¿Qué exige la UE a las webs porno para comprobar la edad del usuario?

El Tribunal de Justicia de la Unión Europea ha confirmado que un Estado miembro puede obligar a una web pornográfica establecida en otro país de la UE a implantar una verificación real de edad. El aval no es automático ni ilimitado: la medida debe proteger efectivamente a los menores, dirigirse a servicios concretos, ser proporcionada y respetar el procedimiento europeo.

Para el usuario adulto, el efecto más visible será el final progresivo del botón de “soy mayor de 18 años”, esa cerradura de cartón que cualquiera abre con un clic. El fallo permite exigir una prueba de mayoría de edad, pero no obliga a entregar el DNI a la página visitada ni autoriza a crear registros sobre los hábitos sexuales de la población.

La sentencia fue dictada el 16 de junio de 2026 en los asuntos acumulados C-188/24 y C-190/24. Nace de dos litigios franceses distintos, uno sobre webs pornográficas y otro sobre avisos de controles de carretera, aunque ambos comparten una cuestión jurídica: hasta dónde puede llegar un Gobierno cuando el servicio digital opera desde otro Estado miembro.

Qué ha decidido realmente el Tribunal de Justicia

En Francia, los editores de páginas para adultos deben instalar mecanismos técnicos capaces de impedir el acceso de menores. Las empresas checas WebGroup Czech Republic y NKL Associates recurrieron esa obligación ante el Consejo de Estado francés porque consideraban que vulneraba el principio del país de origen previsto en la Directiva sobre comercio electrónico.

Ese principio establece que, como regla general, un servicio digital se somete a la legislación del Estado donde está establecida la empresa. Es una pieza básica del mercado interior europeo: evita que una plataforma tenga que obedecer 27 sistemas regulatorios incompatibles cada vez que su contenido cruza una frontera.

El tribunal mantiene esa regla, pero recuerda que existen excepciones. Otro Estado puede intervenir cuando persigue objetivos reconocidos por la directiva, como el orden público, la seguridad pública o la protección de menores, y cuando cumple condiciones estrictas. La sede empresarial sigue importando, pero ya no funciona como una caja fuerte frente a cualquier regulación extranjera.

La resolución es prejudicial. Eso significa que Luxemburgo interpreta el derecho de la Unión, mientras corresponde al Consejo de Estado francés decidir finalmente si los decretos impugnados cumplen todos los requisitos. No es una autorización general para bloquear páginas ni una sentencia que cierre por sí sola el litigio nacional.

Las condiciones que limitan a los gobiernos

El primer límite es la proporcionalidad. La obligación debe ser adecuada para impedir el acceso de menores y no puede imponer una carga mayor de la necesaria. Proteger a la infancia es un objetivo legítimo; convertir cada entrada en una investigación de identidad, no necesariamente.

El segundo límite exige actuar contra servicios específicos que dañen realmente el objetivo protegido. El tribunal habla de decisiones individuales, requerimientos formales o prohibiciones adoptadas al amparo de una norma nacional. No respalda una vigilancia indiscriminada de internet ni restricciones lanzadas a granel.

Hay, además, un trámite europeo previo. Salvo urgencia, el Estado que desea intervenir debe pedir primero al Estado de establecimiento que adopte medidas apropiadas. Después ha de notificar su intención a ese país y a la Comisión Europea. Solo entonces puede imponer obligaciones a un proveedor asentado en otro territorio comunitario.

Cumplidas esas condiciones, un Gobierno podrá exigir un sistema de comprobación de edad a una página extranjera accesible desde su territorio. La empresa no podrá responder simplemente que está registrada en otro país. Pero la Administración tampoco podrá invocar la protección de menores como palabra mágica y saltarse el derecho europeo.

Qué cambia para las webs pornográficas

La principal consecuencia es bastante concreta: confirmar la mayoría de edad con una casilla dejará de ser suficiente allí donde una norma nacional exija un control efectivo. Las webs tendrán que integrar un mecanismo técnico fiable, capaz de diferenciar entre adultos y menores sin apoyarse únicamente en la palabra del visitante.

El Tribunal de Justicia no elige una tecnología ni impone un modelo único. La comprobación podría realizarse mediante una credencial digital, una aplicación independiente, una identidad electrónica, un documento procesado por un tercero o un sistema de estimación de edad. Lo decisivo será que el método funcione y respete la protección de datos.

La sentencia tampoco fija multas, calendarios de implantación ni sanciones comunes para toda la Unión Europea. Esas decisiones corresponderán a cada legislación nacional, a las autoridades competentes y, cuando proceda, al marco del Reglamento de Servicios Digitales. Luxemburgo ha dibujado el carril jurídico; todavía faltan muchos semáforos.

Las páginas alojadas fuera de la UE plantearán otro frente. Un bloqueo nacional puede empujar parte del tráfico hacia sitios menos conocidos, con peor moderación y sistemas de seguridad más débiles. Esa posibilidad obliga a evitar una regulación ornamental: cerrar la puerta principal sirve de poco cuando el edificio conserva veinte ventanas abiertas.

Privacidad: demostrar la edad sin revelar la identidad

La diferencia esencial está entre verificar la edad e identificar a una persona. Una web para adultos necesita saber que el visitante supera el umbral legal; no necesita conocer su nombre, domicilio, fecha completa de nacimiento o número de documento. Mezclar ambas cosas sería fabricar una base de datos especialmente sensible.

La Comisión Europea dispone desde abril de 2026 de una solución técnicamente preparada, conocida como mini cartera, que puede ser adaptada por los Estados miembros y los operadores. Su objetivo es permitir que alguien pruebe que tiene más de 18 años sin compartir ninguna otra información personal.

El modelo europeo funciona con una prueba anónima de edad. Una entidad confiable emite la acreditación a partir de una identidad electrónica, un pasaporte, un documento nacional, una aplicación bancaria u otra fuente admitida. Después se rompe el vínculo con el proveedor y la página recibe únicamente la confirmación necesaria.

La tecnología incorpora pruebas de conocimiento cero, una fórmula criptográfica que permite demostrar un dato sin revelar el resto. Dicho de manera menos solemne: enseñar la pulsera de acceso sin entregar al portero la cartera, las llaves y el historial de navegación. Ese principio de minimización de datos será decisivo.

El sistema deberá resistir filtraciones, suplantaciones y rastreos entre páginas. También tendrá que someterse a controles independientes de ciberseguridad y privacidad. Una solución mal diseñada podría proteger a los menores mientras construye un mapa íntimo de los adultos, una victoria bastante discutible.

Persisten, además, formas de evasión como las redes privadas virtuales, las cuentas prestadas o los servicios situados fuera del alcance europeo. Ninguna herramienta será infalible. La cuestión jurídica y tecnológica consiste en reducir el acceso infantil sin convertir la privacidad digital en el precio obligatorio de ser adulto.

España gana margen jurídico, pero no una obligación automática

Para España, la sentencia ofrece cobertura a medidas nacionales de comprobación de edad, siempre que respeten las condiciones fijadas por el tribunal. No activa automáticamente ningún sistema ni convierte en ley una propuesta parlamentaria. Aporta margen jurídico; no aprieta un interruptor.

El proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales continúa su tramitación en el Congreso. La futura norma deberá definir obligaciones, supervisión, sanciones y garantías. Hasta que ese proceso termine, el fallo europeo no sustituye al legislador español.

España también figura entre los Estados que trabajan con la solución técnica europea, junto con Francia, Dinamarca, Grecia e Italia. La herramienta puede publicarse como aplicación independiente o integrarse en las futuras carteras europeas de identidad digital, previstas para desplegarse en los Estados miembros.

El reto será aplicar reglas equivalentes a plataformas grandes, páginas minoritarias y operadores extracomunitarios. Si solo cumplen las marcas conocidas, el tráfico más joven puede desplazarse hacia rincones más opacos. La eficacia dependerá tanto de la tecnología como de la cooperación europea y la capacidad real de supervisión.

El algoritmo deja de ser una coartada automática

La segunda parte de la sentencia procede del litigio de Coyote System, una empresa francesa de asistencia a la conducción que recurría la prohibición de retransmitir avisos de determinados controles de carretera. El asunto parece lejano a las webs para adultos, pero introduce una doctrina con alcance para muchas plataformas.

El tribunal señala que un proveedor no puede beneficiarse siempre de la exención de responsabilidad reservada al alojamiento neutral cuando controla la información almacenada y difundida. Existe ese control cuando un algoritmo decide en qué condiciones, de qué forma y con qué prioridad se retransmite el contenido aportado por usuarios.

No significa que toda plataforma responda automáticamente de cualquier publicación. El análisis dependerá del grado de intervención real: almacenar datos no es lo mismo que seleccionarlos, ordenarlos y volver a distribuirlos conforme a criterios propios. La vieja idea de que el algoritmo es una nube sin dueño empieza, eso sí, a perder comodidad jurídica.

La conclusión es incómoda para parte del negocio digital. Las plataformas suelen presentar el algoritmo como su gran ventaja comercial cuando genera atención e ingresos, pero como un mensajero distraído cuando aparece la responsabilidad. El fallo recuerda que ordenar la información también supone ejercer poder sobre ella.

Una frontera digital que deberá respetar dos derechos

La Justicia europea ha despejado la cuestión central: los gobiernos pueden exigir controles efectivos de edad a webs pornográficas establecidas en otros países de la UE. El permiso queda sujeto a necesidad, proporcionalidad, actuaciones individualizadas y coordinación con el país de origen y la Comisión Europea.

Para los menores, la sentencia fortalece una barrera que hasta ahora era casi teatral. Para los adultos, el verdadero examen estará en la privacidad. El modelo legítimo no debería preguntar quién entra, sino únicamente si cumple la edad requerida. Ser mayor de edad, no entregar la identidad completa.

La nueva frontera digital no tiene por qué parecerse a una aduana con archivadores. Puede funcionar como una credencial breve, anónima y reutilizable sin dejar rastro entre servicios. Ese equilibrio —proteger sin vigilar— decidirá si la regulación europea resuelve un agujero evidente o abre otro mucho más profundo.