La era de “muestre sus documentos” en internet está destruyendo la privacidad

• La verificación de edad en línea puede ir más allá de comprobar simplemente la edad y convertirse en un sistema que confirma la identidad del usuario mediante imágenes faciales, documentos oficiales, conexiones bancarias y datos de cuentas existentes
• La prohibición australiana de redes sociales para menores de 16 años entró en vigor en diciembre de 2025, pero una encuesta del gobierno mostró que cerca de 7 de cada 10 niños seguían usando redes sociales, y un estudio del BMJ tampoco encontró casi ninguna reducción inmediata y significativa
• Para evitar el riesgo de multas elevadas, las plataformas dependen de herramientas de verificación de terceros como k-ID de Snapchat, lo que genera problemas de recopilación y almacenamiento de datos personales sensibles, además de la aplicación de leyes extranjeras
• Una brecha en una app de soporte al cliente de terceros usada por Discord expuso información de unos 68,000 usuarios australianos, y el gobierno australiano también reconoció el riesgo de phishing que aprovecha la confusión en torno a la verificación de edad
• Con debates en el Reino Unido, varios estados de EE. UU. y a nivel federal sobre KOSA/KIDS Act, descargar apps, crear cuentas, publicar fotos, jugar y usar chatbots de IA podría convertirse en una participación en internet basada en la identidad

---

La estructura por la que la verificación de edad se convierte en verificación de identidad

• Para comprobar la edad en línea, los usuarios deben proporcionar información como imágenes faciales, documentos de identidad emitidos por el gobierno, conexiones bancarias o datos de cuentas existentes, o bien la plataforma debe estimar su edad con datos que ya posee
• Este enfoque puede aplicarse no solo a actividades de fandom deportivo, sino también a críticas fuertes contra políticos, a compartir experiencias de abuso o adicción, y a debatir problemas médicos sensibles
• Un internet al estilo “papers, please” tiende a abrir los espacios de debate público solo a quienes pueden confiarle a empresas tecnológicas, apps de verificación de terceros y gobiernos la recopilación de datos exigida
• Los usuarios que quieran seguir accediendo probablemente entregarán la información, pero a cambio volverán a calcular qué dicen y qué hacen en línea

La prohibición australiana de redes sociales para menores de 16 años

• La prohibición australiana de redes sociales para menores de 16 años entró en vigor en diciembre de 2025 y se convirtió en una referencia para otros países que diseñan regulaciones similares
• Su efecto después de la implementación ha sido limitado
  • En una encuesta del gobierno australiano, incluso varios meses después de la entrada en vigor de la prohibición, cerca de 7 de cada 10 niños seguían usando redes sociales
  • Un estudio del British Medical Journal también confirmó que había poca evidencia de una reducción inmediata y significativa en el uso declarado de redes sociales por parte de adolescentes menores de 16 años
• En las escuelas australianas los teléfonos móviles ya estaban prohibidos, por lo que la medida no apunta al uso durante clases, sino a lo que hacen los niños en internet durante su tiempo libre
• La ley exige que las empresas de redes sociales tomen medidas suficientes para mantener sin sesión iniciada a los usuarios menores de 16 años; incumplirlo implica el riesgo de multas elevadas

Verificación de terceros y riesgos de almacenamiento de datos

• Bajo la ley australiana, las plataformas pueden tener que recopilar datos biométricos, documentos de identidad emitidos por el gobierno y otros datos de los usuarios
• En algunos casos se puede decidir con datos existentes, como el tiempo desde la apertura de la cuenta, pero en muchas situaciones se deben reunir datos adicionales del usuario para verificarlos de forma independiente
• Snapchat usa k-ID, una empresa con sede en Singapur
  • Los métodos de verificación son conexión bancaria, escaneo de documento oficial y estimación del rango de edad basada en selfie
  • Para los usuarios es difícil saber cómo una empresa de terceros almacena y protege sus datos, qué leyes se le aplican y qué tan vulnerable es a solicitudes de censura de gobiernos locales o extranjeros
• Australia exige que la información personal recopilada para la verificación de edad se destruya una vez cumplido el propósito
  • Sin embargo, como ese propósito también incluye objeciones y gestión de reclamos, no queda claro cuánto tiempo permanecen los datos de usuarios que impugnan una clasificación de edad incorrecta
• El Age Assurance Technology Trial de Australia encontró evidencia de que, cuando no hay directrices concretas, los proveedores de servicios anticipan en exceso la necesidad de proporcionar datos personales ante posibles investigaciones futuras de reguladores
  • La recopilación y conservación de datos innecesaria y desproporcionada puede aumentar el riesgo de violaciones de privacidad

Filtraciones reales y riesgo de phishing

• Cuantos más datos se recopilen y más tiempo se almacenen, mayor será la probabilidad de que brechas o hackeos amenacen la privacidad de los usuarios
• Unas semanas antes de la implementación de la prohibición para menores de 16 años, una brecha en una app de soporte al cliente de terceros usada por Discord afectó a unos 68,000 usuarios australianos
  • Esa app se usaba principalmente para gestionar reclamos relacionados con el proceso de garantía de edad de la plataforma
  • La información filtrada incluía imágenes de documentos oficiales, nombres, nombres de usuario, direcciones de correo electrónico y algunos datos de pago limitados
• El gobierno australiano reconoció que la verificación de edad obligatoria crea un nuevo riesgo de intentos de phishing que aprovechan la confusión relacionada con la prohibición
• Las plataformas deben guiar a los usuarios para que entiendan el proceso de verificación, pero también queda sobre los usuarios la carga de comprobar por su cuenta para evitar fraudes
• Gobiernos que venían cuestionando la recopilación de datos personales por parte de las empresas tecnológicas ahora la exigen por ley

Participación en internet basada en perfilamiento

• La Australian Human Rights Commission considera que, aunque algunas cuentas eviten el proceso de verificación de edad, eso no significa que queden fuera de vigilancia
• Si una plataforma puede decidir con datos que ya posee, el usuario será evaluado mediante perfilamiento incluso sin una verificación separada
• Las directrices del eSafety Commissioner señalan que, cuando una plataforma tiene otros datos precisos, no todos los titulares de cuentas pasan por el proceso de verificación de edad, pero eso significa que la plataforma decide con la información que ya conoce sobre el usuario
• Se está creando una estructura legal que exige perfilar a los usuarios para participar en internet

El enfoque “Australia-plus” del Reino Unido

• El Reino Unido, junto con Francia, España, Emiratos Árabes Unidos, Indonesia, Malasia, Grecia, Dinamarca, Noruega y la Unión Europea, está impulsando una prohibición de redes sociales para menores de 16 años
• El método concreto de aplicación y verificación del Reino Unido aún no se ha publicado, pero el primer ministro Keir Starmer afirmó que la versión británica será “Australia-plus”
  • El Reino Unido dice que aprenderá de la experiencia australiana y hará mucho más difícil que los niños eludan las protecciones
  • Starmer luego dejó el cargo de primer ministro, pero no hay señales de que ese plan de política vaya a cambiar
• Si la aplicación en Australia ya conlleva riesgos de privacidad, una aplicación más estricta puede derivar en amenazas mayores para la privacidad

Posible regulación de las VPN

• Funcionarios británicos han mostrado públicamente interés en apuntar contra las VPN para impedir la evasión de la verificación
• Tras la implementación de la UK Online Safety Act, aumentó el uso de VPN por parte de usuarios que buscan evitar barreras gubernamentales sobre “daños” en línea
• Las autoridades británicas dijeron que están recopilando información sobre el uso de VPN después de la implementación de la Online Safety Act
• La secretaria de Tecnología Liz Kendall dijo que el gobierno hará un anuncio adicional sobre VPN en julio
• El ministro de Infancia Josh MacAlister dijo que existen opciones para aplicar puertas de edad también al uso de VPN, y que eso sería bienvenido
• Si apunta contra el uso de VPN, el Reino Unido podría quedar en una posición más parecida a la de países como China, Irán y Rusia

Movimientos estatales y federales en Estados Unidos

• Estados Unidos también avanza hacia un internet al estilo “papers, please”
• Al menos 19 estados aprobaron leyes que tratan el acceso de menores a redes sociales o los feeds “adictivos”
  • Algunas pueden aplicarse, algunas recibieron órdenes judiciales de suspensión y algunas aún no entran en vigor
• Más de 20 estados aprobaron leyes de verificación de edad para sitios web de contenido para adultos
  • Muchas de esas leyes ganaron una posición más sólida tras el fallo de la Corte Suprema de 2025 en Free Speech Coalition v. Paxton
• En estados como Texas y Utah hay litigios en curso sobre leyes de garantía de edad para tiendas de apps
• A nivel federal, la “Kids Online Safety Act”, es decir KOSA, fue incluida en el paquete más amplio KIDS Act de la Cámara de Representantes y es objeto de negociaciones entre el Senado y la Casa Blanca
• Los proyectos de la Cámara y el Senado difieren un poco, pero ambos imponen regulaciones que, en la práctica, obligan a los sitios de redes sociales y otras plataformas a verificar la edad de los usuarios
• Si se convierte en ley federal, también reemplazará las decisiones de los estados que quieran mantener un internet libre y abierto

La carga sobre el anonimato en línea y la libertad de expresión

• Los gobiernos estatales y federal pueden obligar a recopilar información de los usuarios en varias etapas del uso de internet
• Elementos de garantía o verificación de edad pueden añadirse incluso al proceso de descargar una app en una tienda de aplicaciones, crear una cuenta y publicar una foto
• Los destinatarios pueden incluir no solo a un usuario de 14 años que quiere jugar, sino también a un usuario de 40 años que publica sobre cocina
• El alcance del debate se está expandiendo rápidamente a videojuegos y chatbots de IA
• Las nuevas obligaciones y capas aumentan los siguientes riesgos
  • Brechas de datos
  • Recopilación y conservación excesivas de datos
  • Exigencias legales de censura sobre los datos recopilados
  • Abusos por parte de empresas y gobiernos
  • Presión hacia la autocensura
  • Posibles violaciones evidentes de la Primera Enmienda
• Como ha habido casos de personas, incluidos altos funcionarios del gobierno, que intentaron rastrear maliciosamente la identidad de sus críticos, la postura es que resulta importante preservar más capas de anonimato en el discurso en línea
• Incluso tomando en serio la necesidad de proteger a los niños, muchas de las políticas y soluciones legislativas que se proponen hoy imponen una carga difícil de sostener sobre la capacidad de hablar de manera libre y anónima en internet
• La verificación de edad exige en gran medida verificación de identidad, y la infraestructura legislativa que ata fuertemente la expresión en línea a verificaciones de edad e identidad exigidas por el gobierno puede ser difícil de desmantelar más adelante

[mammal]

Para persuadir a un público más amplio, da la impresión de que habría que apoyarse en teorías conspirativas. De verdad es lamentable, pero podría convertirse en un juego de tomar prestadas tácticas de la derecha y del extremismo
Por ejemplo, empezar con algo como: “exigir una ID en línea es el primer paso para implantarle microchips a la población”
o también de la forma: “marxistas/Antifa/nazis/sionistas/islamistas/cualquier grupo que se crea que tiene el poder quiere destruir tu privacidad en línea para usarla luego en tu contra. Algún grupo maligno quiere saber cada uno de tus movimientos”
y también podría funcionar: “¿Recuerdas los archivos de Epstein? Ahora los pedófilos quieren identificar a tus hijos en línea”
Con un enfoque basado solo en la verdad, la evidencia y la razón, no se puede captar la atención de la gente. Simplemente no les importa

Es absurdo, pero que suene plausible es justamente la tragedia de la sociedad moderna.

[GN⁺]

Opiniones en Hacker News

• Aquí al menos existen soluciones técnicas parciales, como las credenciales anónimas. Las versiones más recientes de esta técnica pueden adjuntar metadatos, como una prueba de ser mayor de cierta edad, sin permitir que el verificador relacione entre sí las solicitudes repetidas de los usuarios
  Un gobierno que se tome en serio la verificación de edad y la privacidad personal, aunque es dudoso que realmente lo haga, tendría que acordar un protocolo y establecer emisores de certificados vinculados a una ID digital. Entonces, la verificación de edad no tendría por qué convertirse en un procedimiento invasivo ni aumentar las filtraciones de datos o las amenazas internas
  https://blog.cryptographyengineering.com/2026/03/02/anonymou...

  • El artículo aborda la posibilidad de que un tercero duplique maliciosamente estos tokens, pero pasa por alto un caso de uso mucho más común y que vuelve inútil este enfoque para la verificación de edad
    Que me roben mi credencial y, sobre todo, impedir la transferencia misma de credenciales que solo se usan de forma limitada son problemas distintos. El objetivo de un sistema de verificación de edad es impedir que los menores accedan a ciertos recursos y, aunque todos saben que hacerlo perfectamente es imposible en la práctica, lo que quieren los gobiernos y las empresas de redes sociales es aumentar mucho la fricción de ese proceso
    La forma de generar más fricción es vincular la credencial de algún modo con una identidad del mundo real. Eso podría quedar oculto tras barreras legales, pero si descubren a un menor usando la credencial de otra persona, tendría que ser posible investigar al titular de esa credencial y, si hace falta, procesarlo por un delito parecido a suministrar alcohol a un menor. Sin capacidad de ejecución en el mundo real, este tipo de solución de identidad no puede funcionar
    Uno puede seguir soñando con soluciones técnicas, pero no hay ninguna que no conduzca al mundo contra el que advierte FIRE. Al final no queda otra que detenerse en un punto “suficientemente aceptable” y no expandirse hacia una verificación total de identidad. La solución posible aquí se parece más a dar funciones para que los padres puedan supervisar y limitar mejor el uso de internet de sus hijos. Hay que permitir que cada padre defina qué nivel de daño está dispuesto a aceptar y asumir que, incluso si los padres son diligentes, seguirán existiendo formas de eludirlo, así que el foco debe estar en reducir el daño en los márgenes
  • La solución mucho más simple que ya existe son los controles parentales en los dispositivos de los hijos. Sinceramente no entiendo por qué eso no resolvería el problema
    Claro, los padres tienen que configurarlos por sí mismos. Pero los padres también tienen la responsabilidad de guardar bajo llave el alcohol, las drogas, las armas, los condones y muchas otras cosas
    Puede que los controles parentales no sean lo bastante buenos. Ahí es donde la regulación sí podría ayudar de verdad. Se podría exigir que los dispositivos certificados para niños implementen funciones mínimas de control parental y que sean fáciles de usar
  • No creo que ahora ni en el futuro el gobierno vaya a mantener privado un sistema así. Tampoco veo cómo meter ahí un mecanismo de auditoría perfecto para comprobar que los datos siempre sean realmente privados
    También siempre me he preguntado cómo sería posible una verificación de identidad realmente anónima. En el caso de la verificación de edad, incluso en el mejor escenario habría que validar mi edad, y para comprobar que el token sea válido probablemente recibiría algún token verificable por una autoridad central. La autoridad central podría guardar un registro de mi token en cualquier momento y revocarlo si quisiera, y cualquier entidad capaz de verificar la edad conectada o incrustada en el token conocería al menos parte de mi información personal
  • Si no se puede vincular, ¿qué impediría que alguien montara un sitio para repartir tokens anónimos que cualquiera pudiera usar?
  • No creo que al gobierno le importe realmente la privacidad y, aunque así fuera, no quiero distinguir entre “niños” y “adultos” en internet. Hasta ahora parece que ha funcionado bien, y tampoco parece haber una demanda popular por la verificación de edad. Más bien se siente como algo impulsado por empresas, ONG e instituciones opacas
    Parece bastante claro que el objetivo incluye otras intenciones aparte de proteger a los niños

• Para que este argumento convenza a los votantes, los defensores de la privacidad tendrían que explicar con mucha más claridad cómo se vería en concreto eso de que luego te termina perjudicando. Algo de eso se menciona después, pero la mayoría de la gente probablemente hará un cálculo mental aproximado de costo-beneficio y decidirá que una pequeña ventaja supera un pequeño riesgo
  “Eso trae muchos riesgos: filtraciones de datos, recolección y retención excesivas de datos, exigencias legales censuradoras sobre los datos recopilados, abusos de empresas y gobiernos, presión hacia la autocensura e incluso la posibilidad de violaciones flagrantes de la Primera Enmienda. Cada nueva capa y cada nueva obligación aumentan también el potencial de riesgo. Como por desgracia hemos visto repetidas veces en los últimos años, incluidos altos funcionarios del gobierno, hay personas que intentan de mala fe descubrir la identidad de sus críticos, así que cuantas más capas de anonimato se puedan preservar en la expresión en línea, mejor.”

  • Empiezo a pensar que para convencer al público más amplio habría que apoyarse en teorías conspirativas. Es realmente lamentable, pero podría terminar siendo un juego de tomar prestadas tácticas de la derecha y de los extremistas
    Por ejemplo, empezar con algo como “exigir una ID en línea es el primer paso para implantarle un microchip a la población”
    O algo como “marxistas/Antifa/nazis/sionistas/islamistas/cualquier grupo que se crea que tiene el poder quiere destruir tu privacidad en línea para usarla luego en tu contra. Algún grupo malvado quiere saber todos tus movimientos”
    También podría servir “¿te acuerdas de los archivos de Epstein? Ahora los pedófilos quieren identificar a tus hijos en línea”
    Un enfoque basado en la verdad, la evidencia y la razón no alcanza para captar la atención de la gente. A la gente simplemente no le importa

• Suponiendo que no haya un cambio revolucionario en Estados Unidos, cuando me jubile pienso salirme del mundo digital. Voy a usar solo medios físicos, no voy a tener suscripciones, voy a pasar mucho tiempo en bibliotecas y a buscar gente con ideas parecidas para verla en persona. Solo mantendré lo mínimo necesario para sobrevivir, como la banca

  • Llevo yendo lentamente en esa dirección desde hace 10 a 20 años. Todavía uso un poco internet, pero sobre todo algo como esto, y lo he reducido mucho. El resto es básicamente por trabajo
  • Precisamente por eso los que están en el poder van a querer volver ilegal todo eso

• Se agradece que haya muchas soluciones técnicas que no invaden la privacidad, pero siento que se está perdiendo el punto importante. ¿De verdad es necesario que los niños estén siempre conectados a internet desde tan pequeños? Muchas empresas de internet y telefonía parecen dar por hecho que los niños tienen que estar en línea, y eso ya produce una pérdida neta de privacidad a medida que crecen

  • Es una situación de tragedia de los comunes. Aunque haya beneficios en estar desconectado, esos beneficios se debilitan cuando el niño queda excluido de la corriente general
  • Estoy de acuerdo en que se debería limitar el acceso de los niños a internet. Yo crecí casi así y estuve bien, pero he visto muchos reportes de que perjudica la vida escolar y personal. En especial, también creo que los modelos de lenguaje a gran escala no deberían usarse en educación, pero ese es otro tema
    Aun así, la razón principal por la que a la gente le molesta la narrativa de “piensen en los niños” es que, al final, no solo los niños sino todo el mundo tendrá que entregar credenciales para acceder a internet. El consenso general es que, como adultos, no queremos demostrar nuestra identidad para acceder a internet, y no hay razón para hacerlo
  • Eso le toca decidirlo a los padres, no a otros
  • En el fondo, estamos a uno o dos pasos de tener que verificar la edad para encender el router

• En los próximos años, al menos en el Reino Unido, parece que iremos por este camino

  1. Límites de edad y prohibición de VPN con el pretexto de proteger a los niños de las redes sociales
  2. Unos años después, introducen el Identity Passport con el pretexto de la conveniencia, para no tener que repetir verificaciones de edad molestas
  3. Los servicios públicos como electricidad y agua empiezan a exigir el ID Passport. También se incluye contratar un ISP
  4. También se vuelve necesario un ID Passport para firmar un contrato de alquiler
  5. También se vuelve necesario un ID Passport para conseguir empleo
  6. Felicidades, han creado un nexo de tortura
  • Australia ya tiene la primera parte del punto 1 y la mayor parte de los puntos 3, 4 y 5. Ya casi llegan. La gente pensaba que la fauna salvaje de Australia era el nexo de tortura
  • En el Reino Unido ya se exige identificación para alquilar y para trabajar. Todos los arrendadores y empleadores deben recibir copias de documentos originales que demuestren el derecho a alquilar o trabajar en el Reino Unido
    Técnicamente se puede hacer sin entregar los documentos al gobierno, pero hacerlo a través del sitio web del Home Office reduce más la carga de responsabilidad

• Me alegra que esto por fin parezca estar surgiendo como el punto central del debate hoy. Esta es la pelea de verdad, o al menos una de las tres principales, y hasta ahora casi no ha recibido atención pública

  • La mayoría ya sabe que internet no es un lugar seguro para expresar ideas políticas. La sensación de impotencia del público es evidente
  • Lamentablemente, no creo que esté recibiendo atención pública. Sigue siendo un tema de interés muy de nicho. Ni de lejos alcanza para cambiar algo
  • En realidad no es así. No hay que confundir internet con la realidad. La mayoría en EE. UU. y Europa apoya este tipo de leyes, y a la mayor parte del resto simplemente no le importa
    Incluso en Hacker News, el consenso suele estar más cerca de apoyar desde límites de edad hasta volver ilegales todas las redes sociales

• Desde mi punto de vista, eso no va a pasar. No pienso entregar mi identificación ni permitir que todo registro de conexión a un servidor pueda rastrearse de vuelta hacia mí, así que internet simplemente se está haciendo cada vez más pequeño
  No es una opción, bajo ninguna circunstancia. Vivo con austeridad en un sector de altos ingresos, así que podría jubilarme en unos años. Si estuviera dispuesto a apostarlo todo a una herencia, podría retirarme incluso ahora
  Me da pena la gente que se verá obligada a participar. Pero hemos llegado hasta aquí porque a demasiada gente no le importa la privacidad

• El juego https://store.steampowered.com/app/239030/Papers_Please/ también es muy bueno

• Esto me parece más bien un problema técnico que podría resolverse bastante bien si hubiera voluntad y gente competente asesorando al gobierno. Vas al DMV, generas un par de claves y una entrada en una base de datos, y la app consulta la edad usando la clave pública y permisos firmados por el usuario con la clave privada
  La app podría pedir solo verificaciones específicas como is_over_21, is_citizen, sin datos adicionales. Seguro me equivoco en los detalles, pero a grandes rasgos sería algo así. Incluso toda la infraestructura podría ser de código abierto. La verificación de edad no tiene por qué ser lo mismo que la verificación de identidad por parte de una empresa externa, ni hace falta poner a esa empresa en posición de filtrar identificaciones

  • No hace falta nada de esto. Para empezar, el único dispositivo que realmente necesita restricciones es el teléfono móvil
    Si el user-agent tiene activado el bloqueo parental, entonces puede enviar la edad del usuario y exigir que los sitios web la respeten
    Los controles parentales y el sistema operativo tendrían que ser lo bastante robustos como para que los niños no puedan esquivarlos. Por ejemplo, impedir que instalen un navegador que omita el header o que se salten el bloqueo usando un sitio proxy
    Y ya
    Menciono solo el teléfono móvil porque es el dispositivo que los niños llevan siempre encima y pueden usar fácilmente en privado y sin supervisión
  • Ellos quieren que esto termine siendo lo mismo que la verificación de identidad. Si casi todos los principales ejecutivos tecnológicos que quieren quedar bien asisten a la toma de posesión, y empresas que antes se oponían ferozmente ahora giran 180 grados para apoyarlo, entonces alguien está obteniendo lo que quería. Pensar otra cosa parece ingenuo
    Además, el gobierno actual de EE. UU. despidió o ignoró a las personas competentes de las que se habla aquí, y esas personas se oponen a un repositorio central de distintos metadatos. Sería un punto único de fallo, es decir, un objetivo, y eso en general es una mala idea tanto para el Estado como para los ciudadanos
    Claro, ya hay agencias federales que tienen parte de esa información, pero la conservan para sus propios fines. Eso es mejor porque el abuso interno es más difícil y recopilarlo todo desde afuera es más engorroso
  • Esto no es un problema técnico sino un problema político
  • Este es un problema básico resuelto desde la aparición de PGP. Como ya dijeron muchos otros, esto no se trata de la verificación de edad
  • Igual sigo esperando la filtración de toda la base de datos que relacione identificaciones con claves. El gobierno de EE. UU. ni siquiera pudo proteger bien sus propios registros de personal; ¿de verdad creen que esto no será robado y usado para señalar a la gente como objetivo?

• Creo que Ethan Zuckerman dijo hace tiempo que el Congreso no está preparado ni es competente para resolver estos problemas, así que hay que diseñar sistemas que garanticen el resultado, y ponía a Signal como ejemplo. Esa es la actitud que hace falta ahora. Hace falta un toque de corneta de movilización para los ingenieros de software