Algunas disposiciones del RGPD establecen reglas específicas para el tratamiento de datos personales relacionados con menores, en particular el artículo 8, párrafo 1:
“Si se aplica el artículo 6, párrafo 1, letra a), con respecto a la oferta directa de servicios de la sociedad de la información a menores, el tratamiento de los datos personales del menor es lícito cuando el menor tiene al menos 16 años. Si el menor tiene menos de 16 años, dicho tratamiento es legal solo si y en la medida en que dicho consentimiento sea otorgado o autorizado por el titular de la responsabilidad parental”.
Echemos un vistazo más de cerca a esta cláusula:
Si crees que estas condiciones se aplican en tu caso, definitivamente debes implementar un paso más en tu servicio online: verificar la edad de tus usuarios. Para ello, será suficiente mostrar una ventana emergente con la pregunta “¿Cuántos años tienes?” o “¿En qué año naciste?”.
El artículo 8 te ofrece dos posibilidades: obtener el consentimiento directamente de los padres del interesado o hacer que los padres “autoricen” su consentimiento. El tratamiento de datos personales no se puede llevar a cabo antes de que se haya implementado una de estas dos opciones.
La pregunta es: ¿cómo puedo saber quiénes son los padres y si realmente están dando su consentimiento? No hay una respuesta clara a esta pregunta. Los comentaristas han indicado varios métodos para verificar la identidad y obtener el consentimiento, que incluyen:
Todos estos métodos suponen una gran carga para todas las partes involucradas. Por lo tanto, algunos comentaristas han señalado que el conocido método de “suscripción doble” también podría ser útil para este propósito.
Un niño de 14 años quiere suscribirse a una newsletter. Tras declarar que tiene 14 años, deberá facilitar a) su dirección de correo electrónico, a la que eventualmente se enviarán las newsletters y b) la dirección de correo electrónico de sus padres. Tras el registro, tanto el interesado como los padres reciben un correo electrónico automático solicitando confirmar el registro y confirmar que los padres dan su consentimiento para el tratamiento de los datos personales de su hijo.
Por supuesto, se podría argumentar que un adolescente astuto tardaría menos de un minuto en crear direcciones de correo electrónico falsas para sus padres. Pero en cierto sentido, el mismo razonamiento se aplica a cualquier otro procedimiento de autenticación: al final, es responsabilidad de los padres prevenir ese abuso por parte de sus hijos.
Como regla de oro, el método de autenticación siempre debe elegirse en función del riesgo potencial derivado del tratamiento de datos personales. En el ejemplo de la newsletter, donde el riesgo es muy bajo, el procedimiento de suscripción doble podría considerarse suficiente.
Por otro lado, podría ser mucho más arriesgado recabar el consentimiento del interesado para que algunos de sus datos personales estén disponibles públicamente en Internet: en este caso, debes optar por un método de autenticación más complejo pero más seguro, como la solicitud de presentar un pasaporte u otros documentos de identidad.
