Principio de privacidad desde el diseño

Por otro lado, no podemos pasar por alto que los sitios web, por lo general, tratan datos personales de sus visitantes a través de cookies y tecnologías similares. Y que, por lo tanto, si un menor accede a un sitio web de contenido para adultos, el titular de ese sitio web podría llegar a tratar datos personales del menor, incluso datos especialmente sensibles, como, por ejemplo: sus gustos, hábitos o preferencias sexuales. Algo que seguro ocurrirá si el menor crea una cuenta de usuario registrado en el sitio web en cuestión.

En España la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) establece una serie de requisitos, obligaciones y limitaciones para el tratamiento de datos personales de menores de edad y, por otro lado, la  Ley 13/2022, de 7 de julio, General de Comunicación Audiovisual (LGCA) obliga a los prestadores de servicios de intercambio de vídeos a través de plataforma a establecer y operar sistemas de verificación de edad para el acceso a contenidos que puedan perjudicar el desarrollo físico, mental o moral de los menores de edad. Estos sistemas también deben impedir que los menores accedan a contenidos audiovisuales más nocivos, como la violencia gratuita o la pornografía.

Estos procedimientos sancionadores son un ejemplo más de que los sistemas de verificación de edad que se utilizan actualmente en internet suelen ser inadecuados. Nos referimos al típico aviso informativo acompañado de una autodeclaración por parte del usuario y a otros mecanismos como: compartir credenciales con el proveedor de contenido; que este último estime la edad del usuario; o que otra entidad tercera intermedie entre el proveedor y el usuario. Todos ellos entrañan algún riesgo claro, entre otros: 

• La posibilidad de ubicar a menores en línea; 
• La incertidumbre acerca de la veracidad de la edad declarada; 
• La exposición de la identidad de menores a diversos actores en la red;
• La realización de perfiles a gran escala; y 
• La recopilación y tratamiento de datos innecesarios.

Enlazamos lo anterior con la siguiente novedad que os traemos hoy. El pasado 14 de diciembre de 2023 la AEPD dejó claro que es técnicamente posible proteger a los menores del acceso a contenidos inadecuados a la vez que se garantiza el anonimato de los adultos en su navegación por internet. Y para demostrarlo ha publicado:

• Una Infografía donde se detallan los sistemas de verificación de edad más utilizados en la actualidad i sus riesgos
• Un Decálogo que recoge los principios que deben cumplir los sistemas de verificación de edad; 
• Una Nota Técnica que describe las tres pruebas de concepto que implementan un sistema de verificación de edad que se deriva de dicho Decálogo. Estas pruebas han sido realizadas por la AEPD en colaboración con el Consejo General de Colegios Profesionales de Ingeniería Informática.
• Tres vídeos prácticos que demuestran cómo funcionan el sistema de verificación de edad en diferentes dispositivos, con sistemas operativos distintos y empleando varios proveedores de identidad.

Los repasamos brevemente:

Según el mencionado Decálogo de la AEPD los sistemas de verificación de edad deben cumplir los siguientes principios:

• PRINCIPIO 1: El sistema de protección de personas menores de edad ante contenidos inadecuados debe garantizar que no es posible la identificación, el seguimiento o la localización de menores a través de Internet. 
• PRINCIPIO 2: La verificación de edad debe estar orientada a que las personas con la edad adecuada acrediten su condición de “persona autorizada a acceder”, y no permitir la acreditación de la condición de “menor de edad”. 
• PRINCIPIO 3: La acreditación para el acceso a contenidos inadecuados debe ser anónima para los proveedores de servicios de Internet y terceras entidades. 
• PRINCIPIO 4: La obligación de acreditar la condición de “persona autorizada a acceder” estará limitada únicamente al contenido inadecuado. 
• PRINCIPIO 5: La verificación de edad se debe realizar de forma cierta y la edad categorizada a “persona autorizada a acceder”. 
• PRINCIPIO 6: El sistema debe garantizar que las personas no pueden ser perfiladas en función de su navegación. 
• PRINCIPIO 7: El sistema debe garantizar la no vinculación de la actividad de una persona entre distintos servicios. 
• PRINCIPIO 8: El sistema debe garantizar el ejercicio de la patria potestad por los progenitores.
• PRINCIPIO 9: Todo sistema de protección de personas menores de edad ante contenidos inadecuados debe garantizar los derechos fundamentales de todas las personas en su acceso a Internet. 
• PRINCIPIO 10: Todo sistema de protección de personas menores de edad ante contenidos inadecuados debe tener definido un marco de gobernanza. 

Las pruebas de concepto realizadas por la AEPD:

• 1ª Prueba de Concepto (acceso desde ordenador o consola de videojuegos): 
  • El usuario instala en su dispositivo una aplicación que bloquea o filtra contenidos en función de la edad del usuario. 
  • Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación filtrará el contenido o le requerirá que demuestre que tiene edad suficiente para acceder.
  • En este caso el usuario puede utilizar el código QR proporcionado por la FNMT para demostrar que cumple el requisito de edad y así desbloquear el filtro o bloqueo de la aplicación de acceso a contenidos.
• 2ª Prueba de Concepto (acceso desde un móvil con sistema operativo Android):
  • El usuario instala en su dispositivo dos aplicaciones una aplicación que bloquea o filtra contenidos en función de la edad del usuario y otra de tipo cartera digital, por ejemplo: la cartera que próximamente proporcionará la Secretaría General de Administración Digital (SGAD), compatible con la regulación europea eIDAS2. En la aplicación de cartera digital el usuario debe cargar algún documento o certificado en el que conste su edad o fecha de nacimiento.
  • Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación de acceso a contenidos comprobará, a través de los datos de identidad del usuario almacenados en la cartera digital, si el usuario tiene la edad necesaria para acceder a los contenidos. Si el usuario tiene la edad necesaria se desbloqueará el filtro o bloqueo de la aplicación de acceso a contenidos.
• 3ª Prueba de Concepto (acceso desde un móvil con sistema operativo IOS):
  • El usuario instala en su dispositivo dos aplicaciones una aplicación que bloquea o filtra contenidos en función de la edad del usuario y otra que verifica la edad del usuario mediante la información obtenida del documento físico (DNI o Pasaporte) del usuario. Para ello el usuario previamente debe registrar su documento físico en la app de verificación de edad, demostrando que es el suyo mediante firma o biometría.
  • Cuando el usuario reciba o quiera acceder a contenido para adultos la aplicación de acceso a contenidos comprobará, a través de los datos de identidad del usuario almacenados en la app de verificación de edad, si el usuario tiene la edad necesaria para acceder a los contenidos. Si el usuario tiene la edad necesaria se desbloqueará el filtro o bloqueo de la aplicación de acceso a contenidos.

Con estas pruebas de concepto la AEPD demuestra, sin ofrecer una solución final única, que es posible implementar sistemas de verificación de edad efectivos que cumplan con los principios detallados en su Decálogo. Ya sea para verificar que el usuario tiene más de 18 años o para verificar que tiene más de 14 años, edad mínima en España para poder registrarse en una red social.

Por lo tanto, los prestadores de servicios que incumplan los principios definidos en el Decálogo quedarán expuestos a importantes sanciones, de hasta el 3% de su facturación anual. 

Y, para terminar, la última novedad. El pasado 14 de diciembre de 2023 la Comisión Nacional de los Mercados y la Competencia (CNMC) lanzó una consulta pública sobre los criterios para garantizar la idoneidad de los sistemas de verificación de edad en los servicios de intercambio de video a través de plataformas sobre contenidos perjudiciales para el menor. Las respuestas a las preguntas planteadas y comentarios deben enviarse por medios telemáticos, a través de la sede electrónica de la CNMC antes del 31 de enero de 2024.