La ICO afirma que la resolución estadounidense sobre Meta refuerza el diseño de plataformas centrado en la infancia, después de que un tribunal de Nuevo México impusiera importantes sanciones y cinco años de reformas a Facebook e Instagram.
La Oficina del Comisionado de Información (ICO) ha señalado que se está poniendo en contacto con Meta tras el resultado de un caso histórico en Estados Unidos relativo a los riesgos para los menores en Facebook e Instagram. El regulador británico vinculó este resultado con sus propias prioridades en materia de privacidad de los menores, diseño apropiado para la edad y uso de la información personal de los jóvenes en sistemas de recomendación. Aunque el procedimiento de Nuevo México se inició al amparo de la normativa estadounidense de protección de los consumidores y sobre perjuicio público (public nuisance), la reacción de la ICO transmite un mensaje claro de cumplimiento a los servicios online del Reino Unido: la protección de los menores debe integrarse en el diseño de los productos, el uso de los datos y la gobernanza al más alto nivel.
La sentencia de Nuevo México combina importantes sanciones económicas con cinco años de reformas de las plataformas.
El procedimiento fue iniciado por el Departamento de Justicia de Nuevo México tras una investigación sobre los riesgos para la seguridad de los menores en las plataformas de Meta. En marzo de 2026, un jurado declaró a Meta responsable de haber inducido a error a los consumidores sobre la seguridad de Facebook e Instagram y de haber llevado a cabo conductas que ponían en peligro a los menores. El jurado impuso sanciones civiles por valor de 375 millones de dólares correspondientes a 75.000 infracciones de la Ley de Prácticas Desleales de Nuevo México.
La segunda fase abordó la reclamación del Estado por public nuisance y las medidas necesarias para responder a los daños identificados durante el juicio. En agosto de 2026, el Tribunal del Primer Distrito Judicial ordenó a Meta pagar otros 567 millones de dólares para contribuir a afrontar la crisis de salud mental juvenil e impuso reformas supervisadas judicialmente durante cinco años. Ambas cantidades elevaron a 942 millones de dólares la responsabilidad económica total de Meta en Nuevo México.
Las reformas ordenadas alcanzan al diseño y funcionamiento de Facebook e Instagram.
Las medidas impuestas por el tribunal incluyen una verificación de edad más rigurosa para los usuarios de Nuevo México, el refuerzo de las protecciones de las cuentas para adolescentes y mayores salvaguardas frente a la sextorsión y la explotación sexual infantil. Meta también deberá introducir protecciones de privacidad por defecto para los menores, ocultar los recuentos públicos de «Me gusta», restringir las notificaciones push durante la noche, establecer límites de tiempo de uso y proporcionar información más clara sobre los riesgos de las plataformas.
Meta también está obligada a presentar ante el tribunal informes públicos de cumplimiento dos veces al año. Esta combinación de consecuencias económicas, cambios obligatorios en los productos y supervisión continuada resulta significativa para las empresas porque trata la arquitectura de las plataformas y la experiencia de usuario como elementos centrales de la responsabilidad, en lugar de limitar la seguridad de los menores únicamente a políticas o controles parentales.
La ICO relaciona el resultado estadounidense con el Código para la Infancia del Reino Unido.
En su declaración, la ICO señaló que los menores deberían poder beneficiarse del mundo online al tiempo que se les protege frente a prácticas que puedan poner en riesgo su privacidad, bienestar o seguridad. Asimismo, destacó que la privacidad de los menores sigue siendo una prioridad regulatoria y que el Código para la Infancia exige a los servicios online diseñar sus productos teniendo en cuenta el interés superior de los menores.
La intervención de la ICO no incorpora la sentencia de Nuevo México al Derecho británico. Sin embargo, sí demuestra que el regulador considera que el resultado estadounidense es relevante para las mismas cuestiones prácticas que aborda la normativa británica de protección de datos: cómo los servicios identifican a los usuarios jóvenes, configuran los ajustes de privacidad por defecto, explican sus prácticas de tratamiento de datos y evitan que las funcionalidades basadas en datos expongan a los menores a daños previsibles.
Los sistemas de recomendación siguen siendo un área de especial atención regulatoria.
La ICO se refirió específicamente a su trabajo en curso para examinar cómo las redes sociales y las plataformas de intercambio de vídeos utilizan la información personal de los menores en sus sistemas de recomendación. Estos sistemas pueden determinar qué contenidos se priorizan, cuánto tiempo permanecen los usuarios interactuando con una plataforma y si se les muestra repetidamente contenido perjudicial. Su funcionamiento puede implicar una elaboración de perfiles exhaustiva y el uso continuo de datos de comportamiento.
Para los DPO, esto hace que el análisis en materia de protección de datos sea inseparable del diseño del producto. Las organizaciones deberían poder explicar qué información personal alimenta un sistema de recomendación, por qué resulta necesaria cada categoría de datos, cómo se evalúan los resultados para detectar riesgos para los menores y qué salvaguardas se aplican por defecto. Cuando sea probable que el tratamiento entrañe un alto riesgo para los menores, una evaluación de impacto relativa a la protección de datos debería influir en las decisiones de diseño antes de la puesta en marcha y mantenerse sometida a revisión a medida que evolucione el sistema.
La comprobación de la edad debe ser eficaz sin generar riesgos innecesarios para la privacidad.
Las reformas de Nuevo México vuelven a poner el foco en la verificación de la edad, mientras que el Código para la Infancia de la ICO espera que los servicios susceptibles de ser utilizados por menores adopten un enfoque basado en el riesgo para determinar la edad de sus usuarios. Limitarse a pedir a los usuarios que introduzcan su fecha de nacimiento puede ofrecer pocas garantías cuando de la respuesta depende el acceso a configuraciones propias de adultos o a funcionalidades que implican un tratamiento intensivo de datos.
Al mismo tiempo, mecanismos más sólidos de comprobación de la edad pueden implicar por sí mismos tratamientos sensibles o intrusivos. Las organizaciones deberían seleccionar métodos proporcionales a los riesgos, minimizar la información recopilada, definir periodos de conservación breves y examinar cuidadosamente a los proveedores externos. Los DPO también deberían evaluar si el servicio puede proteger a los menores mediante configuraciones de privacidad por defecto y la minimización de datos, en lugar de hacer depender el acceso de una recopilación excesiva de información sobre su identidad.
La alta dirección debería tratar la privacidad de los menores como una responsabilidad de gobernanza del producto.
La decisión de la ICO de ponerse en contacto con Meta refuerza la idea de que la privacidad de los menores constituye una prioridad activa en materia de supervisión y aplicación de la normativa. Las empresas que ofrezcan servicios online susceptibles de ser utilizados por menores no deberían esperar a recibir una reclamación o ser objeto de una investigación antes de revisar sus controles. Los consejos de administración y la alta dirección deberían comprender cómo afectan a los usuarios jóvenes los objetivos comerciales, las métricas de interacción y los sistemas automatizados, y asegurarse de que los equipos cuentan con la autoridad y los recursos necesarios para abordar los riesgos identificados.
Un programa de gobernanza sólido debería conectar las funciones de DPO, producto, ingeniería, seguridad de los usuarios, ciberseguridad y negocio. Debería documentar las decisiones relativas a la comprobación de la edad, la elaboración de perfiles, las configuraciones por defecto, la transparencia y los derechos de los menores, aportando pruebas medibles de que las salvaguardas funcionan en la práctica. Las organizaciones también deberían vigilar los desarrollos que se produzcan más allá de su jurisdicción inmediata: la base jurídica del caso de Nuevo México difiere de la legislación británica de protección de datos, pero las expectativas subyacentes en torno al diseño centrado en los menores y la responsabilidad corporativa son cada vez más convergentes.
Descubre cómo Aphaia ayuda a las organizaciones a llevar a la práctica la privacidad de los menores y la responsabilidad de las plataformas.
Aphaia ayuda a las organizaciones a evaluar sus productos online desde la perspectiva del RGPD, el UK GDPR, el Código para la Infancia y el conjunto más amplio de la regulación digital. Mediante DPIA, revisiones de privacidad desde el diseño, gobernanza de la IA y de los sistemas de recomendación y programas prácticos de cumplimiento, Aphaia ayuda a las empresas a traducir el interés superior de los menores en requisitos de producto documentados, salvaguardas eficaces y una toma de decisiones responsable.
