Matricúlate
Proteger sin sustituir
Familia, privacidad y autonomía progresiva del menor en el entorno digital
(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).
SERIE PRIVACIDAD INFANTIL · ARTÍCULO 2/5
Hay un momento en la relación entre padres e hijos que resulta difícil situar en una fecha concreta. No ocurre necesariamente cuando cumplen trece, catorce o dieciséis años. Simplemente llega un día en que aquello que antes hacíamos por ellos empieza a tener que hacerse con ellos.
En privacidad digital sucede algo parecido, así de sencillo.
Cuando un niño es pequeño resulta natural que un adulto configure una aplicación, establezca ciertos límites, decida qué servicios puede utilizar, revise permisos o supervise determinadas actividades. El problema aparece si pensamos que ese mismo modelo de protección puede mantenerse inalterado mientras el menor crece, aprende, desarrolla criterio propio y empieza a reclamar espacios legítimos de intimidad y autonomía.
Porque proteger a un niño no significa sustituir indefinidamente su capacidad para decidir.
Figura 1 (IA): Proteger al menor implica acompañar progresivamente su autonomía.
Y esta es, precisamente, una de las tensiones que deja entrever Children’s & parents’ attitudes on information rights, la investigación desarrollada por DJS Research por encargo del Information Commissioner’s Office (ICO) en 2026.
El estudio parte de una realidad que seguramente cualquier familia reconoce: el hogar es uno de los lugares donde se aprende privacidad. El 49 % de los padres afirma hablar sobre privacidad online con sus hijos al menos semanalmente. Además, el estudio observa que las conversaciones sobre comportamiento online tienden a ser más frecuentes con los menores más pequeños y disminuyen conforme aumenta la edad, algo que los investigadores interpretan como un desplazamiento gradual desde una orientación parental más activa hacia una mayor independencia del hijo.
Ese movimiento resulta mucho más importante de lo que aparenta. El reto no consiste simplemente en determinar cuándo debemos dejar de proteger, sino en comprender cómo debe transformarse la protección cuando aumenta la capacidad del menor para participar en sus propias decisiones.
La familia importa, pero no es un control infalible
En el primer artículo de esta serie analizábamos una posible distancia entre la confianza que pueden producir determinadas salvaguardias visibles y la comprensión que el menor declara tener acerca de lo que realmente ocurre con sus datos.
La familia aparece ahora como una pieza fundamental de ese ecosistema.
Los menores que viven en hogares donde los padres manifiestan mayor confianza respecto de la privacidad y mantienen conversaciones frecuentes tienden a declarar mayor conciencia y participación en los ajustes de privacidad. Las conclusiones del informe relacionan la confianza parental y la comunicación regular con las actitudes, comprensión y comportamientos online de los menores.
Pero conviene mantener la misma prudencia metodológica que aplicamos al primer artículo. Estamos ante asociaciones observadas, no ante demostraciones causales.
Además, la categoría de “alta confianza parental” no procede de un examen objetivo de competencias. Se construye a partir de seis dimensiones de conocimiento, comprensión y capacidad autodeclaradas por los propios padres. Quienes obtuvieron puntuaciones de cuatro a seis fueron clasificados en el grupo de alta confianza, que representa el 84 % de la muestra; el 16 % restante quedó incluido en el grupo de baja confianza.
Esto introduce una cuestión que conviene no simplificar. La familia puede constituir una extraordinaria infraestructura de protección, aprendizaje y confianza, pero también puede transmitir interpretaciones incompletas, sobreestimar determinadas salvaguardias o adoptar decisiones que no coincidan con el riesgo que el propio servicio pretendía mitigar.
Las conclusiones del estudio advierten precisamente de que la información que alimenta las conversaciones en el hogar procede de fuentes con diferentes niveles de profundidad y exactitud y que, en algunas situaciones, la confianza puede coexistir con supuestos excesivamente simples acerca de cómo funcionan las protecciones.
Por eso me parece insuficiente terminar el debate diciendo que los padres deben educar mejor a sus hijos. Naturalmente que padres y cuidadores desempeñan un papel fundamental, pero hay otra pregunta anterior: ¿quién está ayudando a los padres a comprender un entorno digital que también para ellos puede resultar opaco, cambiante y técnicamente complejo?
Cuando el adulto también modifica la protección
Hay un dato de la investigación particularmente interesante.
El 31 % de los padres afirma haber ayudado alguna vez a su hijo a eludir una comprobación o límite de edad en una plataforma, aplicación o juego. Entre quienes reconocen haberlo hecho, la razón más frecuente —47 %— es considerar que deberían ser ellos quienes decidieran si su hijo utiliza el servicio. El 33 % menciona que sus amigos ya estaban en esas plataformas y el 31 % entiende que el servicio no resultaría perjudicial para el menor. Son datos correspondientes a las Figuras 19 y 20 del informe.
No utilizaría estos resultados para juzgar a las familias. Detrás de muchas de esas decisiones puede existir un razonamiento perfectamente comprensible: un padre conoce a su hijo, valora su madurez y puede considerar que una edad establecida para millones de usuarios no refleja suficientemente su situación individual.
Pero desde la gestión del riesgo aparece una paradoja relevante: el mismo adulto al que confiamos una parte de la protección puede convertirse también en quien decide que una determinada salvaguardia no debería aplicarse a su hijo.
Esto nos recuerda que la familia no puede analizarse como si fuera simplemente otro control técnico. Los padres interpretan el riesgo, valoran su aceptabilidad, negocian sus límites y modifican el entorno en función de su propia percepción acerca de aquello que consideran adecuado para el menor.
Por eso necesitan algo más que instrucciones genéricas sobre “seguridad infantil”. Necesitan información que les permita comprender qué riesgo pretende gestionar cada salvaguardia y qué consecuencias puede tener neutralizarla.
Este problema adquirirá todavía más protagonismo en el tercer artículo de esta serie, cuando analicemos age assurance, controles parentales y eficacia real de las salvaguardias. Aquí me interesa detenerme en algo anterior: la evolución de la relación entre protección y autonomía.
Los controles parentales funcionan… hasta cierto punto
Los controles parentales son probablemente una de las manifestaciones más reconocibles de la intervención del adulto en el entorno digital del menor.
El informe señala que los padres reportan utilizar de media 4,4 controles o herramientas diferentes, lo que confirma que predominan las estrategias combinadas. Entre quienes utilizan controles o herramientas de monitorización, el 89 % considera que resultan útiles para mantener privada online la información de sus hijos.
La perspectiva cambia cuando preguntamos a los propios menores. El 41 % afirma haber intentado alguna vez eludir controles o restricciones sobre juegos, aplicaciones, sitios web o dispositivos. Entre los menores que habían tratado de sortearlos —una submuestra de 1.747 participantes— el 49 % considera que hacerlo es fácil.
El estudio muestra además una evolución clara con la edad: los intentos pasan del 37 % entre los 8 y 10 años al 48 % a los 17 años; y, entre quienes han intentado eludirlos, la proporción que considera fácil hacerlo aumenta del 42 % en el grupo de 8 a 10 años al 68 % entre quienes tienen 17. Son los resultados de las Figuras 15 y 16.
No creo que la conclusión correcta sea que los controles parentales no sirven. La señal es bastante más interesante: su eficacia, su función y su legitimidad práctica pueden cambiar cuando cambia el menor.
Un control perfectamente razonable a los nueve años puede resultar a los quince técnicamente fácil de eludir, poco comprensible, innecesariamente intrusivo o incluso contraproducente si se mantiene exactamente igual.
Aquí empieza a aparecer un concepto fundamental: la autonomía progresiva.
Utilizo esa expresión en este artículo como categoría analítica para referirme al proceso que la Convención sobre los Derechos del Niño y el Comité describen mediante la evolución de las facultades: la adquisición gradual de competencias, comprensión y autonomía. El Comité subraya además que competencia y comprensión no evolucionan de manera uniforme, sino de forma desigual según la esfera de aptitud, la actividad y la naturaleza del riesgo. (Docstore)
Figura 2 (IA): La utilidad percibida de los controles puede coexistir con su elusión.
La autonomía no aparece de golpe al cumplir una edad
La Convención sobre los Derechos del Niño proporciona una de las claves más importantes para comprender este proceso.
Su artículo 5 reconoce las responsabilidades, derechos y deberes de padres, tutores y otras personas legalmente responsables para proporcionar al menor la dirección y orientación apropiadas, pero incorpora una condición fundamental: esa orientación debe producirse de forma coherente con la evolución de sus facultades. El artículo 12 reconoce además el derecho del niño capaz de formarse un juicio propio a expresar libremente sus opiniones en los asuntos que le afectan y a que estas sean debidamente tomadas en consideración en función de su edad y madurez. El artículo 16 reconoce su derecho a la privacidad.
Conviene delimitar correctamente el alcance jurídico de esta referencia. La Convención se dirige primariamente a los Estados parte; no estamos afirmando que imponga directamente a cualquier plataforma privada un régimen idéntico al del RGPD o el DSA. Sus principios resultan, sin embargo, esenciales para interpretar y desarrollar los marcos regulatorios y las medidas de protección relacionadas con servicios digitales utilizados por menores.
La Observación General n.º 25 lleva este razonamiento directamente al entorno digital. Su párrafo 19 describe la evolución de las facultades como un principio habilitador que determina el proceso de adquisición gradual de competencias, comprensión y autonomía, especialmente relevante en un entorno donde los menores pueden desenvolverse con creciente independencia respecto de la supervisión de padres y cuidadores. Los párrafos 20 y 21 añaden que autonomía, competencia y comprensión evolucionan de forma desigual y que los padres necesitan apoyo para respetar progresivamente autonomía, facultades y privacidad. (Docstore)
Esto obliga a abandonar una forma excesivamente binaria de pensar la protección: controlado o no controlado.
Un niño puede estar preparado para decidir algunas cosas y necesitar acompañamiento para otras. Puede comprender perfectamente quién puede ver una fotografía y entender muy poco sobre los perfiles que una plataforma construye mediante su comportamiento. Puede gestionar bien una conversación con sus compañeros y no anticipar correctamente las consecuencias de revelar información íntima a un sistema de inteligencia artificial.
La autonomía digital, por tanto, no aumenta de forma uniforme. Y tampoco debería hacerlo la retirada de las salvaguardias.
Interés superior no significa máxima restricción
Hay otra simplificación que conviene evitar.
El interés superior del menor no equivale automáticamente a escoger la opción más restrictiva, la que más monitoriza o la que elimina cualquier posibilidad de riesgo.
Una medida no pasa a ser mejor para el niño simplemente porque incremente la supervisión.
La Convención exige considerar conjuntamente protección, participación, privacidad, desarrollo y evolución de las facultades. La Declaración del Comité de los Derechos del Niño sobre el artículo 5, de octubre de 2023, vuelve precisamente sobre el equilibrio entre los derechos del niño, la orientación parental y la evolución de sus capacidades. (ACNUDH)
Esto tiene una consecuencia particularmente importante desde GRC: no deberíamos identificar automáticamente mayor control con menor riesgo.
Una protección que impide al menor desarrollar criterio, participar en decisiones apropiadas a su capacidad o disponer de cualquier espacio razonable de privacidad puede reducir un riesgo concreto y, al mismo tiempo, agravar otros.
El interés superior exige contextualizar.
¿De qué menor estamos hablando? ¿Qué edad y capacidades tiene? ¿Qué decisión debe adoptar? ¿Cuál es la gravedad del riesgo? ¿Qué derechos pueden verse afectados? ¿Qué piensa el propio niño? ¿Existe una medida menos intrusiva capaz de alcanzar el mismo objetivo?
Estas preguntas son más difíciles que instalar un control.
Precisamente por eso son preguntas de gobernanza.
La privacidad también existe frente a quienes nos protegen
Esta es probablemente una de las partes más delicadas del debate.
Cuando hablamos de privacidad infantil tendemos a pensar en proteger al menor frente a plataformas, anunciantes, desconocidos, ciberdelincuentes, tratamientos excesivos o sistemas automatizados.
Pero el menor mantiene también una esfera propia de privacidad dentro de su relación familiar.
La Observación General n.º 25 afirma que la privacidad es vital para la autonomía, la dignidad y la seguridad del niño, y recuerda que las amenazas pueden proceder de organizaciones, de terceros, de iguales e incluso de miembros de la familia. (Docstore)
El Comité presta atención especial a las tecnologías de vigilancia y control parental. Señala que sistemas de seguimiento utilizados con fines de seguridad pueden, si no se aplican cuidadosamente, impedir que un menor acceda a una línea de ayuda o busque información sensible. Y formula una regla especialmente clara: la vigilancia de la actividad digital por padres y cuidadores debe ser proporcionada y acorde con la evolución de las facultades del niño. (Docstore)
La conclusión no es que los padres no puedan supervisar a sus hijos. Es bastante más matizada: la supervisión también debe evolucionar y guardar proporción con la finalidad protectora que pretende alcanzar.
Pensemos en la geolocalización. Conocer dónde se encuentra un niño pequeño durante un trayecto determinado puede responder a una finalidad de seguridad perfectamente razonable. Otra cosa distinta es mantener la localización permanente de un adolescente sin que este conozca cuándo está siendo rastreado, registrar sistemáticamente sus desplazamientos o conservar información adicional que no resulta necesaria para aquella finalidad protectora.
El propósito inicial puede seguir siendo legítimamente protector, pero la intensidad, duración, transparencia y alcance de la medida pueden modificar completamente el escenario de derechos y riesgos.
Proteger no puede significar vigilar siempre
El Children’s Code: Best Interests Framework británico identifica con claridad esta tensión.
El marco reconoce que los controles parentales pueden reducir riesgos, pero también afectar a derechos relacionados con privacidad, libertad de expresión y asociación. En relación con la evolución de las capacidades, señala que el apoyo parental cambia a medida que el niño crece y considera que los derechos pueden verse comprometidos cuando los controles son opacos o se utilizan contra la voluntad del menor cuando este ha alcanzado una edad adecuada para objetar.
El estándar específico sobre controles parentales añade que, si un servicio permite monitorizar la actividad online o rastrear la ubicación del menor, el niño debe recibir información apropiada a su edad y una señal evidente cuando esa monitorización esté activa. El ICO recuerda además que una supervisión parental persistente puede reducir el sentido del espacio privado del niño y afectar al desarrollo de su identidad, especialmente conforme madura y aumenta su expectativa de privacidad. (ICO)
Debemos mantener, no obstante, la delimitación jurisdiccional. El Children’s Code es un código estatutario británico vinculado al UK GDPR. No es Derecho de la Unión Europea ni sus recomendaciones pueden trasladarse automáticamente al RGPD europeo.
Además, el ICO señala actualmente que diversos materiales del código están siendo revisados tras la entrada en vigor de la Data (Use and Access) Act 2025, por lo que cualquier utilización profesional debe comprobar su estado actualizado. (ICO)
Como referencia comparada, sin embargo, la idea sigue siendo poderosa:
proteger no debería equivaler a vigilar de manera invisible.
Europa también está cambiando el significado del control parental
Las Directrices de la Comisión Europea de 2025 para garantizar un elevado nivel de privacidad, seguridad y protección de los menores bajo el artículo 28 del DSA llevan esta cuestión todavía más lejos.
La Comisión considera que las herramientas destinadas a tutores deben ser apropiadas a la edad y coherentes con la evolución de las capacidades del menor, y afirma expresamente que deberían asentarse en comunicación, aprendizaje y empoderamiento más que en control, permitiendo autonomía y agencia. También considera que la protección de menores no puede limitarse a confiar en la supervisión parental. (EUR-Lex)
La misma lógica aparece en las configuraciones de cuenta: las Directrices recomiendan proporcionar a los menores grados incrementales de control sobre sus ajustes según edad, capacidades evolutivas y necesidades, precisamente para apoyar su autonomía creciente y proporcionarles mayor capacidad de actuación. (EUR-Lex)
Ahora bien, conviene precisar el estatus de estas Directrices. No sustituyen la obligación vinculante establecida en el artículo 28.1 DSA. La Comisión las presenta como un referente significativo que utilizará para aplicar esa disposición, pero aclara que adoptar total o parcialmente las medidas propuestas no implica automáticamente cumplimiento del artículo 28.1. La interpretación autoritativa del Derecho de la Unión corresponde en último término al Tribunal de Justicia. (EUR-Lex)
Esto importa porque permite utilizar las Directrices con toda su fuerza técnica sin atribuirles un rango jurídico que no tienen.
Y también devuelve la responsabilidad al diseñador del servicio.
Una plataforma no puede construir una experiencia inadecuada para menores y considerar resuelto el problema simplemente proporcionando un panel de control a sus padres.
Eso no sería privacidad o seguridad desde el diseño.
Sería desplazar hacia el hogar la responsabilidad de corregir un sistema que la propia organización ha diseñado.
Plataforma y familia no ocupan la misma posición jurídica
Aquí conviene introducir otra distinción.
No toda actuación de un padre respecto de su hijo debe analizarse automáticamente como un tratamiento sometido al RGPD. El artículo 2.2.c) excluye del ámbito del Reglamento determinados tratamientos efectuados por una persona física en el ejercicio de actividades exclusivamente personales o domésticas.
La eventual aplicación de esa excepción depende de las circunstancias concretas y requiere su propio análisis.
Distinto es el tratamiento que pueda realizar la plataforma al diseñar, proporcionar u operar funcionalidades de monitorización, localización o control parental. Su posición y sus responsabilidades deberán determinarse en cada caso atendiendo a las funciones que efectivamente desempeñe en el tratamiento.
La excepción doméstica tampoco significa que lo que ocurre dentro de una familia sea irrelevante desde el punto de vista de los derechos del menor, del Derecho civil, del interés superior o de la proporcionalidad de determinadas formas de supervisión.
Simplemente evita confundir planos jurídicos diferentes.
La protección debería transformarse conforme aumenta la autonomía
Llegados a este punto podemos proponer una lectura desde GRC.
No una regla jurídica.
No una escala legal de edades.
Tampoco un modelo que sustituya una evaluación individual.
Como modelo analítico de gobierno y diseño propuesto en este artículo, podemos representar la evolución de determinadas decisiones de privacidad mediante esta secuencia:
PROTEGER → EXPLICAR → ACOMPAÑAR → DECIDIR JUNTOS → TRANSFERIR CONTROL → SUPERVISAR DE FORMA PROPORCIONADA CUANDO EL RIESGO LO JUSTIFIQUE
En las primeras etapas, la protección puede descansar más intensamente en configuraciones restrictivas por defecto y decisiones adoptadas por el adulto. Después empieza a importar cada vez más la explicación, la participación y la decisión compartida. Progresivamente, determinadas opciones deberían trasladarse hacia el propio menor, acompañadas de información suficientemente clara para que pueda ejercerlas.
Pero esta secuencia no es lineal, irreversible ni aplicable del mismo modo a todas las decisiones.
La capacidad puede variar según la actividad, la complejidad, el impacto y el contexto. Un mismo adolescente puede ejercer autonomía suficiente respecto de unas decisiones y necesitar un acompañamiento considerablemente mayor respecto de otras. La propia Observación General n.º 25 subraya que competencia y comprensión se desarrollan de forma desigual según las distintas esferas de aptitud y actividad. (Docstore)
Por tanto, autonomía no equivale a retirar repentinamente todas las salvaguardias.
Significa algo más sofisticado: transformar progresivamente la naturaleza de la protección.
El riesgo existe en los dos extremos
Esta cuestión resulta especialmente interesante desde gestión de riesgos porque hay, al menos, dos escenarios opuestos.
Podemos proteger demasiado poco. Un niño puede quedar expuesto a tratamientos, contactos, contenidos o decisiones para los que todavía no dispone de capacidad suficiente de comprensión o respuesta.
Pero también podemos proteger demasiado.
Una monitorización permanente, extensa u opaca puede reducir espacios legítimos de intimidad, afectar a la libertad de expresión y asociación, dificultar la búsqueda confidencial de ayuda, deteriorar la confianza familiar o impedir que el menor desarrolle por sí mismo determinadas competencias necesarias para gestionar el riesgo.
La Observación General n.º 25 formula precisamente este equilibrio: recomienda orientar a padres y cuidadores hacia una relación basada en la creciente autonomía y necesidad de privacidad del niño y pide buscar un equilibrio entre protección y autonomía fundamentado en empatía y respeto mutuos más que en prohibición o control. (Docstore)
Aquí aparece uno de los errores más frecuentes en gestión de riesgos: asumir que añadir una salvaguardia siempre reduce riesgo.
No necesariamente.
Una salvaguardia puede disminuir un escenario y crear o agravar otro. Monitorizar la ubicación puede reducir un riesgo de seguridad física y aumentar simultáneamente un riesgo para la privacidad. Restringir una plataforma puede evitar ciertos contactos y desplazar al adolescente hacia servicios menos visibles para la familia. Vigilar todas sus conversaciones puede facilitar la detección de determinados problemas y, al mismo tiempo, provocar que deje de acudir al adulto cuando realmente necesita ayuda.
Por eso, en privacidad infantil, el propio control también debe someterse a análisis de riesgo.
Figura 3 (IA): Tanto la falta de protección como el exceso de control generan riesgos.
Cuando el niño evita el control, quizá deberíamos mirar también al control
Volvamos ahora al 41 % de menores que declara haber intentado evitar controles o restricciones.
Existe una interpretación muy sencilla: los niños desobedecen.
Pero desde GRC podemos hacer otra pregunta:
¿qué nos está diciendo esa conducta acerca del propio sistema de protección?
Puede significar que el control es técnicamente demasiado fácil de eludir. Puede indicar que el menor nunca entendió realmente para qué existía. Quizá responda a una medida que ya no resulta proporcionada a su capacidad. Puede existir una enorme diferencia entre el riesgo que percibe el adulto y el que percibe el adolescente. O puede tratarse, sencillamente, de una manifestación de la progresiva búsqueda de autonomía.
La investigación del ICO no permite determinar cuál de estas hipótesis explica cada comportamiento concreto.
Por tanto, no debemos convertirlas en conclusiones empíricas.
Son hipótesis de riesgo que merecen ser investigadas, ¿no creen?.
Pero precisamente ahí la ingeniería inversa vuelve a resultar útil. Si una salvaguardia empieza a ser evitada de forma sistemática, quizá la primera respuesta no debería consistir automáticamente en reforzarla.
Podríamos empezar preguntándonos por qué dejó de funcionar.
El menor también debe participar en el diseño de su protección
La autonomía progresiva no significa únicamente que el adulto permita cada vez más cosas.
Significa también que el niño debe adquirir voz.
El artículo 12 de la Convención reconoce el derecho de quien es capaz de formar sus propias opiniones a expresarlas y a que sean debidamente consideradas. En el entorno digital, la Observación General n.º 25 pide además que los Estados recaben activamente la participación de los menores y que sus opiniones sean tenidas en cuenta en el diseño de productos y servicios. (Docstore)
Esto tiene consecuencias muy concretas para quienes diseñan servicios digitales.
No deberíamos hablar permanentemente del menor como objeto de protección y excluirlo después de todas las decisiones mediante las que construimos esa protección.
El framework del ICO recomienda consultar con niños y padres al desarrollar información de privacidad y adaptar progresivamente esa información conforme evolucionan capacidades y alfabetización en datos.
Y las Directrices DSA incorporan también la participación de menores en el diseño, evaluación y revisión de determinadas medidas. La Comisión señala, por ejemplo, que la participación infantil debe preverse en el diseño, implementación y evaluación de restricciones de edad y métodos de age assurance. (EUR-Lex)
Eso es gobernanza participativa.
No significa pedir al menor que determine por sí solo qué riesgo resulta aceptable.
Significa reconocer algo bastante sencillo:
podemos diseñar un control técnicamente perfecto que fracase porque nunca entendimos a la persona a la que pretendíamos proteger.
Figura 4 (IA): La protección debe evolucionar conforme cambian capacidad, contexto e impacto.
Consentimiento parental no significa propiedad sobre la privacidad del menor
En protección de datos europea existe además una confusión que conviene evitar.
El artículo 8 RGPD establece una regla específica cuando concurren determinadas condiciones: se ofrece directamente a un niño un servicio de la sociedad de la información y el tratamiento se basa en el consentimiento del artículo 6.1.a).
En esos casos, el Reglamento establece como regla los 16 años y permite que los Estados miembros reduzcan mediante ley esa edad hasta un mínimo de 13. Por debajo de la edad nacional correspondiente, el tratamiento basado en consentimiento requiere que este sea dado o autorizado por quien ostenta la responsabilidad parental. (EUR-Lex)
La edad concreta debe, por tanto, comprobarse conforme al Derecho nacional aplicable.
En España, el artículo 7 de la LOPDGDD establece que el tratamiento de datos personales basado en el consentimiento del propio menor puede fundarse en este cuando sea mayor de catorce años, salvo aquellos actos o negocios para los que la ley exija la asistencia de quienes ostentan patria potestad o tutela. Por debajo de catorce años, cuando el tratamiento se base en consentimiento, será necesario el consentimiento del titular de la patria potestad o tutela. (BOE)
Pero debemos evitar extrapolar esta regla más allá de su ámbito.
El artículo 8 RGPD no regula todas las decisiones digitales de los menores. Tampoco significa que siempre sea necesario consentimiento parental para tratar sus datos.
Y, sobre todo, la intervención parental en determinadas decisiones no convierte a los padres en titulares del derecho a la privacidad del menor.
El derecho protegido sigue correspondiendo al niño. La función de padres, tutores o cuidadores consiste en orientarlo, protegerlo y, cuando el ordenamiento lo prevea, intervenir, asistirlo o representarlo teniendo en cuenta su interés superior y la evolución de sus facultades.
La Declaración del Comité sobre el artículo 5 ayuda precisamente a situar la orientación parental dentro de ese equilibrio entre responsabilidades familiares y derechos propios del niño. (ACNUDH)
La distinción es importante:
representar al menor no debería significar sustituir permanentemente al menor.
Una lectura GRC: gobernar una protección que cambia con la persona
Llegados a este punto, GRC permite ordenar bastante bien el problema.
Desde Gobernanza, debemos definir cómo evolucionan los roles: qué decisiones adopta el servicio, cuáles corresponden a padres o tutores, cuándo debe incorporarse la opinión del menor, cómo aumenta progresivamente su capacidad para gestionar configuraciones y qué ocurre cuando aparecen discrepancias entre la protección pretendida por el adulto y los intereses, capacidades o derechos del adolescente.
Desde Riesgo, debemos abandonar la idea de que el máximo control produce automáticamente la máxima protección. Tenemos que analizar tanto el déficit como el exceso de supervisión, identificar qué derechos pueden verse afectados, valorar contexto, probabilidad y gravedad y comprobar periódicamente si la medida continúa reduciendo el escenario para el que fue diseñada.
Desde Cumplimiento, el RGPD aporta protección específica para los niños, transparencia adaptada, privacidad desde el diseño y por defecto, responsabilidad proactiva y reglas concretas para determinados tratamientos basados en consentimiento. La Convención aporta un marco de derechos basado en interés superior, evolución de facultades, participación y privacidad. El DSA obliga a las plataformas accesibles a menores a adoptar medidas adecuadas y proporcionadas para asegurar un elevado nivel de privacidad, seguridad y protección, mientras que las Directrices de 2025 desarrollan un modelo donde supervisión parental, autonomía progresiva y seguridad por diseño deben analizarse conjuntamente. (EUR-Lex)
Y transversalmente a esos tres planos aparece una exigencia de aseguramiento que no deberíamos olvidar:
¿tenemos evidencia de que la medida sigue siendo adecuada, proporcionada y eficaz a medida que cambia el menor?
Porque una salvaguardia razonable a los nueve años puede no serlo a los quince.
Y una organización que diseña servicios utilizados por niños no debería asumir que una configuración protectora conserva indefinidamente la misma eficacia, proporcionalidad o significado.
Volvamos a casa
Imaginemos finalmente a un padre revisando una aplicación junto a su hijo.
A los ocho años quizá decide prácticamente todo. A los once empieza a explicar más. A los trece pregunta antes de modificar determinadas opciones. A los quince algunas decisiones ya se toman conjuntamente. Y llega un momento en que deja de conocer cada conversación, cada búsqueda, cada ubicación y cada elección.
Eso puede producir inquietud. Pero no necesariamente significa que haya dejado de proteger.
Figura 5 (IA): La privacidad infantil exige responsabilidades diferenciadas entre familia, servicios y reguladores.
Quizá significa que la protección ha conseguido evolucionar.
Ha transformado parte de la vigilancia en criterio, parte del control en comprensión y parte de la dependencia en capacidad.
Ahí puede encontrarse uno de los objetivos más ambiciosos de una verdadera privacidad infantil: no construir un entorno en el que un adulto pueda observar siempre al niño, sino uno en el que el menor aprenda progresivamente qué comparte, qué significa hacerlo, qué riesgos puede asumir, cuándo debe desconfiar, cuándo necesita pedir ayuda, cuándo puede decir que no y cómo ejercer sus propios derechos.
Proteger a un niño no significa decidir siempre por él. Significa acompañarlo para que cada vez pueda decidir mejor por sí mismo.
Y quizá la mejor protección sea precisamente aquella que sabe ir dejando espacio cuando la persona que protegemos empieza a ser capaz de ocuparlo.
Bibliografía y fuentes
- DJS Research. (2026). Children’s & parents’ attitudes on information rights. Research commissioned by the Information Commissioner’s Office. Fuente empírica principal del artículo. En el texto se han identificado, cuando resulta relevante, las páginas, figuras y submuestras utilizadas. Ficha pública y acceso al informe — DJS Research
- United Nations. (1989). Convention on the Rights of the Child, General Assembly Resolution 44/25. Especialmente artículos 3, 5, 12 y 16, relativos a interés superior, evolución de facultades, participación y privacidad.
- Committee on the Rights of the Child. (2021). General Comment No. 25 on children’s rights in relation to the digital environment, CRC/C/GC/25. Especialmente párrs. 19-21 sobre evolución de facultades; 67-76 sobre privacidad y vigilancia; y 84-86 sobre familia, autonomía y acompañamiento. (Docstore) Observación General n.º 25 — base oficial OHCHR
- Committee on the Rights of the Child. (2023). Statement of the Committee on the Rights of the Child on article 5 of the Convention on the Rights of the Child, 11 October 2023. Utilizada para reforzar la relación entre orientación parental, condición del menor como titular de derechos y evolución de sus capacidades. (ACNUDH) Declaración sobre el artículo 5 — OHCHR
- Information Commissioner’s Office. Age appropriate design: a code of practice for online services — Standard 11: Parental controls y Best Interests Framework. Utilizados como referencia comparada británica para controles parentales, transparencia de la monitorización, privacidad e identidad. El ICO advierte actualmente que determinadas orientaciones están siendo revisadas tras la Data (Use and Access) Act 2025. (ICO) Parental controls — ICO
- Unión Europea. Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Especialmente arts. 2.2.c), 5, 8, 12, 24 y 25 y considerando 38. El artículo 8 se utiliza únicamente respecto de la oferta directa a niños de servicios de la sociedad de la información cuando el tratamiento se funda en consentimiento. (EUR-Lex) Texto oficial del RGPD — EUR-Lex
- España. Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Especialmente artículo 7, relativo al consentimiento de los menores. (BOE) Texto consolidado de la LOPDGDD — BOE
- Unión Europea. Reglamento (UE) 2022/2065 — Digital Services Act. Especialmente artículo 28 sobre medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protección de los menores. (EUR-Lex) Texto oficial del DSA — EUR-Lex
- European Commission. (2025). Guidelines on measures to ensure a high level of privacy, safety and security for minors online, pursuant to Article 28(4) of Regulation (EU) 2022/2065, C/2025/5519. Publicación oficial en el DOUE de 10 de octubre de 2025. Utilizadas para herramientas de tutores, capacidades evolutivas, autonomía, grados incrementales de control, participación infantil y carácter complementario de la supervisión parental. Su aplicación no comporta automáticamente cumplimiento del artículo 28.1 DSA. (EUR-Lex) Directrices oficiales — EUR-Lex
Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.
El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido