El consentimiento de los menores de edad en redes sociales

«1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.

Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.

2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela».

Es decir, el tratamiento de los datos personales de un menor solamente podrá basarse en su consentimiento cuando sea mayor de catorce años, a excepción, de los casos en que la norma requiera la asistencia de los titulares de la patria potestad o de la tutela para la celebración de los actos o negocios jurídicos.

No obstante, cuando los datos sean de menores de catorce años el tratamiento será lícito si consta el consentimiento del titular de la patria potestad o de la tutela, con el alcance que establezcan los mismos.

Además, con respecto a las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información, el artículo 8 del RGPD establece que:

«1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó.

Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.

3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño».

En otras palabras, cuando sea de aplicación el artículo 6.1.a) del RGPD con respecto a la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de datos personales de un niño será lícito cuando tenga mínimo 16 años.

En el caso de que el niño tenga menos de 16 años, el tratamiento se considerará lícito si el consentimiento lo hubiera dado o hubiese sido autorizado por el titular de la patria potestad o tutela sobre el niño, y en la medida en que se haya dado o autorizado.

A mayor abundamiento, son varios los considerandos de la citada norma que se refieren a la protección específica de los datos personales de los menores de edad, entre otros, los siguientes:

a) Considerando 38 del RGPD:

«Los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. Dicha protección específica debe aplicarse en particular, a la utilización de datos personales de niños con fines de mercadotecnia o elaboración de perfiles de personalidad o de usuario, y a la obtención de datos personales relativos a niños cuando se utilicen servicios ofrecidos directamente a un niño. El consentimiento del titular de la patria potestad o tutela no debe ser necesario en el contexto de los servicios preventivos o de asesoramiento ofrecidos directamente a los niños». 

b) Considerando 58 del RGPD:

«El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y sencillo que sea fácil de entender».

c) Considerando 65 del RGPD:

«Los interesados deben tener derecho a que se rectifiquen los datos personales que le conciernen y un "derecho al olvido" si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el tratamiento de sus datos personales incumple de otro modo el presente Reglamento. Este derecho es pertinente en particular si el interesado dio su consentimiento siendo niño y no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir tales datos personales, especialmente en internet (...)».

CUESTIONES

1. ¿Qué estipula la letra a) del apartado primero del artículo 6 del RGPD?

Dicho precepto considera lícito el tratamiento cuando «a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos».

2. ¿Podrán los Estados miembros fijar una edad inferior a la establecida en el RGPD?

Sí, los Estados miembros podrán fijar por ley una edad inferior (siempre que esta no sea inferior a 13 años) a tales fines (artículo 8.1 del RGPD).

Debemos tener en cuenta que lo dispuesto en el apartado primero del artículo 8 del RGPD no afecta a las disposiciones generales del derecho contractual de los Estados miembros, por ejemplo, a las siguientes:

• Normas relativas a la validez de los contratos en relación con un niño.
• Formación de contratos relacionados con un niño.
• Efectos de los contratos en relación con un niño. 

Disposiciones generales sobre el ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD

Artículo 12 de la LOPDGDD

«1. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.

2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.

3. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.

4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.

5. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.

6. En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica.

7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica».

En suma, los derechos establecidos en los artículos 15 a 22 del RGPD podrán ejercerse:

• De manera directa.
• Por medio de representante (legal o voluntario).

Ahora bien, con respecto a los menores de catorce años, los titulares de la patria potestad podrán ejercitar en su nombre y representación, los siguientes derechos:

• Derecho de acceso.
• Derecho de rectificación.
• Derecho de cancelación.
• Derecho de oposición.
• Otros derechos que pudieran corresponderles en el ámbito de la LOPDGDD.

A TENER EN CUENTA. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el capítulo III del RGPD, es decir, artículos 12 a 23, se estará a lo establecido en aquellas (artículo 12.5 de la LOPDGDD).

CUESTIONES

1. ¿Qué derechos se reconocen en los artículos 15 a 22 del RGPD?

Los artículos 15 a 22 del RGPD regulan los siguientes derechos:

- Derecho de acceso del interesado (artículo 15 del RGPD).

- Derecho de rectificación (artículo 16 del RGPD).

- Derecho de supresión (artículo 17 del RGPD).

- Derecho a la limitación del tratamiento (artículo 18 del RGPD).

- Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento (artículo 19 del RGPD).

- Derecho a la portabilidad de los datos (artículo 20 del RGPD).

- Derecho de oposición (artículo 21 del RGPD).

- Decisiones individuales automatizadas, incluida la elaboración de perfiles (artículo 22 del RGPD).

2. ¿Sobre qué aspectos deberá informar el responsable del tratamiento de datos al afectado? ¿Y el encargado del tratamiento?

A tenor de lo dispuesto en el apartado segundo del artículo 12 de la LOPDGDD, el responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden, si bien dichos medios deberán ser fácilmente accesibles para aquel, y su ejercicio no podrá ser denegado por el solo motivo de optar el afectado por otro medio.

También recaerá sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado, y serán gratuitas las actuaciones llevadas a cabo por el mismo para atender las solicitudes de ejercicio de esos derechos, sin perjuicio de lo establecido en los artículos que siguen:

a. Artículo 12.5 del RGPD: solicitudes infundadas o excesivas.

b. Artículo 15.3 del RGPD: gastos administrativos de copias de los datos personales objeto de tratamiento.

c. Artículo 13.3 y 13.4 de la LOPDGDD: peticiones repetitivas o cuando la solicitud suponga un coste desproporcionado. 

Por último, el encargado del tratamiento podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule. 

A este respecto la Agencia Española de Protección de Datos (AEPD) realiza la publicación siguiente:

«La normativa de protección de datos permite que puedas ejercer ante el responsable del tratamiento tus derechos de acceso, rectificación, oposición, supresión (derecho al olvido), limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas.

Estos derechos se caracterizan por lo siguiente:

- Su ejercicio es gratuito

- Si las solicitudes son manifiestamente infundadas o excesivas (p. ej., carácter repetitivo) el responsable podrá:

• Cobrar un canon proporcional a los costes administrativos soportados

• Negarse a actuar

- Las solicitudes deben responderse en el plazo de un mes, aunque, si se tiene en cuenta la complejidad y número de solicitudes, se puede prorrogar el plazo otros dos meses más

- El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que optes por otro medio

- Si la solicitud se presenta por medios electrónicos, la información se facilitará por estos medios cuando sea posible, salvo que el interesado solicite que sea de otro modo

- Si el responsable no da curso a la solicitud, informará y a más tardar en un mes, de las razones de su no actuación y la posibilidad de reclamar ante una Autoridad de Control

- Puedes ejercer los derechos directamente o por medio de tu representante legal o voluntario

- Cabe la posibilidad de que el encargado sea quien atienda tu solicitud por cuenta del responsable si ambos lo han establecido en el contrato o acto jurídico que les vincule».

Fuente: página web de la AEPD.