TikTok y la privacidad infantil en México: una fecha de nacimiento no basta
- Gustavo Montaño
- hace 23 horas
- 7 min de lectura
El caso estadounidense muestra por qué proteger a los menores exige revisar todo el uso de sus datos, desde el registro hasta la publicidad y la eliminación.
Si una plataforma puede calcular la edad aproximada de una persona para decidir qué publicidad mostrarle, resulta difícil sostener que esa misma información carece de utilidad cuando se trata de protegerla. Esa contradicción, más que la falla de una puerta de edad, es el verdadero problema que deja el caso TikTok.
El 21 de agosto de 2026, el Departamento de Justicia de Estados Unidos anunció un acuerdo por 400 millones de dólares con TikTok, ByteDance y empresas relacionadas. El asunto terminó sin que existiera una determinación de responsabilidad y, por tanto, las conductas señaladas permanecieron como alegaciones (Departamento de Justicia de Estados Unidos, 2026).
El caso no demuestra que lo mismo haya ocurrido en México. Su valor está en la pregunta que plantea: ¿qué debería hacer una plataforma cuando sabe que su servicio será utilizado por niñas, niños y adolescentes?
Lo que el caso reveló detrás de una puerta de edad
La demanda presentada por el Gobierno estadounidense en 2024 sostuvo que, durante determinados periodos, una persona que declaraba ser menor de trece años podía reiniciar el registro e introducir otra fecha de nacimiento. También señaló que algunos accesos mediante cuentas de Google o Instagram permitieron crear perfiles sin pasar por la comprobación de edad (United States v. ByteDance, Ltd., 2024, párrs. 39-51).
El problema no terminaba en el registro. De acuerdo con la demanda, incluso la modalidad creada para usuarios menores recopilaba direcciones de conexión a internet, identificadores de los dispositivos, actividad dentro de la aplicación e información del operador móvil. Estos elementos podían combinarse para conocer hábitos, intereses y formas de comportamiento.
Parte de esa información habría sido compartida con Facebook y AppsFlyer para realizar campañas destinadas a que usuarios infantiles menos activos regresaran a la plataforma. En otras palabras, datos obtenidos dentro de una experiencia para menores se habrían utilizado para aumentar su participación.
La demanda también señaló que más de 300,000 reportes enviados desde la modalidad infantil incluyeron correos electrónicos que no fueron eliminados después de atender el problema. Además, ciertos registros de actividad relacionados con menores habrían permanecido almacenados durante dieciocho meses.
La acusación más reveladora fue otra: TikTok contaba con un sistema que calculaba rangos de edad a partir del comportamiento de los usuarios y que podía utilizarse para fines publicitarios. Sin embargo, según la demanda, no se empleaba de manera sistemática para detectar y proteger cuentas pertenecientes a menores de trece años.
Esta diferencia importa porque muestra un posible desequilibrio: aprovechar la información cuando genera valor comercial, pero restarle importancia cuando obliga a establecer medidas de protección.
Cómo se analizaría una situación similar en México
México no tiene una copia de la ley estadounidense que regula específicamente la privacidad de menores de trece años en internet. La legislación mexicana tampoco establece un único método para comprobar la edad de todas las personas que utilizan una plataforma.
Eso no deja a las empresas sin obligaciones. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares exige que los datos sean utilizados de manera lícita, leal, transparente y proporcional. También obliga a conservar información correcta y a adoptar medidas suficientes para respetar las condiciones explicadas a las personas.
Pedir una fecha de nacimiento puede ser una medida razonable. Deja de ser suficiente cuando la empresa sabe que ese dato puede ser falso, encuentra señales que lo contradicen o utiliza métodos más precisos para otros propósitos.
En ese momento, responsabilizar únicamente al menor por haber proporcionado una edad incorrecta sería una respuesta incompleta. La empresa también debe demostrar que diseñó un registro razonable, que atendió las alertas disponibles y que estableció protecciones adecuadas para un uso infantil previsible.
La solución no consiste en solicitar documentos oficiales, fotografías del rostro, huellas digitales u otros datos de alto riesgo a todas las personas. La comprobación debe ajustarse al peligro real. Un servicio con pocas funciones y sin publicidad personalizada no requiere necesariamente los mismos controles que una plataforma que crea perfiles detallados, recomienda contenidos y comparte información con distintas empresas.
También debe revisarse la cantidad de datos recopilados. Un aviso de privacidad puede explicar que se obtienen identificadores, ubicaciones aproximadas, historial de interacción y señales del dispositivo. Esa explicación no convierte automáticamente en necesario todo el tratamiento. Informar una práctica y justificarla son obligaciones diferentes.
Algo similar ocurre con los propósitos. Si un correo electrónico fue solicitado para atender un reporte, conservarlo o utilizarlo posteriormente para publicidad sería difícil de justificar sin una razón adicional. Si la información fue obtenida para proteger una cuenta, reutilizarla para aumentar el tiempo que una persona permanece conectada puede representar un propósito distinto al informado originalmente.
Además, los datos de menores no son sensibles por el solo hecho de pertenecerles. Sin embargo, las conclusiones obtenidas al combinar videos, búsquedas, sonidos, relaciones y ubicaciones pueden revelar salud, creencias, opiniones políticas, preferencias sexuales u otros aspectos íntimos. Lo importante no es solamente el dato recopilado, sino lo que la plataforma puede descubrir a partir de él.
La Ley General de los Derechos de Niñas, Niños y Adolescentes añade otra dimensión. Su artículo 76 reconoce expresamente el derecho de los menores a la intimidad y a la protección de sus datos personales. También exige colocar sus derechos y bienestar en el centro de las decisiones y reconocer que su capacidad para comprender y decidir aumenta gradualmente con la edad y la madurez.
Esto significa que no puede darse el mismo trato a un niño de ocho años y a una adolescente de diecisiete. Las explicaciones, opciones, restricciones y formas de participación deben adaptarse a las características de cada grupo.
Eliminar una cuenta no siempre elimina la información
Para una persona usuaria, cerrar una cuenta puede parecer el final del tratamiento. Para la empresa, los datos pueden continuar en registros de actividad, sistemas de publicidad, herramientas de medición, copias de respaldo, bases de proveedores o contenidos creados por otras personas.
Por eso, un botón para eliminar la cuenta no garantiza por sí mismo que la información haya desaparecido. La organización necesita saber qué conserva, dónde se encuentra, por qué sigue almacenado y con quién fue compartido.
La ley mexicana reconoce los derechos de acceso, corrección, cancelación y oposición. Cuando una persona solicita la cancelación, puede existir primero un periodo durante el cual los datos se conservan únicamente para atender posibles responsabilidades. Después deben eliminarse. Durante ese periodo no deberían seguir utilizándose para publicidad, recomendaciones u otras actividades ordinarias.
La empresa cuenta, como regla general, con veinte días para comunicar su decisión sobre una solicitud y, si resulta procedente, con quince días adicionales para hacerla efectiva. Verificar la identidad de quien presenta la petición puede ser necesario para evitar fraudes. El problema surge cuando se imponen trámites repetidos, difíciles de encontrar o desproporcionados.
También debe revisarse lo que ocurre con los proveedores. Si una empresa tecnológica solamente sigue instrucciones, el responsable debe asegurarse de que también elimine los datos. Si ese proveedor utiliza la información para sus propios intereses, será necesario analizar si existe una comunicación de datos permitida y correctamente informada. El nombre utilizado en el contrato no basta; lo que importa es lo que cada empresa hace en la práctica.
Lo que una plataforma debería poder demostrar
La protección de menores no exige saber con absoluta certeza la edad de todas las personas. Exige demostrar que se reconocieron los riesgos y que se adoptaron medidas razonables para reducirlos.
Una plataforma utilizada previsiblemente por niñas, niños o adolescentes debería contar, al menos, con:
Un análisis escrito de los riesgos para la privacidad y los derechos de los menores antes de lanzar nuevas funciones o campañas.
Una forma proporcional de comprobar la edad, sin pedir documentos, fotografías del rostro o huellas digitales de manera generalizada.
Explicaciones breves y comprensibles, adaptadas a diferentes edades y mostradas cuando se toman decisiones importantes.
Configuraciones de alta privacidad desde el inicio, especialmente para perfiles, mensajes, ubicación y publicidad basada en el comportamiento.
Límites claros para evitar que la información recopilada por seguridad, soporte o registro se reutilice sin justificación para publicidad.
Un registro actualizado de los datos, sistemas, proveedores, destinatarios y plazos de conservación.
Un procedimiento que permita localizar y eliminar la información en todos los lugares correspondientes cuando una solicitud resulte procedente.
La Observación general núm. 25 del Comité de los Derechos del Niño recomienda precisamente que las empresas incorporen la privacidad desde el diseño, reduzcan los datos recopilados, expliquen sus prácticas de acuerdo con la edad y faciliten mecanismos efectivos para corregir o eliminar información (Comité de los Derechos del Niño, 2021, párrs. 67-75).
La verdadera prueba es la coherencia
El caso TikTok deja una advertencia que trasciende a una plataforma y a una jurisdicción. Si una empresa considera que sus cálculos sobre la edad son suficientemente confiables para tomar decisiones comerciales, debe explicar por qué esas mismas señales no son útiles para proteger a los menores.
En México, la discusión no debe limitarse a preguntar si existe una puerta de edad o si se publicó un aviso de privacidad. La cuestión central es si el uso de los datos fue necesario, comprensible, controlable y compatible con los derechos de niñas, niños y adolescentes.
Protegerlos no significa impedirles participar en internet ni vigilarlos de manera permanente. Significa diseñar servicios que reconozcan su edad y madurez, reduzcan la recopilación innecesaria y hagan efectivos sus derechos. Cuando el uso infantil es previsible, la responsabilidad no puede descansar únicamente en que el menor haya leído, comprendido y configurado correctamente cada opción.
Si tu organización desarrolla plataformas, aplicaciones o servicios digitales utilizados por menores, conviene revisar el uso completo de los datos antes de que una práctica cotidiana se convierta en un problema jurídico, operativo o reputacional. Podemos ayudarte a identificar los riesgos y definir medidas proporcionales.
Referencias
Cámara de Diputados del H. Congreso de la Unión. (2025). Ley Federal de Protección de Datos Personales en Posesión de los Particulares (última reforma publicada en el Diario Oficial de la Federación el 14 de noviembre de 2025). https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
Cámara de Diputados del H. Congreso de la Unión. (2026). Ley General de los Derechos de Niñas, Niños y Adolescentes (última reforma publicada en el Diario Oficial de la Federación el 15 de enero de 2026). https://www.diputados.gob.mx/LeyesBiblio/pdf/LGDNNA.pdf
Comité de los Derechos del Niño. (2021). Observación general núm. 25 relativa a los derechos de los niños en relación con el entorno digital. Naciones Unidas. https://www.ohchr.org/en/documents/general-comments-and-recommendations/general-comment-no-25-2021-childrens-rights-relation
Departamento de Justicia de Estados Unidos. (2026, 21 de agosto). Justice Department secures $400M settlement with TikTok and ByteDance to resolve children’s privacy litigation. https://www.justice.gov/opa/pr/justice-department-secures-400m-settlement-tiktok-and-bytedance-resolve-childrens-privacy
United States v. ByteDance Ltd., ByteDance Inc., TikTok Ltd., TikTok Inc., TikTok Pte. Ltd., & TikTok U.S. Data Security Inc., expediente 2:24-cv-06535 (Tribunal de Distrito de Estados Unidos para el Distrito Central de California, demanda presentada el 2 de agosto de 2024). https://www.justice.gov/archives/opa/media/1362606/dl?inline=.justice.gov/archives/opa/media/1362606/dl?inline=
Comentarios