Francia tendrá que rehacer su intento de prohibir las redes sociales a los menores de 15 años. El Consejo Constitucional ha bloqueado la norma que debía comenzar a aplicarse el 1 de septiembre de 2026 al considerar que las restricciones previstas eran desproporcionadas para la libertad de expresión y comunicación y que el sistema de comprobación de edad no ofrecía garantías jurídicas suficientes para la privacidad. El caso abre un debate de seguridad que afecta también a España y al resto de Europa: cómo impedir que un menor acceda a un servicio sin obligar a identificar, perfilar o analizar a millones de adultos.
Las claves de la verificación de edad en 20 segundos
- Francia ha bloqueado su prohibición para menores de 15 años por problemas de proporcionalidad y privacidad.
- Verificar la edad puede implicar documentos, biometría, voz, IP, dispositivo o análisis del comportamiento.
- Australia demuestra que los controles pueden continuar incluso después de superar una primera comprobación.
- El riesgo está en convertir una medida para menores en una infraestructura de identificación aplicable a todos.
- Europa exige minimizar los datos y utilizar métodos lo menos intrusivos posible.
La cuestión no consiste únicamente en decidir si un adolescente debe tener acceso a Instagram, TikTok o X. Para hacer cumplir una prohibición de este tipo hay que distinguir técnicamente entre menores y adultos, y eso puede obligar a desplegar mecanismos capaces de obtener mucha más información sobre los usuarios de la que actualmente necesitan numerosos servicios de Internet.
El Comité Europeo de Protección de Datos (EDPB) lleva tiempo advirtiendo sobre esta contradicción. El organismo considera legítimos determinados controles de edad, pero establece que deben respetar principios como necesidad, proporcionalidad, minimización de datos, limitación de finalidad y protección desde el diseño. Además, el procedimiento elegido debería ser el menos intrusivo posible.
El verdadero problema de seguridad: ¿cómo demostrar la edad sin revelar la identidad?
Una web que únicamente necesita comprobar si alguien tiene más de 16 años no debería necesitar conocer necesariamente su nombre, dirección, DNI o fecha exacta de nacimiento.
La respuesta que necesita el servicio podría reducirse a un atributo:
«Mayor de 16 años: sí».
El problema aparece cuando las autoridades responsabilizan a las plataformas de impedir que los menores engañen al sistema. Una simple declaración de edad deja entonces de ser suficiente.
Existen varias alternativas. Puede solicitarse un documento oficial, utilizarse una identidad digital, recurrir a un proveedor externo o estimarse la edad mediante tecnologías biométricas y algoritmos.
Todas presentan riesgos.
Centralizar documentos de identidad o información equivalente crea bases de datos especialmente atractivas para los ciberdelincuentes. Una brecha en un servicio de verificación puede ser bastante más grave que la filtración de un nombre de usuario y una contraseña porque algunos atributos de identidad no pueden cambiarse fácilmente después de un ataque.
El reconocimiento o estimación facial reduce la necesidad de entregar determinados documentos, pero introduce el tratamiento de imágenes y potencialmente información biométrica.
Los sistemas de inferencia plantean otra cuestión: para averiguar la edad pueden terminar observando el comportamiento del usuario.
Australia permite comprobar hasta dónde puede llegar ese modelo.
Australia permite analizar cara, voz, IP, dispositivo y comportamiento
Australia exige desde el 10 de diciembre de 2025 que determinadas redes sociales adopten medidas razonables para impedir que los menores de 16 años mantengan cuentas. Entre las plataformas afectadas se encuentran Facebook, Instagram, Reddit, Snapchat, Threads, TikTok, Twitch, X y YouTube.
La documentación del regulador australiano eSafety resulta especialmente interesante desde el punto de vista de la privacidad.
Las plataformas pueden utilizar diferentes señales para determinar si una persona podría ser menor. Entre ellas aparecen el lenguaje utilizado, las fotografías y vídeos publicados, análisis facial, estimación de edad mediante la voz, horarios de actividad, relaciones con otros usuarios y pertenencia a comunidades orientadas a jóvenes.
También pueden analizar información para determinar si alguien está intentando eludir las restricciones geográficas mediante una red privada virtual (VPN). Aquí entran direcciones IP, GPS, idioma y zona horaria del dispositivo, identificadores del terminal, números de teléfono australianos, configuración del sistema operativo, fotografías, etiquetas y patrones de actividad.
Desde una perspectiva de privacidad el cambio es considerable.
El modelo deja de ser únicamente «indique su fecha de nacimiento». La plataforma puede utilizar un conjunto de señales para inferir quién es el usuario, dónde está y aproximadamente qué edad tiene.
Y la comprobación tampoco tiene necesariamente que terminar después de superar el primer control.
El regulador australiano señala que una plataforma puede volver a comprobar la edad cuando posteriormente encuentre indicios compatibles con un usuario menor de 16 años.
Se pasa así de una verificación puntual a la posibilidad de una evaluación continuada.
Una infraestructura creada para menores podría terminar afectando a todos
Este es uno de los riesgos que plantea la expansión de estos sistemas.
Para encontrar a un menor dentro de una población formada mayoritariamente por adultos hay que disponer de algún procedimiento para distinguirlos. Cuanto mayor sea la responsabilidad legal impuesta a las plataformas, mayor será también el incentivo para utilizar sistemas capaces de reducir falsos negativos.
Y eso puede significar recopilar más señales.
La paradoja es evidente: una legislación diseñada para aumentar la seguridad de los menores puede incentivar indirectamente una mayor observación de todos los usuarios.
Esto no significa que cualquier sistema de comprobación de edad constituya vigilancia masiva ni que esa sea necesariamente la intención de los gobiernos que promueven estas normas. Existen tecnologías específicamente diseñadas para evitarlo.
El problema está en cómo se construyan.
Un sistema de identidad con preservación de privacidad podría permitir demostrar que alguien supera determinada edad sin comunicar su identidad completa al servicio. También pueden utilizarse credenciales que revelen únicamente el atributo necesario.
El principio debería ser que una red social que necesita conocer si alguien supera los 16 años reciba únicamente esa información.
No debería obtener automáticamente nombre, apellidos, fecha de nacimiento completa y número de documento.
Tampoco debería poder utilizar la comprobación posteriormente para publicidad, seguimiento entre servicios o enriquecimiento de perfiles comerciales.
Más información personal también significa una mayor superficie de ataque
Existe además una consecuencia directa para la ciberseguridad.
Cuantos más intermediarios participan en una comprobación, mayor puede ser la superficie de ataque.
El sistema puede involucrar al usuario, la plataforma, una aplicación de verificación, un proveedor de identidad y eventualmente organismos públicos o proveedores especializados.
La arquitectura debe contemplar ataques contra las API, robo de tokens y credenciales, suplantación de identidad, manipulación de documentos, deepfakes, reutilización de comprobaciones y filtraciones de bases de datos.
Australia reconoce expresamente algunos de estos problemas. Sus plataformas deben adoptar medidas frente a menores que intenten superar los controles mediante documentos falsificados, herramientas de inteligencia artificial, deepfakes o VPN.
Esto genera una carrera tecnológica peculiar.
Si aparecen documentos falsos, aumenta la comprobación documental. Si los deepfakes engañan a la estimación facial, habrá que mejorar la detección. Si una VPN permite evitar una restricción territorial, aumenta el análisis de IP, GPS y dispositivo.
Cada mecanismo para detectar una evasión puede requerir una nueva señal sobre el usuario.
El riesgo de que la verificación termine extendiéndose por Internet
También existe una cuestión de alcance.
Una vez desplegada una infraestructura capaz de verificar la edad de millones de ciudadanos, resulta técnicamente sencillo reutilizarla en nuevos ámbitos.
Puede comenzar con redes sociales y extenderse después a páginas para adultos, plataformas audiovisuales, videojuegos, tiendas online, aplicaciones o cualquier servicio que futuras leyes decidan restringir según la edad.
El riesgo no reside exclusivamente en la tecnología, sino en la denominada expansión de finalidad: información recopilada inicialmente para resolver un problema concreto acaba empleándose posteriormente para otros.
El Reglamento General de Protección de Datos (RGPD) intenta precisamente limitar este comportamiento mediante principios como la minimización y la limitación de finalidad. El EDPB los incluye expresamente entre los requisitos que deben aplicarse a los sistemas de garantía de edad.
Desde el punto de vista de seguridad y privacidad, por tanto, la pregunta no debería limitarse a:
«¿Funciona el sistema para bloquear a los menores?»
También habría que preguntar qué datos necesita, quién los procesa, cuánto tiempo se conservan, dónde se almacenan, quién puede relacionarlos con otras actividades y qué ocurre cuando se produce una brecha de seguridad.
Francia pone un límite que España también deberá tener presente
La resolución francesa adquiere especial interés porque otros países europeos estudian restricciones parecidas.
El Consejo Constitucional no ha determinado que proteger a los menores sea un objetivo ilegítimo. Ha cuestionado que las medidas elegidas superen los requisitos constitucionales de proporcionalidad y protección de derechos.
Francia tendrá ahora que reformular su legislación. Emmanuel Macron ha encargado al primer ministro Sébastien Lecornu preparar otro texto teniendo en cuenta las objeciones del tribunal.
España tendrá que enfrentarse a problemas similares si continúa adelante con sus planes para restringir el acceso de menores de 16 años.
La discusión tecnológica debería centrarse entonces en un principio sencillo: comprobar una edad no debería equivaler a identificar a una persona.
Existen mecanismos criptográficos y arquitecturas de identidad capaces de separar ambas operaciones. El reto consiste en que esas garantías formen parte del sistema desde su diseño y no aparezcan posteriormente como una corrección.
Porque el peligro no está únicamente en que una plataforma conozca la edad de sus usuarios.
El escenario que debería evitarse es que, bajo una finalidad legítima como proteger a los menores, Internet evolucione hacia un modelo en el que todos los ciudadanos tengan que demostrar quiénes son o someterse a un perfilado para poder acceder a servicios que hasta ahora podían utilizar de forma anónima o seudónima.
Preguntas frecuentes
¿Por qué Francia ha bloqueado la prohibición de redes sociales para menores?
El Consejo Constitucional consideró que la legislación restringía de manera desproporcionada la libertad de expresión y comunicación y no establecía garantías suficientemente precisas alrededor de la comprobación de edad y la privacidad.
¿Verificar la edad obliga a entregar el DNI?
No. Existen mecanismos que pueden acreditar únicamente que alguien supera determinada edad. Desde la perspectiva de privacidad, este modelo resulta preferible a comunicar más información personal de la necesaria.
¿Pueden utilizarse la cara o la voz para estimar la edad?
Sí. Australia contempla señales que incluyen análisis facial de fotografías y vídeos y estimación de edad mediante la voz, además de comportamiento, conexiones sociales y otros indicadores.
¿Qué riesgos de ciberseguridad introduce la verificación de edad?
Puede aumentar la cantidad de información sensible procesada y añadir nuevos intermediarios, bases de datos, credenciales y API susceptibles de sufrir ataques. También obliga a enfrentarse a técnicas de evasión mediante documentos falsos, deepfakes, IA o VPN.
