Finanzas digitales y seguridad

🧔 Adulto La ley (PSD2, artículo 4) define dos servicios prestados por proveedores terceros ✔: un servicio de iniciación de pagos: «un servicio que permite iniciar una orden de pago a petición del usuario del servicio de pago respecto de una cuenta de pago abierta con otro proveedor de servicios de pago» (punto 15), y un servicio de información sobre cuentas: «un servicio en línea cuya finalidad consiste en facilitar información consolidada sobre una o varias cuentas de pago» abiertas con otros proveedores (punto 16). Antes de confiar en ellos, comprueba que el proveedor está autorizado o registrado (competencias 406, 409). En todos los países de la UE el supervisor nacional lleva un registro público, y la Autoridad Bancaria Europea (EBA) mantiene un registro central conforme al artículo 15 de la PSD2, de acceso libre ✔ (eba.europa.eu). El marco también espera que sepas que algunos productos digitales son más arriesgados porque están menos regulados (370) ✔.

Ejemplo: Bulgaria — El BNB lleva registros públicos de entidades de pago, entidades de dinero electrónico y proveedores de servicios de información sobre cuentas conforme al artículo 19 de la Ley de Servicios de Pago y Sistemas de Pago ✔ (bnb.bg, «Registros conforme a la Ley de Servicios de Pago y Sistemas de Pago», abierto el 21.10.2026).

Comprueba en tu país — ¿Qué autoridad lleva el registro de entidades de pago y de dinero electrónico (normalmente el banco central o el supervisor financiero)? Busca en él, o en el registro central de la EBA, el nombre del proveedor antes de conectar una aplicación a tu cuenta.

Mito → verdad

• Mito: «Lo digital es menos seguro que un monedero».
• Verdad: es diferente. Un monedero robado lo notas enseguida; una contraseña robada, no. Por eso el dinero digital necesita hábitos (Capítulo 9) y tiene protecciones adicionales.

¿Quién gana? Quien sabe dónde están sus llaves.

→ Continúa en la fuente

• Directiva (UE) 2015/2366: http://data.europa.eu/eli/dir/2015/2366/oj ✔
• BNB — Registros conforme a la Ley de Servicios de Pago y Sistemas de Pago: https://www.bnb.bg/RegistersAndServices/RSPIPublicRegisters/index.htm ✔ (abierto el 21.10.2026)

🧔 Adulto Los tres tipos de prueba en los que se apoya toda la seguridad digital: conocimiento (contraseña, PIN), posesión (teléfono, tarjeta, llave física), inherencia (huella dactilar, rostro). Puntos débiles:

• Un código por SMS es «posesión» del número, no del teléfono: el número se puede trasladar (SIM swap, Capítulo 5). ENISA aconseja: si puedes elegir, usa una clave de acceso (passkey), una llave física o una aplicación de autenticación; en principio son más seguras que un código por SMS ✔ (ENISA, «Cyber Hygiene», abierto el 21.10.2026).
• Los datos biométricos no son secretos y no se pueden cambiar como una contraseña; desbloquean el dispositivo, y el PIN sigue siendo la vía de acceso de reserva.
• Los códigos de recuperación de respaldo se guardan en papel: son «la llave de la llave».

🏗 Empresa/Organización Una contraseña compartida no deja rastro y no se puede retirar cuando una persona se va. Acceso personal, roles y un segundo factor para todos los que pueden acceder a la cuenta bancaria de la empresa.

Mito → verdad

• Mito: «No soy importante: nadie va a hackear mi cuenta».
• Verdad: programas automáticos prueban millones de contraseñas filtradas. Lo que te hace vulnerable no es tu importancia, sino una contraseña reutilizada.

¿Quién gana? Quien tiene al menos dos cerraduras distintas.

→ Continúa en la fuente

• ENISA — Cyber Hygiene (contraseñas largas y únicas, gestor de contraseñas, claves de acceso, aplicación de autenticación): https://www.enisa.europa.eu/topics/cyber-hygiene ✔ (abierto el 21.10.2026)

🧔 Adulto Definición (PSD2, artículo 4, punto 30) ✔: «autenticación reforzada de cliente» es «una autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes, es decir, que la vulneración de uno no compromete la fiabilidad de los demás, y concebida de manera que proteja la confidencialidad de los datos de autenticación».

Cuándo se exige (artículo 97, apartado 1) ✔: cuando el ordenante «a) accede a su cuenta de pago en línea; b) inicia una operación de pago electrónico; c) realiza por un canal remoto cualquier acción que pueda entrañar un riesgo de fraude en los pagos u otros abusos». En los pagos a distancia, la autenticación incluye elementos que «vinculen dinámicamente la operación a un importe y un beneficiario específicos» (artículo 97, apartado 2) ✔. Por eso el código solo es válido para este pago: lee el importe y el beneficiario antes de confirmar.

Ejemplo: Bulgaria — La Ley de Servicios de Pago y Sistemas de Pago, artículo 100, apartado 1, obliga a los proveedores a aplicar la autenticación reforzada del ordenante en los mismos tres casos ✔ (texto vigente en lex.bg, abierto el 21.10.2026).

Comprueba en tu país — La PSD2 está transpuesta a una ley nacional de servicios de pago en todos los países de la UE; la norma es la misma. Las condiciones de uso de tu banco explican qué métodos (aplicación, lector de tarjetas, SMS) acepta.

Requisitos técnicos (Reglamento Delegado (UE) 2018/389) ✔: el código se acepta solo una vez (artículo 4, apartado 1); de él no se puede derivar ningún otro elemento (artículo 4, apartado 2). El banco puede (no está obligado) aplicar exenciones: pagos sin contacto de hasta 50 € por operación y hasta 150 € de forma acumulada o hasta cinco pagos consecutivos (artículo 11); consulta del saldo o de las operaciones de los últimos 90 días (artículo 10); «beneficiarios de confianza», cuya lista se crea con autenticación reforzada (artículo 13). (✔ comprobado con el texto consolidado a 25.07.2023: artículo 11 — 50 €, 150 €, cinco pagos; artículo 10 — 90 días y nueva autenticación tras 180 días; no se buscaron modificaciones posteriores.)

Qué significa para ti: si el banco no exige la autenticación reforzada cuando la ley la exige, el ordenante no soporta pérdidas salvo que haya actuado de forma fraudulenta (PSD2, artículo 74, apartado 2) ✔.

Mito → verdad

• Mito: «El segundo paso es una molestia innecesaria».
• Verdad: la molestia es el precio de asegurarse de que un solo secreto robado no baste. El código es tu «sí» a un pago concreto: nunca lo compartas.

¿Quién gana? Tú, cuando una contraseña robada por sí sola no puede llevarse el dinero.

→ Continúa en la fuente

• PSD2: http://data.europa.eu/eli/dir/2015/2366/oj ✔ · Reglamento 2018/389: http://data.europa.eu/eli/reg_del/2018/389/oj ✔ · Ley búlgara de Servicios de Pago y Sistemas de Pago: https://lex.bg/laws/ldoc/2137182267 ✔ (abierto el 21.10.2026; en búlgaro)

🧔 Adulto El Reglamento (UE) 2024/886 modifica el Reglamento (UE) n.º 260/2012 e inserta los nuevos artículos 5 bis, 5 ter, 5 quater y 5 quinquies ✔.

• Definición (artículo 2, punto 1 bis): una transferencia inmediata es «una transferencia que se ejecuta inmediatamente, las 24 horas del día y en cualquier día natural».
• Oferta (artículo 5 bis, apartado 1): los proveedores que ofrecen transferencias deben ofrecer a todos sus usuarios tanto el envío como la recepción de transferencias inmediatas.
• 10 segundos (artículo 5 bis, apartado 4, letra c, y apartado 5): el importe debe estar a disposición del beneficiario en 10 segundos; si no llega confirmación, el proveedor del ordenante restituye inmediatamente la cuenta.
• Un límite a tu elección (artículo 5 bis, apartado 6): si lo pides, el banco debe ofrecerte un importe máximo para transferencias inmediatas, por día o por operación; una orden que lo supere no se ejecuta. Es una protección eficaz contra el vaciado rápido de una cuenta.
• Precio (artículo 5 ter): las comisiones de una transferencia inmediata no pueden ser superiores a las de una ordinaria; la verificación del beneficiario es gratuita.
• Verificación del beneficiario (artículo 5 quater, apartado 1, letra a): el servicio se presta «inmediatamente después de que el ordenante facilite la información pertinente sobre el beneficiario y antes de que se le ofrezca la posibilidad de autorizar la transferencia». Si no hay coincidencia, el banco informa al ordenante de que autorizarla «podría conducir a la transferencia de los fondos a una cuenta de pago de la que no es titular el beneficiario indicado por el ordenante»; si hay una coincidencia casi exacta, muestra el nombre vinculado al IBAN. Para las empresas, también es posible la verificación mediante el número de identificación fiscal, el identificador europeo único o el LEI (letra b).
• Consecuencias (apartados 7–8): el banco te informa de las consecuencias de ignorar la advertencia. Si no realizó la verificación y la transferencia fue a la cuenta equivocada, el ordenante recupera el importe sin demora; si la realizó y tú confirmaste a pesar de la advertencia, el banco no es responsable de la transferencia al beneficiario equivocado.

Desde cuándo: para los proveedores de países de la zona del euro, la recepción de transferencias inmediatas desde el 9.01.2025, el envío y la verificación del beneficiario desde el 9.10.2025; para los países fuera de la zona del euro, el 9.01.2027 (recepción) y el 9.07.2027 (envío, verificación); las entidades de pago y las entidades de dinero electrónico de la zona del euro, el 9.04.2027 ✔ (artículos 5 bis, 5 ter y 5 quater del Reglamento 260/2012 modificado). Para un país que se incorpore al euro más tarde se aplica el nuevo artículo 16, apartado 9, del Reglamento 260/2012 (añadido por el 2024/886, artículo 1, punto 5): los proveedores de ese país cumplen los artículos 5 bis a 5 quater «en el plazo de un año» desde la adopción del euro, pero no más tarde de las fechas fijadas para los países ajenos a la zona del euro ni antes de las fijadas para la zona del euro. Es posible que muchos bancos hayan introducido los servicios antes; consúltalo con el tuyo.

Ejemplo: Bulgaria — Bulgaria forma parte de la zona del euro desde el 01.01.2026, es decir, después de las fechas de la zona del euro, por lo que se aplica el artículo 16, apartado 9. El BNB confirma que los proveedores de servicios de pago en Bulgaria deben ofrecer el envío y la recepción de transferencias inmediatas en euros y la verificación del beneficiario a partir del 1 de enero de 2027 ✔ (BNB, «Zona única de pagos en euros (SEPA)» — preguntas frecuentes, abierto el 21.10.2026).

Comprueba en tu país — ¿Tu país está en la zona del euro y desde cuándo? La página de SEPA de tu banco central indica las fechas. Pregunta a tu banco dónde, en la aplicación, puedes fijar el límite de las transferencias inmediatas.

🏗 Empresa/Organización El «cambio de IBAN» por correo electrónico (una carta «de un proveedor» con una cuenta nueva) es un esquema dirigido al personal que hace los pagos. La verificación del beneficiario y una llamada de comprobación a un número conocido en cada cambio de cuenta son la protección más barata. Las empresas pueden renunciar a la verificación en los pagos masivos (artículo 5 quater, apartado 6) ✔: con una decisión clara, no por defecto.

Mito → verdad

• Mito: «Si el banco no me advirtió, el beneficiario es honrado».
• Verdad: la verificación compara un nombre y un IBAN, no intenciones. Comprueba tanto a quién como por qué pagas (Módulo 17).

¿Quién gana? Quien se detiene un segundo ante la advertencia.

→ Continúa en la fuente

• Reglamento (UE) 2024/886: http://data.europa.eu/eli/reg/2024/886/oj ✔
• BNB — preguntas y respuestas sobre SEPA: https://www.bnb.bg/aboutus/aufaq/CONTR_SEPA_FAQ ✔ (abierto el 21.10.2026)

🧔 Adulto El Módulo 17 describe las estafas como historias; aquí están sus puntos técnicos de entrada:

La fórmula del marco ✔: habla solo con representantes verificados de la institución (519), examina el mensaje (518), ten la confianza suficiente para ponerlo en duda (520).

Qué muestran los datos ✔: ENISA, informe sobre el sector financiero (enero de 2023 – junio de 2024): en los ataques de ingeniería social (phishing, smishing, vishing) los objetivos más frecuentes son los particulares (38 % de los casos), y los estafadores se hacen pasar con más frecuencia por bancos (36 %); entre las nuevas amenazas, el informe también menciona un software malicioso que crea vídeos deepfake a partir de datos de reconocimiento facial robados (ENISA, «Threat Landscape: Finance Sector», abierto el 21.10.2026). Europol, IOCTA 2025 («Steal, deal and repeat», 12.06.2025): señala el uso creciente de la IA generativa, incluidos los grandes modelos de lenguaje, para reforzar los ataques de ingeniería social (Europol, informe anual consolidado de actividad 2025, abierto el 21.10.2026).

Mito → verdad

• Mito: «Una estafa se nota por los errores de lenguaje».
• Verdad: hoy los mensajes pueden ser impecables. La señal es la presión: prisa, secreto, dinero, un código.

¿Quién gana? Quien comprueba por un canal independiente.

→ Continúa en la fuente

• ENISA, Threat Landscape: Finance Sector (enero de 2023 – junio de 2024): https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf ✔ (leído el 21.10.2026)
• Europol — IOCTA 2025: https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data ✔ (la página del informe; el resumen se comprobó con el informe anual de Europol de 2025)

🧔 Adulto Tu obligación (PSD2, artículo 69) ✔: notificar al proveedor «sin demora indebida» cuando tengas conocimiento de la pérdida, el robo, la apropiación indebida o el uso no autorizado del instrumento de pago, y «tomar todas las medidas razonables para proteger sus credenciales de seguridad personalizadas».

Las obligaciones del banco (artículo 70, apartado 1) ✔: poner a tu disposición un medio de notificación en todo momento, gratuito, e impedir cualquier uso del instrumento una vez notificado. Si no ofrece ese medio, el ordenante no soporta pérdidas salvo en caso de fraude (artículo 74, apartado 3); tras la notificación, el ordenante no soporta las consecuencias de un uso posterior salvo que haya actuado de forma fraudulenta.

Plazo de notificación (PSD2, artículo 71, apartado 1) ✔: solo obtienes la rectificación de una operación no autorizada o ejecutada incorrectamente si la notificas «sin demora indebida» y a más tardar 13 meses después de la fecha del adeudo.

Recuperar tu dinero (PSD2, artículo 73, apartado 1) ✔: en una operación no autorizada, el banco te reembolsa el importe «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente, después de haber constatado la operación o de haber sido notificado de ella», salvo que tenga motivos razonables para sospechar fraude y comunique esos motivos a la autoridad nacional competente.

Cuánto podrías tener que soportar (PSD2, artículo 74, apartado 1) ✔: en caso de pérdida, robo o apropiación indebida del instrumento, no más de 50 €. El límite no se aplica si el ordenante actuó de forma fraudulenta o incumplió sus obligaciones con dolo o negligencia grave: entonces soporta toda la pérdida. La carga de la prueba recae en el banco: el uso registrado del instrumento «no bastará necesariamente por sí solo» para probar la autorización o la negligencia grave (PSD2, artículo 72, apartado 2) ✔.

El límite de estas normas: se refieren a operaciones no autorizadas. Si tú mismo, convencido por un estafador, confirmaste la transferencia, que sea «no autorizada» es discutible y depende de las circunstancias. Por eso: actúa de inmediato, pide una posición por escrito, presenta una reclamación, coopera con las autoridades. Las normas están cambiando: el Reglamento sobre servicios de pago (PSR) y la Directiva PSD3 se acordaron políticamente entre el Parlamento y el Consejo el 27.11.2025; según el acuerdo, si un estafador se hace pasar por un empleado del proveedor y te engaña para que apruebes un pago, el proveedor debe reembolsar el importe íntegro, siempre que lo hayas denunciado a la policía e informado al proveedor. El texto aún debe ser adoptado formalmente por el Parlamento y el Consejo antes de entrar en vigor ✔ (Parlamento Europeo, nota de prensa de 27.11.2025 y «Legislative Train», actualización de 20.09.2026, abierto el 21.10.2026). Hasta que entre en vigor, esta norma no se aplica.

Dónde acudir (complementa el Módulo 17, Capítulo 8): primero el banco; si hay un delito, una denuncia a la policía; si hay una disputa con el proveedor, una reclamación al proveedor y después un organismo extrajudicial de resolución de litigios de pago; también se puede presentar una reclamación al supervisor de los proveedores de servicios de pago; para los datos personales, la autoridad de protección de datos (Capítulo 7). Denuncia incluso cuando no seas la víctima (535).

Ejemplo: Bulgaria — La Ley de Servicios de Pago y Sistemas de Pago repite estas normas ✔ (lex.bg, abierto el 21.10.2026): notificación sin demora indebida, artículo 75; 13 meses, artículo 77, apartado 1; reembolso al final del día hábil siguiente, artículo 79, apartado 1; máximo de 50 €, artículo 80, apartado 1 (en euros desde el 01.01.2026). Dónde acudir: la ciberdelincuencia es competencia de la Dirección General de Lucha contra el Crimen Organizado, departamento de ciberdelincuencia (https://www.cybercrime.bg ✔, sitio abierto el 21.10.2026); la Comisión de Conciliación para los Litigios de Pago, adscrita a la Comisión de Protección de los Consumidores (CPC), es gratuita, escrita y no vinculante, y exige un intento previo de acuerdo con el proveedor ✔ (Comisión Europea, consumer-redress.ec.europa.eu); el BNB supervisa a los proveedores de servicios de pago y adopta medidas «por iniciativa propia o sobre la base de una reclamación o denuncia de un usuario» ✔ (artículo 167, apartados 1–2); para los datos personales, la CPDP.

Comprueba en tu país — Busca: la unidad de ciberdelincuencia de tu policía; el organismo extrajudicial de resolución de litigios de pago (las páginas de la Comisión Europea sobre resolución de litigios de consumo los enumeran por país); el supervisor de los proveedores de servicios de pago (normalmente el banco central o el supervisor financiero); y tu autoridad de protección de datos.

Mito → verdad

• Mito: «Lo confirmé yo mismo: no puedo hacer nada».
• Verdad: por eso importan el tiempo y los documentos; a veces el dinero se bloquea en el destino y el esquema se detiene.

¿Quién gana? Quien actúa en la primera hora.

→ Continúa en la fuente

• Ley búlgara de Servicios de Pago y Sistemas de Pago: https://lex.bg/laws/ldoc/2137182267 ✔ (abierto el 21.10.2026; en búlgaro) · CPC: https://kzp.bg ✔ (Módulo 17)

🧔 Adulto Reglamento (UE) 2016/679 (RGPD) ✔:

• Artículo 4, punto 1: datos personales son «toda información sobre una persona física identificada o identificable», incluido «un identificador en línea».
• Artículo 5, apartado 1, letra c — minimización de datos: los datos son «adecuados, pertinentes y limitados a lo necesario» para los fines.
• Artículo 15 — acceso: el derecho a obtener confirmación de si se tratan datos sobre ti y a acceder a ellos.
• Artículo 17 — supresión: «sin dilación indebida», cuando los datos ya no son necesarios para los fines para los que se recogieron, y por los demás motivos.
• Artículo 20 — portabilidad: los datos que facilitaste, «en un formato estructurado, de uso común y lectura mecánica», y el derecho a transmitirlos a otro responsable.
• Artículo 21 — oposición: por motivos relacionados con tu situación particular; frente a la mercadotecnia directa, en cualquier momento.
• Artículo 7, apartado 3 — retirada del consentimiento: «en cualquier momento»; «será tan fácil retirar el consentimiento como darlo».
• Artículo 12, apartado 3 — plazo: una respuesta «sin dilación indebida y, en cualquier caso, en el plazo de un mes» (ampliable en otros dos meses por complejidad).
• Artículo 77, apartado 1 — reclamación: «todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control»; artículo 82: el derecho a una indemnización por los daños.
• Artículos 33–34 — violación de la seguridad de los datos personales: el responsable notifica a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas» después, y al interesado cuando el riesgo es alto.

Ejemplo: Bulgaria — La autoridad de control es la Comisión de Protección de Datos Personales (CPDP), Sofía 1592, bulevar Prof. Tsvetan Lazarov, n.º 2; reclamaciones y denuncias: https://cpdp.bg ✔.

Comprueba en tu país — Todos los países de la UE tienen una autoridad de protección de datos; el Comité Europeo de Protección de Datos (edpb.europa.eu) las enumera todas. También se puede presentar una reclamación en el país donde vives o trabajas.

Banca abierta y consentimientos (PSD2, artículos 66–67) ✔: un proveedor de servicios de información sobre cuentas «prestará servicios únicamente cuando se base en el consentimiento explícito del usuario del servicio de pago» (artículo 67, apartado 2, letra a); para la iniciación de pagos, el ordenante da su consentimiento explícito (artículo 66, apartado 2). En la práctica: (1) sabe qué aplicaciones tienen acceso; (2) retira los permisos que no usas (430); (3) nunca des tu contraseña bancaria a una aplicación de terceros: el acceso se hace por los canales propios del banco. Dónde verlos y retirarlos: pregunta a tu banco; el método cambia de un banco a otro. El marco añade: los proveedores pueden mantener un perfil para personalizar ofertas (424), y almacenar documentos financieros en línea tiene implicaciones de seguridad (423) ✔.

Mito → verdad

• Mito: «El consentimiento es un botón que nadie lee».
• Verdad: es un contrato sobre tus datos. Puedes retirarlo, y debe ser tan fácil como fue darlo.

¿Quién gana? Quien sabe qué puertas ha abierto y cierra las que no usa.

→ Continúa en la fuente

• CPDP: https://cpdp.bg ✔ · RGPD: http://data.europa.eu/eli/reg/2016/679/oj ✔

🧔 Adulto

🧔 Adulto — lista de comprobación Cada día: no introduzco datos desde un enlace · no comparto códigos · leo el importe y el beneficiario antes de confirmar (Cap. 3) · una advertencia de «el nombre no coincide» detiene la transferencia (Cap. 4). Cada mes: reviso mis operaciones; cualquier cosa desconocida → al banco ese mismo día · actualizo mi teléfono · reviso qué aplicaciones tienen acceso a mis datos (Cap. 7) · compruebo los límites de mi tarjeta y de las transferencias inmediatas. Cada año: cambio la contraseña de mi cuenta bancaria y de mi correo electrónico · los códigos de respaldo están en papel en un lugar seguro · el número de teléfono de contacto en el banco está actualizado · elimino las cuentas que no uso · tengo una copia de seguridad de los documentos importantes. Si pasa algo: Detente · Bloquea · Cuéntalo · Guarda (Cap. 6).

🏗 Empresa/Organización Acceso personal y roles · un segundo factor para todos · dos firmas a partir de un umbral fijado · llamada de comprobación cuando cambia una cuenta · formación anual · un plan escrito de «qué hacemos en un incidente».

Mito → verdad

• Mito: «La seguridad es cosa del banco».
• Verdad: el banco tiene grandes obligaciones (Cap. 3, 6), pero la llave la tienes tú. La parte más barata de la seguridad es la tuya.

¿Quién gana? Quien hace la pequeña comprobación cada mes en lugar de la gran reparación una vez.

→ Continúa en la fuente

• ENISA — Cyber Hygiene: https://www.enisa.europa.eu/topics/cyber-hygiene ✔ · BCE — el euro digital: https://www.ecb.europa.eu/euro/digital_euro/html/index.en.html ✔ (abierto el 21.10.2026)

🧔 Adulto Lo que dice la ley (en breve):

• Está prohibido dirigirse directamente a los niños. Directiva 2005/29/CE sobre las prácticas comerciales desleales, anexo I, punto 28: es desleal en cualquier circunstancia «incluir en un anuncio una exhortación directa a los niños para que adquieran o convenzan a sus padres u otros adultos de que les compren los productos anunciados» ✔. Un botón de «¡Compra ya!» dirigido a un niño en un juego entra en esta lógica.
• Patrones oscuros. El Reglamento de Servicios Digitales (Reglamento (UE) 2022/2065, artículo 25) prohíbe a las plataformas en línea diseñar sus interfaces de manera que engañen o manipulen a los usuarios; entre los ejemplos están pedir repetidamente una elección ya hecha y dificultar más la cancelación de un servicio que su contratación ✔.
• Monedas virtuales dentro del juego. La red de autoridades nacionales de protección de los consumidores de la UE (la red CPC) adoptó en marzo de 2025 los «Principios clave sobre las monedas virtuales en los juegos». La Comisión Europea los resume así: precios claros e información precontractual; ninguna práctica que oculte el coste de los contenidos; no obligar a los consumidores a comprar moneda virtual; respeto del derecho de desistimiento; tener en cuenta las vulnerabilidades de los consumidores, especialmente las de los niños ✔ (página de la Comisión Europea, 3.06.2025, vuelta a abrir el 21.10.2026). Los principios no son una ley nueva: la red CPC los describe como principios no exhaustivos para que los comerciantes cumplan la legislación de consumo de la UE ya existente; la base jurídica que nombra es la Directiva sobre las prácticas comerciales desleales y la Directiva sobre los derechos de los consumidores ✔. El principio 1 exige que el precio de la moneda virtual y de los contenidos comprados con ella se muestre claramente también en dinero real ✔ (CPC, «Key Principles on In-game Virtual Currencies», 21.03.2025, abierto el 21.10.2026).
• El juego de azar es para adultos. En toda la UE, el juego de azar se regula a nivel nacional y el acceso de los menores está restringido.

Ejemplo: Bulgaria — La Agencia Nacional de Ingresos Públicos (NRA) tiene una página de «Control parental» para mantener a los niños alejados del juego de azar ✔ (nra.bg). La ley no admite a menores de 18 años en salas de juego ni casinos y prohíbe vender billetes de lotería a menores de 18 años ✔ (Ley de Juegos de Azar, artículo 45, apartado 2, y artículo 9, apartado 11, lex.bg, abierto el 21.10.2026).

Comprueba en tu país — ¿Qué autoridad regula el juego de azar (a menudo una comisión de juego o la administración tributaria) y qué dice sobre los menores y el control parental?

Las cajas de recompensa de pago (pagas sin saber qué vas a recibir) se basan en la misma aleatoriedad; en casa, la regla más sencilla es: no con el dinero de un niño.

Cómo arreglarlo en casa, sin guerras:

1. Desactiva la tarjeta guardada en el dispositivo y en el juego. Una compra que necesita confirmación es el freno más sencillo.
2. Usa un importe prepagado: un cupón, una cuenta infantil o una tarjeta prepago con límite (Módulo 26, Módulo 21 Capítulo 8). Cuando se acaba, se acaba.
3. Revisa el extracto: las compras dentro del juego son pequeñas y muchas; juntas hacen el mes.
4. Habla de la sensación, no solo del importe: «¿Qué querías conseguir con esto? ¿Lo conseguiste?»

Si un niño ha comprado algo sin permiso: mantén la calma. Reúne las fechas y los importes, ponte en contacto con el proveedor del juego o con la tienda de aplicaciones y pide un reembolso; si se pagó con tarjeta, también al banco (Módulo 21 Capítulo 5). En una disputa con un comerciante, la autoridad de protección de los consumidores (en Bulgaria, la CPC: kzp.bg). El reembolso no está garantizado y depende de las condiciones del proveedor.

Mito → verdad

• Mito: «Un juego gratis es gratis».
• Verdad: pagas con tiempo, con atención y a veces con muchas compras pequeñas. Es gratis cuando tú decides cuánto das.
• Mito: «Ahora lo conseguiré con esta caja: estoy cerca».
• Verdad: cada sorteo es nuevo. Los anteriores no te acercan, salvo que las reglas lo digan expresamente.

¿Quién gana? El fabricante, con tu tiempo, tu atención y las muchas compras pequeñas. Tú, cuando sabes de antemano cuánto tiempo y cuántos euros le das al juego, y disfrutas cada minuto.

Ejemplo (ficticio): Mira, de 12 años, quiere un traje para su personaje. Cuesta 450 fichas y el paquete más pequeño es de 500 fichas por 4,99 €. Con las «gafas de euros» ve que el traje le cuesta 4,99 € y que sobran 50 fichas, que por sí solas no alcanzan para nada. Decide comprarlo con su paga dentro de una semana, si todavía lo quiere. Ya no lo quiere.

Tu paso en Pecuvo: en el monedero, crea una cesta «Juegos y aplicaciones» con un límite mensual (puede ser 0 €). Todas las compras van ahí. Una vez al mes, cinco minutos juntos: qué compramos y si todavía lo disfrutamos.

→ Continúa en la fuente

• Directiva 2005/29/CE (prácticas comerciales desleales), anexo I: http://data.europa.eu/eli/dir/2005/29/oj ✔
• Reglamento (UE) 2022/2065 (servicios digitales), artículos 25 y 28: http://data.europa.eu/eli/reg/2022/2065/oj ✔
• Comisión Europea — los principios clave de la red CPC sobre las monedas virtuales en los juegos: https://commission.europa.eu/news-and-media/news/european-commission-hosts-stakeholders-talks-application-cpc-networks-key-principles-games-virtual-2025-06-03_en ✔
• NRA — «Control parental»: https://nra.bg/wps/portal/nra/gambling/responsible.gambling/Roditelski-kontrol ✔ (la página se encontró mediante búsqueda; el texto no se leyó entero; en búlgaro)

Marco de la UE y la OCDE/INFE para niños y jóvenes (2023): competencias n.º 62 · 63 · 115 · 117 · 225 · 228 · 232