Verificación de edad en redes sociales: ¿protección infantil o invasión de la privacidad?

El Gobierno del Reino Unido ha anunciado que prohibirá el acceso a redes sociales a menores de 16 años, con las regulaciones previstas antes de Navidad y la entrada en vigor en la primavera de 2027. En la práctica esto obligará a las plataformas a verificar la edad de quienes abran cuentas nuevas: si te registras por primera vez desde el Reino Unido es muy probable que te pidan un documento de identidad o una verificación biométrica (selfie para análisis de edad), mientras que las cuentas antiguas quedarán en gran medida “grandfathered” y no necesitarán ese paso inmediato.

La intención declarada —proteger a niños y adolescentes de riesgos online— choca con dilemas técnicos y de privacidad que ya han encendido las alarmas entre investigadores y organizaciones de derechos digitales. Verificación masiva significa recopilación masiva de datos sensibles: pasaportes, permisos de conducir, imágenes faciales y metadatos que, si se almacenan o gestionan mal, se convierten en un objetivo valioso para atacantes y en una posible fuente de robo de identidad o chantaje.

Los peritos recuerdan además que muchas técnicas propuestas son fáciles de eludir. Estudios recientes señalados por centros como el Science Media Centre muestran que la mayoría de los métodos de verificación —excepto comprobaciones basadas en tarjeta de crédito con límites obvios— ofrecen robustez baja o media y pueden ser sorteados por menores motivados con herramientas accesibles. Puedes leer una reacción experta y referencias en el resumen publicado tras el anuncio oficial en el Reino Unido: comunicado del Gobierno y el análisis de expertos en Science Media Centre.

Una debilidad estructural clave es que la ley se dirige a servicios (sitios y apps), no a usuarios: quien navegue desde fuera del perímetro del Reino Unido —por ejemplo mediante una VPN— eludirá el control. La experiencia australiana, pionera en esta vía, mostró que una proporción importante de menores siguió usando redes sociales tras prohibiciones similares; además, algunos proveedores de VPN registraron picos de demanda al endurecerse los controles. Ver cobertura sobre esos picos a modo de referencia: BBC: repunte en registros de VPN.

Desde el punto de vista de seguridad informática, hay dos riesgos distintos pero relacionados: la eficacia real de los controles y los daños colaterales si esos controles fallan. Una filtración de bases de datos con documentos de identidad o fotos faciales es un problema de por vida para las personas afectadas; a diferencia de una contraseña, no puedes cambiar tu cara. Además, la normalización de la verificación obligatoria erosiona el anonimato en la red y plantea costos para la libertad de expresión, especialmente para activistas, denunciantes o personas en entornos represivos.

Los responsables políticos y reguladores tampoco han cerrado el debate técnico: Ofcom ha sido encargado de estudiar rápidamente cómo verificar la edad, pero la calidad de los estándares y las auditorías hará la diferencia entre una implementación prudente y un mecanismo peligroso. Mientras tanto, ya existe una hoja de ruta paralela en el Gobierno hacia credenciales digitales (por ejemplo el GOV.UK Wallet y la licencia de conducir digital) que podría integrarse con estas verificaciones, lo que confirma una dirección de viaje hacia una web donde demostrar la edad se vuelve cada vez más habitual: GOV.UK sobre credenciales digitales.

¿Qué pueden hacer ciudadanos y familias ahora? Primero, informarse y exigir transparencia: antes de subir documentos a una app, consulta su política de privacidad, cuánto tiempo retendrán esos datos y quién los procesa. Segundo, priorizar soluciones que limiten la exposición: preferir plataformas que ofrezcan verificación en el dispositivo (attestations locales) o métodos que emitan un “token” de edad sin conservar tu documento completo. Tercero, fortalecer prácticas personales de ciberseguridad: activar 2FA, usar gestores de contraseñas y vigilar alertas de robo de identidad con proveedores reputados.

Para padres y educadores la recomendación práctica sigue siendo mirar más allá de la prohibición: la prevención efectiva combina controles técnicos, supervisión activa y educación digital. Hablar con adolescentes sobre riesgos reales (grooming, desinformación, presión social), enseñarles a configurar privacidad y a usar herramientas de bloqueo y reporte es más efectivo que depender exclusivamente de barreras fáciles de evadir.

Las empresas tecnológicas tienen su responsabilidad: deben preferir arquitecturas de verificación que minimicen la retención de datos, soportar auditorías independientes, publicar resultados de pruebas de penetración y ofrecer vías seguras y reversibles para borrar huellas de verificación. También es imprescindible que los gobiernos exijan estándares mínimos, obligaciones de notificación ante brechas y sanciones consistentes si proveedores de verificación externos tratan datos sin garantías.

Finalmente, para la comunidad técnica y de políticas públicas hay una oportunidad: invertir en métodos de verificación privacypreserving —como pruebas de conocimiento cero, attestations de hardware o emisores de edad confiables y regulados— y en evaluación independiente de su eficacia. Si la prioridad es proteger a menores, el foco debe ser reducir los incentivos comerciales que amplifican daños y construir controles técnicamente sólidos y auditablemente seguros, no sólo teatro regulatorio.

La propuesta del Reino Unido altera de forma permanente la relación entre identidad y presencia digital. Antes de que las reglas lleguen en 2027 conviene que la sociedad exija estándares claros, pruebas públicas de efectividad y mecanismos que minimicen la creación de nuevos riesgos mientras se persigue un objetivo legítimo: mantener a los niños seguros sin hipotecar la privacidad y la seguridad del resto.