Consentimiento de menores en materia de privacidad: La AEPD publica un sistema de verificación de edad

Consentimiento de menores en materia de privacidad: La AEPD publica un sistema de verificación de edad

Respecto al consentimiento de menores en materia de privacidad, el RGPD, a diferencia de su predecesora, la Directiva 95/46/CE, establece una tímida regulación respecto del mismo, conforme a la cual el consentimiento de éstos se considerará lícito a partir de los dieciséis años con carácter general en todos los Estados Miembros de la Unión Europea, sin perjuicio de que éstos puedan internamente rebajar dicha cifra a un número no inferior a los trece años (Art. 8, RGPD).

Siendo esto así, respecto a la verificación de la edad en menores, el legislador español ha optado por establecer el límite mínimo de edad en los 14 años (Art. 7.1, LOPDGDD). En el resto de los supuestos debe constar el consentimiento del titular de la patria potestad o tutela para que el tratamiento de datos personales fundamentado en el artículo 6.1.a) del RGPD sea válido.

Ante tales circunstancias parece razonable plantearse qué nivel de diligencia es exigible al responsable del tratamiento a la hora de determinar la validez del consentimiento otorgado por un menor respecto de sus datos personales, sobre todo respecto de las comunicaciones realizadas electrónicamente.

¿Deben las plataformas digitales controlar la edad de sus usuarios?

De conformidad con el art. 1903 del Código Civil, para el consentimiento de menores en materia de privacidad, los padres o tutores de un menor son responsables de los daños y perjuicios causados por sus infracciones administrativas o delitos.

Siguiendo esta línea, la AEPD indica en su reciente guía “más que un móvil” que éstos serán responsables solidarios respecto de las infracciones en materia de protección de datos impuestas a sus hijos menores de edad y mayores de catorce años.

A pesar de lo dispuesto en el párrafo anterior, lo cierto es que el legislador considera que el titular de una plataforma online debe de cumplir con un cierto nivel de diligencia a la hora de garantizar de un modo efectivo que sus usuarios cumplen los requisitos establecidos legalmente para que su acceso a los servicios ofrecidos en la plataforma sea considerado lícito y en este sentido se expresa la disposición 13.4 del RLOPD.

Por su parte, el RGPD impone al responsable la obligación de realizar “esfuerzos razonables”, teniendo en cuenta la tecnología disponible, para verificar que el consentimiento fue dado por el titular de la patria potestad o tutela en los supuestos de menores sin capacidad jurídica suficiente (Art.8.2, RGPD).

Esta disposición ha sido interpretada por la AEPD y el CEPD de tal forma que se entiende aplicable también a la verificación de la validez del consentimiento de los menores en materia de privacidad mediante la determinación de su capacidad jurídica suficiente para consentir. Es decir, el responsable del tratamiento deberá implementar medidas técnicas y organizativas suficientes y apropiadas para que los consentimientos recabados sean válidos.

Mecanismos de verificación de edad: ¿cómo demostrar que una plataforma ha realizado “esfuerzos razonables”?

Lo cierto es que la verificación de edad en la red y el consentimiento de menores en materia de privacidad no ha sido tradicionalmente una cuestión sencilla, sino que ha venido asociada principalmente dos conflictos: determinar qué información solicitar y determinar cómo solicitarla. 

Respecto de la primera cuestión, cabe señalar que, exigir por defecto la comunicación de cierta información personal para que el responsable pueda certificar la validez del consentimiento otorgado plantea problemas de privacidad, puesto que el conocimiento de la identidad de un individuo puede asociarse a su actividad en línea.

A modo de ejemplo, cabe señalar que la Autoridad de protección de datos francesa (CNIL) ha puesto de manifiesto que requerir la comunicación de documentos de identidad de los usuarios o la elaboración de estimaciones de edad basadas en el historial de navegación del usuario no pueden ser considerados como métodos aceptables para la verificación de la edad para sitios pornográficos en línea.

Asimismo, cuanta más información personal recabe el responsable del tratamiento, peores serán las consecuencias en caso de producirse una brecha de seguridad.

Siendo esto así, el CEPD ha señalado a este respecto que el mecanismo elegido para verificar la edad del interesado debe conllevar un análisis previo del riesgo y la peligrosidad del acceso a los servicios ofertados en la plataforma por parte de un menor supongan, junto con la evaluación del tratamiento propuesto.

Respecto de cómo recabar la información personal necesaria cabe hacer referencia a la propuesta de un Marco para una Identidad digital europea, que parece simplificar esta problemática en la medida en la que su implementación permitiría a los menores utilizar la catera de identidad digital para demostrar su edad sin necesidad de revelar otros datos personales

El nuevo sistema de verificación de edad de la AEPD como solución a esta problemática

A la espera de una solución que aporte claridad y uniformidad al consentimiento de menores en materia de privacidad en todo el espacio europeo, las autoridades nacionales competentes en materia de protección de datos han propuesto, de forma independiente, soluciones a esta problemática.

Entre estas propuestas, cabe hacer referencia al nuevo sistema de verificación de edad presentado por la AEPD el pasado 14 de diciembre de 2023, compuesto por:

1. Un decálogo de principios que recoge los 10 principios que todo sistema de protección de personas menores de edad ante contenidos inadecuados debe cumplir.
2. Una nota técnica con los detalles del proyecto.
3. Tres videos prácticos que demuestran cómo funciona el sistema en diferentes dispositivos.
4. Un gráfico que recoge los riesgos de los sistemas de verificación de edad más populares en la actualidad.

Este nuevo sistema no tiene por objeto que los proveedores de contenidos o terceros conozcan que la persona que accede a un determinado contenido es menor, sino que tengan la garantía de que la persona que accede a contenidos para adultos puede hacerlo manteniendo su anonimato y minimizando los datos tratados o desvelados a terceros.

Siendo esto así, el decálogo elaborado en el contexto de este nuevo sistema viene a establecer las condiciones mínimas que se deben cumplir para establecer sistemas idóneos que generen confianza y protejan el interés superior del menor y los derechos fundamentales.

Para demostrar que estas condiciones son realistas y pueden materializarse en la práctica, la AEPD ha publicado una serie de pruebas de concepto a modo de ejemplo.

En este contexto, la AEPD ha llamado a todos los proveedores de contenidos que estén obligados a verificar la edad de sus usuarios a implementar un método de control de edad que cumpla con la totalidad de las condiciones referidas en el decálogo, pudiendo inspirarse para cumplir con esta finalidad en el resto de materiales puestos a disposición del público por la AEPD.

No obstante lo anterior, cabe esperar que se produzcan más iniciativas para desarrollar el contenido del sistema elaborado por la AEPD en los próximos meses en la medida en que, la CNMC y la FNMT anunciaron su apoyo a la iniciativa de la AEPD poco después de su publicación y su disposición para colaborar en el futuro en este ámbito para fomentar la protección de los menores en la red.

En Letslaw, nuestro equipo de abogados de Protección de Datos te asesorará tanto en todo lo relativo a la verificación de la edad en la red y otras cuestiones. No dudes en contactar con nosotros.