TikTok, redes sociales y menores: un asunto pendiente

El lunes 9 de noviembre Maldita.es publicó una investigación señalando que TikTok es un hogar para los pederastas. No era la primera vez. En mayo de 2026 denunció que la red era un bufé libre para más de 1.300 pedófilos. El día 10 de noviembre el  Ministerio de Infancia y Juventud requirió a la Agencia Española de Protección de Datos que ordenase el cese de actividad de TikTok, tras “la cantidad ingente de violencia sexual de infancia que estaría produciéndose en esta red social”. Aunque la cuestión es competencia de la Autoridad de protección de datos irlandesa, el Ministerio propone utilizar el procedimiento de urgencia del Reglamento General de Protección de Datos. Este permite a otras autoridades adoptar inmediatamente medidas provisionales destinadas a producir efectos jurídicos en su propio territorio, con un periodo de validez no superior a tres meses.

El 11 de noviembre la AEPD publicó una nota de prensa declarando que ya estaba actuando. La respuesta de la Agencia es formalmente impecable pero no necesariamente satisfactoria. Se va a recabar información de Maldita.es y requerir a TikTok para «una vez analizada esa información, ordenar el bloqueo que impida el acceso a los enlaces y contenidos concretos y determinados que supongan un tratamiento ilícito de datos de menores». Por otra parte, y como es usual en estos casos, también prevé trasladar información a la Autoridad irlandesa, al Comité Europeo de Protección de Datos y a la Comisión Europea. Sin embargo, es necesario interrogarse si el núcleo del problema reside en los enlaces o en el algoritmo que los distribuye. La Agencia propone adoptar una medida concreta que califica como «proporcionada y adecuada, con pleno respeto a las libertades de expresión e información según la jurisprudencia internacional y nacional». 

El regulador se expresa con prudencia. No obstante, hay detalles que no deberían escapar a un ojo atento. La AEPD no necesitaba del impulso de nadie para actuar y de hecho así lo declara. No parece que en mayo de 2026 la cuestión tuviera la misma relevancia. Entonces Maldita.es denunció haber encontrado más de 20.200 comentarios, 1.600 cuentas y 380 vídeos relacionados con la pedofilia. ¿Se investiga desde entonces? ¿Tuvo la suficiente entidad para requerir datos, instar el mecanismo de coherencia y alertar a la Comisión? ¿Hemos esperado a la segunda alerta varios meses después?  

Con independencia de otras dimensiones jurídicas, aquí se ventila una cuestión de protección de datos. Para que TikTok sirva e incluso privilegie con su algoritmo la generación, subida y distribución de este tipo de contenidos, necesita tratar datos personales. En este caso no solo hay que considerar “los enlaces” sino que es fundamental entender cuál sea el funcionamiento del modelo algorítmico que hace posible que las cuentas capten a menores y a consumidores de basura. Perfilar para servir información personalizada es un tratamiento de datos personales de libro y esta es la razón que probablemente explica la solicitud del Ministerio. Por ello, bloquear “enlaces” no evita el tratamiento ni sus efectos si no se incluye una medida adicional consistente en ordenar que no se aplique el algoritmo de perfilado que los disemina. Este ejecuta una programación, ya sea intencional o errónea, que atribuye un valor determinado a un contenido y decide a quién debe servirse. Y esta segunda dimensión, como es conocido desde el caso del derecho al olvido (Google Spain SL y Google Inc. contra AEPD y Mario Costeja), constituye un tratamiento de datos personales sujeto al RGPD. 

Por otra parte, ni siquiera sería la primera vez que, considerando los efectos del perfilado algorítmico, una autoridad de protección de datos requiriese a TikTok por el procedimiento de urgencia. En 2021 el Garante italiano requirió a la compañía por razones de verificación de edad y en 2023 lo usó de nuevo contra ChatGPT. Ciertamente, suspender el servicio de TikTok como plataforma podría afectar significativamente el derecho a la libertad de expresión y la libertad de información de los usuarios. Pero no debería suceder así si al bloqueo de enlaces se suma una suspensión de la aplicación del algoritmo. Bloquear los enlaces denunciados es necesario, pero no suficiente, ya que se limita a operar sobre el resultado de una búsqueda y deja intacto el tratamiento que sirve contenidos a niños y niñas y los conecta con los depredadores. Es un hecho notorio que el perfilado en las redes genera la conocida burbuja de filtros cuyo efecto en términos de adicción, generación de cámaras de eco y sesgos de confirmación altera significativamente la capacidad crítica del usuario. Sin “el algoritmo de perfilado” cabe presumir que la información fluiría con un menor grado de predeterminación. Puede parecer un parche, pero a veces los parches ofrecen soluciones a corto plazo que proveen del espacio necesario para abordar una parte significativa del problema. Frente a este tipo de medida, alguien afirmará que suspendiendo el algoritmo atacamos la viabilidad del modelo de negocio. Pero es que este no es nuestro problema. Desde la libertad que nos concede la academia podemos disfrutar del privilegio de defender posiciones éticas innegociables. Una red social que aloja un volumen tan elevado de cuentas cuya actividad se basa en la explotación infantil y el abuso sexual merece sin duda ser duramente cuestionada sobre su modelo de negocio y sobre su rigor empresarial.  

Lo nuclear debería ser determinar de qué modo trata los datos personales de esos niños, niñas y adolescentes exponiéndolos al riesgo

De acuerdo con el Reglamento de Servicios Digitales, TikTok debe ser diligente en la gestión del riesgo y está sometida a un particular deber de protección de los menores. Y esto tiene una consecuencia en protección de datos. En el momento en que la empresa fue consciente de lo que Maldita.es denuncia, debió tratarlo como un incidente muy grave en protección de datos. Y esto comporta la necesidad de tomar decisiones que además deben implicar una actualización de su evaluación de impacto relativa a la protección de datos y de la dimensión de esta que evalúa los riesgos para los derechos fundamentales. Esto llama particularmente la atención en la nota de prensa. Se requiere a TikTok información concreta sobre sus actuaciones para la retirada de los contenidos denunciados. Retirar contenidos ataca al resultado, no a la causa, y no se proyecta sobre el tratamiento de datos personales que instrumentalmente los disemina. No se entra en el núcleo de la cuestión si no se exige a la empresa documentar no solo por qué no localizó esos contenidos, sino las razones por las que pueden alcanzar a menores a los que reclutar o acosar de acuerdo con sus preferencias. Lo nuclear debería ser determinar de qué modo trata los datos personales de esos niños, niñas y adolescentes exponiéndolos al riesgo. Y mientras esto no suceda, la actuación más eficiente consiste en ordenar que se suspenda el uso del perfilado algorítmico. De hecho, debería haber sido una estrategia responsable de la compañía. La gestión de incidentes en protección de datos tiene sus reglas y la suspensión del tratamiento por el responsable es una de las primeras estrategias que se aplican. ¿Lo hizo TikTok?

A pesar de la dificultad de analizar el problema sin información interna, hay elementos que resultan llamativos. El primero de ellos consiste en entender con qué celeridad ha actuado el regulador y en qué términos. La AEPD no necesita una denuncia: puede actuar de oficio. ¿Lo hizo en mayo de 2026? Esta cuestión posee relevancia desde el punto de vista de las políticas públicas. El caso que nos ocupa posee una trascendencia social innegable y obliga a preguntarse en qué consiste el programa de acción del regulador. Especialmente si tenemos en cuenta que no ha sido esta la única noticia relevante en los últimos tiempos. La Policía Nacional emitió una alerta oficial en octubre de 2026 sobre los “curis” (o curimomos), una tendencia viral en redes sociales, y principalmente en TikTok, consistente en perfiles anónimos creados por estudiantes que emplean el nombre o las siglas de su instituto para ridiculizar, difamar o acosar a profesores y compañeros. Por alejado que parezca del caso que nos ocupa, define un patrón: TikTok permite tratamientos de datos personales, esta vez con fines vejatorios, y su algoritmo contribuye a viralizar, expandir y maximizar los daños. 

Entender la estrategia de la AEPD exige considerar la sanción dictada en 2025 por la creación y difusión de un deepfake sexual generado con inteligencia artificial. El organismo impuso una sanción de 2.000 euros (reducida a 1.200 euros por reconocimiento de responsabilidad y pronto pago), abonada por los progenitores como representantes legales del menor. Desde el punto de vista de la política regulatoria aplicada se aprecia una pauta común. Se aborda la conducta del sujeto que opera en la aplicación, pero no se actúa frente a la plataforma. Se plantea bloquear enlaces o sancionar a quien genera el deepfake. Y, sin embargo, no se consideran aquellos factores, como la falta de verificación de edad

 o el funcionamiento algorítmico, que generan riesgos sistémicos al favorecer tratamientos de datos basados en el perfilado de las preferencias que resultan muy lesivos para nuestros niños, niñas y adolescentes. 

Por otra parte, cabe preguntarse qué función persigue sancionar a un menor infractor desde el punto de vista de la tutela de su interés superior. ¿Podríamos considerar al acosador como víctima de un modelo de internet cuyos algoritmos en redes y buscadores premian de algún modo estos contenidos y herramientas? ¿Basta con sancionar al menor infractor sin intervenir sobre el entorno que favorece y amplifica su conducta? Debemos reflexionar seriamente cuál es la política pública y el mensaje que lanza. Una lectura posible no es otra que la que lanzan las propias plataformas. Ellas, y sus directivos, se presentan como garantes de nuestra democracia que promueven la libertad de expresión. Son los hijos e hijas de una generación de padres irresponsables los que contaminan y ensucian el ágora que con tanto esfuerzo nos proporcionan. 

Nos enfrentamos a un cáncer y, en lugar de adoptar una estrategia múltiple que ataque al tumor, verifique la presencia de metástasis y combine quimioterapia, radioterapia y otras estrategias terapéuticas, nos limitamos a extirpar. El origen de la enfermedad permanece y en breve emergerá. Y es aquí donde cabe plantearse cuál sea el papel de un regulador. No trasladar a la opinión pública una posición firme en asuntos tan graves consolida la posición de operadores que defienden la desregulación, manifiestan una escasa voluntad de cooperación y generan riesgos sistémicos para nuestra sociedad democrática. Como la propia AEPD demostró en el pasado, la prudencia, la templanza y el ejercicio de su autoridad desde la independencia no están en absoluto reñidos con el diseño de políticas públicas que lancen un mensaje claro a los operadores.

El acceso a contenidos nocivos y la exposición a los depredadores ejemplifican de modo muy gráfico el riesgo que más nos preocupa, pero no el único

El problema al que nos enfrentamos es mucho más profundo. El caso Meta en Estados Unidos ha puesto sobre la mesa los efectos de un diseño adictivo de las redes sociales. El acceso a contenidos nocivos y la exposición a los depredadores ejemplifican de modo muy gráfico el riesgo que más nos preocupa, pero no el único. El Informe del comité de personas expertas para el desarrollo de un entorno digital seguro para la juventud y la infancia detalla con mucha precisión el conjunto de problemas de salud, psicosociales y delincuenciales que enfrentamos. En muchos de los casos el tratamiento de datos personales y el perfilado cumplen una función instrumental al convertir a niños y niñas en un objetivo al que atraer y vincular. inEl Informe acredita que el futuro de nuestra juventud y de nuestra infancia está en riesgo y no nos podemos permitir el más mínimo error.