La Agencia Española de Protección de Datos ha abierto actuaciones tras la investigación de Maldita.es sobre la difusión de material de abuso sexual infantil en TikTok. La persecución de esos delitos corresponde a la Fiscalía y a los jueces, pero el caso pone el foco en una obligación que afecta a miles de empresas españolas: cómo tratan las imágenes y los datos de los menores con los que trabajan.
Qué ha ocurrido
Durante 35 días, entre el 11 de septiembre y el 15 de octubre de 2026, el equipo de Maldita.es rastreó TikTok y localizó 1.183 contenidos explícitos de abuso sexual infantil difundidos desde 231 perfiles, con cerca de 48 millones de visualizaciones acumuladas. De una muestra de 50 vídeos denunciados a la plataforma, TikTok retiró inicialmente solo cinco. El Ministerio de Juventud e Infancia trasladó la investigación a la Fiscalía y se dirigió también a la AEPD.
El 11 de noviembre, la Agencia hizo pública su posición. Califica los hechos de especialmente graves, reconoce el valor del periodismo de investigación y recuerda que investigar los delitos corresponde a las Fuerzas y Cuerpos de Seguridad, al Ministerio Fiscal y a los órganos judiciales. Dentro de su ámbito, ha iniciado tres actuaciones: pedir a Maldita.es la relación de enlaces afectados, requerir a TikTok información concreta sobre la retirada de esos contenidos y, tras analizarla, ordenar el bloqueo del acceso a los enlaces que supongan un tratamiento ilícito de datos de menores. Una medida que la propia AEPD define como concreta, proporcionada y respetuosa con la libertad de expresión e información.
Por qué la AEPD no puede actuar sola
TikTok tiene su establecimiento principal en Europa en Irlanda. Por el mecanismo de ventanilla única del RGPD, la autoridad que supervisa a la plataforma es la Comisión de Protección de Datos irlandesa (DPC). La AEPD solo puede adoptar medidas propias en supuestos tasados y excepcionales, como el procedimiento de urgencia del artículo 66 del RGPD. Por eso trasladará la información a la DPC, al Comité Europeo de Protección de Datos, al resto de autoridades europeas y a la Comisión Europea, competente en la aplicación del Reglamento de Servicios Digitales.
Esta arquitectura explica la sensación de lentitud que generan estos casos con las grandes plataformas. Pero no debe llevar a ninguna empresa española a una conclusión equivocada: para tu negocio, la autoridad de control es la AEPD, y actúa con rapidez.
La lección que interesa a tu negocio
Buena parte del material que circula en estos entornos no se produce en la clandestinidad. Investigaciones anteriores de la propia Maldita.es ya documentaron la reutilización con fines sexuales de vídeos de niñas y adolescentes reales que se habían publicado en abierto.
Ahí está la conexión con la empresa. Academias, clubes deportivos, escuelas de música y danza, centros de ocio, campamentos, peluquerías infantiles, fotógrafos, organizadores de eventos o colegios publican cada semana fotografías de menores en webs, perfiles de Instagram, grupos de WhatsApp y carteles. Lo hacen casi siempre con buena intención: mostrar la actividad, captar alumnos, dar visibilidad. Pero una vez publicada, esa imagen escapa al control del negocio. No se trata de alarmismo, sino de asumir que cada fotografía de un menor es un dato personal especialmente delicado y que quien la publica es responsable de ella.
Qué exige la ley
El marco es claro y no admite interpretaciones creativas:
- Consentimiento según la edad (art. 7 LOPDGDD). Por debajo de los 14 años, el consentimiento para tratar los datos del menor lo deben dar sus padres o tutores.
- Obligación específica para quien trabaja con menores (art. 92 LOPDGDD). Los centros educativos y cualquier persona física o jurídica que desarrolle actividades con menores deben garantizar su interés superior y sus derechos fundamentales cuando publiquen sus datos en internet. La difusión en redes sociales exige el consentimiento del menor o de sus representantes legales.
- Protección reforzada de la imagen (art. 4 de la Ley Orgánica 1/1996). El uso de la imagen de un menor que pueda perjudicar su honra o reputación, o que sea contrario a sus intereses, se considera intromisión ilegítima incluso con consentimiento, y el Ministerio Fiscal puede intervenir.
- Régimen sancionador del RGPD. Las infracciones pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global. Para una pyme, una sanción mucho menor ya es un problema serio; el daño reputacional, todavía más.
Siete medidas que puedes aplicar esta semana
- Haz inventario. Localiza dónde publica tu negocio imágenes de menores: web, redes, grupos de WhatsApp, newsletter, cartelería, material impreso.
- Revisa los consentimientos. Deben ser específicos, por escrito, separados del resto de la documentación y distinguir canales (web, redes sociales, material impreso). Recuerda que son revocables en cualquier momento.
- Minimiza. Planos generales, de espaldas o sin rostros identificables. Nunca combines imagen, nombre completo, ubicación y horarios en una misma publicación.
- Elimina el contexto. Nada de etiquetas, geolocalización ni publicación en tiempo real de actividades con menores.
- Usa canales cerrados. Las fotos de eventos para las familias, en un área privada con acceso controlado, no en perfiles abiertos.
- Regula los móviles del personal. Prohíbe captar o almacenar imágenes de menores en dispositivos personales y fija un protocolo por escrito.
- Prepara un plan de retirada. Define quién retira un contenido, en qué plazo y cómo se actúa si una imagen aparece donde no debe.
Todo ello debe quedar reflejado en el registro de actividades de tratamiento y acompañado de formación básica al equipo. No es burocracia: es la prueba de que el negocio actúa con diligencia.
Si te encuentras este tipo de contenido
No lo compartas nunca, ni siquiera para denunciarlo o alertar a otros: difundirlo es delito. No lo descargues. Denúncialo en la propia plataforma y ante la Policía Nacional o la Guardia Civil. Para contenidos sensibles publicados sin consentimiento, la AEPD dispone de su Canal Prioritario, y el 017 de INCIBE ofrece ayuda gratuita y confidencial en ciberseguridad.
Sin duda alguna el caso TikTok terminará en manos de fiscales, jueces y autoridades europeas. Pero deja una lección que no depende de ninguna plataforma: la protección de los menores empieza en quien pulsa el botón de publicar. Para un negocio que trabaja con niños y adolescentes, revisar hoy cómo gestiona sus imágenes no es una obligación más del RGPD. Es una cuestión de responsabilidad y, también, de confianza con las familias que le confían lo más importante que tienen.
Colaboración · BROKENTIA
¿Tu empresa cumple con la protección de datos?
Igual que con Hacienda, un descuido con el RGPD puede salir caro. Haz el autodiagnóstico gratuito: en 3 minutos sabrás tu nivel de riesgo y qué necesitas.
