La «EU KIDS ACT» propone nuevas normas de protección de menores en línea que anticipan reformas legislativas en España

La Comisión Europea, en un paso hacia el refuerzo de los estándares de seguridad infantil en los mercados digitales de la UE, incluida España, propone imponer requisitos específicos de protección de menores a los productos ofrecidos a través de redes sociales, plataformas de vídeo, tiendas de aplicaciones de software, juegos en línea, sistemas operativos, asistentes de inteligencia artificial (IA) y chatbots conversacionales accesibles a menores.

La propuesta de «EU KIDS ACT», denominada oficialmente reglamento de la UE para garantizar la responsabilidad y la fiabilidad de los espacios digitales en Internet (EU Keeping Internet Digital Spaces Accountable and Trustworthy), fue presentada el 17 de septiembre y permanece abierta a un período de consulta de nueve semanas hasta el 3 de diciembre.

Nuevos tramos de edad para la creación de cuentas

Las restricciones a las cuentas se aplican a los servicios de redes sociales en línea y a las plataformas de intercambio de vídeos cuando el servicio entrañe un riesgo para la privacidad, la seguridad o la protección de los menores de 15 años. En concreto, cuando permitan la transmisión de contenidos en tiempo real (por ejemplo, retransmisiones de vídeo en directo), el contacto con usuarios ajenos a las conexiones preexistentes (por ejemplo, mensajes directos de desconocidos), recomendaciones basadas en perfiles o sugerencias ajenas a las suscripciones del usuario (por ejemplo, feeds seleccionados mediante algoritmos), o incorporen funciones diseñadas para fomentar un uso ininterrumpido (por ejemplo, reproducción automática, desplazamiento infinito o notificaciones para reenganchar al usuario).

Para los servicios que cumplan dichas condiciones, el acceso dependería de tres franjas de edad. Los usuarios de 15 años o más podrían disponer de cuentas independientes en aquellos servicios que se consideren seguros para ellos.

Para los jóvenes de 13 y 14 años, un tutor podría crear una cuenta con restricciones y mantener el control sobre ella, con herramientas de control parental activadas de forma permanente, aprobación parental de los contactos y un límite de uso diario de una hora. Los proveedores también tendrían que implementar un mecanismo para verificar que el adulto que concede la autorización ostenta efectivamente la responsabilidad parental, además de verificar la edad del menor.

Los menores de 13 años no podrían tener cuentas en dichos servicios. No obstante, las plataformas de intercambio de vídeos diseñadas específicamente para este grupo de edad podrían permitir, de forma excepcional, un acceso controlado a través de la cuenta del propio tutor, sujeto a requisitos estrictos y a un límite de uso diario, y conservando el tutor el derecho a revocar dicho acceso en cualquier momento.

Estas restricciones de cuenta basadas en la edad serían independientes de las protecciones más amplias de «seguridad desde el diseño», aplicables a todos los menores de 18 años con independencia de si disponen de una cuenta.

En la práctica, la aplicación efectiva de estos tramos de edad dependería de la implantación de sistemas sólidos de verificación de la edad, capaces de distinguir de forma fiable entre los tres niveles. Sin mecanismos de verificación suficientemente precisos y escalables, las restricciones de las cuentas correrían el riesgo de resultar, en gran medida, inaplicables.

La verificación de la edad implicaría nuevas obligaciones de cumplimiento

La verificación de la edad comprende los métodos para determinar la edad o un rango de edad del usuario. En lo que respecta a las restricciones de las cuentas, la propuesta exigiría la verificación a través del marco certificado de la UE, mediante tecnología de prueba de conocimiento cero que únicamente devuelve una señal binaria, sin identificar, localizar ni elaborar un perfil del usuario. Otras salvaguardias podrían basarse en métodos alternativos que cumplan las normas establecidas en materia de fiabilidad, proporcionalidad, privacidad y no discriminación.

Los proveedores afectados tendrían que revisar las cuentas existentes en un plazo de seis meses desde la aplicación de la normativa y desactivar aquellas que no cumplan los requisitos de edad o en las que no sea posible determinarla. Cuando los proveedores ya dispongan de una estimación de la edad basada en múltiples señales, no se les exigiría automáticamente una nueva verificación.

A nivel práctico, cada Estado miembro estaría obligado a ofrecer al menos un medio gratuito de verificación de la edad. La aplicación de verificación de la edad de la UE propuesta por la Comisión se presenta como una solución transitoria a la espera del despliegue completo de la Cartera de Identidad Digital de la UE, cuya disponibilidad a nivel nacional se recomienda para finales de 2026. El marco normativo regula el modo en que deben diseñarse estos sistemas, incluidos los requisitos del Comité Europeo de Protección de Datos (CEPD) y de la Agencia Española de Protección de Datos (AEPD). Los proveedores de sistemas operativos también tendrían la obligación de compartir los indicadores de edad existentes con el consentimiento del usuario.

La «seguridad desde el diseño» exigiría modificaciones en los productos

En el caso de las redes sociales y los servicios para compartir vídeos, la propuesta regularía la forma en que los menores experimentan el producto. La reproducción automática y los flujos continuos de contenido deberían diseñarse de modo que permitan descansos efectivos. Asimismo, se restringirían las notificaciones diseñadas para atraer de nuevo a los menores, así como las penalizaciones por no interactuar regularmente con el servicio. Las herramientas de gestión del tiempo también tendrían que respetar el horario escolar y las horas principales de sueño.

Estas restricciones de diseño se extienden a los sistemas de recomendación, que tendrían que dar prioridad a las elecciones explícitas de los menores y desactivar por defecto las recomendaciones basadas en señales implícitas de interacción, sin poder utilizar datos personales obtenidos fuera del servicio. Los menores deberían tener la posibilidad de restablecer sus preferencias y seleccionar un feed libre de perfiles personalizados.

Los ajustes predeterminados de protección desactivarían la geolocalización, el seguimiento y las notificaciones push. En materia de contactos, se exigiría la autorización previa para la comunicación directa y se limitaría la visibilidad de la información de los menores. En cuanto a las transacciones, se requeriría transparencia sobre las compras y el valor monetario real de la moneda virtual, así como medidas de protección frente al gasto excesivo o impulsivo. La obligación general de «seguridad desde el diseño» se extendería también a los servicios pertinentes a los que se acceda sin necesidad de cuenta. En lo relativo a los asistentes de IA y los chatbots conversacionales en general, la reutilización de las conversaciones previas de un menor quedaría desactivada por defecto, salvo que resultara necesaria por motivos de seguridad. Los proveedores deberían disponer de medidas de protección frente a la dependencia emocional, realizar pruebas previas al lanzamiento y efectuar un seguimiento continuo. Los chatbots integrados no podrían activarse automáticamente ni promocionarse entre menores.

Compatibilidad con las obligaciones vigentes de la UE

La propuesta especificaría y complementaría tanto la DSA como la Ley de IA. Si bien el artículo 28 de la DSA ya exige medidas de protección proporcionadas en las plataformas accesibles a menores, la KIDS ACT prescribiría medidas concretas y abarcaría servicios adicionales. Las directrices de la DSA de julio de 2025 contemplan salvaguardias comparables, pero carecen de carácter vinculante.

El RGPD seguiría regulando el tratamiento de datos empleado para aplicar dichas medidas. El artículo 6, apartado 5, de la propuesta mantiene la aplicación paralela con el artículo 8 del RGPD, si bien esa coexistencia podría generar discrepancias prácticas: un joven de 15 años podría reunir los requisitos para disponer de una cuenta independiente y, sin embargo, seguir necesitando la autorización parental para el tratamiento basado en el consentimiento en un Estado miembro cuyo umbral se fije en los 16 años -o en los 14, como es el caso de España-.

Las obligaciones de verificación propuestas se sustentarían en su propio fundamento jurídico, sin que ello autorice la recopilación ilimitada de datos de identidad. Asimismo, permanecerían vigentes las prohibiciones existentes en materia de publicidad basada en perfiles dirigida a menores identificados y de explotación de vulnerabilidades relacionadas con la edad conforme a la Ley de Inteligencia Artificial.

La caducidad del proyecto de ley español deja abierta la vía legislativa

España mantiene el umbral de 14 años para el tratamiento basado en el consentimiento conforme a la Ley Orgánica de Protección de Datos. Por su parte, la Ley General de Comunicación Audiovisual ya obliga a las plataformas de intercambio de vídeos afectadas a proteger a los menores mediante la verificación de la edad y los controles parentales, mientras que la CNMC y la AEPD conservan sus respectivas funciones de supervisión.

El proyecto de Ley Orgánica sobre la protección de los menores en los entornos digitales, presentado en 2025, proponía, entre otras medidas, elevar a 16 años la edad mínima para el consentimiento en materia de datos, exigir a los fabricantes de dispositivos conectados sujetos a la normativa la incorporación de controles parentales activados por defecto, prohibir a los menores el acceso a determinados mecanismos de «loot boxes» e introducir nuevas salvaguardias audiovisuales y reformas en el ámbito de la aplicación de la ley. Dicho proyecto caducó el 6 de octubre de 2026 tras la disolución del Parlamento, si bien un nuevo proyecto de ley del Gobierno o una propuesta parlamentaria podrían reactivar las medidas.

En caso de reactivarse, cualquier iniciativa legislativa española debería reevaluarse a la luz de la versión definitiva de la KIDS ACT de la UE, en particular cuando las edades de acceso a las cuentas difieran del marco europeo.

Comentario de Osborne Clarke

Si la propuesta se aprueba en su forma actual, el paso práctico clave consistirá en asignar las obligaciones a cada servicio y a su recorrido específico del usuario. Entre otras cosas, las empresas deberán distinguir entre la elegibilidad de la cuenta, el permiso para tratar datos personales y el acceso a contenidos restringidos, ya que un único umbral de edad o una pantalla de consentimiento parental no abarcará necesariamente estos tres aspectos.

El borrador prevé su aplicación general a los seis meses de su entrada en vigor, mientras que los planes de cumplimiento y las auditorías para las plataformas de muy gran tamaño serían exigibles desde el momento mismo de la entrada en vigor.