De la accountability documental a la accountability verificable: el caso TikTok–ANPD y la gobernanza efectiva de los datos de niños y adolescentes

Bases jurídicas, garantía de edad, controles preventivos, trazabilidad y evidencia de efectividad en entornos digitales

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Resumen

La actuación sancionadora de la Agência Nacional de Proteção de Dados de Brasil (ANPD) frente a ByteDance Brasil por el tratamiento de datos personales de niños y adolescentes en TikTok constituye un caso especialmente útil para entender hacia dónde está evolucionando la responsabilidad en protección de datos. Más allá de la cuantía de la sanción y de las deficiencias detectadas en la garantía de edad, el expediente plantea una cuestión de mayor alcance: qué debe ser capaz de demostrar una organización para sostener que sus controles de privacidad funcionan realmente.

Este trabajo analiza el caso desde una perspectiva jurídica, técnica y de gobierno. Examina la validez material de las bases jurídicas, la singularización de usuarios sin cuenta, las inferencias comportamentales, la garantía de edad como control preventivo, la trazabilidad de los datos derivados, el valor probatorio de los registros de auditoría y el papel del DPD. A partir de ese análisis propone la noción de accountability verificable: la capacidad del responsable para acreditar una relación coherente entre el riesgo identificado, el diseño del control, su implantación, su funcionamiento, la evidencia disponible y los resultados obtenidos. La posterior entrada en vigor del ECA Digital brasileño refuerza esta lectura al incorporar obligaciones de mejora continua, evaluación de efectividad y rendición de cuentas.

Palabras clave: protección de datos; niños y adolescentes; TikTok; ANPD; LGPD; garantía de edad; age assurance; privacidad desde el diseño; accountability; trazabilidad; auditoría; DPD; GRC.

1. Un caso sobre niños y adolescentes, pero no sólo sobre ellos

La actuación de la ANPD frente a ByteDance Brasil puede describirse de una manera relativamente sencilla. La autoridad sanciona a una gran plataforma digital por determinados tratamientos de datos de niños y adolescentes realizados sin una base jurídica válida, por deficiencias preventivas relacionadas con sus mecanismos de control de edad y por no haber demostrado suficientemente la eficacia de las medidas adoptadas.

Todo eso es cierto. Pero, a mi juicio, quedarse ahí sería perder una parte importante del interés del expediente.

La pregunta que aparece detrás del caso es bastante más incómoda para cualquier organización que considere maduro su sistema de cumplimiento: ¿cómo demuestra que sus controles funcionan de verdad?

La fuente principal de este análisis es el Relatório de Instrução (PUB) nº 2/2026/CGS/SFI, elaborado dentro del procedimiento administrativo sancionador nº 00261.006648/2024-02. La ANPD publica junto a ese informe el posterior Despacho Decisório nº 27/2026/CGS/SFI, correspondiente al mismo procedimiento. El 25 de agosto de 2026 comunicó oficialmente la imposición a ByteDance de cinco sanciones pecuniarias por un importe consolidado de R$ 153.769.671,33, además de una medida de eliminación de datos tratados irregularmente. (Serviços e Informações do Brasil)

De acuerdo con las reglas procedimentales aplicables, ByteDance podía interponer recurso ante el Consejo Director de la ANPD en el plazo de diez días hábiles desde la notificación. Conviene por ello separar dos cuestiones: una es la relevancia jurídica y técnica del razonamiento contenido en el expediente; otra, diferente, la firmeza administrativa definitiva de la decisión. La información pública disponible en el momento de cerrar este trabajo no permite afirmar con seguridad si la decisión sancionadora fue recurrida o si ha adquirido firmeza. (Serviços e Informações do Brasil)

Las conductas examinadas pueden resumirse así:

La propia comunicación de la ANPD confirma esos cinco grupos de infracciones. El informe de instrucción desarrolla después con bastante detalle su calificación y dosimetría. (Serviços e Informações do Brasil)

Hay también una cuestión temporal que conviene tener presente desde el comienzo. El caso se analiza conforme a la LGPD y al Derecho brasileño aplicable a las conductas investigadas. El posterior ECA Digital no puede convertirse retroactivamente en fundamento de la sanción. Su interés es otro: permite comprobar hacia dónde está evolucionando el marco brasileño y cómo varias de las exigencias que la ANPD había venido desarrollando desde los principios de prevención, mejor interés y rendición de cuentas aparecen ahora formuladas de manera mucho más expresa por el legislador.

El caso permite observar, por tanto, una tendencia todavía desigual y en construcción: el desplazamiento desde una accountability centrada fundamentalmente en la existencia de documentos y controles hacia otra en la que el responsable necesita poder demostrar que esos controles funcionan.

A esa evolución la denomino aquí accountability verificable. No es una expresión utilizada por la ANPD, sino una categoría analítica que propongo para ordenar algunas de las enseñanzas que deja el expediente.

2. Tener una base jurídica es algo más que marcar una casilla

Una de las cuestiones jurídicamente más interesantes del caso aparece alrededor de la ejecución de un contrato como fundamento para determinados tratamientos.

ByteDance invocaba el artículo 7.V de la LGPD. La ANPD, sin embargo, no se queda en comprobar que la compañía hubiese asignado formalmente una hipótesis legal a la operación de tratamiento. Va un paso atrás y pregunta algo que parece elemental, pero que no siempre hacemos con suficiente profundidad: si el tratamiento se justifica porque es necesario para ejecutar un contrato, ¿existe realmente una relación jurídica válida capaz de sostener esa base?

Aquí entra en juego el Derecho civil brasileño.

El Código Civil considera absolutamente incapaces de ejercer personalmente los actos de la vida civil a quienes no han cumplido 16 años y relativamente incapaces, respecto de determinados actos o de la forma de ejercerlos, a quienes tienen entre 16 y 18 años. El artículo 104 exige además capacidad del agente como uno de los requisitos del negocio jurídico.

No conviene simplificar demasiado este régimen. Capacidad, representación, asistencia, nulidad o anulabilidad no funcionan como categorías intercambiables, y la consecuencia jurídica dependerá del tipo de acto, de la edad y del régimen civil aplicable.

Lo relevante aquí es que la ANPD había requerido a ByteDance un mecanismo capaz de demostrar que, cuando fuera jurídicamente necesario, los adolescentes estaban debidamente representados o asistidos en el proceso de registro. El informe considera que la compañía no había implementado mecanismos suficientemente eficaces para acreditar esa intervención y que la cuestión afectaba directamente a la posibilidad de utilizar la ejecución contractual como hipótesis legal del tratamiento.

Este punto permite aclarar algo que para los DPD merece bastante atención: edad para consentir un tratamiento, capacidad civil para realizar un negocio jurídico y necesidad de representación o asistencia no son la misma cuestión. Se relacionan, claro, pero responden a problemas diferentes y su solución cambia según el ordenamiento.

Por eso tampoco sería correcto trasladar mecánicamente el razonamiento brasileño a España, Chile, Ecuador, Colombia o cualquier otra jurisdicción. El artículo 8 del RGPD, por ejemplo, establece una regla específica sobre consentimiento de niños en determinados servicios de la sociedad de la información, pero no armoniza con carácter general la capacidad civil para contratar.

La enseñanza que sí podemos extrapolar me parece más interesante:

cuando una base jurídica depende de una relación jurídica previa, el responsable no debería limitarse a citarla; necesita comprobar que los presupuestos que permiten utilizarla existen realmente.

En lugar de quedarnos en una secuencia como: finalidad → ejecución del contrato → base jurídica,

convendría poder reconstruir: relación jurídica → validez de esa relación → necesidad objetiva del tratamiento → operaciones cubiertas → base jurídica aplicable.

Esta forma de revisar la licitud sirve mucho más allá del caso de los niños y adolescentes. Podemos aplicarla a poderes de representación, relaciones laborales, contratos todavía no perfeccionados, tratamientos posteriores a la terminación de una relación o finalidades que se presentan como necesarias para el contrato cuando, en realidad, responden a una lógica comercial diferente.

Figura 1 (IA): “La base jurídica no se elige sólo en el papel: debe poder sostenerse en la realidad.”

El interés legítimo que el caso no resuelve

El expediente deja además abierta una cuestión importante.

ByteDance sostuvo posteriormente que el interés legítimo podía resultar una base más adecuada para determinadas operaciones del feed sem cadastro. La ANPD no entra a resolver si esa base habría podido ser válida hacia el futuro. Lo que sostiene es que modificar la hipótesis jurídica una vez iniciado el procedimiento no saneaba retroactivamente el tratamiento anterior y que analizar esa nueva fundamentación quedaba fuera del objeto del expediente sancionador.

Por eso sería incorrecto leer esta decisión como una exclusión general del interés legítimo cuando intervienen datos de niños o adolescentes.

Eso tampoco significa que utilizarlo sea sencillo en contextos de perfilado, publicidad comportamental o riesgos elevados. Significa algo mucho más limitado: este expediente no resolvió esa cuestión con carácter abstracto.

3. No tener cuenta no significa ser anónimo

Otro de los pasajes más sugerentes del expediente es el análisis del denominado feed sem cadastro, es decir, la posibilidad de interactuar con TikTok sin disponer de una cuenta formal.

ByteDance defendía que en ese entorno se producía un tratamiento considerablemente más limitado.

La ANPD decidió mirar qué ocurría en la práctica.

El informe identifica información relativa al dispositivo, idioma, país, zona horaria y diferentes señales de interacción. También analiza cómo determinados intentos de interacción podían seguir proporcionando información útil para adaptar posteriormente el contenido.

Conviene distinguir aquí bien los conceptos. Tratamiento de datos personales, singularización, identificadores técnicos, personalización, inferencia, perfilado y recomendación algorítmica no significan exactamente lo mismo.

La ANPD tampoco necesita tratarlos como equivalentes. Su razonamiento es más funcional: aunque ByteDance no utilizara formalmente la categoría de perfilado, las señales recogidas podían generar inferencias sobre el comportamiento y producir efectos funcionalmente próximos a una elaboración de perfiles.

La enseñanza puede formularse de forma bastante sencilla:

la ausencia de cuenta no equivale a anonimato, del mismo modo que desconocer el nombre civil del usuario no impide necesariamente singularizarlo mediante identificadores, señales técnicas o patrones de comportamiento suficientemente persistentes.

Esto obliga también a revisar cómo analizamos los tratamientos.

Durante años hemos trabajado, con razón, sobre bases de datos, campos, finalidades, destinatarios y plazos de conservación. Pero los servicios digitales actuales obligan a mirar también otras cosas.

Tenemos que ser capaces de entender una cadena como ésta: señal → evento → identificador → asociación → inferencia → clasificación → recomendación → efecto sobre el usuario.

No hace falta que el DPD se convierta en científico de datos. Sí necesita entender qué señales utiliza un sistema, cuánto persisten, cómo se relacionan, qué inferencias producen y qué decisiones del producto dependen después de ellas.

Cuando detrás del dispositivo puede haber un niño o un adolescente, esa comprensión deja de ser simplemente una cuestión técnica. Pasa a formar parte del análisis de protección de datos.

4. La edad deja de ser sólo un dato y pasa a ser también un control

La edad, naturalmente, no deja de ser un dato personal o un atributo relevante del usuario. Lo que cambia es la función que puede desempeñar dentro de la arquitectura del sistema.

En TikTok, numerosas salvaguardas dependían de la edad: configuración de privacidad, publicidad, contenido, funcionalidades y experiencia general. Si un niño o un adolescente era clasificado como adulto, el error no terminaba en un campo incorrecto dentro de una base de datos. Podía propagarse a muchos tratamientos posteriores.

La ANPD explica precisamente que una clasificación incorrecta podía provocar que una persona fuese tratada bajo parámetros de adulto y que, mientras esa situación persistiera, las protecciones diseñadas específicamente para adolescentes dejaran en buena medida de operar.

A esta función la denomino control upstream, o control aguas arriba. No es una categoría empleada por la ANPD, sino una forma de explicar un atributo inicial del que dependen diferentes controles posteriores.

La lógica sería: garantía de edad → clasificación etaria → política aplicable → recomendación → publicidad → funcionalidades → experiencia y riesgo.

Eso cambia la manera en que debemos evaluar un fallo. Ya no estamos sólo ante un problema del registro. Cuando varias salvaguardas dependen de la misma clasificación inicial, el error puede convertirse en un problema sistémico.

Una auditoría podría plantearse preguntas como éstas:

No se exige una tecnología perfecta

ByteDance argumentó que no existe una tecnología infalible y universal para conocer la edad de todos los usuarios de Internet y que soluciones como la documentación oficial, la biometría o el reconocimiento facial pueden generar nuevos problemas de privacidad, proporcionalidad o exclusión.

La ANPD no impone una tecnología determinada.

Su reproche se dirige a otra cosa: los mecanismos utilizados habían mostrado debilidades importantes, la organización conocía esas limitaciones y no había demostrado suficientemente que las hubiese corregido. El informe insiste además en que la prevención exige controles proactivos y no una estrategia construida fundamentalmente alrededor de detectar y eliminar cuentas una vez producido el tratamiento irregular.

Por tanto, la enseñanza no es utilizar siempre la solución más intrusiva.

Es bastante más razonable:

seleccionar una solución proporcionada al riesgo y poder demostrar que funciona suficientemente bien frente a ese riesgo.

Es también la dirección que adopta el EDPB: la garantía de edad debe cumplir los principios de protección de datos y el método debe ser el menos intrusivo que permita alcanzar adecuadamente el objetivo perseguido. (Junta Europea de Protección de Datos)

Figura 2 (IA): “Cuando falla la edad, pueden fallar detrás muchas más salvaguardas.”

5. El ECA Digital confirma la dirección

El ECA Digital no es el fundamento retroactivo de la sanción a TikTok, pero ayuda mucho a comprender hacia dónde está avanzando Brasil.

El artículo 12 impone específicamente a los proveedores de tiendas de aplicaciones y sistemas operativos de terminales la adopción de medidas proporcionales, auditables y técnicamente seguras para aferir la edad o el rango etario de sus usuarios. También prevé que puedan transmitir señales de edad a las aplicaciones mediante una API segura, bajo criterios de privacidad y minimización. La propia ley deja claro, sin embargo, que esa arquitectura no libera a los demás actores de la cadena de sus responsabilidades. (Planalto)

Más directamente relacionado con las redes sociales aparece el artículo 24. Exige la vinculación de las cuentas de niños y adolescentes de hasta 16 años con la cuenta de un responsable legal y, cuando el servicio sea impropio o inadecuado para niños y adolescentes, obliga a mejorar de manera continua los mecanismos de verificación de edad. Además, dispone expresamente que la efectividad y el progreso de esos mecanismos sean evaluados por la autoridad competente. (Planalto)

Aquí la secuencia es difícil de pasar por alto: control → medición → mejora → evaluación de efectividad.

Ya no estamos solamente deduciendo del expediente que un mecanismo debe funcionar. El nuevo legislador brasileño introduce expresamente la efectividad y la mejora continua dentro de la arquitectura de protección.

El ECA Digital también da un paso significativo en materia publicitaria. Sus artículos 22 y 26 prohíben utilizar técnicas de perfilado y crear perfiles comportamentales de niños y adolescentes para dirigirles publicidad comercial, incluidos los datos obtenidos durante procesos de verificación de edad. (Planalto)

No debemos utilizar esta regulación posterior para reinterpretar retrospectivamente la sanción TikTok. Pero sí permite observar con claridad que el ordenamiento brasileño está reforzando la separación entre protección de niños y adolescentes y explotación comercial de sus comportamientos.

Hay además un elemento especialmente interesante desde Privacy by Design. El nuevo régimen de garantía de edad intenta que las señales utilizadas contengan sólo la información necesaria para acreditar un atributo, evitando trasladar más datos de los imprescindibles.

La idea de fondo merece la pena conservarla:

una buena garantía de edad no debería necesitar responder a “¿quién eres?” cuando, para gestionar el riesgo, basta con responder “¿superas este umbral?”.

Garantía de edad y minimización no tienen por qué ser objetivos enfrentados.

6. La accountability verificable

Aquí está, a mi juicio, el corazón del expediente.

El artículo 6.X de la LGPD formula el principio de responsabilización y rendición de cuentas en términos especialmente exigentes. No pide solamente medidas de cumplimiento: exige demostrar que esas medidas son eficaces.

El informe lleva esa exigencia al terreno operativo. La organización debe demostrar de forma objetiva que los mecanismos implantados son capaces de prevenir, mitigar, detectar y responder a los riesgos y que existe una correspondencia verificable entre la medida adoptada y el resultado que se afirma haber conseguido. No bastan declaraciones genéricas; hacen falta documentación, registros técnicos e indicadores capaces de mostrar que las medidas existen, operan correctamente y producen resultados coherentes con los objetivos de protección.

Figura 3 (IA): “Cumplir no es sólo documentar controles: es poder demostrar que funcionan.”

Esto nos acerca mucho al lenguaje de la auditoría.

Hay al menos tres preguntas distintas:

Diseño: ¿el control, tal como está concebido, puede razonablemente reducir el riesgo?

Implantación: ¿está realmente desplegado?

Efectividad operativa: ¿funciona de manera consistente y produce los resultados esperados?

El caso demuestra por qué no podemos dar por supuesto que las tres respuestas son iguales.

ByteDance podía mostrar políticas, evaluaciones de impacto, mecanismos de control de edad y procesos de eliminación. La ANPD, sin embargo, identificó carencias relacionadas con la trazabilidad del feed sin registro, la metodología utilizada para explicar determinados datos, el tratamiento de cuentas posteriormente eliminadas, los datasets derivados, la eliminación efectiva y la actuación respecto de terceros.

De ahí nace la cadena que propongo: riesgo → control → implantación → operación → medición → evidencia → efectividad → mejora.

Eso es la accountability verificable.

No sustituye las políticas, los registros de actividades, las evaluaciones de impacto ni los procedimientos internos. Los coloca dentro de un ciclo más exigente: el responsable debe poder conectar el riesgo con el control diseñado, acreditar su implantación, observar su funcionamiento, medir sus resultados, conservar evidencia suficiente y corregir el sistema cuando esa evidencia revele que la protección no está funcionando como se esperaba.

7. Medir no es lo mismo que demostrar efectividad

Aquí aparece un riesgo que conviene evitar.

Podemos pasar del «tenemos una política» al «tenemos cien indicadores» y seguir sin saber si el riesgo está realmente controlado.

No es lo mismo medir actividad, rendimiento y efectividad.

Pensemos en un ejemplo sencillo:

Actividad: hemos eliminado 100.000 cuentas.

Rendimiento: el 95 % de las cuentas detectadas se eliminó antes de 24 horas.

Efectividad: se ha reducido de forma significativa la proporción de niños o adolescentes expuestos indebidamente a una experiencia diseñada para adultos.

La diferencia es importante.

Las dos primeras cifras pueden demostrar que el sistema trabaja mucho o que trabaja rápido. La tercera empieza a responder a la pregunta por la que el control existe.

Medir la actividad de un control no equivale a medir su efectividad.

Para que una métrica constituya una evidencia útil debería estar vinculada a un objetivo de control, disponer de una línea de base, utilizar una metodología reproducible, permitir una segmentación suficiente y tener capacidad para mostrar alguna relación con la reducción del riesgo.

De lo contrario, podemos terminar sustituyendo una accountability documental por una accountability meramente cuantificada.

8. La EIPD tampoco termina cuando se aprueba

El expediente invita también a revisar nuestra forma de trabajar con las evaluaciones de impacto.

Una EIPD elaborada antes de poner en producción un sistema tiene inevitablemente una dimensión prospectiva. Identificamos escenarios, formulamos hipótesis sobre el riesgo y estimamos cómo deberían funcionar las medidas que proponemos.

Eso es normal.

El problema aparece cuando la evaluación queda congelada aunque la realidad empiece a contradecir nuestras hipótesis.

El ciclo debería parecerse más a: evaluar → diseñar → implantar → medir → verificar → revisar

que a: evaluar → aprobar → archivar.

La EIPD deja así de ser sólo un documento previo y pasa a convertirse en un instrumento de aprendizaje y gobierno durante el ciclo de vida del tratamiento.

Si cambian las finalidades, las fuentes de datos, las funcionalidades, los modelos de recomendación, los destinatarios o, sencillamente, descubrimos que un control funciona peor de lo que esperábamos, la evaluación debería poder volver a abrirse.

El artículo 31 del ECA Digital resulta especialmente interesante en este punto. Para determinados proveedores con más de un millón de usuarios niños o adolescentes registrados con conexión desde Brasil, exige informes semestrales que incluyan las medidas adoptadas, las mejoras técnicas realizadas y, de forma expresa, el detalle de los métodos empleados y los resultados de las evaluaciones de impacto, identificación y gestión de riesgos. (Planalto)

La diferencia no es menor.

No basta con decir: «hemos realizado una evaluación».

Hay que poder explicar: «cómo la hicimos, qué encontramos y qué resultados obtuvimos».

9. Borrar exige saber dónde está el dato

La medida de eliminación analizada por la ANPD introduce otra cuestión muy conocida sobre el papel y bastante más difícil cuando entramos en la realidad de los sistemas.

El informe no se refiere únicamente a los datos aportados por el usuario al crear la cuenta. Habla también del conjunto generado alrededor de esa relación: historial de navegación, perfiles comportamentales, métricas de interacción e identificadores.

Además, la medida de supresión debe proyectarse sobre la cadena de terceros a los que la información hubiese sido comunicada y acompañarse de evidencias de esas actuaciones.

La pregunta jurídica: «¿hemos borrado el dato?»

se convierte entonces en una pregunta de arquitectura: «¿sabemos realmente dónde ha ido?»

Necesitamos poder reconstruir:  dato fuente → copias → transformaciones → datasets derivados → perfiles → repositorios → terceros → eliminación.

Eso es data lineage.

Sin trazabilidad, la supresión corre el riesgo de quedarse en una declaración difícil de probar.

Conviene mantener aquí una cautela. El expediente permite hablar de datos derivados, perfiles, identificadores y terceros, pero no contiene una orden expresa de reentrenar modelos de inteligencia artificial ni de ejecutar machine unlearning.

Esa discusión es muy interesante, sobre todo cuando datos tratados irregularmente han terminado alimentando modelos, features o representaciones estadísticas, pero es una pregunta que este caso todavía no resuelve.

Figura 4 (IA): “No se puede suprimir bien lo que no se sabe localizar, seguir y probar.”

10. Del log a la gobernanza de la evidencia

La ANPD exige, dentro de la medida de eliminación, la presentación de un informe técnico acompañado de registros de auditoría del sistema (audit logs) y una declaración firmada por el responsable de protección de datos. La autoridad contempla además la posibilidad de solicitar una auditoría externa e independiente si considera insuficiente la evidencia aportada.

Esto cambia el papel tradicional del registro técnico.

Deja de ser exclusivamente una herramienta de ciberseguridad y puede convertirse en evidencia regulatoria.

Pero tampoco todo log demuestra algo.

Conviene distinguir:

Logging: registrar eventos.

Monitorización: observar continuamente señales de funcionamiento.

Observabilidad: disponer de capacidad suficiente para entender qué está ocurriendo y por qué.

Evidencia de auditoría: información suficientemente íntegra, contextualizada y trazable como para sustentar una conclusión.

Un registro empieza a tener verdadero valor probatorio cuando podemos asociarlo con una operación concreta, conocemos su contexto, confiamos en su integridad, podemos correlacionarlo con otros sistemas y tiene suficiente granularidad para reconstruir lo sucedido.

Por eso la organización necesita algo más que almacenar grandes cantidades de registros.

Necesita gobernanza de la evidencia.

Eso significa decidir antes de que llegue una inspección qué hechos debemos poder demostrar, qué fuentes sirven para acreditarlos, cómo preservamos su integridad, cuánto tiempo necesitamos conservarlas y quién tiene capacidad para evaluarlas de forma independiente.

11. ¿Qué cambia para el DPD?

Bastante.

El caso obliga a alejarnos de una función basada casi exclusivamente en revisar documentos y acercarnos a la supervisión de un verdadero sistema de controles.

Podemos sintetizar esta lectura en una matriz práctica:

Esta última fila es especialmente importante.

El DPD no debería convertirse en propietario de todos los controles que supervisa.

Si Tecnología ejecuta un borrado, debe generar la evidencia técnica. Si Producto implanta una barrera de edad, debe poder mostrar cómo funciona. Si Data Governance gestiona la trazabilidad, debe conservar la evidencia correspondiente.

El DPD necesita poder revisar, preguntar, contrastar y, cuando la evidencia no sea suficiente, decirlo.

Esto encaja bien con el modelo de Tres Líneas: la primera línea ejecuta y controla; las funciones de segunda línea aportan especialización, seguimiento y cuestionamiento; auditoría puede proporcionar aseguramiento independiente.

La responsabilidad demostrada no debería convertir al DPD en responsable operativo de todos los controles.

El DPD no necesita ejecutar todos los controles; necesita capacidad real para cuestionar la evidencia con la que la organización pretende demostrar que funcionan.

12. De Privacy by Design a la posibilidad de auditarlo

Los estándares internacionales no forman parte de la fundamentación jurídica de la decisión, pero ayudan a situar metodológicamente la evolución que estamos viendo.

ISO/IEC 27701:2025, segunda edición, estructura la privacidad dentro de un sistema de gestión de información de privacidad y exige establecer, implementar, mantener y mejorar continuamente ese sistema. (ISO)

ISO 31700-1:2023 aborda, desde otra perspectiva, la privacidad desde el diseño durante el ciclo de vida de bienes y servicios de consumo. (ISO)

Y el proyecto ISO/IEC AWI 31700-3, todavía en desarrollo, está trabajando precisamente sobre auditorías de cumplimiento de Privacy by Design respecto de ISO 31700-1, incluyendo proceso, gestión, ciclo de vida, programa de auditoría y competencia de los auditores. No es una norma publicada ni debe utilizarse como requisito vigente, pero la dirección es muy significativa. (ISO)

La pregunta deja de ser únicamente: «¿hemos tenido en cuenta la privacidad durante el diseño?»

y empieza a completarse con otra: «¿podemos demostrar y auditar que realmente lo hicimos?»

Cuando además intervienen sistemas de recomendación, inferencias o modelos de inteligencia artificial, ISO/IEC 42001:2023 puede complementar ese marco desde la gestión de IA, sin sustituir ni al sistema de gestión de privacidad ni a Privacy by Design. (ISO)

Podemos resumir esta convergencia así: Privacy by Design → Privacy Management → AI Governance → Audit & Assurance.

Conclusiones

El valor del caso TikTok–ANPD está en haber desplazado el análisis desde lo que el responsable dice que hace hacia lo que el producto realmente hace y lo que la organización puede demostrar sobre ello.

La autoridad examina la realidad de la base jurídica invocada, la capacidad preventiva de los controles de edad, las señales e inferencias utilizadas por el sistema, la trazabilidad de los datos y la evidencia disponible sobre la efectividad de las medidas.

Esto no convierte el expediente en una doctrina universal sobre contratación por menores de edad. Tampoco excluye con carácter general el interés legítimo, impone una tecnología concreta para garantizar la edad o permite afirmar que cualquier forma de personalización constituya necesariamente perfilado.

Su importancia está en otro sitio.

El caso nos recuerda que una política demuestra que hemos formulado una regla. Una EIPD demuestra que hemos identificado y analizado un riesgo. La implantación de un control demuestra que hemos adoptado una medida.

Pero sólo la evidencia sobre su funcionamiento permite sostener razonablemente que el riesgo está siendo controlado.

Ahí aparece la transición desde la accountability documental hacia la accountability verificable.

No se trata de abandonar documentos, registros o procedimientos. Se trata de situarlos dentro de una cadena más exigente:

riesgo → diseño → implantación → operación → medición → evidencia → efectividad → mejora.

Para los DPD, responsables de privacidad, funciones de cumplimiento, riesgo y auditoría, la pregunta ya no debería quedarse únicamente en:

«¿tenemos el control?»

Tenemos que añadir otras tres:

«¿cómo sabemos que funciona?»

«¿qué evidencia tenemos para demostrarlo?»

y, probablemente la más importante:

«¿qué hacemos cuando la realidad nos demuestra que no está funcionando como habíamos previsto?»

En sistemas digitales cada vez más complejos, la protección de datos será más defendible cuando pueda observarse en la arquitectura, medirse durante la operación, reconstruirse mediante trazabilidad y demostrarse a través de evidencia auditable.

Esa es, en definitiva, la lógica que este artículo propone denominar accountability verificable.

Referencias normativas, regulatorias y técnicas

Normativa

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Consulta: 2 de septiembre de 2026.
Texto oficial de la LGPD — Planalto

BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Código Civil. Consulta: 2 de septiembre de 2026.
Código Civil brasileño — Planalto

BRASIL. Lei nº 15.211, de 17 de setembro de 2025. Estatuto Digital da Criança e do Adolescente (ECA Digital). Consulta: 2 de septiembre de 2026.
ECA Digital — Planalto

BRASIL. Decreto nº 12.880, de 18 de março de 2026. Reglamentación del ECA Digital. Consulta: 2 de septiembre de 2026.
Decreto nº 12.880/2026 — Planalto

UNIÓN EUROPEA. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos. Consulta: 2 de septiembre de 2026.
RGPD — EUR-Lex

Decisiones y documentos regulatorios

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Relatório de Instrução (PUB) nº 2/2026/CGS/SFI; Despacho Decisório nº 27/2026/CGS/SFI. Processo nº 00261.006648/2024-02. Consulta: 2 de septiembre de 2026.
Decisiones en procesos sancionadores — ANPD

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). ANPD multa TikTok em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes. 25 de agosto de 2026. Consulta: 2 de septiembre de 2026.
Noticia oficial sobre la sanción a TikTok — ANPD

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Enunciado CD/ANPD nº 1, de 22 de maio de 2023, sobre tratamiento de datos personales de niños y adolescentes. Consulta: 2 de septiembre de 2026.
Enunciado CD/ANPD nº 1/2023

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Mecanismos confiáveis de aferição de idade: orientações preliminares. 2026. Consulta: 2 de septiembre de 2026.
Orientaciones sobre aferición de edad — ANPD

EUROPEAN DATA PROTECTION BOARD (EDPB). Statement 1/2025 on Age Assurance. Adoptado el 11 de febrero de 2025. Consulta: 2 de septiembre de 2026.
Statement 1/2025 on Age Assurance — EDPB

COMISIÓN EUROPEA. Guidelines on the protection of minors under the Digital Services Act. 14 de julio de 2025. Consulta: 2 de septiembre de 2026.
Directrices sobre protección de menores bajo el DSA

Normas y referencias técnicas

ISO/IEC. ISO/IEC 27701:2025. Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance. Segunda edición, octubre de 2025.
ISO/IEC 27701:2025 — fuente oficial ISO

ISO. ISO 31700-1:2023. Consumer protection — Privacy by design for consumer goods and services — Part 1: High-level requirements. Primera edición, enero de 2023.
ISO 31700-1:2023 — fuente oficial ISO

ISO/IEC. ISO/IEC AWI 31700-3. Consumer protection — Privacy by design for consumer goods and services — Part 3: Audits of privacy by design for consumer products and services. Proyecto en desarrollo, Approved Work Item. Consulta: 2 de septiembre de 2026.
ISO/IEC AWI 31700-3 — estado oficial del proyecto

ISO/IEC. ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. Primera edición, diciembre de 2023.
ISO/IEC 42001:2023 — fuente oficial ISO

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido