Estamos asistiendo todos a la aceleración del proceso regulatorio para intentar proteger a los menores en internet. Esos menores que de normal entran en sitios que todos podemos intuir, hacer el tóxico en cualquier chat que se encuentren, decir “bro”, literal o PEC en todas las frases, o darle a cualquier bebida energética que pillen (no vaya a ser que haya que regular un veneno puro que está certificado que provoca taquicardias).
Con los políticos de todos los países anunciando restricciones de edad para entrar en redes sociales, no era nada raro que alguien viniera a lanzar ya de ya un sistema de verificación global. Y no sólo porque sea un servicio muy conocido como herramienta de chat y comunicación, sino porque viene con la solución principal y más “privacy-friendly” que el sector privado dice que ha encontrado: estimación facial de edad.
Consecuencias derivadas de que el famoso EU Digital Identity Wallet (EUDIW) no esté todavía aquí para obligarles a usarlo como única vía: la aplicación pública que actuará como intermediaria entre nosotros y el que pide verificación, a fin de que no se comparta nada más que sip o nop. Esta solución mágica que debería estar lista para finales de este mismo año, a efectos de que “cada estado miembro de la UE ofrecerá al menos una cartera de identidad digital europea”. El EDPS le dedicó uno de sus “TechDispatch” de 2025, y un recordatorio linkediano por su podcast ahora.
Si por lo que sea, prefieres el formato de escuchas por podcast, aquí tiene una versión por Jugando a Derecho. Adaptada al estilo, fondo y profundidad que se considera recomendable para evitar que sea un ladrillo (recomendable leerse el final de este post actualizado, si se opta por el podcasting). Hay mucho podcast con episodio de 4 horas o más que funcionan muy bien, pero ¿cuántos con temática legal que funcionen?.
Y si aún quieres conocer de manera más general la comprobación de edad o un poco lo que se piensa por aquí del ya proyecto de ley de menores en el ámbito digital, en los siguientes post y episodio.
- Reflexiones sobre menores y verificación: https://enclavedederecho.com/reflexiones-sobre-menores-y-verificacion/
- Sobre el anteproyecto de menores en lo digital: https://enclavedederecho.com/sobre-el-anteproyecto-de-menores-en-entornos-digitales/
Parecía que con Discord nos íbamos a ver desde este mismo marzo con el primer sistema de estimación facial en servicio popularísimo, pero se va a retraso a “mediados de año” por haberse montando. Lo divertido es que nos deslizan la idea de que probaron con Persona (el de Reddit y LinkedIn), pero que no cumplía su estándar excelso (excelso de los 800.000 euros de sanción de la CNIL de hace algo de tiempo).
1) ¿Qué es un sistema de estimación facial y qué pasa con la biometría?
Es un concepto autoexplicativo, pero podríamos dejarlo como: cualquier herramienta, tecnología enfocada en intentar predecir de manera fiable el rango de edad de una personal, a través de determinados patrones faciales de envejecimiento. Vamos, cogerte una imagen de la cara y decir si menor o no por arrugas, líneas de expresión y demás.
El punto más interesante, partiendo de que tenemos información muy limitada, es el de la biometría. Es claro que estamos ante dato biométrico del artículo 4 del RGPD: tratamiento técnico específico de la estimación facial, relativo a las determinadas características físicas de la arruga, ojera o manchas de la cara, que puede llegar a permitir identificar a la persona. ¿Pero estamos en el caso del 9 por categoría especial?
Hasta las Directrices 5/2022 del EDPB que acabaron con la dualidad de interpretación de si era autenticación o identificación para considerarlo categoría especial, parecería que no habría mucho debate/sí. El tema es que el propio EDPB no cierra con llave tras el portazo dado (a la AEPD, especialmente):
-Autenticación-identificación: al existir una plantilla o un elemento de cotejo, en ambos casos considera que sí son categoría especial. Que sea el cotejo de una persona con su plantilla biométrica de minucias no reversibles turbocifradas, o el de una persona contra todas las plantillas, no deja de buscar la finalidad de la identificación unívoca de la persona.
Punto 11: “la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar; si esta probabilidad supera un determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia.”
-Casos del tipo a cámaras inteligentes de comportamiento anómalo o emociones faciales: aquí con la boca más pequeña por las mil sorpresas que se pueden dar (recuerden lo de la mirilla digital que no graba, pero es conectable a algo que sí), pero dejando caer el punto que no puede desvirtuar el matiz vigente del articulado del RGPD:
Punto 14: “La mera detección de rostros por parte de las llamadas cámaras «inteligentes» tampoco constituye necesariamente un sistema de reconocimiento facial. Aunque también plantean cuestiones importantes desde el punto de vista de la ética y la eficacia, las técnicas digitales para detectar comportamientos anómalos o acontecimientos violentos, o para reconocer emociones faciales o incluso siluetas, pueden no considerarse sistemas biométricos que traten categorías especiales de datos personales, siempre que no tengan por objeto identificar de manera unívoca a una persona y que el tratamiento de datos personales en cuestión no incluya otras categorías especiales de datos personales.”
Lo ideal sería decir en algún punto de este artículo si tenemos certeza de que el sistema de Discord sea del 9 o no, pero no nos dan información suficiente para ello. Se lo preguntaba el ICO sobre el competidor YOTI, pero dejamos para el final el desenlace de rabiosa actualidad por otra vía a esta duda (y puede que para la misma Discord y los demás competidores muy parecidos, si al final funcionan igual). Esta intentona es justo la que jugó hace nada World(no)Coin en su vuelta, y que se llevó una advertencia de la AEPD diciendo que no le convencía mucho esa aseveración cuando hablamos del iris.
Por mencionarlo todo, habría otra derivada que la autoridad francesa de PD sacaba a relucir en sus recomendaciones de aplicaciones móviles publicada el año pasado, que espero que veamos. La de que no aplica el RGPD por ser excepción doméstica, si cumple dos requisitos:
- El tratamiento se inicia a discreción del interesado, y se lleva a cabo bajo su control y únicamente en su nombre; y
- El tratamiento se lleva a cabo en un entorno compartimentado, es decir, sin la posible participación de un tercero en estos datos: el tercero ha proporcionado los medios de tratamiento, pero ya no puede acceder o actuar en fases posteriores a los datos.
La CNIL pone como ejemplo el punto de la huella en smartphone por decisión exclusiva del usuario, con almacenamiento local y cifrado de sus datos biométricos. Un margen estrecho, que aquí sería jugar demasiado al otro lado del borde, porque lo que se presume es que no sale del entorno del sistema del proveedor.
2) Vamos con Discord
Hasta que lo ponga, del todo, tenemos un sistema de verificación de edad con doble opción: ID/DNI o estimación facial.
Hasta aquí, ni tan mal. Se aplica un “minor by default” para que estén capadas las funcionalidades de mayoría de edad, por defecto se promete que no será verificar la edad, y se deja claro el derecho a poder reclamar y volver a realizar el intento de verificación.
El problema empieza cuando se empiezan a notar carencias o “aclaraciones” que lo único que aportan es susto. Podríamos dividirlas en dos categorías:
2.1. Las clásicas: base de legitimación y conservación
-Base de legitimación. quién sabe cuál será en secreto, pero consentimiento seguro que no. Las FAQS muy molonas nada dicen, y la política de privacidad, menos: “Además, necesitaremos su fecha de nacimiento y, en algunos casos, le solicitaremos otros datos para comprobar su edad.” Contrato tampoco colaría, así que podría quedar con un interés legítimo “vitaminado por ser sujeto obligado de la DSA. La tentación de decir que la propia DSA te obligaría a incluir un sistema de verificación está ahí, pero ya previó la norma que no se intenta nadie columpiar: Mítico artículo 28:
«El cumplimiento de las obligaciones establecidas en el presente artículo no obligará a los prestadores de plataformas en línea a tratar datos personales adicionales a fin de evaluar si el destinatario del servicio es un menor.»
-Conservación: de lo poco que aclaran, aunque sin intención de expresarlo como tal. Tampoco está mal el punto de almacenamiento en dispositivo, pero es casi lo único que dan como información relevante de protección de datos. Pleno 13:
Este mantra del almacenamiento sin que salga del dispositivo, no deja de ser un mantra comercial que asumen de la cadena de proveedores. Lo mismo que con las Ray-Ban Meta: la óptica que te la vende dice que se queda en el dispositivo, pero luego aparece sorpresivamente una transferencia no segura a Kenia con revisión de todo lo pilla (comentario del IA Master Jorge Morell, con enlace linkediano a la fuente de los medios que lo investigaron).
2.2 Las más divertidas: necesidad, proporcionalidad y riesgos específicos
Se van dejando caer cosas que no haría que la proporcionalidad y la necesidad salieran muy bien en la PIA que tocaría hacer, con independencia de hubiera biometría de categoría especial o no:
-Alternatividad falsa: reconocida desde el día una con una referencia poco acertada: “Es posible que tengas que verificar utilizando ambos métodos si Discord no está completamente seguro con la estimación de la edad facial por sí sola.”
-Reconocimiento tácito de la existencia de un doble sistema de verificación: uno para el todo el mundo, y otro para los pocos a los que les vaya a aplicar esta estimación facial. Reconocido en la última comunicación del propio CEO anunciado el retraso a mitad de año, pero sin medir que se estaba reconociendo un perfilado de todos los usuarios desde quién sabe cuándo sin informar.
«Para más del 90 % de los usuarios, no cambia nada. La mayoría de los usuarios nunca acceden a contenido restringido por edad ni cambian su configuración de seguridad predeterminada. Para aquellos que sí lo hacen, contamos con un sistema interno que determina su edad con precisión. Discord ya cuenta con sistemas de seguridad que detectan redes de spam, previenen ataques y detectan abusos coordinados, gracias a nuestro motor de reglas (que acabamos de convertir en código abierto como Osprey para que otras plataformas puedan utilizarlo). La determinación de la edad funciona de la misma manera, utilizando la misma categoría de señales a nivel de cuenta: cuánto tiempo lleva existiendo tu cuenta, si tienes un método de pago registrado, en qué tipos de servidores estás y los patrones generales de actividad de la cuenta. No lee tus mensajes, no analiza tus conversaciones ni mira el contenido que publicas. Sabemos que «confía en nosotros» no es suficiente en este caso, por lo que publicaremos la metodología antes del lanzamiento global.»
-Alternativa oficial menos invasiva: sin olvidar nunca que el DNI completo puede desplegar un riesgo para el interesado más sensible de lo que parecería a primera vista, puede que para España se diera una paradoja. Si la edad legal a la que un menor tiene que tener un DNI es 14, la propia que declara Discord para abrirse legalmente una cuenta es justo 14, y das como alternativa la identificación por “ID”¿no tienes la alternativa menos invasiva que hace que te caiga la necesidad facial delante de la cara?
Y es justo lo que te pondrá delante de la cara la AEPD. Es el mismo mantra del millón a LaLiga o los 200.000 euros al Osasuna, por sistema de reconocimiento facial para entrar al estadio cuando podías pone a alguien a controlar.
Recientemente, en la sanción al Barcelona de 500.000 euros por sistema biométrico de renovación de socios (y alternativa por voz). También recuerda este mantra de la necesidad y proporcionalidad si hay menos invasivo, pero centra más el tiro en sacar la no PIA, las fechas incongruentes por firmarse contrato de ET antes del propio análisis de PIA, riesgos centrales no especificados en el análisis y la más llamativa: te archivamos infracción por el 9, porque te compramos que el sistema estaba establecido en la fecha en que todavía la AEPD abrazaba esta dualidad de autenticación e identificación.
-Riesgos inherentes: podríamos ponerse a pensar múltiples problemas concretos que tienen que haber previsto, pero la reciente carta abierta de múltiples académicos e investigadores de bastantes universidades europeas sobre el tema, nos lo ponen fácil para enunciar lo más relevantes (y difícil para mejorarlo): “Joint statement of security and privacy scientists and researchers on Age Assurance”:
- La efectividad de un sistema de verificación de edad, descansa en varios factores que no es tan fácil conseguir: (i) la imposibilidad de los usuarios de adquirir herramientas o credenciales que les permitan mentir sobre su edad, (ii) la imposibilidad de los usuarios de acceder a servicios alternativos que no realicen evaluaciones de la edad, (iii) el acceso a los servicios se fuerza a través del mecanismo de verificación, y (iv) la precisión de la tecnología de evaluación de la edad.
- Que los sistemas de este tipo son conocido por dar buenos fallos, especialmente en materia de minorías. Luego, vemos todo se supone que tienen que tener en cuenta el tono de piel como elemento estructural de funcionamiento adecuado.
- Que siempre hay VPN, uso creativo de la IA generativa o padres/tutores que ayudan a los menores a trampearlo. Lo último nunca se tiene en cuenta por apuntar a la responsabilidad de los padres, pero es bien probable. La típica de “no le vamos a excluir de lo que hacen los chavales de su edad, entorno y colegio. Nosotros también éramos pillos a su edad, y no hemos salido tan mal.”
Rematamos el apartado mencionado una alternativa peor no oficial: Discord no cuenta con este variable, pero sí se ofrece a nivel del verdadero proveedor contratado del que luego hablamos: revisar la huella digital asociada al correo electrónico. Efectivamente, estimar la edad del usuario por el rastreo masivo de lo que se encuentra asociada a la cuenta de correo que haya decidido usar. ¿Qué, cómo y dónde no se va a hacer este “background checking”? Pasapalabra.
La costumbre muy anglo del background ckeching porque sí. Podríamos entrar a poner mil pegas sobre un perfilado de este tipo cuando hasta para justificar mirar el LinkedIn de un candidato hay que hacer LIA sin LIArla, pero dejo mejor el ejemplo del EDPB en sus Directrices 1/2024 de interés legítimo ( sí, siguen sin estar en versión definitiva).
105 “En el contexto del ejercicio de ponderación que debe llevarse a cabo, el interés de un responsable del tratamiento en denunciar un comportamiento fraudulento a las autoridades policiales competentes solo puede prevalecer sobre los intereses, derechos y libertades de los interesados si el responsable del tratamiento trata datos que son exactos y demostrablemente pertinentes para evaluar si un interesado corre el riesgo de ser víctima de un fraude o es (in)fiable. Por ejemplo, el responsable del tratamiento puede tener un interés legítimo superior en comprobar la veracidad de una certificación profesional específica mencionada en un currículum vitae presentado en el contexto de una solicitud de empleo, cuando constituye un criterio esencial para el buen desempeño del puesto profesional.
Los responsables del tratamiento deben especificar qué tipo de fraude intentan prevenir y qué datos necesitan realmente tratar para prevenir ese tipo de fraude. El fraude que el responsable del tratamiento intenta prevenir debe ser de importancia sustancial, de lo contrario, es muy probable que el equilibrio de intereses se incline a favor del interesado y el responsable del tratamiento no pueda invocar el artículo 6, apartado 1, letra f), del RGPD a este respecto.”
3) Privately: el verdadero proveedor
El proveedor declarado por Discord es K-ID, pero habemus subproveedor. Podríamos dedicar unas líneas a lo que nos dice el primero, pero no merece mucho la pena. Lo único de relevancia es que menciona al propio subproveedor interesante: Privately. Sí, ambos juegan a la táctica subliminal en la denominación social. Lo otro podría haber si el “Privacy certified” de la entidad ESRB, pero a nivel del RGPD no vale ni un píxel.
En la casa web de Privately, se nos reciben con un abrazo privacy-friendly con certificaciones colgadas como guirnaldas y afirmaciones dudosas de almacenamiento por lo que ya hemos dicho antes.
Desde que el EDPB nos bendijo con sus directrices sobre patrones oscuros específicos, ya podemos llamar a este abrazo by design de la manera apropiada: dirección emocional:
“Utilizar la redacción o los elementos visuales (como el estilo, los colores, las imágenes u otros) de forma que confieran la información a los usuarios en una perspectiva altamente positiva, haciendo que los usuarios se sientan bien, seguros o recompensados, o en una perspectiva altamente negativa, haciendo que los usuarios se sientan asustados, culpables o castigados. Influir de este modo en el estado emocional de los usuarios puede llevarlos a emprender una acción contraria a sus intereses en materia de protección de datos.”
Recibidos muy bien, ya podemos encontrar, por fin, una breve explicación de las fases del sistema.
Nada muy inesperado para este tipo de sistemas, hasta que se llega a la parte del tono de piel y sus equivalencias con rangos de edad.
Recurriendo a pregunta rápida en Claude, parece que tiene su sentido técnico para intentar que sea fiable: necesita tener en cuenta el tono de la piel para poder identificar las señales de envejecimiento distintas por la variación de nivel melanina de la piel.
Aquí tampoco nadie nos intenta decir si alguien está peligrosamente cerca del 9, o si hay forma de hacerlo si esa captura de tono de piel, que no podemos llegamos mucho más. Dentro del patrón de la dirección emocional, todo suena mejor de lo que es.
La falsa garantía de la KJM y el ICO. Y la sorpresa de rabiosa actualidad de Yoti.
Acabamos con más dirección emocional, aunque curiosa. La presunta garantía de ir a coger del brazo a la KJM alemana y al ICO, a fin de que el primero te certifique sin tocar tema privacidad, y el segundo te dé un escrito oficial del que sacar párrafos para vector comercial. Lo primero tiene poco recorrido, pero lo segundo del ICO es curioso para rematar. El ICO se moja lo justo, pero al menos en el caso del competidor Yoti, les podría llegar a comprar el no ser biométrico de categoría especial.
–Para Privately: no disponible en versión actual, pero sí con magia de wayback machine.
Áreas de mejora
Privately debe asegurarse de haber documentado adecuadamente toda la información necesaria relacionada con las bases legales identificadas para el tratamiento, de conformidad con sus obligaciones de rendición de cuentas previstas en el artículo 5, apartado 2.
Privately debe asegurarse de haber identificado y documentado las necesidades de formación de su personal en materia de privacidad y AADC, y de que se han establecido planes para satisfacer dichas necesidades.
Buenas prácticas
El principio de datos cero, que parece sustentar fundamentalmente el enfoque de Privately en materia de desarrollo y comercialización, es un enfoque excelente que ayuda a garantizar que el producto final de Privately sea lo más respetuoso posible con la privacidad y reduzca considerablemente el riesgo de que se vulneren los derechos de los interesados o se infrinja cualquier aspecto de la legislación en materia de protección de datos por el funcionamiento de este servicio.
–Para Yoti: este doc sí que está disponible, aunque perdido en la maraña de la web del ICO:
«Hemos llegado a la conclusión de que la herramienta de estimación de la edad de Yoti no dará lugar al tratamiento de datos de categorías especiales. Como se ha indicado anteriormente, a efectos de nuestro análisis, hemos partido de la hipótesis de que la herramienta tratará datos biométricos, pero una evaluación detallada de esta cuestión queda fuera del alcance de este proyecto Sandbox.»
«Cabe señalar que, no obstante, los datos biométricos serán datos de categoría especial en muchos casos. A efectos de rendición de cuentas, Yoti debe documentar los motivos por los que ha llegado a la conclusión de que el artículo 9 no se aplica en el contexto específico expuesto anteriormente, junto con un análisis basado en el riesgo y las pruebas que justifican esta decisión en su EIPD. Al hacerlo, Yoti debería poder demostrar claramente cómo cumple con la legislación en materia de protección de datos y por qué el tratamiento no tiene por objeto la identificación única. Si, durante este proceso, Yoti identifica un riesgo elevado que no puede mitigarse, deberá consultar a la ICO antes de iniciar el tratamiento.»
Ciertamente, Yoti consiguió este documento más benigno si ponía encima de la mesa prueba real. El problema es que la AEPD le ha cascado 950.000 euros en resolución publicada a 10 de marzo de 2026 (500.000 por lo que nos interesa, y 3 días después de publicar este artículo🙃), por constatar que sí que había un tratamiento de datos biométricos de categoría especial. Justo ese punto que comentábamos antes de la plantilla biométrica en el juego de autenticación-verificación del EDPB (el propio subrayados es de la AEPD). También se viene abajo el punto del tratamiento del tono de piel con fines blancos y necesarios, al estar ya en el pozo del 9.
“creamos una plantilla de datos biométricos que almacenamos de forma segura. Esta plantilla es un mapa digital de su rostro. Siempre que realice determinadas acciones en el futuro y necesitemos comprobar que se trata realmente de usted, le pediremos que repita el video o que tome una foto y compare la imagen con el mapa digital. Cuando agrega un documento, restablece su PIN o necesita recuperar su cuenta (por ejemplo, si pierde su teléfono) realizamos el escaneo de su rostro y el video como una medida de seguridad adicional para verificar que siempre se trata de usted intentando realizar esas acciones….»
4) ¿Conclusión?
Veremos qué pasa a mediados (despliegue en Discord) y a finales de año (EU Digital Identity Wallet). Es un sector en el que todos los competidores se parece mucho, ¿todos juegan al mismo despliegue que YOTI?. Si es así, ninguno se escaparía del artículo 9 y la más compleja situación para ni siquiera intentar legitimarlo. Y si es así, también estarían todos con una situación de incumplimiento con posible sanciones parecidas. La intentona más habitual hubiera sido intentar un consentimiento explícito delante de cada uno, pero eso nadie lo hace.
Unos por otros, estamos con los menores desprotegidos. Lo privado que va a medios que no tiene pinta de dar garantías suficiente, lo público que no lo tiene listo antes de que empiecen a pasar cosas, y que papá y mamá deberían estar en el medio del debate. Todos tendríamos que acordarnos del juramento del caballero de cierta serie nada viral del momento:
«En nombre del Guerrero, os encomiendo ser valiente. En nombre del Padre, os encomiendo ser justo. En nombre de la Madre, os encomiendo defender a los jóvenes y a los inocentes. En el nombre de la Doncella, os encomiendo proteger a todas las mujeres.»