Datos personales de menores en 2026: RGPD, DSA y protección de datos desde el diseño

Los datos de menores exigen especial cuidado en plataformas, juegos, aplicaciones, servicios educativos y redes sociales. Un usuario menor afecta a información, diseño, publicidad, perfiles y valores predeterminados.

A partir de 2026, la protección de los datos sobre los niños en la Unión Europea no se limita al RGPD. La Ley de servicios digitales (DSA) también introduce obligaciones adicionales para la seguridad en línea de los niños y la publicidad selectiva.

¿Cómo protege el RGPD a los niños?

El RGPD reconoce que los datos personales de los niños merecen una protección especial.

Esta protección importa especialmente en los siguientes ámbitos:

comercialización,
creación de perfiles,
servicios en línea,
información para el niño

Estos ámbitos requieren especial cuidado.

RGPD artículo 8: el umbral de 16 años

Para servicios de la sociedad de la información ofrecidos directamente a menores con consentimiento conforme al artículo 6(1)(a), el artículo 8 fija el umbral general en 16 años.

Si el niño es menor de 16 años, el consentimiento debe ser otorgado o aprobado por la persona que tiene la responsabilidad parental.

¿Edad 16 en cada país de la UE?

No. Los Estados miembros pueden reducir el umbral en su legislación, pero no por debajo de 13 años.

Por lo tanto, la aplicación automática de una norma de edad única para toda la UE en los productos digitales multipaíses puede no ser correcta.

¿Se aplica el artículo 8 a cada procesamiento de datos?

No. El artículo 8 regula específicamente el consentimiento del artículo 6(1)(a) para servicios ofrecidos directamente a menores.

No está bien reducir automáticamente cada proceso que implique datos sobre los niños al límite de edad establecido en el artículo 8.

¿ Cómo debe confirmarse el consentimiento de los padres?

El RGPD exige que el responsable del tratamiento haga esfuerzos razonables para verificar el consentimiento de la persona que lleva la responsabilidad parental, teniendo en cuenta la tecnología existente.

También es importante que el mecanismo de verificación no reúna demasiados datos personales.

información de privacidad para el Niño

Presentar información clara y sencilla que el menor pueda comprender.

La publicación de textos jurídicos largos y técnicos por sí sola no proporciona una transparencia significativa.

Protección adicional con DSA

La Ley de servicios digitales incluye obligaciones de productos y plataformas que van más allá del RGPD para proteger a los niños en plataformas en línea.

Publicidad orientada a los niños basada en perfiles

El DSA prohíbe publicidad dirigida basada en perfiles cuando la plataforma sabe con certeza razonable que el usuario es menor.

Esta regla afecta directamente a los modelos de plataforma que segmentan la publicidad con datos infantiles.

Directrices para la protección de menores

El 14 de julio de 2025, la Comisión Europea publicó una guía para proteger a los niños bajo el DSA.

La guía aborda especialmente:

Protección elevada por defecto,
diseño seguro,
Riesgos de diseño adictivo,
contacto no deseado,
contenido nocivo

Estos son ámbitos centrales.

Privacidad por defecto

Es necesario evaluar más opciones de protección en lugar de configurar la configuración predeterminada de la cuenta infantil en el nivel de intercambio más abierto posible.

Tener que cambiar manualmente docenas de configuraciones para proteger la privacidad del usuario no es un buen enfoque de privacidad por diseño.

Riesgos de interfaces manipuladoras (dark patterns)

También se deben evaluar las interfaces manipuladoras que llevan al niño a compartir más datos, relajar la configuración de privacidad o pasar más tiempo en el servicio.

Garantía de la edad

Para proteger a los niños, algunos servicios pueden requerir la determinación del grupo de edad del usuario.

La verificación de edad no debe convertirse en recogida excesiva de datos.

Minimización de datos

Recoger datos « por si hacen falta después » aumenta el riesgo en productos infantiles.

Para cada campo de datos:

¿Por qué es necesario?
Durante cuánto tiempo se conservará,
Quién puede acceder

debe determinarse.

Sistemas de perfilado y recomendador

Si los sistemas de recomendación de contenido están utilizando en gran medida el comportamiento de los niños para crear perfiles, tanto la protección de datos como los riesgos de DSA pueden aumentar.

¿Cuándo viene el DPIA a la agenda?

La evaluación del impacto de la protección de datos debe examinarse en el marco del artículo 35 del RGPD en la elaboración de perfiles de alto riesgo, el seguimiento sistemático o procedimientos similares que procesen los datos sobre los niños.

La necesidad de EIPD depende de los riesgos del tratamiento concreto.

Lista de verificación de datos para niños

¿Se han determinado los escenarios de uso que el usuario puede ser un niño?
¿Se aplica realmente el artículo 8?
¿Se ha comprobado el límite de edad en el país de que se trate?
¿Existe una confirmación razonable si se requiere el consentimiento de los padres?
¿Puede el niño entender la información sobre la privacidad?
¿Es la configuración predeterminada de la cuenta protectora?
¿Se ha comprobado el anuncio basado en perfiles?
¿Se evaluaron las obligaciones del DSA relativas a la protección de menores?
¿Se está aplicando la reducción al mínimo de datos?
¿Se ha evaluado la necesidad de EIPD?

El enfoque B10

B 10 Digital Agency evalúa la protección infantil más allá de textos: UX, valores predeterminados, seguimiento, perfiles, analítica y flujos técnicos se estudian conjuntamente.

Marco oficial de referencia

Esta guía se ha actualizado en relación con el artículo 8 del RGPD, las disposiciones de protección de los niños de la Ley de servicios digitales, y el documento de las Directrices de Protección de Menores de la Comisión Europea de fecha 14 de julio de 2025.

Conclusión

En los datos de los niños, el cumplimiento no es sólo añadir la caja de edad correcta. El consentimiento, el perfilado, la publicidad, la privacidad predeterminada, el diseño de la interfaz y la minimización de los datos deben evaluarse conjuntamente desde la fase de diseño del producto.

Este contenido es para información general únicamente.