El nuevo decreto de México sobre entornos digitales seguros para menores señala que simplemente pedir a los usuarios que marquen una casilla confirmando su edad ya no es suficiente. Para cualquiera que se preocupe por el anonimato en línea, la cuestión de la privacidad en el decreto de verificación de edad de México es directa: si las plataformas deben hacer más que aceptar una fecha de nacimiento declarada, ¿qué recopilarán en su lugar y dónde terminarán esos datos?

Esta publicación se ciñe a lo que dicen los reportes disponibles, señala lo que aún no está claro y explica qué puede y qué no puede hacer una VPN por las personas en México.

Qué exige realmente el decreto

Según una guía de plataforma publicada por la empresa de verificación de identidad Didit, el Artículo 4, fracción I del decreto hace que la autodeclaración por sí sola sea insuficiente como forma de establecer la edad de un usuario. Se espera que las plataformas dentro del ámbito de aplicación utilicen métodos más sólidos que una simple solicitud de edad.

La misma cobertura indica que el decreto nombra a las redes sociales, los videojuegos y las tiendas de aplicaciones como plataformas cubiertas. También apunta a un informe previsto para alrededor del 13 de noviembre de 2026, que es el plazo de mediados de noviembre reportado hacia el que trabajan las plataformas. La guía propone un plan de 30 días para que las empresas se preparen.

Vale la pena señalar claramente algunas advertencias. El material de origen es una guía de cumplimiento de un proveedor, no el texto del decreto en sí, y la empresa vende servicios de verificación de identidad, por lo que su enfoque se inclina hacia el trabajo de cumplimiento. La cobertura que revisamos no determina exactamente qué métodos de garantía de edad se aceptarán, por lo que los lectores deben tratar los detalles como provisionales hasta que la orientación oficial sea clara. Un elemento de lista de verificación relacionado mencionado en los resultados de búsqueda sugiere que los avisos de privacidad deberían cubrir selfies y documentos, y que los registros de verificación de edad de cuentas eliminadas deberían conservarse durante al menos 90 días hábiles. Eso insinúa los tipos de datos que algunas plataformas podrían manejar, pero es una recomendación de un proveedor y no un texto legal confirmado.

Por qué las verificaciones de edad basadas en identificación crean nuevos riesgos de datos

Cuando una plataforma va más allá de la autodeclaración, las opciones generalmente implican datos más sensibles: una foto de una identificación oficial, una selfie para estimación facial de edad o un servicio de verificación de terceros. Cada uno de estos crea una nueva categoría de datos personales que no existía en los sistemas de la plataforma antes.

Hay tres riesgos que vale la pena entender.

Exposición concentrada de datos. Una base de datos de escaneos de identificaciones e imágenes faciales es un objetivo más atractivo que una lista de direcciones de correo electrónico. Si una plataforma o su proveedor de verificación sufre una brecha, el daño es más difícil de deshacer, porque no puedes cambiar tu cara ni tu identificación nacional de la misma manera que cambias una contraseña.

Vinculación de identidad con actividad. La discusión pública en México ya refleja esta preocupación. Un hilo de foro ampliamente compartido argumentaba que la verificación de edad es en realidad verificación de identidad, y que el anonimato en línea terminaría si las plataformas saben quién escribió qué. Esa es una opinión de usuario, no un hallazgo, pero captura una pregunta real de diseño: ¿la verificación confirma solo que alguien supera un umbral, o vincula una identidad real a una cuenta?

Retención y reutilización. Los requisitos de mantenimiento de registros, como la sugerencia reportada de 90 días hábiles para cuentas eliminadas, significan que los datos pueden almacenarse por más tiempo de lo que los usuarios esperan. Cuantos menos datos conserve un sistema y más pronto los elimine, menor será la exposición.

Existen enfoques que preservan la privacidad. Los comentarios en los resultados de búsqueda apuntan al trabajo europeo sobre métodos que confirman la edad sin revelar la identidad. Está por verse si las plataformas mexicanas adoptan algo similar.

Qué puede y qué no puede hacer una VPN por los usuarios en México

Una VPN cifra tu conexión y oculta tu dirección IP de los sitios que visitas y de tu proveedor de red. Eso es útil para proteger el tráfico en Wi-Fi público y limitar algunas formas de rastreo.

No resuelve el problema que crea este decreto. Si una plataforma te pide subir una identificación o tomarte una selfie, la VPN no impide que entregues esos datos, y la plataforma aún los recibe. Una vez que inicias sesión en una cuenta vinculada a una identidad verificada, tu dirección IP importa mucho menos que la cuenta en sí.

Una VPN puede cambiar la ubicación en la que un servicio cree que estás, pero no recomendaríamos tratarlo como una solución alternativa. Las plataformas pueden aplicar verificaciones basadas en la cuenta o el dispositivo en lugar de la ubicación, y los términos de servicio a menudo restringen la elusión. El resumen honesto es que una VPN protege tu conexión, no tus documentos de identidad.

Cómo encaja México en el impulso global de verificación de edad

México no actúa solo. Gobiernos y plataformas en varias regiones están alejándose de las edades autodeclaradas hacia las verificadas. En Estados Unidos, por ejemplo, cubrimos cómo KOSA volvió al Senado mientras Illinois añadió verificación de edad a nivel de dispositivo, otra señal de que las verificaciones pueden acercarse más al sistema operativo o al dispositivo en lugar de residir dentro de cada aplicación.

El hilo común es una compensación entre los objetivos de seguridad infantil y la privacidad. Cuanto más fuerte es la verificación, más datos tiende a requerir, a menos que el diseño limite deliberadamente lo que se recopila.

Qué significa esto para ti

Si vives en México o usas plataformas orientadas a México, espera que las solicitudes de edad sean más exigentes en los próximos meses, particularmente en redes sociales, juegos y tiendas de aplicaciones. Puede que te pidan documentos o un escaneo facial donde antes bastaba una casilla de verificación.

No tienes que entrar en pánico, pero puedes actuar con deliberación. Antes de enviar cualquier cosa, verifica qué dice la plataforma que recopila, cuánto tiempo lo conserva y si un servicio de terceros gestiona la verificación.

Conclusiones prácticas

  • Lee el aviso de privacidad antes de subir una identificación o una selfie, y busca los períodos de retención.
  • Prefiere métodos que confirmen la edad sin almacenar tus documentos, si una plataforma ofrece la opción.
  • Usa contraseñas únicas y autenticación de dos factores en cuentas vinculadas a una identidad verificada.
  • Recuerda que una VPN protege tu conexión, no los datos que envías voluntariamente.
  • Sigue la implementación del decreto antes del plazo reportado de mediados de noviembre de 2026, ya que los detalles pueden cambiar.

El debate sobre la privacidad en el decreto de verificación de edad de México apenas comienza. Para un contexto más amplio, comienza con nuestra cobertura de KOSA y la verificación a nivel de dispositivo en Illinois y sigue a vpn.social mientras se desarrolla el impulso más amplio de verificación de edad.