La AEPD actúa ante la difusión en TikTok de contenidos de abuso sexual infantil: qué ha pasado y qué deben aprender empresas y organizaciones

El 11 de noviembre de 2026, la Agencia Española de Protección de Datos (AEPD) publicó una nota de prensa sobre un asunto especialmente grave: la difusión en TikTok de contenidos de abuso sexual infantil, sacada a la luz por una investigación periodística de Maldita.es.

Más allá del impacto social de la noticia, el caso sirve para entender algo que muchas organizaciones desconocen: cómo se reparten las competencias entre autoridades cuando hay datos de menores en juego, qué puede hacer realmente la AEPD frente a una gran plataforma con sede en otro país europeo y, sobre todo, qué obligaciones tienen las empresas, centros educativos, clubes y asociaciones que gestionan imágenes de menores.

En este artículo lo analizamos desde una perspectiva práctica.

Qué ha ocurrido

Según la propia Agencia, tuvo conocimiento del caso a través de la investigación de Maldita.es, cuyo trabajo valora expresamente como ejemplo de periodismo de investigación amparado por las libertades de expresión e información.

Posteriormente, el Ministerio de Juventud e Infancia remitió a la AEPD una comunicación formal solicitándole una serie de actuaciones. La Agencia ha manifestado su rechazo a estos hechos y su compromiso con la protección de las víctimas, y ha recordado su trayectoria en la defensa de la infancia en internet y en la retirada urgente de contenidos sensibles.

Las tres actuaciones que ha iniciado la AEPD

Sin perjuicio de responder al Ministerio, la AEPD ha puesto en marcha, dentro de su ámbito de competencias, las siguientes medidas:

1. Solicitar a Maldita.es el listado de enlaces en los que, según su verificación, se estarían produciendo tratamientos ilícitos de datos personales.
2. Requerir a TikTok información concreta sobre la retirada de los contenidos denunciados.
3. Ordenar, tras analizar esa información, el bloqueo de acceso a enlaces y contenidos concretos que supongan tratamientos ilícitos de datos de menores.

La Agencia subraya que esta última medida es concreta, proporcionada y adecuada, y que respeta las libertades de expresión e información. Es decir: no se trata de bloquear la plataforma, sino de actuar sobre contenidos específicos.

Por qué la AEPD no puede actuar sola: la clave está en Irlanda

Este es uno de los puntos más relevantes, y menos conocidos, del caso.

TikTok ha designado Irlanda como su establecimiento principal en la Unión Europea. En aplicación del mecanismo de ventanilla única del RGPD, la autoridad de control principal sobre la plataforma es la Comisión de Protección de Datos de Irlanda (DPC), no la AEPD.

Eso limita el margen de actuación de la Agencia española a supuestos tasados y excepcionales, como el procedimiento de urgencia del artículo 66 del RGPD, que permite a una autoridad nacional adoptar medidas provisionales cuando es urgente proteger los derechos de los interesados.

Por ello, la AEPD trasladará toda la información a:

• La DPC irlandesa.
• El Comité Europeo de Protección de Datos (CEPD).
• Otras autoridades europeas de protección de datos.
• La Comisión Europea, por sus competencias en el Reglamento de Servicios Digitales (DSA), que regula las obligaciones de las grandes plataformas en materia de contenidos ilícitos.

Quién investiga los delitos

La nota deja claro otro aspecto fundamental: la AEPD no investiga delitos. La investigación penal corresponde a las Fuerzas y Cuerpos de Seguridad, al Ministerio Fiscal y a los órganos judiciales, que son también quienes pueden acordar judicialmente la retirada de contenidos ilícitos o restringir el acceso a un servicio.

Además, el artículo 84.2 de la LOPDGDD (Ley Orgánica 3/2018) establece que el Ministerio Fiscal debe intervenir cuando la difusión de imágenes o información de menores en redes sociales pueda suponer una intromisión ilegítima en sus derechos fundamentales, instando las medidas cautelares y de protección oportunas. La AEPD dispone de un protocolo de actuación con la Fiscalía para estos casos.

La Agencia ofrece su plena cooperación al Ministerio de Juventud e Infancia, a la Fiscalía, a jueces y tribunales, a las Fuerzas y Cuerpos de Seguridad, a la Comisión Europea y al resto de autoridades europeas.

Qué significa este caso para empresas y organizaciones

Aunque el caso afecta a una gran plataforma, el mensaje de fondo es aplicable a cualquier entidad que trate datos de menores: la imagen de un menor es un dato personal especialmente protegido, y su difusión indebida puede tener consecuencias graves e irreversibles.

Las organizaciones más expuestas son:

• Centros educativos, academias y escuelas infantiles.
• Clubes deportivos y escuelas deportivas.
• Asociaciones, AMPAS y entidades del tercer sector.
• Campamentos, ludotecas y empresas de ocio infantil.
• Fotógrafos, agencias de comunicación y gestores de redes sociales.
• Comercios y marcas que publican contenido con menores.

Marco normativo básico

• RGPD: exige base legal, minimización de datos y medidas de seguridad adecuadas.
• Artículo 7 LOPDGDD: los menores de 14 años no pueden consentir por sí mismos el tratamiento de sus datos; se requiere el consentimiento de quien ostente la patria potestad o tutela.
• Artículo 84 LOPDGDD: protección de menores en internet y papel del Ministerio Fiscal.
• Artículo 92 LOPDGDD: los centros educativos y cualquier persona o entidad que desarrolle actividades con menores deben garantizar la protección de su interés superior y sus derechos fundamentales, especialmente al publicar o difundir sus datos en redes sociales o servicios equivalentes.

Checklist práctico: revisa tu organización

Si tu entidad trabaja con menores, estas son las preguntas que deberías poder responder con un sí:

• ¿Tienes un consentimiento específico, informado y documentado de padres o tutores para captar y publicar imágenes?
• ¿El consentimiento diferencia finalidades (uso interno, web, redes sociales, prensa)?
• ¿Existe un protocolo interno que indique quién puede hacer fotos, con qué dispositivos y dónde se almacenan?
• ¿Se evita el uso de móviles personales del personal para captar imágenes de menores?
• ¿Publicas solo lo imprescindible, evitando nombres, ubicaciones o datos que permitan identificar al menor?
• ¿Tienes un procedimiento para retirar contenidos con rapidez si una familia lo solicita?
• ¿El personal ha recibido formación en protección de datos y uso de redes sociales?
• ¿Tu política de privacidad y tus textos legales web recogen correctamente el tratamiento de datos de menores?

Qué hacer si detectas contenido sensible en internet

• No lo compartas ni lo reenvíes, ni siquiera para denunciarlo: cada difusión amplía el daño.
• Si se trata de un posible delito, denúncialo ante la Policía Nacional, la Guardia Civil o la Fiscalía.
• Utiliza los mecanismos de denuncia de la propia plataforma.
• Si el contenido es sexual o violento y afecta a personas identificables, puedes acudir al Canal Prioritario de la AEPD, diseñado para solicitar la retirada urgente de este tipo de contenidos.

El caso TikTok pone de manifiesto que la protección de los menores en internet requiere una actuación coordinada entre autoridades nacionales y europeas, y que el RGPD y la DSA marcan los límites y las herramientas de cada una.

Pero también recuerda que la prevención empieza mucho antes de que un contenido llegue a una gran plataforma: en el colegio que publica la foto de una excursión, en el club que sube el vídeo de un partido o en la empresa que utiliza imágenes de menores en su comunicación.

Cómo te ayuda BROKENTIA

En BROKENTIA ayudamos a centros educativos, clubes, asociaciones y empresas a cumplir la normativa de protección de datos de forma práctica y sin complicaciones:

• Auditoría RGPD/LOPDGDD de tus tratamientos de datos de menores.
• Modelos de consentimiento para captación y publicación de imágenes.
• Protocolos internos de uso de imágenes y redes sociales.
• Adaptación legal de tu web y de tus perfiles sociales.
• Formación para tu equipo.

¿Quieres revisar si tu organización está protegida? Contacta con nosotros y te ayudamos a ponerlo en orden.