando el servicio con una sensación razonable de seguridad. Desde fuera podemos pensar que algo importante ha funcionado: conoce los ajustes, sabe que existen herramientas de protección y parece desenvolverse con cierta autonomía.
La impresión cambia cuando hacemos otra pregunta. No si sabe dónde está el botón de privacidad, sino si comprende qué ocurre con su información después de utilizarlo.
Esa diferencia, aparentemente pequeña, es una de las cuestiones que más me ha llamado la atención del estudio Children’s & parents’ attitudes on information rights, elaborado por DJS Research por encargo del Information Commissioner’s Office (ICO). El documento está fechado en mayo de 2026 y fue difundido públicamente por el ICO el 19 de agosto de ese mismo año. Constituye la primera ola de una investigación cuantitativa anual concebida para seguir la evolución de las opiniones, experiencias y comportamientos de niños y adolescentes ante la privacidad y sus derechos de información. (DJS Research)
La dimensión del estudio merece atención. Participaron 4.132 menores de entre 8 y 17 años y uno de sus padres o cuidadores. Los datos fueron diseñados y ponderados para ser representativos de los menores del Reino Unido en las variables demográficas especificadas por la investigación —género, etnicidad, ruralidad, SEND y situación socioeconómica— mediante cuotas y ponderación RIM. De forma separada a la muestra principal, DJS Research realizó además entrevistas cognitivas con 22 menores para comprobar que las preguntas y conceptos utilizados en el cuestionario podían ser comprendidos adecuadamente.
Los primeros resultados dibujan una tensión especialmente interesante. El 76 % de los menores considera que los ajustes de privacidad y seguridad ayudan a mantenerlos privados y seguros, mientras que el 71 % afirma saber cómo denunciar o bloquear a alguien cuando algo le incomoda. Sin embargo, solo el 45 % declara comprender qué sucede con su información personal después de compartirla y exactamente el mismo porcentaje considera que las plataformas son claras respecto de lo que hacen con esos datos.
Hay que ser precisos al comparar estos resultados. No estamos ante dos variables idénticas ni ante una misma escala de medición. Una pregunta mide la eficacia protectora que los menores atribuyen a determinados controles; la otra, su comprensión declarada sobre lo que posteriormente ocurre con sus datos.
Lo relevante es que la proporción de menores que atribuye eficacia protectora a los ajustes de privacidad y seguridad es considerablemente superior a la proporción que declara comprender qué sucede con sus datos después de compartirlos.
No creo que la conclusión correcta sea que a los niños no les preocupa su privacidad, ni tampoco que carecen de competencias digitales. Lo que aparece es algo bastante más interesante desde la perspectiva del riesgo: la confianza en determinadas herramientas de protección puede desarrollarse antes que una comprensión equivalente del tratamiento de datos que ocurre detrás de ellas.
Y esa distancia merece que nos detengamos.
La protección que vemos y el tratamiento que no vemos
Los menores interactúan fundamentalmente con la parte visible de los servicios digitales. Ven perfiles privados, candados, interruptores, permisos de cámara o micrófono, controles de ubicación, opciones para compartir información o botones para bloquear a otra persona.
Todo ello ayuda a construir una representación mental de lo que significa estar protegido.
FIGURA 1 (IA): La privacidad visible no siempre permite comprender todo el tratamiento de datos que ocurre detrás de la interfaz.
El tratamiento de datos, sin embargo, sucede en buena medida fuera de esa experiencia visible. La recopilación y combinación de información, la generación de metadatos, el perfilado, las inferencias, la personalización, las comunicaciones a terceros o determinados procesos automatizados son considerablemente más difíciles de observar y comprender.
Y esto, naturalmente, no les ocurre únicamente a los niños, por supuesto.
El informe aporta algunos datos que permiten explorar mejor esa distancia. Entre los menores que consideran fácil entender la información sobre privacidad, el 66 % afirma comprender qué ocurre con sus datos después de compartirlos. Entre quienes dicen que esa información no les resulta fácil de entender, el porcentaje cae al 16 %. Cuando la privacidad se conversa en el hogar al menos semanalmente, el 52 % declara comprender lo que ocurre posteriormente con su información, frente al 39 % cuando esas conversaciones son menos frecuentes.
El informe también muestra diferencias según edad, SEND y contexto socioeconómico. Esto nos obliga a abandonar desde el principio cualquier idea de un “menor medio” frente a la privacidad.
Edad, capacidad evolutiva, experiencia, vulnerabilidad, acompañamiento familiar y contexto modifican la forma en que cada niño comprende, interpreta y utiliza un servicio digital.
Para describir la tensión que aparece en estos datos propongo utilizar en esta serie la expresión privacy confidence gap: la distancia entre la confianza que pueden generar los controles y señales visibles de privacidad y la comprensión que el menor declara tener sobre el tratamiento subyacente.
Es una categoría analítica propuesta en este artículo. No es una denominación utilizada por el ICO.
También debemos conservar una cautela metodológica importante. La investigación recoge percepciones declaradas; no realiza un examen objetivo del conocimiento técnico o jurídico de cada participante. No podemos afirmar, por tanto, que el 45 % comprenda objetivamente los tratamientos y el resto no.
Lo que sí podemos observar es una diferencia relevante entre la confianza que los menores depositan en determinadas salvaguardias visibles y la comprensión que ellos mismos dicen poseer acerca de lo que sucede posteriormente con su información.
FIGURA 2 (IA): La confianza en los controles de privacidad puede ser mayor que la comprensión declarada sobre lo que sucede con los datos personales.
Desde el análisis del riesgo, esta señal ya es suficientemente importante.
¿De qué riesgo estamos hablando?
Conviene precisar el concepto, especialmente si queremos abordar el problema desde GRC.
Cuando utilizo aquí la palabra riesgo, me refiero primordialmente al riesgo en el sentido del RGPD: riesgo para los derechos y libertades de las personas físicas, en este caso del menor.
Una organización puede sufrir después consecuencias jurídicas, económicas, operativas o reputacionales si gestiona mal esos riesgos, pero ese no es el punto de partida.
El sujeto sobre el que debemos preguntarnos por el impacto es el niño.
El considerando 76 del RGPD establece que la probabilidad y gravedad del riesgo deben determinarse atendiendo a la naturaleza, alcance, contexto y fines del tratamiento, sobre la base de una evaluación objetiva. Los artículos 24 y 25 utilizan igualmente esa lógica de probabilidad y gravedad para determinar las medidas que debe adoptar el responsable. (EUR-Lex)
Por eso la pregunta relevante no es fundamentalmente:
- ¿qué le puede ocurrir a la organización si el menor no comprende bien el tratamiento?
La pregunta inicial es otra:
- ¿qué puede ocurrirle al menor cuando toma decisiones dentro de un entorno cuya realidad de tratamiento comprende solo parcialmente?
Ese pequeño desplazamiento cambia bastante el análisis.
Cuando sentirse seguro también puede formar parte del escenario de riesgo
Estamos acostumbrados a representar el riesgo de privacidad pensando en fallos bastante reconocibles: un acceso indebido, una comunicación no autorizada, una brecha de seguridad o un tratamiento incompatible con la finalidad prevista.
Con los menores deberíamos añadir otro escenario menos visible.
Puede ocurrir que un control funcione técnicamente y, aun así, la persona a la que pretende proteger interprete su alcance de una manera más amplia que la protección que realmente proporciona.
Imaginemos a un adolescente que configura correctamente su perfil como privado. Puede entender perfectamente que sus fotografías ya no serán visibles para cualquier usuario y construir a partir de ahí una conclusión intuitiva mucho más general: “mis datos son privados”.
Sin embargo, aquella configuración puede decirle muy poco sobre el tratamiento que continúa realizando la propia plataforma, los metadatos que genera, las inferencias que obtiene, las finalidades de personalización, las relaciones con terceros o los sistemas que determinan posteriormente qué contenido verá.
El problema no está necesariamente en que el niño haya cometido un error, ni tampoco en que la configuración funcione técnicamente mal.
El riesgo aparece porque la expectativa que la experiencia de usuario contribuye a crear puede exceder el alcance real de la protección.
Si esa expectativa influye posteriormente en decisiones sobre fotografías, ubicación, intereses, relaciones, conversaciones, preocupaciones o información íntima, una comprensión incompleta puede convertirse en una condición que modifica su conducta.
El informe del ICO no demuestra causalmente esta secuencia y no debemos atribuírsela.
Pero desde GRC sí podemos formular un escenario plausible:
- señal de protección → expectativa de seguridad → comprensión parcial del tratamiento → decisión basada en esa expectativa → posible utilización o exposición no suficientemente anticipada → impacto potencial sobre los derechos y libertades del menor.
FIGURA 3 (IA): Una salvaguardia no debe evaluarse solo por existir, sino por la expectativa que genera y el riesgo que realmente reduce.
No estamos afirmando que el daño vaya a producirse. Más bien, estamos identificando qué podría ocurrir, bajo qué condiciones y qué salvaguardias deberíamos analizar para reducir el riesgo.
La lealtad: la palabra que no deberíamos dejar escondida entre licitud y transparencia
Aquí aparece un principio del RGPD al que quizá no siempre prestamos toda la atención que merece.
El artículo 5.1.a) establece que los datos personales deben ser tratados de manera lícita, leal y transparente, mientras que el artículo 5.2 atribuye al responsable el deber de cumplir esos principios y ser capaz de demostrarlo. (EUR-Lex)
Estamos muy acostumbrados a trabajar la licitud. Buscamos una base jurídica, comprobamos sus requisitos y documentamos nuestra decisión. También hemos avanzado mucho en transparencia mediante políticas, primeras capas, avisos contextuales o mecanismos de información.
Entre ambas está la lealtad.
Y cuando el interesado es un menor adquiere una dimensión especialmente interesante.
El considerando 39 del RGPD no se limita a establecer que debe quedar claro que existe un tratamiento. Vincula la transparencia con información fácilmente accesible, fácil de entender y expresada mediante lenguaje sencillo y claro, y añade algo particularmente relevante para nuestro análisis: las personas deben conocer los riesgos, normas, salvaguardias y derechos relativos al tratamiento, además del modo de ejercerlos. (EUR-Lex)
El considerando 38 aporta otra pieza. Los niños merecen una protección específica precisamente porque pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos relacionados con el tratamiento de sus datos personales. (EUR-Lex)
No estamos, por tanto, introduciendo artificialmente la noción de riesgo dentro de una discusión sobre transparencia infantil.
Es el propio RGPD el que relaciona infancia, protección específica y menor conciencia de riesgos y consecuencias.
No basta con poder leerlo: debemos poder anticipar qué significa
Las Guidelines on transparency under Regulation 2016/679, WP260 rev.01, adoptadas por el Grupo de Trabajo del Artículo 29 y posteriormente refrendadas por el EDPB, ayudan a entender hasta dónde puede llegar esta exigencia. (Comité Europeo de Protección de Datos)
WP260 explica que la inteligibilidad debe medirse en relación con el miembro medio de la audiencia prevista. Y pone precisamente como ejemplo que una organización que trata datos de profesionales puede presumir un nivel de comprensión diferente al de otra que trata datos de niños.
Pero hay algo todavía más importante.
Las directrices consideran central que el interesado pueda determinar anticipadamente el alcance y las consecuencias del tratamiento y que no sea sorprendido más tarde por la forma en que se han utilizado sus datos. Para tratamientos complejos, técnicos o inesperados, recomiendan que las consecuencias más importantes sean explicadas de forma inequívoca y que el responsable valore qué riesgos particulares deben ponerse en conocimiento de la persona. (Comité Europeo de Protección de Datos)
Aquí encontramos un punto de conexión muy fuerte entre transparencia y lealtad.
La cuestión no es solamente si hemos proporcionado información.
También importa si esa información y el diseño que la acompaña permiten al usuario construir una expectativa razonablemente correcta sobre lo que ocurrirá después.
Por eso no plantearía la lealtad como un nuevo test jurídico autónomo basado en preguntar si “aprovechamos la incomprensión”. El RGPD no formula literalmente ese test.
Pero sí considero razonable utilizar la lealtad para examinar si nuestra arquitectura informativa, la presentación de los controles y el diseño de las decisiones reducen una asimetría de comprensión que conocemos o deberíamos conocer, o si contribuyen previsiblemente a agravarla.
Las Directrices 03/2022 del EDPB sobre patrones de diseño engañosos aportan aquí un marco interpretativo adicional. No todo déficit de comprensión es un deceptive design pattern. Pero esas directrices resultan útiles para analizar cuándo una interfaz, las opciones presentadas o el recorrido del usuario pueden inducir decisiones no deseadas, involuntarias o potencialmente perjudiciales respecto del tratamiento de sus datos. (Comité Europeo de Protección de Datos)
FIGURA 4 (IA): La transparencia, la lealtad, el riesgo y la responsabilidad proactiva forman un mismo engranaje orientado a proteger efectivamente al menor.
La lealtad, vista así, deja de ser una palabra abstracta y empieza a convertirse en una pregunta sobre cómo diseñamos la relación con la persona que se encuentra al otro lado.
La complejidad del sistema no puede convertirse en un problema del niño
El artículo 12.1 RGPD exige que la información de los artículos 13 y 14 se facilite de forma concisa, transparente, inteligible, fácilmente accesible y mediante lenguaje claro y sencillo, destacando expresamente esta exigencia cuando la información se dirige específicamente a un niño. (EUR-Lex)
Hay detrás de esta disposición una idea que me parece fundamental:
- la complejidad de nuestro tratamiento no puede convertirse simplemente en una carga cognitiva para el menor.
La organización conoce sus sistemas, los proveedores que intervienen, los datos que utiliza, las inferencias que obtiene, las finalidades que persigue y las decisiones que producen sus tecnologías.
El niño observa una interfaz.
Esa asimetría existe.
No desaparece porque publiquemos una política de privacidad de diez páginas.
Y precisamente por eso la protección desde el diseño resulta tan relevante. Las Guidelines 4/2019 del EDPB sobre el artículo 25 desarrollan la necesidad de integrar materialmente los principios de protección de datos en las características del tratamiento y del servicio, no dejarlos reducidos a una actuación documental posterior. (Comité Europeo de Protección de Datos)
Cuando la comprensión depende del momento en que informamos, del lenguaje, de la arquitectura de opciones, de los valores por defecto o de cómo presentamos las consecuencias de una decisión, la transparencia también es un problema de diseño.
Auditar transparencia debería incluir alguna evidencia de su comprensión
Aquí aparece una consecuencia especialmente interesante.
Estamos acostumbrados a auditar transparencia mediante evidencias reconocibles: políticas de privacidad, primeras capas, configuraciones por defecto, consentimientos, capturas de pantalla, registros o mecanismos para ejercer derechos.
Todo ello sigue siendo necesario.
Pero cuando tratamos datos de menores debemos atrevernos a formular otra pregunta:
- ¿qué comprensión produce realmente todo aquello?
El RGPD no establece una obligación general de examinar individualmente a cada menor para comprobar que ha entendido cada elemento del tratamiento.
No debemos inventar esa obligación.
Pero tampoco sería correcto presentar la evaluación de comprensión como algo ajeno al marco europeo.
WP260 señala expresamente que, cuando un responsable tenga dudas sobre el nivel de inteligibilidad o transparencia de su información o sobre la eficacia de sus interfaces, avisos o políticas, puede probarlos mediante mecanismos como paneles de usuarios, pruebas de legibilidad o interacciones formales e informales, entre otros. (Comité Europeo de Protección de Datos)
Esto tiene bastante importancia.
Porque significa que en tratamientos dirigidos a menores, especialmente cuando existe complejidad o un impacto potencial significativo, resulta razonable pedir alguna evidencia acerca de cómo ha sido probada la transparencia frente a la audiencia a la que realmente va dirigida.
- ¿Qué entiende un niño cuando una configuración dice “privado”?
- ¿Qué cree que seguirá ocurriendo con sus datos?
- ¿Distingue entre aquello que pueden ver otros usuarios y aquello que continúa tratando la plataforma?
- ¿Comprende suficientemente una decisión antes de modificar una configuración que reduce su nivel de protección?
No necesitamos convertir al menor en un experto en arquitectura de datos.
Necesitamos conseguir algo bastante más razonable: que pueda comprender aquello que necesita saber para no adoptar una decisión importante sobre una premisa equivocada.
Del cumplimiento formal a la responsabilidad proactiva
Llegamos así a una diferencia que considero fundamental.
La primera pregunta debe ser jurídica:
- ¿podemos acreditar que hemos facilitado al menor la información exigida por los artículos 13 y 14 RGPD en la forma concisa, transparente, inteligible, accesible y mediante lenguaje claro y sencillo que exige el artículo 12.1?
Hay que responderla.
Y no tiene nada de formal o secundario.
El problema aparece si convertimos una obligación material de inteligibilidad en una simple comprobación documental.
Si nuestra revisión termina constatando únicamente que el aviso existe, contiene las menciones exigidas y podemos demostrar que fue mostrado, nos hemos quedado en el cumplimiento formal de una obligación que el propio Reglamento concibe de manera sustantiva.
La siguiente pregunta debería avanzar más:
- ¿tenemos evidencia razonable de que la arquitectura informativa y el propio diseño permiten al menor comprender aquello que necesita comprender sobre el tratamiento, sus consecuencias, las salvaguardias existentes y los riesgos relevantes para adoptar una decisión razonablemente informada?
Aquí comienza a materializarse realmente la responsabilidad proactiva.
El artículo 24 exige adoptar medidas técnicas y organizativas apropiadas teniendo en cuenta naturaleza, ámbito, contexto, fines y riesgos, y poder demostrar el cumplimiento, revisando y actualizando esas medidas cuando sea necesario. El considerando 74 añade que deben ser medidas oportunas y eficaces y que el responsable debe poder demostrar también su eficacia. (EUR-Lex)
Por tanto, existe una diferencia importante entre demostrar que informamos y poder defender con evidencia que nuestra transparencia funciona razonablemente para la audiencia a la que va dirigida.
Ese segundo plano es especialmente relevante desde la gobernanza.
El interés superior del niño amplía todavía más la mirada
La privacidad infantil no puede analizarse únicamente desde el RGPD.
El artículo 3.1 de la Convención sobre los Derechos del Niño establece que el interés superior debe constituir una consideración primordial en las actuaciones que afecten a los niños. El artículo 16 reconoce, además, su derecho a no sufrir injerencias arbitrarias o ilegales en su privacidad, familia, domicilio o correspondencia y a recibir protección legal frente a esas injerencias o ataques. (UNICEF)
La Convención constituye aquí un marco internacional de derechos; no estamos afirmando que estos artículos produzcan automáticamente sobre cualquier plataforma privada el mismo régimen de obligaciones directas que el RGPD.
La Observación General n.º 14 del Comité de los Derechos del Niño aporta, sin embargo, una dimensión especialmente interesante para la gobernanza: caracteriza el interés superior simultáneamente como derecho sustantivo, principio jurídico interpretativo y norma de procedimiento. (Docstore)
El Children’s Code: Best Interests Framework del ICO lleva esta lógica al terreno de los servicios digitales.
Debemos delimitar correctamente su valor jurídico: el Children’s Code es un código estatutario británico que explica cómo los servicios online probablemente accesibles a menores deben cumplir el UK GDPR. No es Derecho de la Unión ni sus estándares pueden trasladarse automáticamente al RGPD europeo. (ICO)
Pero constituye una referencia comparada de gran interés.
Su framework organiza el análisis alrededor de Self, Support y Society. Plantea que el tratamiento debe respetar el bienestar físico y emocional y el desarrollo del niño; su capacidad progresiva para formar identidad, límites y sentido de sí mismo; los apoyos familiares, económicos, sociales y jurídicos necesarios para desarrollarse; y los derechos de grupos de niños con vulnerabilidades o necesidades específicas. Además, distingue entre riesgos estrictamente relacionados con privacidad y riesgos que nacen del uso de los datos. (ICO)
La perspectiva cambia.
Una comprensión deficiente ya no tiene por qué analizarse exclusivamente como un problema de información.
Puede formar parte de un escenario más amplio relacionado con cómo el menor construye sus límites, decide qué comparte, interpreta quién puede observarlo, entiende qué significa estar “privado” y desarrolla progresivamente su autonomía dentro del mundo digital.
Diseñar para que comprender sea posible
El propio framework británico muestra cómo aterrizar esta idea.
En materia de información de privacidad recomienda explicaciones claras, específicas, breves y contextuales —bite-size y just-in-time— en el momento en que se utilizan los datos. También contempla diferentes versiones de la información para acompañar la evolución de la capacidad y alfabetización del menor. (ICO)
En relación con los ajustes de privacidad, recomienda alta privacidad por defecto, configuraciones para compartir datos desactivadas salvo una razón convincente basada en el interés superior, explicaciones apropiadas a la edad cuando el menor pretende modificar una configuración y evitar nudges que lo conduzcan a reducir su protección. (ICO)
No estamos hablando simplemente de redactar una política mejor.
Estamos hablando de diseñar la comprensión dentro de la experiencia de uso.
La familia forma parte del ecosistema de protección
El informe del ICO introduce además una dimensión que merece acompañarnos durante toda esta serie: el hogar.
El 49 % de los padres afirma conversar con sus hijos sobre privacidad online al menos semanalmente y el 86 % dice sentirse al menos razonablemente confiado para explicarles estas cuestiones.
El porcentaje de menores que declara comprender qué ocurre con su información alcanza el 50 % cuando sus padres pertenecen al grupo de “alta confianza”, frente al 21 % cuando pertenecen al grupo de baja confianza. En cuanto a la percepción de claridad de las plataformas, la comparación es del 49 % frente al 24 %.
Pero debemos interpretar estos datos con prudencia.
La investigación muestra asociaciones, no causalidad. Además, la categoría de “alta confianza parental” está construida a partir de seis dimensiones de autopercepción, y el 84 % de la muestra fue clasificado dentro de ese grupo.
Aun así, emerge una idea importante:
- la privacidad infantil se aprende y se interpreta dentro de un ecosistema.
La familia importa. La escuela importa. El entorno social importa.
Pero reconocer esa realidad no debe servir para desplazar la responsabilidad desde las organizaciones hacia padres, docentes o menores. Al contrario: debería obligarnos a preguntarnos también qué calidad tiene la información que proporcionamos a quienes acompañan al niño y si les estamos dando herramientas adecuadas para mantener conversaciones que no reproduzcan falsas certezas sobre cómo funciona la tecnología.
FIGURA 5 (IA): La privacidad infantil se construye en un ecosistema de relaciones, pero la responsabilidad de diseñar servicios comprensibles y protectores sigue correspondiendo a la organización.
Hacer ingeniería inversa sobre el 45 %
Aquí puede resultar útil aplicar ingeniería inversa, siempre que la utilicemos para formular hipótesis y nunca como sustituto de la evidencia.
Partamos del resultado observado: el 45 % de los menores declara comprender qué sucede con su información después de compartirla.
Retrocedamos desde ahí.
El dato no demuestra que la información no exista. Tampoco que los niños sean incapaces de utilizar herramientas de privacidad.
Entonces merece la pena explorar posibles puntos de fallo.
Quizá la información sea jurídicamente correcta pero demasiado abstracta. Tal vez aparezca lejos del momento de decisión. Puede que la interfaz comunique con enorme eficacia la existencia de una protección y con mucha menos claridad sus límites. Es posible que los tratamientos posteriores sean demasiado complejos para construir un modelo mental manejable. O quizá hayamos diseñado durante años mecanismos capaces de acreditar que informamos sin comprobar con el mismo rigor qué comprensión producen.
El estudio del ICO no demuestra ninguna de estas causas.
Son hipótesis de riesgo.
Y precisamente ahí resulta útil la ingeniería inversa:
- información disponible → accesibilidad → inteligibilidad → expectativa razonablemente correcta → decisión suficientemente informada → control efectivo.
La cuestión consiste en identificar dónde puede romperse la cadena y qué evidencia necesitamos para comprobarlo.
WP260 resulta particularmente interesante porque conecta varias de estas fases: comprensibilidad respecto de la audiencia prevista, posibilidad de testear interfaces cuando exista incertidumbre y capacidad del interesado para anticipar el alcance y consecuencias del tratamiento. (Comité Europeo de Protección de Datos)
La ingeniería inversa, por tanto, no demuestra la causa.
Nos ayuda a saber qué tenemos que investigar.
Europa está avanzando hacia una visión más integrada
Este problema tampoco pertenece exclusivamente al contexto británico.
El artículo 28.1 del Reglamento de Servicios Digitales obliga a las plataformas en línea accesibles a menores a adoptar medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protección de los menores. El apartado 4 habilita a la Comisión para proporcionar directrices destinadas a orientar la aplicación de esa obligación. (EUR-Lex)
La Comisión publicó sus Directrices sobre protección de menores en su portal institucional el 14 de julio de 2025; posteriormente fueron publicadas en el Diario Oficial de la Unión Europea el 10 de octubre de 2025 como C/2025/5519. (Estrategia Digital Europea)
Las Directrices no sustituyen las obligaciones vinculantes del artículo 28 DSA. La propia Comisión explica que su seguimiento es voluntario y no garantiza automáticamente el cumplimiento, aunque pueden servir como punto de referencia para valorar si las plataformas cumplen sus obligaciones. Incluyen recomendaciones relacionadas con privacidad por defecto, sistemas de recomendación, diseños problemáticos o adictivos, controles parentales, garantía de edad y otros riesgos específicos que afectan a menores. (Estrategia Digital Europea)
Lo relevante aquí es la dirección.
Privacidad, seguridad, bienestar, diseño e interés superior del niño empiezan a dejar de contemplarse como compartimentos completamente independientes.
El análisis se desplaza hacia el sistema completo y los efectos que produce sobre el menor.
Una lectura GRC: gobernar la comprensión
Llegados a este punto, la lectura GRC permite ordenar el problema.
Desde Gobernanza, debemos preguntarnos qué comprensión necesitamos facilitar atendiendo a edad, capacidad, contexto, naturaleza del tratamiento y consecuencias previsibles; quién responde por la calidad de esa comunicación; qué evidencia utilizamos para evaluar su eficacia y cómo incorporamos la propia voz de los menores al diseño.
Desde Riesgo, deberíamos evitar expresiones como “el menor no lee la política de privacidad”. Esa formulación sitúa el fallo precisamente en la persona que parte de una mayor asimetría de conocimiento. El análisis debe mirar también al sistema: qué expectativa genera, qué decisiones puede favorecer, qué sucede si esa expectativa no coincide con la realidad y qué impactos pueden aparecer sobre privacidad, autonomía, identidad, bienestar o capacidad de control.
Desde Cumplimiento, debemos conectar ese razonamiento con los artículos 5.1.a), 5.2 y 12.1; la protección reforzada de los menores; los artículos 24 y 25 sobre responsabilidad y protección desde el diseño; y, cuando un tipo de tratamiento pueda entrañar un alto riesgo para los derechos y libertades, con la evaluación de impacto del artículo 35 RGPD. Las directrices WP248 rev.01 constituyen la orientación histórica europea, refrendada por el EDPB, para interpretar cuándo puede existir ese alto riesgo. (EUR-Lex)
Podemos resumir todo ese engranaje en una idea:
- La transparencia exige que el tratamiento pueda ser comprendido y razonablemente anticipado; la lealtad obliga a examinar si el diseño reduce o agrava una asimetría de comprensión que podíamos prever; el análisis de riesgo pregunta qué consecuencias puede producir esa asimetría sobre los derechos y libertades del menor; y la responsabilidad proactiva exige poder justificar la adecuación y eficacia de las salvaguardias adoptadas.
Volvamos al niño que abrió la aplicación
Al principio imaginábamos a un menor que configuraba correctamente una aplicación y continuaba utilizándola tranquilo.
No hay nada malo en esa tranquilidad.
Deberíamos aspirar precisamente a que niños y adolescentes puedan aprender, jugar, expresarse, relacionarse y explorar el entorno digital sin vivir permanentemente preocupados por aquello que sucede detrás de cada pantalla.
Nuestra responsabilidad no consiste en trasladarles nuestros temores ni en convertirlos en pequeños especialistas en protección de datos.
Consiste en lograr que no necesiten serlo para estar razonablemente protegidos.
Pero para conseguirlo debemos aceptar algo que los datos del ICO ponen delante de nosotros con bastante claridad: saber utilizar una herramienta no equivale necesariamente a comprender el ecosistema en el que funciona, y una sensación legítima de seguridad puede convivir con una comprensión parcial de lo que sucede con los datos.
Un niño puede saber cerrar una puerta sin saber cuántas otras permanecen abiertas.
Quizá esa sea una de las principales enseñanzas que podemos extraer de este estudio: la protección infantil no puede medirse únicamente contando cuántos controles hemos colocado en una interfaz.
También debemos observar la correspondencia entre lo que el sistema realmente hace y lo que el niño razonablemente cree que está haciendo.
Por eso deberíamos dejar de preguntarnos únicamente si hemos informado.
Tenemos que empezar a preguntarnos también si aquello que hemos diseñado permite comprender lo que verdaderamente importa.
Porque, cuando hablamos de menores, ahí puede encontrarse una de las diferencias más importantes entre una transparencia que simplemente existe y una transparencia que realmente protege.
Bibliografía y fuentes verificadas
DJS Research. (2026). Children’s & parents’ attitudes on information rights. Research commissioned by the Information Commissioner’s Office. May 2026. Informe empírico principal. El documento está fechado en mayo de 2026; DJS Research confirma que constituye la primera ola de un estudio anual, con 4.132 menores de 8–17 años y sus padres/cuidadores, y que fue publicado por el ICO el 19 de agosto de 2026. (DJS Research)
Ficha del informe y acceso al documento — DJS Research
Information Commissioner’s Office. Children’s Code: Best Interests Framework. Código y marco británicos utilizados como referencia comparada. El ICO identifica expresamente el Children’s Code como código estatutario de práctica sobre el cumplimiento del UK GDPR por servicios online probablemente accesibles a menores. (ICO)
Children’s Code: Best Interests Framework — ICO
Information Commissioner’s Office. Applying the UNCRC to the Children’s Code. Fuente utilizada para la estructura Self · Support · Society y para la diferenciación entre privacy risks y data-related risks. (ICO)
Applying the UNCRC to the Children’s Code — ICO
Information Commissioner’s Office. Privacy information, policies and community standards; Privacy and data use settings. Referencias utilizadas para información contextual, just-in-time notices, adaptación a las capacidades evolutivas, privacidad elevada por defecto y prohibición de nudges destinados a reducir la protección. (ICO)
Unión Europea. (2016). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 — Reglamento General de Protección de Datos. DO L 119, 4.5.2016, pp. 1–88. CELEX: 32016R0679. Referencias utilizadas: arts. 5.1.a), 5.2, 12.1, 24, 25 y 35; considerandos 38, 39 y 74–76. (EUR-Lex)
Texto oficial del RGPD — EUR-Lex
Article 29 Data Protection Working Party. (2018). Guidelines on transparency under Regulation 2016/679, WP260 rev.01. Adoptadas inicialmente el 29 de noviembre de 2017 y revisadas y adoptadas el 11 de abril de 2018; posteriormente refrendadas por el EDPB en su primera reunión plenaria. Utilizadas para inteligibilidad, audiencia prevista, previsibilidad de las consecuencias, relación con la lealtad y mecanismos de prueba de la eficacia de interfaces y avisos. (Comité Europeo de Protección de Datos)
WP260 rev.01 — EDPB
European Data Protection Board. (2020). Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. Final version, 20 October 2020. Utilizadas para conectar la aplicación efectiva de los principios del RGPD con el diseño del tratamiento y del servicio. (Comité Europeo de Protección de Datos)
Guidelines 4/2019 — EDPB
European Data Protection Board. (2023). Guidelines 03/2022 on deceptive design patterns in social media platform interfaces: how to recognise and avoid them. Version 2.0, 14 February 2023. Utilizadas como marco interpretativo complementario para analizar interfaces y experiencias susceptibles de conducir a decisiones no deseadas, involuntarias o potencialmente perjudiciales respecto del tratamiento de datos. No se utiliza la fuente para afirmar que cualquier déficit de comprensión constituye automáticamente un patrón de diseño engañoso. (Comité Europeo de Protección de Datos)
Guidelines 03/2022 — EDPB
Article 29 Data Protection Working Party. (2017). Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, WP248 rev.01. Adoptadas el 4 de abril de 2017 y revisadas el 4 de octubre de 2017; refrendadas posteriormente por el EDPB. Utilizadas exclusivamente como orientación histórica para la interpretación del alto riesgo a efectos del artículo 35 RGPD. (Comité Europeo de Protección de Datos)
Directrices WP29 refrendadas por el EDPB
United Nations. (1989). Convention on the Rights of the Child. General Assembly Resolution 44/25, 20 November 1989. Referencias utilizadas: artículo 3.1 sobre interés superior y artículo 16 sobre privacidad, familia, domicilio, correspondencia y protección legal frente a injerencias arbitrarias o ilegales. (UNICEF)
Texto de la Convención sobre los Derechos del Niño — UNICEF/ONU
Committee on the Rights of the Child. (2013). General Comment No. 14 on the right of the child to have his or her best interests taken as a primary consideration (art. 3, para. 1), CRC/C/GC/14, 29 May 2013. Utilizada para la caracterización del interés superior como derecho sustantivo, principio interpretativo y norma de procedimiento. (Docstore)
General Comment No. 14 — Base oficial de órganos de tratados de Naciones Unidas
Unión Europea. (2022). Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022 — Digital Services Act. Referencia utilizada: artículo 28, especialmente apartados 1 y 4, sobre protección de menores y facultad de la Comisión para emitir directrices. (EUR-Lex)
Texto oficial del DSA — EUR-Lex
European Commission. (2025). Guidelines on measures to ensure a high level of privacy, safety and security for minors online, pursuant to Article 28(4) of Regulation (EU) 2022/2065. Publicadas institucionalmente el 14 de julio de 2025 y posteriormente en el Diario Oficial de la Unión Europea, C/2025/5519, el 10 de octubre de 2025. Las Directrices no constituyen una obligación normativa autónoma ni su seguimiento garantiza automáticamente el cumplimiento del artículo 28 DSA. (Estrategia Digital Europea)
Texto oficial de las Directrices — EUR-Lex
Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.
El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido