De dónde sale el umbral
El Reglamento general de protección de datos establece que, en relación con la oferta directa de servicios de la sociedad de la información a menores, el tratamiento basado en el consentimiento será lícito cuando el menor tenga al menos dieciséis años, y permite a los Estados miembros establecer por ley una edad inferior que no sea por debajo de trece.
España utilizó esa facultad. La Ley Orgánica 3/2018 fija en catorce años la edad a partir de la cual el consentimiento del menor puede considerarse válido para el tratamiento de sus datos personales, salvo en los casos en que la ley exija la asistencia de los titulares de la patria potestad o tutela. Por debajo de esa edad, el tratamiento requiere el consentimiento del titular de la patria potestad o tutela.
Ese es el dato duro y conviene retenerlo con precisión, porque circula con frecuencia la cifra de dieciséis, que es la del reglamento europeo pero no la aplicable en España.
Qué exige
- Que el tratamiento de datos personales de un menor basado en su consentimiento sea lícito a partir de los catorce años en España, conforme a la opción ejercida por la Ley Orgánica 3/2018.
- Que, por debajo de esa edad, el tratamiento cuente con el consentimiento del titular de la patria potestad o tutela.
- Que la información dirigida a menores se facilite en lenguaje claro y comprensible, y que se realicen esfuerzos razonables para verificar la validez del consentimiento atendiendo a la tecnología disponible.
Qué no cubre
- No sustituye el régimen de consentimiento sobre la propia imagen, que tiene reglas propias sobre madurez y representación legal.
- No exime de los principios de minimización, limitación de la finalidad, transparencia y seguridad, que se aplican con independencia de la edad.
- No regula las prohibiciones publicitarias específicas frente a menores, que proceden del marco audiovisual y de consumo.
Quién vigila
- La Agencia Española de Protección de Datos.
Matiz
La cifra aplicable en España es catorce años. El umbral de dieciséis es el del reglamento europeo por defecto, que España rebajó al ejercer la facultad prevista en el propio artículo 8.
Qué cubre y qué no cubre el umbral
Aquí es donde el sector suele equivocarse. El umbral de catorce años se refiere a la validez del consentimiento del propio menor como base jurídica de un tratamiento. No es una autorización general ni una frontera de madurez para todo lo demás.
No agota las obligaciones del responsable. Aunque el consentimiento sea válido, siguen aplicándose los principios de licitud, lealtad, transparencia, minimización, limitación de la finalidad y seguridad.
No sustituye la exigencia de información comprensible. Cuando la información se dirige a un menor, debe facilitarse en un lenguaje claro y adaptado, requisito que el propio reglamento subraya.
No resuelve el consentimiento sobre la propia imagen, que tiene un régimen distinto en la ley orgánica de 1982 con sus propias reglas sobre madurez y representación.
No cubre las prohibiciones publicitarias específicas del marco audiovisual y de consumo, que operan con independencia de la base jurídica del tratamiento.
- Quién hace qué
- El responsable determina los fines y medios del tratamiento. El menor de catorce años o más puede consentir por sí mismo, salvo en los supuestos en que la ley exija asistencia. Por debajo de esa edad consiente el titular de la patria potestad o tutela.
- Quién paga a quién
- No hay contraprestación en este régimen. El coste relevante es de cumplimiento: información adaptada, gestión del consentimiento, atención de derechos y medidas de seguridad.
- Quién asume el riesgo
- El responsable asume riesgo sancionador y de reclamación. El menor asume el riesgo derivado de un tratamiento indebido de sus datos, que es lo que el régimen pretende evitar.
- Quién responde ante la ley
- Quien determina los fines y medios del tratamiento responde de su licitud, de la información facilitada y de la atención de los derechos, con independencia del tamaño de su actividad.
Método. Ficha analítica basada en la Ley Orgánica 3/2018 y en el Reglamento (UE) 2016/679. Describe el régimen general y no sustituye el asesoramiento profesional.
Dónde toca esto la actividad de un creador
Para quien produce contenido, la protección de datos de menores aparece en cuatro situaciones concretas, y sólo en la primera es evidente.
Al recoger datos directamente. Un formulario de suscripción, un sorteo, una comunidad de pago, un canal de mensajería. Si la audiencia incluye menores, la edad importa y hay que poder acreditar cómo se ha gestionado.
Al organizar sorteos y concursos. Son tratamientos con finalidad propia, bases de participación y condiciones de edad, y suelen gestionarse con menos rigor del que exigen.
Al usar herramientas de terceros para analítica, envío o gestión de comunidad, que introducen encargados de tratamiento y, en su caso, transferencias.
Al aparecer terceros en el contenido, incluidos menores que se cruzan en una grabación, cuando resultan identificables.
En todas ellas, la responsabilidad no depende del tamaño de la actividad. La normativa de protección de datos no tiene umbrales de audiencia.
El problema práctico de la verificación
Una dificultad real de esta materia es que verificar la edad es técnicamente complicado y jurídicamente delicado: los mecanismos de verificación robusta implican tratar más datos, lo que entra en tensión con el principio de minimización.
El criterio que se deriva de la normativa es de esfuerzo razonable atendiendo a la tecnología disponible y al riesgo del tratamiento. Un formulario de suscripción a un boletín no exige lo mismo que un servicio de pago dirigido a público joven.
Para la mayoría de actividades de este sector, un enfoque proporcionado incluye declaración de edad, información clara sobre la exigencia de consentimiento parental por debajo de catorce años, y un procedimiento de supresión sencillo cuando se detecta que un dato pertenece a un menor por debajo del umbral.
La Agencia Española de Protección de Datos publica materiales específicos sobre menores y sobre responsables de pequeño tamaño que constituyen la referencia práctica más accesible.
La intersección con la publicidad
Hay un punto donde protección de datos y publicidad se cruzan de forma expresa. El Reglamento de servicios digitales prohíbe a las plataformas presentar publicidad basada en perfilado cuando el destinatario es un menor y la plataforma sabe con razonable certeza que lo es.
Es una prohibición dirigida a la plataforma y tiene efectos indirectos sobre la planificación de campañas: reduce las posibilidades de segmentación en audiencias jóvenes y aumenta el peso de la selección editorial, es decir, de elegir bien a quién se dirige un contenido en lugar de confiar en la segmentación técnica.
Para el creador, la consecuencia es que la composición de su audiencia se convierte en un dato con relevancia comercial y normativa, y no sólo en una métrica de perfil.
Una obligación transversal y poco atendida
La protección de datos es probablemente la materia peor atendida por este sector en proporción a su exigencia. No tiene umbrales, se aplica desde el primer suscriptor y cuenta con una autoridad de control activa y con procedimientos accesibles para cualquier ciudadano.
En el caso de los menores, además, concurre un elemento adicional: el interés superior del menor opera como criterio interpretativo, lo que estrecha el margen de las lecturas favorables al responsable del tratamiento.