Qué ha cambiado
Desde el 15 de septiembre de 2026 la CNPD tramita como urgentes tres tipos de denuncia relativos a datos personales de niños y jóvenes. El anuncio es del 17 de septiembre. El canal no sustituye la notificación de violación de datos del artículo 33 del RGPD, no sustituye los formularios generales de denuncia y no es una interpretación del derecho: es otra forma de trabajar de la autoridad.
Lo primero que hay que entender es la dirección, porque es lo que decide si hace falta hacer algo o no. El canal no crea ninguna obligación nueva para el responsable del tratamiento: es un instrumento en manos de la ciudadanía, sirve para denunciar y no para notificar. Lo que cambia, para quien trata datos de menores, no es una tarea más. Es la velocidad con que una denuncia que le afecta llega a la autoridad y se asume.
- Acceso indebido a datos de menores.
- Recogida y difusión de imagen o sonido con contenido sensible o violento, sin consentimiento.
- Publicidad dirigida a menores.
El canal pueden usarlo los propios niños y jóvenes, y cualquier ciudadano que advierta la difusión ilícita de estos contenidos. No hace falta ser el interesado ni el progenitor: basta con verlo. Es una decisión que amplía mucho el conjunto de personas que pueden iniciar un expediente.
Lo que la CNPD declara poder hacer una vez recibida la denuncia pesa más que el canal en sí: adoptar medidas urgentes para limitar la difusión ilícita en Internet de contenidos que pongan en grave riesgo derechos y libertades; comunicar la información a autoridades públicas competentes, en particular judiciales; y, si el tratamiento es transfronterizo, transmitir los datos a las autoridades del Espacio Económico Europeo a través del sistema IMI. Ese último punto es la razón por la que la noticia no es solo portuguesa: un responsable italiano o español que trate datos de menores puede acabar en un intercambio IMI iniciado por una denuncia portuguesa.
Dónde se falla
Que entre los interesados de un tratamiento haya menores no basta para decir que esta noticia le afecta. Si bastara, se encenderían a la vez el colegio, el pediatra, el club deportivo y el campamento, y el DPD dejaría de leer los avisos. Lo que cuenta es la operación concreta: grabaciones y fotografías de niños, plataformas usadas por menores, publicidad comportamental con menores entre los destinatarios, accesos a datos de menores abiertos a perfiles demasiado amplios.
En la práctica, para cada cliente que trate datos de menores conviene releer el registro buscando esas operaciones y no la palabra «menores». Donde existan, lo que merece constar en el expediente es breve: que se valoró la aplicabilidad del canal, la fecha, la referencia de la CNPD y la eventual remisión. El formulario oficial se rellena en la web de la autoridad y no debe reproducirse en otro sitio, aunque solo sea porque tiene captcha y rechaza ciertos caracteres: una copia diverge al primer retoque. Las evidencias se guardan con acceso restringido, sin duplicar contenidos sensibles más de lo necesario.
Las dos vías pueden ir a la vez
En un caso que afecte a datos de menores, el Canal Prioritário y la notificación de violación del artículo 33 del RGPD pueden aplicarse al mismo tiempo. El primero es una denuncia que llega a la autoridad desde fuera; la segunda es un deber del responsable. Ni se excluyen ni se sustituyen.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis