El gran reto técnico de proteger a los menores de las redes sociales sin comprometer su privacidad ni su derecho a la información

Dejando de lado el no pequeño desafío de establecer criterios para clasificar los contenidos compartidos en las redes como nocivos o potencialmente perjudiciales para los menores, nos encontramos ante un doble desafío. Por un lado, cómo identificar a un menor que intenta acceder a un servicio o plataforma de internet. Por otro lado, cómo impedir el acceso a contenidos inapropiados.

Esto deberá realizarse sin que ninguna de estas dos medidas suponga una pérdida de privacidad ni para los menores ni para los mayores de edad que deseen acceder a dichos contenidos. Para subrayar algo crucial: en 2026, la protección de la privacidad no será un derecho, sino una obligación. Si no lo hacemos, nos volvemos vulnerables a ciberataques, manipulación y todo tipo de efectos secundarios.

Verificación biométrica versus verificación a través de autoridades competentes

La primera cuestión que hay que aclarar es cómo determinar la edad de los internautas. Hay dos opciones: utilizar datos biométricos o utilizar credenciales emitidas por autoridades confiables.

Con la biometría, el principal riesgo radica en dónde se almacena y procesa la información biométrica, agravado por el hecho de que hay ciertas características biométricas que son irreemplazables y, si esa información se filtra, no se pueden cambiar, lo que lleva a una suplantación de identidad que es difícil de detectar. Quizás lo positivo de las soluciones biométricas es que requerirían poco esfuerzo por parte del usuario.

Por otro lado, la principal dificultad para utilizar las credenciales es que requiere una infraestructura compleja: ¿cómo puede obtenerlas el usuario? ¿Dónde los guardas? ¿Qué pasa si necesitas usarlos desde otro dispositivo? Estas preguntas son difíciles de responder, si lo que buscamos es tecnología accesible a todos, especialmente a los usuarios sin conocimientos técnicos.

Aquí el usuario con pocos conocimientos técnicos es, en muchos casos, no un menor, sino los tutores y la comunidad educativa responsables de velar por su formación y seguridad digital.

Identidades privadas versus no privadas

Si tiene un mecanismo de validación de usuario que permite o impide el acceso a servicios de Internet, el siguiente paso es discutir si desea separar la asignación de credenciales de la obtención de pruebas criptográficas para demostrar que tiene “edad elegible” para acceder a contenidos o servicios no aptos para niños.

Este es uno de los casos de uso paradigmáticos cuando se introducen las llamadas pruebas de conocimiento nulas. Este es el planteamiento inicial de la llamada billetera EUDI, una solución que la Comisión Europea propone para gestionar nuestra identidad digital a partir de finales de este año.

De hecho, su marco de diseño es compatible con mantener la privacidad como un requisito básico no negociable. En teoría, la billetera EUDI nos permitiría generar una identidad a través de una entidad calificada y, luego de ello, recurrir a otras entidades calificadas que nos darían prueba criptográfica para demostrar que tenemos una determinada propiedad; por ejemplo, una edad mayor que el valor umbral.

Si existe una arquitectura que sea capaz de evitar la colusión entre los actores responsables de emitir las credenciales y los responsables de certificar las propiedades o atributos de las personas naturales detrás de dichas credenciales, tendríamos un esquema de verificación válido para el atributo “edad elegible” que protege la privacidad de los usuarios de servicios de internet.

Para hacerlo realidad, aún necesitamos aplicar importantes avances técnicos a nivel internacional europeo. En este sentido, la comunidad criptográfica ha puesto sobre la mesa retos técnicos en cuanto a su arquitectura a la hora de evitar el seguimiento de usuarios y garantizar la protección ante intentos de phishing.

¿Cómo se almacena la identidad digital?

Supongamos que tenemos un sistema de credenciales -que además ofrece la máxima privacidad- y cuando entras en una web solo revela si el usuario es mayor de 16 años, de acuerdo con el artículo 8.1 del Reglamento General Europeo de Protección de Datos.

Probablemente esa credencial se almacene en el teléfono móvil para que sea lo más utilizable posible. Por ejemplo, ¿es realista suponer que un niño de 14 o 15 años no podrá utilizar algunos controles parentales para desbloquear el teléfono de un adulto y utilizar sus credenciales de adulto? Además, ¿un niño menor de 16 años debería tener acceso a un teléfono móvil?

Finalmente, independientemente de si se utiliza un teléfono móvil u otra interfaz de acceso, si no existe una coordinación entre países a nivel global, ¿cómo se puede evitar que un menor utilice servicios de Red Privada Virtual (VPN) para acceder a contenidos inapropiados, conectándose de forma remota a través de ubicaciones geográficas donde las plataformas involucradas no están obligadas a realizar una verificación cualificada de edad para acceder a determinados contenidos?

Por otro lado, es cierto que no hay consenso sobre cuál es la edad mínima para acceder a contenidos inapropiados porque, además, no existe un consenso general sobre todo tipo de contenidos inapropiados.

Recordemos que el debate actual es sobre el acceso a las redes sociales. Las dificultades, de momento, surgen de la divergencia de criterios en cuanto a la edad mínima, pero también de la dificultad para definir qué es una red social en 2026. ¿Por qué no limitarnos a lo que establece el artículo 8.1 del Reglamento de Protección de Datos, recabando el consentimiento informado del tutor de cualquier menor de 16 años antes de acceder a los servicios digitales?

¿Es un sistema fácil para todos?

Si el objetivo es controlar el acceso a cierta información en Internet, en función de atributos de identidad -como la edad-, es necesario que el sistema utilizado sea accesible para todos. De lo contrario, se estaría vulnerando el derecho de acceso a la información.

Esto, si bien puede parecer una cuestión filosófica, tiene importantes implicaciones tecnológicas. ¿Qué mecanismos se utilizarán para garantizar que todos, independientemente de sus habilidades con la tecnología, puedan acceder a la información que necesitan? Aquí debemos enfatizar la pérdida de derechos colectivos que experimentaremos a partir de finales de 2024 en relación con la neutralidad de la red para proteger los intereses corporativos. Debemos evitar repetir este error.

Diseñar esquemas de gobernanza apropiados para el ecosistema digital requiere poner en juego intereses contrapuestos y objetivos contradictorios. Promover el uso responsable de la tecnología por parte de nuestros menores debe estar encaminado a crear un marco tecnológico, legal y pedagógico que los integre de forma sana y sensata, en lugar de excluirlos para protegerlos.

Lo que está en juego no sólo es la confianza en la tecnología, sino también la confianza en nuestras instituciones democráticas. Y en 2026, esas instituciones estarán necesariamente mediadas digitalmente.

Este artículo fue escrito en colaboración con Jesús Díaz Vic, investigador en criptografía aplicada.