Si un menor ha facilitado datos y tienes obligaciones especiales

¿Tienes razón?

Si un menor te ha dado datos, tu obligación de tratarlos de forma especial depende de tres cosas: la edad del menor para el tipo de servicio que prestas; si requieres el consentimiento de quien ejerce la patria potestad o tutela; y si aplicaste mecanismos de verificación adecuados. Si el servicio está dirigido a un público infantil o recoge datos para fines de marketing, la exigencia de consentimiento es más estricta. Si el menor facilitó datos de forma abierta en una red social pública, eso no te exonera de obligaciones: sigues siendo responsable del tratamiento que hagas.

Comprueba estos puntos concretos: qué datos se recabaron (identificativos, perfiles, imágenes), si solicitaste consentimiento y cómo lo acreditas, si ofreciste información clara y entendible destinada a menores, y si activaste medidas de seguridad proporcionales. Si faltan pruebas de consentimiento de la persona que ostenta la patria potestad, tendrás que justificar otra base legal o borrar los datos.

Cuando hay dudas, lo fundamental es documentar todo: capturas, formularios, registros de acceso, políticas y mensajes dirigidos al menor. Esa documentación es tu mejor defensa ante una reclamación ante la Agencia Española de Protección de Datos (AEPD) o frente a los propios progenitores.

Cómo se soluciona

1) Reúne y conserva la prueba: localiza el formulario o el punto de recogida, exporta y guarda en un lugar seguro las capturas de pantalla, logs del servidor, correos y cualquier comunicación con el menor. Si hay consentimiento firmado o verificado por el tutor, guárnalo también.

2) Identifica la base legal: decide si el tratamiento se sustenta en el consentimiento del titular o en otra base (cumplimiento de contrato, interés legítimo en casos limitados, obligación legal). Si tu servicio requiere consentimientos parentales, NO sigas operando sin ellos.

3) Verificación de la edad: revisa qué método usaste para comprobar la edad. Las medidas razonables pueden ir desde una declaración simple hasta verificaciones reforzadas según el riesgo. Documenta por qué creíste que el menor tenía la edad requerida.

4) Ajusta la información: asegúrate de que la política de privacidad y los textos del consentimiento están redactados en lenguaje comprensible para menores y que se les proporciona de forma visible antes de recabar datos.

5) Adopta medidas técnicas y organizativas: minimiza la recogida al mínimo necesario, limita el acceso interno, aplica seudonimización cuando sea posible y revisa las políticas de retención. Si hubo imágenes o vídeos, valora la restricción de difusión.

6) Si hay una reclamación o una duda externa: prepara un expediente con todas las pruebas y la razonamiento jurídico y, si procede, ofrece la rectificación o supresión inmediata. Si no puedes justificar el tratamiento, elimina los datos y comunica la medida a la parte interesada.

Qué puede hacer en solitario y qué requiere ayuda profesional: puedes recopilar y conservar la documentación, ajustar textos y políticas y aplicar medidas técnicas sencillas; necesitas un abogado cuando haya una reclamación formal, riesgo de sanción administrativa o si tienes que diseñar métodos de verificación reforzada para una operativa compleja.

Qué puede pasar

1. Se arregla con una corrección o retirada. Muchas incidencias se resuelven con la rectificación, la supresión o la limitación del tratamiento. Si el tutor solicita la supresión y la petición es razonable, solucionarlo así evita escaladas y sanciones.

1. Acuerdo o medidas administrativas. Podéis alcanzar un acuerdo o la AEPD puede imponer medidas correctoras (por ejemplo, exigir mejorar procedimientos, ajustar textos o auditar verificaciones). A veces es preferible negociar una actuación concreta y demostrar diligencia.

1. Investigación y sanción. Si la AEPD considera que ha habido incumplimiento grave, puede abrir expediente y proponer sanciones; en un procedimiento sancionador se valora la documentación y las medidas adoptadas. Si pierdes en vía administrativa, la ejecución de la sanción y la publicidad de la misma son riesgos reales.

Y si ganas, ¿cobras? En procedimientos administrativos la AEPD no otorga «compensaciones» automáticamente; la restitución a la persona perjudicada puede requerir una vía civil para daños. Además, una decisión favorable no garantiza que puedas recuperar gastos si la otra parte está insolvente.

Errores que arruinan el caso

• Destruir o no conservar registros del momento de la recogida de datos: sin logs ni capturas, justificar un consentimiento es muy difícil.

• Usar textos técnicos o legales que los propios menores no entienden: la información debe ser clara y accesible.

• No limitar el acceso interno: dejar los datos al alcance de todos en la empresa incrementa el riesgo y la responsabilidad.

• Suponer que una publicación en redes equivale a permiso para todos los tratamientos: la finalidad y el contexto importan.

• No reaccionar ante la petición de un tutor: ignorar solicitudes de rectificación o supresión agrava la situación y da argumentos al regulador.