Protección de menores en videojuegos: qué obliga hoy a tu estudio

Qué normas te aplican

Ninguna de estas normas es específica de los videojuegos, y esa es precisamente la dificultad: hay que ensamblarlas. Las que entran en juego son:

• Reglamento General de Protección de Datos (RGPD), especialmente sus artículos 8 y 25.
• Ley Orgánica 3/2018 (LOPDGDD), que fija en España la edad de consentimiento.
• Reglamento (UE) 2022/2065 de Servicios Digitales (DSA), si tu juego incluye una plataforma en línea con contenido de terceros.
• Reglamento (UE) 2024/1689 de Inteligencia Artificial, si hay IA generativa o sistemas de recomendación.
• Código de Conducta de Protección de la Infancia en Entornos Digitales.
• Y, en tramitación, la Ley Orgánica para la protección de las personas menores de edad en entornos digitales.

A esto se suma el sistema PEGI, que no es una norma jurídica sino un código de autorregulación, aunque en la práctica funciona como puerta de entrada a las tiendas y a la distribución.

Los tres planos del problema

Jurídicamente, proteger el espacio en el que interactúa digitalmente un menor exige actuar sobre tres planos, y descuidar uno arruina el trabajo hecho en los otros dos:

• Datos personales: qué se recoge, con qué base jurídica, durante cuánto tiempo y para qué.
• Contenido accesible: qué puede ver y con quién puede hablar.
• Arquitectura de diseño: cómo está construido el producto, qué está activado por defecto y qué mecánicas empujan a un comportamiento determinado.

El tercero es el que más se ignora y el que más peso está ganando en la supervisión.

Datos personales: la edad, el consentimiento y el diseño

Cuando un menor utiliza un videojuego no solo se aplica el régimen de consentimiento parental, sino también las obligaciones de privacidad por diseño y por defecto del artículo 25 del RGPD. Esa norma impone al desarrollador adoptar las medidas necesarias para limitar el tratamiento de datos, los perfiles algorítmicos y la exposición publicitaria.

Sobre la edad conviene ser preciso, porque circula mucha confusión. El artículo 8 del RGPD fija con carácter general los 16 años para que el menor pueda prestar por sí mismo su consentimiento en servicios de la sociedad de la información, pero permite a los Estados rebajarla hasta los 13. España la fijó en 14 años en la LOPDGDD. Por debajo de esa edad hace falta el consentimiento del titular de la patria potestad o tutela.

Esto tiene dos consecuencias prácticas que suelen sorprender:

• Si tu juego se distribuye en varios países de la Unión, la edad no es la misma en todos. Un sistema construido solo para el umbral español fallará en otros mercados.
• El consentimiento parental hay que poder acreditarlo. Una casilla que diga «declaro tener más de 14 años» no es un mecanismo de verificación: es una declaración del propio menor.

Y por encima de todo, la pregunta que hace un inspector: qué ocurre si el menor no toca ningún ajuste. Si por defecto el perfil es público, el chat está abierto y la publicidad está personalizada, la privacidad por defecto no se está cumpliendo por muchas opciones que existan enterradas en un menú.

Lo que llega con la nueva ley española

El Proyecto de Ley Orgánica para la protección de las personas menores de edad en entornos digitales se aprobó en Consejo de Ministros en marzo de 2025 y sigue su tramitación. Todavía puede cambiar, pero su dirección está clara y conviene ir preparándose.

Los puntos que más afectan a un estudio de videojuegos son cuatro:

• La edad de consentimiento para el tratamiento de datos sube de 14 a 16 años. Es un cambio de calado: buena parte de la base de usuarios que hoy puede registrarse sola dejará de poder hacerlo.
• Verificación de edad efectiva. El texto insiste en que sin verificación real la protección es simbólica. Aquí está el debate técnico más espinoso, porque verificar la edad sin recoger más datos personales de los necesarios es un problema de ingeniería, no solo jurídico.
• Controles parentales por defecto y avisos de riesgo.
• Prohibición de las cajas de botín para menores. El texto las trata como mecanismos de recompensa aleatoria asimilables al juego de azar, con el riesgo que eso supone para personas vulnerables. La prohibición se plantea específicamente en el contexto de los videojuegos, de modo que las compañías tendrán que incorporar sistemas efectivos que impidan el acceso de menores a este tipo de recompensas.

Esa última medida no es un retoque de interfaz. Si tu modelo de monetización descansa sobre recompensas aleatorias y una parte relevante de tu base de jugadores es menor de edad, afecta a la línea de ingresos y conviene modelarlo con tiempo.

Contenido accesible: clasificación y moderación

El segundo plano es qué puede ver el menor y con quién puede hablar. Aquí el riesgo rara vez está en el contenido que produce el estudio: está en el que producen otros usuarios.

Si tu juego permite contenido generado por jugadores, chat, salas o economía entre usuarios, estás operando algo muy parecido a una plataforma, y la Ley de Servicios Digitales entra en juego con obligaciones de moderación, mecanismos de notificación y, muy relevante, la prohibición de dirigir publicidad basada en perfilado a personas menores de edad.

Las medidas que funcionan son concretas:

• Clasificación de contenido por edades, con etiquetas que indiquen también la naturaleza de las interacciones entre usuarios, no solo la violencia o el lenguaje.
• Moderación de chat reforzada, capaz de supervisar de forma efectiva en varios idiomas. Aquí el aprendizaje automático ayuda, pero introduce su propio análisis: un sistema de moderación automatizada es un tratamiento de datos y, según cómo esté construido, puede entrar en el ámbito del Reglamento de IA.
• Canales de denuncia visibles y con respuesta. Un botón de reportar que no lleva a ninguna parte es peor que no tenerlo, porque genera una expectativa que no se cumple.

Arquitectura de diseño: donde se juega de verdad

El tercer plano es el que más está cambiando. Ya no se examina solo qué datos tratas, sino cómo está diseñado el producto: qué mecánicas empujan a permanecer conectado, a gastar o a interactuar.

Entran aquí las rachas diarias que penalizan dejar de jugar, las recompensas por tiempo de sesión, las notificaciones insistentes, las ofertas con cuenta atrás, la presión social de los rankings entre amigos y, por supuesto, las recompensas aleatorias.

No todo eso es ilegal, ni mucho menos. Pero cuando el destinatario es un menor, la valoración cambia, y el marco europeo apunta con claridad a que el diseño que explota la vulnerabilidad de un colectivo protegido no se defiende diciendo que el usuario aceptó los términos.

Las medidas concretas que recomendamos

Con todo lo anterior, esto es lo que en la práctica pedimos revisar en un estudio con jugadores menores.

Controles parentales avanzados

Que permitan a los progenitores, como mínimo:

• Bloquear y reportar a usuarios concretos de la lista de amigos de sus hijos, para tener un control preciso sobre con quién interactúan.
• Restringir el acceso a juegos o experiencias determinadas que consideren inapropiadas, incluidas las experiencias sociales con funciones de interacción específica.
• Inhabilitar la mensajería directa, dentro y fuera del videojuego. Para los menores de 13 años lo razonable es que esté deshabilitada con carácter general, no como opción.

Informes de actividad

Informes detallados que permitan a los padres conocer en qué experiencias ha participado su hijo durante la última semana. Es una medida sencilla de implementar y con mucho retorno, porque convierte el control parental en algo utilizable en lugar de teórico.

Moderación y clasificación

Moderación de chat mejorada en varios idiomas y clasificación de contenido por edades que indique la naturaleza de las interacciones entre usuarios, de forma que los más jóvenes solo accedan a contenido apropiado.

Centros de seguridad

Espacios dedicados a ofrecer orientación y recursos para una interacción segura en línea, con información esencial de seguridad digital para padres y usuarios. Además de su utilidad real, son la prueba documental de que el estudio ha adoptado medidas activas.

Y lo primero de todo

Revisar los valores por defecto. Antes que cualquier funcionalidad nueva, comprobar qué está activado para una cuenta recién creada por un menor que no ha tocado ningún ajuste. Esa configuración, y no la política de privacidad, es lo que dice si el producto cumple con la privacidad por defecto.

Preguntas frecuentes

Fuentes

• Reglamento General de Protección de Datos (EUR-Lex)
• Ley Orgánica 3/2018, de Protección de Datos y garantía de los derechos digitales (BOE)
• Reglamento (UE) 2022/2065 de Servicios Digitales (EUR-Lex)
• Proyecto de Ley Orgánica para la protección de las personas menores de edad en entornos digitales (Congreso)
• Agencia Española de Protección de Datos, área de menores