Recurso de cumplimiento · No es asesoría legal
Una guía técnico-legal para equipos de compliance que necesitan entender qué exige la Digital Services Act, cómo se relaciona con GDPR, y qué soluciones existen hoy.
El Artículo 28(1) de la DSA obliga a las plataformas online accesibles a menores a implementar medidas apropiadas y proporcionadas para garantizar un alto nivel de privacidad, seguridad y protección de los menores. La norma no especifica un mecanismo concreto — y durante un tiempo esto generó incertidumbre real sobre qué constituía cumplimiento.
Esa incertidumbre se redujo significativamente el 14 de julio de 2025, cuando la Comisión Europea publicó sus guías de aplicación del Artículo 28(1). Aunque no son legalmente vinculantes, las guías sirven como el estándar de referencia que las autoridades — los Digital Services Coordinators de cada Estado miembro — usan para evaluar si una plataforma cumple.
Las guías distinguen tres niveles de mecanismos:
El enforcement de la DSA en esta materia es activo. En 2026, la Comisión Europea ha abierto procedimientos contra plataformas como Meta y Snapchat por no prevenir el acceso de menores de 13 años, señalando específicamente que los métodos de autodeclaración y estimación resultaban insuficientes. Las sanciones por incumplimiento de la DSA pueden alcanzar el 6% de la facturación global anual de la empresa.
Varios Estados miembro están además acelerando el despliegue de soluciones nacionales de verificación de edad de cara a finales de 2026 — Dinamarca ha lanzado ya su app de identidad digital nacional con credencial de verificación de edad integrada; España, Francia, Italia, Grecia, Chipre e Irlanda están en fases de despliegue piloto similares.
Verificar la edad de un usuario implica, en apariencia, tratar un dato personal. Eso entra en tensión directa con el principio de minimización de datos de GDPR (Artículo 5.1.f) — y de hecho, el propio Artículo 28(3) de la DSA es explícito al respecto:
las plataformas no están obligadas a procesar datos personales adicionales únicamente para determinar si un usuario es menor
Las guías de la Comisión resuelven esta tensión recomendando explícitamente soluciones de verificación no vinculables — mecanismos donde el usuario puede demostrar que supera un umbral de edad sin revelar ningún otro dato personal, ni siquiera su fecha de nacimiento exacta.
Esto es exactamente lo que resuelve el EU Age Verification Blueprint, la especificación de referencia desarrollada por la Comisión Europea. Mediante credenciales verificables con revelación selectiva de atributos, un usuario puede demostrar que supera el umbral de edad sin que la plataforma reciba su nombre, fecha de nacimiento, ni ningún identificador personal.
El resultado para la plataforma es un valor booleano: age_over_18: true o false. Nada más. (El estándar contempla además la incorporación progresiva de pruebas de conocimiento cero —zero-knowledge proofs— como mecanismo criptográfico adicional en próximas iteraciones, reforzando aún más esta garantía de privacidad.)
Una pregunta habitual de los equipos legales: si el sistema no identifica al usuario, ¿qué evidencia queda para demostrar ante un Digital Services Coordinator que el control efectivamente se aplicó?
La respuesta es una evidencia de proceso, no de identidad:
Esto es suficiente para reconstruir, ante una auditoría, que el mecanismo de verificación funcionaba y se aplicaba en el momento del acceso — sin que en ningún momento exista un registro que vincule esa verificación a la identidad de una persona concreta.
La asociación entre ese registro técnico y un usuario o cuenta específica, si la plataforma la necesita para sus propios fines (por ejemplo, resolver una reclamación de un usuario concreto), se gestiona en los sistemas propios de la plataforma — bajo su propia base legal de tratamiento — nunca en el sistema de verificación.
Implementar esto internamente requiere conocimiento profundo de protocolos como OpenID for Verifiable Presentations (OID4VP), gestión de listas de confianza de emisores, y mantenimiento continuo a medida que el estándar evoluciona — evoluciona de forma activa mientras el ecosistema europeo madura durante 2026.
Un servicio especializado permite a la plataforma cumplir el Artículo 28 sin asumir esa complejidad técnica, manteniendo en todo momento la arquitectura de no vinculación que exige el marco regulatorio.
Esto es exactamente lo que hace espuni: una capa de verificación de edad construida sobre el EU Age Verification Blueprint, donde el resultado que recibe la plataforma es únicamente el booleano de edad — nunca un dato que permita identificar al usuario.
Este contenido tiene finalidad informativa y no constituye asesoramiento legal. La aplicabilidad del Artículo 28 de la DSA y su interacción con GDPR depende de las circunstancias específicas de cada plataforma. Recomendamos consultar con asesoría legal especializada antes de tomar decisiones de cumplimiento normativo.