Edad mínima para las redes sociales por país (septiembre de 2026): qué está realmente en vigor y cómo se comprueba la edad

El miércoles 16 de septiembre, Ursula von der Leyen dijo ante el Parlamento Europeo: «Nada de redes sociales antes de los 13 años. Ninguna cuenta personal antes de los 15». A la mañana siguiente la Comisión adoptó la propuesta que hay detrás de esa frase, la KIDS Act de la UE. En cuestión de horas volvían a circular las mismas listas de una docena de países, y varias siguen diciendo que Francia prohíbe las redes sociales a los menores de 15.

Francia no lo hace. Su prohibición fue anulada el 14 de agosto. Ese es el problema de todos los rastreadores que consultamos al escribir esto: registran lo que los gobiernos anunciaron, no lo que una plataforma está obligada a hacer hoy, y casi ninguno explica cómo se supone que una plataforma averigua la edad de un usuario. Esa segunda columna decide si la ley pide un pasaporte, un selfi, una fecha de nacimiento tecleada en un teléfono o el origen de tu conexión. También decide si una VPN tiene algo que ver con ello.

Así que aquí está la tabla que queríamos y no encontramos: todas las jurisdicciones con una edad mínima para las redes sociales, ordenadas según lo que está realmente en vigor, con el método de verificación, la sanción y una columna honesta sobre si la ubicación es un dato de entrada. Fechada el 17 de septiembre de 2026. La mantendremos al día.

¿Qué edades mínimas para las redes sociales están en vigor hoy?

Cuatro leyes nacionales y un puñado de leyes estatales de Estados Unidos. Todo lo demás de lo que has leído está esperando una fecha de inicio o sigue siendo un borrador.

Tres detalles de esa tabla merecen una pausa.

La multa australiana no siempre fue de 109 millones de A$. El tope original era de 49,5 millones de A$. El anuncio del primer ministro del 28 de junio hablaba de duplicarla hasta 99 millones de A$; la unidad de sanción federal subió después el 1 de julio, así que 300.000 unidades equivalen ahora a unos 109 millones de A$. El Parlamento aprobó el proyecto en la semana del 7 de septiembre y recibió la sanción real el 11 de septiembre. La misma enmienda amplía las facultades de eSafety para recabar información a los proveedores de verificación de edad y a las tiendas de aplicaciones.

El modelo malasio es el más estricto en vigor en cualquier parte. El Child Protection Code exige a las plataformas con licencia verificar la edad contra registros expedidos por el Estado, y el Ministerio de Comunicaciones confirmó en agosto que esto es obligatorio, no opcional, con el tope de 1 millón de RM más una sanción diaria por infracción continuada.

La ley brasileña aparece a menudo en las listas como una «prohibición». No lo es. La Lei 15.211 permite que los menores de 16 tengan cuentas, pero cada una debe estar vinculada a la de un tutor, y las plataformas no pueden basarse en una fecha de nacimiento autodeclarada para decidir quién es menor.

¿Qué leyes se han aprobado pero todavía no han empezado?

El texto turco merece una mirada más atenta porque es el que más a menudo se describe como «en vigor». Todavía no lo está. La Law 7578 se publicó el 1 de mayo de 2026 y sus artículos sobre redes sociales entran en vigor seis meses después. El método de verificación es la incógnita: los comentaristas dan por hecho el portal de identidad e-Devlet, pero la ley solo dice que los proveedores deben verificar. Actualizaremos la fila cuando el regulador turco publique el mecanismo.

¿Qué propuso la UE el 17 de septiembre de 2026?

Un reglamento, no una recomendación, y uno que sustituiría las conjeturas de 17 borradores nacionales distintos por un único conjunto de normas. La Comisión lo llama EU Keeping Internet Digital Spaces Accountable and Trustworthy Act, KIDS Act para abreviar. Su propia guía explicativa fija tres niveles:

• Menores de 13: ninguna cuenta.
• 13 y 14: «un tutor puede configurar una cuenta limitada y conservará el control, con herramientas parentales siempre activas, un límite diario de una hora como máximo y aprobación parental de los contactos». El contenido solo es visible para los contactos aceptados; el menor no puede ser añadido a grupos sin su acuerdo y no puede emitir en directo por defecto.
• 15 y más: «los jóvenes pueden abrir su propia cuenta en servicios que por ley deben ser seguros para ellos».

El alcance va más allá de las redes sociales: servicios de vídeo compartido con funciones de riesgo, juegos en línea, chatbots y compañeros de IA, y tiendas de aplicaciones. La edad se demostraría «mediante soluciones certificadas independientes de las plataformas, incluida una aplicación gratuita de verificación de edad de la UE y, con el tiempo, la Cartera Europea de Identidad Digital», usando pruebas de conocimiento cero que solo indican a la plataforma que un usuario supera el umbral, y «cada Estado miembro debe ofrecer al menos una forma gratuita de demostrar la edad, también para las personas sin identidad digital». Las cuentas existentes no se libran: «en los seis meses siguientes a la aplicación de las normas, las plataformas deben comprobar si los titulares de cuentas existentes son menores de 15 y desactivar las cuentas de quienes lo sean, o cuya edad no pueda establecerse». Las multas «pueden alcanzar el 6% de la facturación anual mundial total», y las plataformas más grandes tendrían que presentar un plan de seguridad a auditores independientes antes de poder atender a menores.

Dos cosas que el material de la Comisión no dice. No dice si un Estado miembro puede mantener una edad nacional más estricta, lo que importa a Dinamarca (15, sin nivel supervisado), Noruega (16) y Austria (14). Y no da ninguna fecha. Es el inicio del procedimiento legislativo ordinario; el Parlamento y el Consejo introducirán cada uno sus enmiendas, y los niveles de edad son el campo de batalla evidente. Hasta que eso termine, la KIDS Act no obliga a nadie.

¿Están prohibidas las redes sociales para los menores de 15 en Francia?

No, y la razón es una sentencia que la mayoría de los resúmenes en inglés se saltaron.

El Parlamento adoptó la «loi visant à protéger les mineurs des risques auxquels les expose l’utilisation des réseaux sociaux» el 21 de julio de 2026, con un artículo estrella que vetaba las redes sociales a los menores de 15 desde el 1 de septiembre. El 14 de agosto el Conseil constitutionnel, en la decisión 2026-911 DC, declaró ese artículo inconstitucional. El razonamiento del tribunal es el documento más útil de todo este campo, porque describe lo que necesitaría una ley conforme: la prohibición se aplicaba a todas las redes sociales sin distinguir por funcionalidad o riesgo, incluidos servicios «cuyos riesgos no están acreditados»; ninguna disposición permitía a un padre levantarla o ajustarla para su propio hijo; y exigía implícitamente que todos los usuarios, adultos incluidos, demostraran su edad sin que la ley fijara ninguna garantía para esos datos. El resto de la ley se promulgó el 24 de agosto sin su pieza central.

El plan B que citan muchos rastreadores, la ley de 2023 sobre la «majorité numérique» que fija los 15 años como edad de consentimiento digital, nunca se aplicó. La propia respuesta del Gobierno a una pregunta parlamentaria explica por qué: la Comisión Europea consideró en agosto de 2023 que la ley se había adoptado incumpliendo la directiva de notificación y que entraba en conflicto con la Ley de Servicios Digitales, así que los decretos de aplicación nunca se publicaron.

El 14 de septiembre el Gobierno notificó a Bruselas un texto reescrito. Según Toute l’Europe y CNews, ya no prohíbe las cuentas. Apunta a una docena de funciones adictivas para los menores de 15 (reproducción automática, notificaciones nocturnas, contadores de recompensa variable, contacto desde cuentas desconocidas), excluye por completo a los menores de 13 y exige consentimiento parental explícito de los 13 a los 15. Eso se acerca al modelo de la Comisión, y ahí está la clave: Francia necesita ahora la KIDS Act más de lo que la KIDS Act necesita a Francia.

¿Qué países siguen en fase de propuesta?

Es la lista más larga y la que cambia cada semana. Situación a 17 de septiembre.

India queda fuera de esta tabla a propósito: sus normas de Protección de Datos Personales Digitales exigen consentimiento parental verificable para todo usuario menor de 18, con aplicación escalonada hasta mayo de 2027, lo que es un régimen de consentimiento y no una edad mínima. El «modo menor» y las normas de nombre real de China son otro sistema distinto y anteriores a todo lo anterior.

¿Una VPN permite saltarse alguna de estas leyes?

Esta es la frase que hay que recordar: una ley de edad que comprueba un documento o un dispositivo nunca mira dónde estás; una ley de edad que comprueba dónde estás es la única a la que una VPN siquiera afecta.

Ordena las leyes anteriores por lo que inspeccionan y el panorama es sencillo.

Comprobaciones de identidad. Malasia lee un MyKad o un pasaporte. Brasil lee documentos, biometría o un número de CPF. Vietnam vincula cada cuenta a un número de teléfono o a un documento. Turquía obliga a verificar a la persona. La propuesta de la UE entrega a la plataforma un token de conocimiento cero «mayor de 15» procedente de una aplicación estatal. Portugal, Grecia e Italia planean carteras estatales. En todos ellos, la comprobación trata de quién eres. De dónde vienen tus paquetes no forma parte de la pregunta.

Comprobaciones del dispositivo. La ley de California lee una franja de edad que el sistema operativo derivó de la fecha de nacimiento introducida al configurarlo; las leyes sobre tiendas de aplicaciones de Texas, Utah y Luisiana ligan la edad a la cuenta de Apple o Google. Repasamos el mecanismo californiano en detalle la semana pasada: la señal viaja del sistema operativo a la aplicación a través de una interfaz en el propio dispositivo. Una VPN sustituye la dirección IP que ve un servicio y cifra el trayecto hasta el servidor VPN. Nunca llega a la cuenta ni a la interfaz.

Obligaciones de la plataforma delimitadas por ubicación. Australia y Florida son distintas. Sus leyes obligan a las plataformas respecto a los usuarios de la jurisdicción, y la plataforma tiene que decidir quiénes son esos usuarios. La guía de eSafety es explícita en que las direcciones IP, el GPS, los ajustes del dispositivo, los números de teléfono y el país de la tienda de aplicaciones son señales válidas, y espera que las plataformas integren la detección de VPN para cazar cuentas que dicen estar en el extranjero. Eso va en sentido contrario a lo que la mayoría de los lectores supone: en Australia una VPN es menos un atajo que una señal de alarma. Puede activar una comprobación de edad en una cuenta de adulto que de otro modo habría pasado desapercibida.

Nada en ninguna de estas leyes sanciona al usuario por usar una VPN. El regulador australiano dice que no hay sanciones para niños ni para padres en absoluto. La SB 73 de Utah, la única ley estadounidense que nombra las VPN en su texto, se aplica a sitios que alojan material dañino para menores, no a las redes sociales, e incluso ahí la obligación recae en el sitio. Si una VPN es legal donde vives es otra cuestión, y nuestra guía de legalidad 2026 cubre el puñado de países donde la respuesta no es un sí rotundo.

¿Qué dicen los números sobre la elusión?

Australia es el único país con nueve meses de aplicación y un regulador que publica su propia evaluación, así que sus cifras llevan el peso del argumento.

El informe de eSafety a los tres meses, «Early days, early insights», publicado el 31 de julio de 2026, reclutó a más de 4.000 niños y a un progenitor de cada uno en una línea base en noviembre y diciembre de 2025 y volvió a encuestar a unos 1.000 de ellos en marzo y abril de 2026. La posesión de cuentas entre los menores de 16 cayó del 52,4% al 42,1%. El uso de las plataformas restringidas, con o sin cuenta, solo cayó del 85,9% al 81,5%, porque la navegación sin iniciar sesión no está cubierta. Entre los niños que aún tenían cuenta, el 50,2% dijo que la plataforma nunca les había pedido verificar su edad; el 37,1% dijo que su cuenta los registraba con 16 años o más, el 18,2% dijo que una comprobación de edad los había confirmado erróneamente como de 16 o más, y el 7,4% había usado una VPN.

Léelos en orden. La principal fuga del sistema australiano son las plataformas que no preguntan, después las fechas de nacimiento tecleadas hace años, después la estimación de edad que se equivoca hacia arriba. La VPN queda en cuarto lugar, con un niño de cada catorce.

Reino Unido, que puso verificación de edad a los sitios para adultos en julio de 2025 y la pondrá a las redes sociales la próxima primavera, cuenta una historia parecida desde el otro lado. El rastreador de demanda de Top10VPN registró una demanda de VPN en Reino Unido hasta un 1.987% por encima de su línea base el 27 de julio de 2025, el mayor de los picos por leyes de edad de su rastreador, por delante del 847% de Utah en 2023 y del 570% de Francia. Pero la encuesta de Childnet a 2.018 niños de 8 a 17 años, realizada en noviembre de 2025, halló que la proporción que empezó a usar una VPN en los tres meses posteriores a la ley era «solo un 2% superior a la cifra de quienes empezaron hace 1 año». Los adultos impulsaron el pico. Los niños que superaron las comprobaciones lo hicieron sobre todo, según la propia investigación del Gobierno, introduciendo una fecha de nacimiento falsa.

Ese patrón, pico de demanda de VPN entre adultos y papel menor en la elusión por parte de los niños, ya se ha repetido en Utah (2023), Francia (junio de 2025), Reino Unido y Australia. Es la mejor predicción disponible de lo que verá Turquía el 1 de noviembre y Reino Unido la próxima primavera.

Cómo leer un titular sobre una nueva ley de edad en redes sociales

Cinco preguntas separan el anuncio de la obligación, y son las columnas de las tablas anteriores.

1. ¿Está en vigor, aprobada o propuesta? La UE, Reino Unido, Dinamarca y Grecia son propuestas. Turquía está aprobada y a la espera. Solo Australia, Indonesia, Malasia y Brasil obligan hoy a una plataforma.
2. ¿Quién carga con la obligación? En todos los casos, la plataforma. Ninguna ley de esta tabla multa a un niño o a un padre.
3. ¿Qué se inspecciona: un documento, un dispositivo o una ubicación? Esta es la columna que decide si la privacidad está en juego y si una VPN es relevante.
4. ¿Qué pasa con las cuentas existentes? Malasia vuelve a verificar en seis meses; la propuesta de la UE haría lo mismo; las plataformas australianas retiraron el acceso a 4,7 millones de cuentas en la primera quincena de diciembre de 2025.
5. ¿Lo ha examinado un tribunal? La ley francesa fue anulada. Las de Florida y Texas sobrevivieron a recursos cautelares. Las tres objeciones del Conseil constitutionnel, alcance indiscriminado, sin excepción parental, sin garantías para los datos de edad de los adultos, son la prueba que todo borrador europeo tiene que superar ahora.

Para los padres, la consecuencia práctica es que el ajuste que importa suele ser el del dispositivo o el del documento, no el de la red. Nuestra guía sobre la seguridad de los niños en línea cubre la parte del dispositivo. Para los adultos, la tranquilidad es que una VPN sigue haciendo lo que hace por ti, cifrar tu tráfico en el Wi-Fi público y mantener tu dirección IP fuera de los registros de todas las plataformas, y que con las leyes hoy en vigor no es algo que una comprobación de edad sancione. Le VPN cubre 10 dispositivos con un solo plan, con una garantía de reembolso de 30 días, y si lees esto desde Australia o Reino Unido, las páginas de país explican cómo interactúan las normas locales con una cuenta VPN.

Esta tabla se actualizará cuando la KIDS Act llegue al Parlamento, cuando Turquía nombre su método de verificación, cuando Grecia y Portugal voten y cuando Australia publique su evaluación a los seis meses. Si tenemos alguna fila mal, dínoslo a través de la página de contacto y la corregiremos con una nota fechada.