Multa a TikTok por fallas en la privacidad de TikTok según la UE

El 24 de julio de 2026, la Comisión Europea emitió una de las decisiones regulatorias más severas en el entorno digital al notificar a TikTok sus conclusiones preliminares por el incumplimiento de la Ley de Servicios Digitales (DSA, por sus siglas en inglés). Tras meses de investigación, las autoridades comunitarias concluyeron que la arquitectura de la red social propiedad de ByteDance no protege adecuadamente a sus usuarios menores de edad. La causa principal radica en configuraciones predeterminadas deficientes y mecanismos de seguridad endebles dentro de la aplicación. Este hallazgo exacerba las críticas sobre la privacidad de TikTok, revelando cómo el diseño de la plataforma prioriza la distribución viral sobre la protección de los datos personales de adolescentes.

De acuerdo con el ejecutivo europeo, la plataforma permite que los usuarios de entre 13 y 17 años operen en entornos de visibilidad excesiva donde cambiar el perfil de privado a público resulta alarmantemente sencillo. Esta vulnerabilidad deja al descubierto videos, listas de seguidores, fotos de perfil y metadatos ante cualquier persona, incluidos internautas no registrados que navegan desde la web abierta. Bajo el marco del DSA, la seguridad de los menores no puede ser una opción secundaria ni depender de configuraciones complejas: debe ser la norma por defecto. Con la amenaza explícita de multas multimillonarias, Bruselas ha dejado claro que las grandes tecnológicas deben reestructurar la privacidad desde el núcleo de su código.

El marco del DSA: La privacidad por defecto como mandato legal

La Ley de Servicios Digitales de la Unión Europea establece un estándar estricto para las Plataformas En Línea de Gran Tamaño (VLOPs, por sus siglas en inglés). El principio rector es claro: las salvaguardas de seguridad, privacidad y protección infantil deben estar integradas por defecto en el diseño del servicio (privacy by design and by default). Henna Virkkunen, Vicepresidenta Ejecutiva de la Comisión Europea para la Soberanía Tecnológica, declaró que la protección de alto nivel no debe ser una casilla optativa que el usuario deba buscar y activar, sino la configuración base infranqueable para cualquier menor de edad.

En esa misma línea, el portavoz de la Comisión, Thomas Regnier, enfatizó que las configuraciones para menores no son un “concurso de belleza” en el marco del DSA, sino medidas que deben ser plenamente efectivas en la práctica. Regnier advirtió que la exposición pública inadvertida de niños y adolescentes los somete a riesgos graves de ciberacoso, contacto no solicitado y comportamientos depredadores. Para la UE, dejar resquicios técnicos en las cuentas de los menores no es un detalle estético de la interfaz, sino una falla sistémica de seguridad.

Si la Comisión Europea confirma sus hallazgos tras el periodo de alegaciones de TikTok, la compañía enfrentará un dictamen formal de no conformidad. Esto podría traducirse en sanciones financieras devastadoras de hasta el 6% de su facturación anual global. La medida refleja la determinación de Bruselas por meter en cintura a las Big Tech, en un momento en que TikTok ya acarrea un historial de sanciones en suelo europeo por el manejo de datos de menores y transferencias internacionales irrestrictas.

Las fallas técnicas detectadas: Por qué la privacidad de TikTok está bajo escrutinio público

El informe del 24 de julio de 2026 detalla de qué manera la arquitectura técnica de TikTok falla en la protección de los datos. La investigación identificó tres vulnerabilidades centrales que comprometen la seguridad de los usuarios de 13 a 17 años:

• Fricción inexistente en el cambio de privacidad (13 a 15 años): Aunque las cuentas de usuarios de 13 a 15 años deberían mantenerse privadas, el sistema permite que los adolescentes conmuten su cuenta a un estado público con un par de clics, sin requerir pasos adicionales de confirmación ni el aval de controles parentales.
• Indexación web y empuje algorítmico (16 y 17 años): Los perfiles de menores de 16 y 17 años no solo quedan expuestos de forma abierta en la web para usuarios no autenticados, sino que sus publicaciones se inyectan automáticamente en el feed algorítmico “Para ti” (For You Feed), proyectando su contenido ante audiencias globales no deseadas.
• Filtración sistémica de metadatos: Aun cuando una cuenta está configurada como privada, elementos fundamentales como la foto de perfil permanecen visibles públicamente. Además, estos perfiles pueden descubrirse fácilmente explorando las listas de seguidores y seguidos de otros usuarios, erosionando el blindaje de privacidad