Verificación de edad digital: qué plantean España y la UE para proteger a menores

El 3 de febrero de 2026, Pedro Sánchez anunció que el Gobierno impulsaría medidas para prohibir el acceso a plataformas digitales a menores de 16 años. Fue un anuncio político, no la confirmación de que esa prohibición ya estuviera en vigor: la fuente oficial recoge la propuesta y el paquete de medidas, pero no acredita por sí sola la aprobación ni la fecha de aplicación de una ley.

La distinción importa para familias y empresas. Una propuesta de edad mínima puede anticipar cambios, pero no debe tratarse como una obligación legal ya operativa. En cambio, el Reglamento de Servicios Digitales (DSA) ya establece obligaciones para las plataformas en línea accesibles a menores, y el artículo 28 exige medidas adecuadas y proporcionadas para asegurar un alto nivel de privacidad, seguridad y protección de estos usuarios.

También conviene separar esa discusión de la edad para consentir el tratamiento de datos personales. La AEPD indica que en España un menor puede consentir por sí mismo ese tratamiento a partir de los 14 años; por debajo de ese umbral, cuando el tratamiento se basa en el consentimiento, este debe prestarlo quien ejerza la patria potestad o tutela. No equivale a una edad general de acceso a redes sociales ni prueba que el umbral ya se haya elevado a 16 años.

La AEPD y la Comisión Nacional de los Mercados y la Competencia (CNMC) publicaron conjuntamente, el 24 de marzo de 2026, una explicación sobre el artículo 28 del DSA y la garantía de edad. Su enfoque no consiste en imponer un único método de comprobación: las medidas han de ser adecuadas y proporcionadas al servicio y deben proteger a los menores sin dejar de respetar los derechos de las demás personas usuarias.

La guía enlaza la protección infantil con las obligaciones de privacidad del RGPD. Entre los criterios que destaca figuran evitar el perfilado y escoger soluciones que permitan acreditar una condición —por ejemplo, tener la edad requerida— sin revelar más información personal de la necesaria. La comprobación de edad no debe convertirse automáticamente en identificación: verificar que alguien cumple un umbral y conocer quién es son operaciones distintas.

Para quienes gestionan una plataforma, la decisión práctica es evaluar el riesgo y el propósito antes de desplegar una barrera. Una medida útil para restringir contenido adulto no necesariamente es adecuada para cualquier servicio o grupo de edad. La información disponible no establece una regla universal que obligue a todas las plataformas a pedir documentos de identidad a cada usuario.

La AEPD y la CNMC mencionan mecanismos de privacidad, entre ellos los tokens anónimos y la Cartera de Identidad Digital de la UE. La idea es que una persona pueda demostrar que alcanza un umbral sin que el servicio reciba necesariamente su identidad completa. Esto describe un enfoque favorecido por las directrices; no significa que todas las plataformas ya lo utilicen ni que cada implementación tenga idénticas garantías.

La Comisión Europea también desarrolla una solución de verificación de edad. Según su página oficial, presentó un plan en julio de 2025 y la solución quedó lista para su uso el 15 de abril de 2026. La descripción señala que permite demostrar que se tienen más de 18 años sin compartir otra información personal. Ese alcance concreto es para mayores de 18: no basta para afirmar que el sistema resuelva por sí solo una verificación del umbral español de 16 años.

El borrador de partida aludía a autenticación multifactorial y métodos resistentes al phishing, pero las fuentes disponibles no respaldan que sean tecnologías específicamente evaluadas o exigidas por la AEPD para este propósito. Tampoco corresponde presentar credenciales únicas como mandato general. La formulación verificable es más acotada: las autoridades promueven opciones que preserven la privacidad y eviten perfilar a los usuarios, mientras la solución técnica depende del contexto y de su diseño.

Una comprobación de edad puede involucrar documentos, imágenes o datos biométricos, pero no todas las soluciones requieren recoger o conservar esa información de la misma manera. El debate consiste en limitar la exposición de datos: si una plataforma recibe una señal de elegibilidad en lugar de una copia del documento, disminuye la información que puede asociar directamente a una cuenta, aunque el resultado depende de cómo se construya el sistema.

La AEPD y la CNMC destacan mecanismos que preservan la privacidad y evitan el perfilado. Esa orientación no demuestra que cualquier token o cartera sea anónimo en todos los escenarios: importan la emisión de la credencial, la forma de presentarla, la posibilidad de reutilizarla y los registros que conserva cada participante. La protección depende del flujo completo, no solo del nombre de una tecnología.

Para usuarios y familias, una pregunta útil ante una solicitud de verificación es qué dato se recoge, quién lo recibe, durante cuánto tiempo se conserva y si se reutiliza para otros fines. Para una empresa, esas mismas preguntas ayudan a comparar una comprobación puntual con sistemas que pueden enlazar identidad, actividad y cuenta. La minimización reduce la exposición, pero no elimina por sí sola todos los riesgos de seguridad o de uso indebido.

La verificación de edad y la protección de menores pueden afectar a cómo una plataforma organiza sus cuentas, contenidos y tratamientos de datos. Sin embargo, las fuentes no acreditan un cambio automático en el modelo publicitario ni una prohibición general de la publicidad personalizada como consecuencia directa de la propuesta española o de las directrices de edad.

El efecto depende de decisiones regulatorias posteriores, del tipo de servicio y de cómo se obtenga y utilice la información. Las directrices que promueven evitar el perfilado son relevantes para diseñar sistemas de verificación, pero no equivalen a una conclusión de que todas las plataformas deban retirar la segmentación publicitaria o que ya lo hayan hecho.

Para los responsables de cumplimiento, la medida prudente es distinguir las obligaciones vigentes de los cambios anunciados y documentar la necesidad de cada dato. Para padres y usuarios, conviene no confundir una comprobación de edad con una autorización general para rastrear o perfilar. La conclusión práctica: comprobar lo mínimo necesario y no tratar una propuesta política como norma ya aplicada.