Protección de Datos ordena a Worldcoin que de forma inmediata deje de escanear iris y bloquee los datos que ya ha recopilado

Worldcoin, la startup fundada por Sam Altman para desarrollar una "renta básica cripto" que está escaneando el iris a millones de personas en todo el mundo, ya no puede seguir recopilando datos biométricos de ciudadanos en España. La Agencia Española de Protección de Datos (AEPD) ha ordenado el cese inmediato de esta práctica a la firma tecnológica.

Lo ha hecho a través de una orden emitida este lunes 4 de marzo. De este modo, la AEPD ha hecho uso por primera vez del procedimiento de urgencia que contempla el Reglamento General de Protección de Datos (RGPD), ya que la sede europea de Worldcoin está en Baviera, y el principio de ventanilla única de la norma comunitaria obliga a que sea la autoridad allí la que asuma el caso.

Sin embargo, dado que ese procedimiento de ventanilla única implica unos plazos de investigación "muy extensos", la AEPD ha hecho uso de este procedimiento de urgencia según el cual Worldcoin ahora mismo en España no puede seguir escaneando "iris, ojos y rostros" y tiene que bloquear el acceso a los datos biométricos ya recopilados. No pueden hacer usos de los mismos.

Todo esto lo ha confirmado la directora de la AEPD, Mar España, en una rueda de prensa convocada este mismo miércoles en la que también han intervenido la subdirectora general de Inspección de Datos del organismo, Olga Pérez Sanjuán, y el director de la División de Innovación Tecnológica, Luis de Salvador Santiago.

Se trata de una medida cautelar que ampara el RGPD en el artículo 66.1 y que tiene una extensión de varios meses, aunque es un plazo prorrogable hasta que exista un consenso a nivel comunitario sobre la práctica de Worldcoin y su cumplimiento del RGPD. La startup fundada por Sam Altman se expone ahora a las cuantiosas sanciones que contempla el RGPD.

"Los jóvenes no saben que están dando datos de salud. Cuando sean adultos, verán que tiene muchas consecuencias en la vida adulta y en muchas esferas. Dar datos personales por estas cantidades irrisorias de dinero es un riesgo a corto y largo plazo. Pido a los jóvenes que sean conscientes", ha avisado España, consciente de que la gran mayoría de personas que han accedido a ceder los datos biométricos de su iris a Worldcoin son jóvenes.

Por el momento, la AEPD no ha tenido respuesta de Worldcoin, que tiene un plazo de 72 horas —desde este lunes 4— para notificar el cumplimiento de esta medida. 

Mar España ha enumerado algunos de los riesgos a los que se podrían exponer los ciudadanos que hayan cedido los datos biométricos de sus iris a Worldcoin.

"Riesgos a la propia identidad, al poder ser suplantados; a la intimidad, ya que el iris refleja datos de salud y se puede extraer información complementaria; y riesgo social", ha advertido España. "La extracción de estos datos puede tener consecuencias no solo inmediatas, también a largo plazo: por ejemplo, negativas al contratar un seguro de salud o posible identificación racial".

Mar España ha pedido tranquilidad a las personas que hayan cedido sus datos biométricos y a sus familias, al tiempo que ha confirmado que la AEPD ya está en coordinación con la autoridad de protección de datos de Baviera. La decisión de la autoridad española también la conocen las autoridades europeas, como el Supervisor, el EDPS, o el Comité, el EDPB.

En concreto, la AEPD ha ordenado "que de forma inmediata Worldcoin cese en la recopilación y tratamiento de datos personales en España consistente en el escaneo de iris, ojos y rostros y su posterior procesamiento" y "proceda al bloqueo de todos los datos capturados en el territorio español".

Por su parte, la compañía ha reaccionado con declaraciones del responsable de Tratamiento de Datos, Jannick Preiwisch, que ha defendido que la firma ha creado la "solución más segura y respetuosa con la privacidad para garantizar la humanidad en tiempos de IA". "Siempre queremos tratar con reguladores, examinar su feedback y responder sus preguntas".

"Durante meses hemos estado en contacto con la autoridad de protección de datos bávara, la BayLDA, que es la autoridad competente según el RGPD para la Worldcoin Foundation y Tools for Humanity [la matriz]. La autoridad española está saltándose la ley europea con su decisión, que se limita solo a España y no a toda la UE".

Además, acusa a la AEPD de difundir "aseveraciones inciertas" sobre la tecnología. "Nuestros esfuerzos por tratar con la AEPD y darles una visión real de Worldcoin han sido ignorados durante meses. Agradecemos que ahora tengamos la oportunidad de ayudarles a entender mejor los hechos sobre esta tecnología esencial y respetuosa con la ley".

Worldcoin, en realidad, no es especialmente nueva. Ya en octubre de 2021, un año antes de que OpenAI lanzara ChatGPT y empezara a copar titulares, se hablaba del proyecto: su objetivo era crear una especie de renta básica universal en criptomonedas. Para ello, repartirían gratis token de la iniciativa a quien demostrara ser humano y no un bot.

¿Cómo? Exigiendo a la gente que escaneara su iris.

Para escanear y recopilar la información biométrica sobre los iris se utiliza un dispositivo conocido como Orb —orbe, en inglés— que procesa la imagen en la memoria RAM —sin almacenarla a posteriori— convirtiendo la información en un hash —una sucesión de letras y números que nace a raíz de un proceso de cifrado—.

Probamos el Orb de Worldcoin que escanea el globo ocular: todo parecía demasiado normal para ser distópico

En verano del año pasado más de 150.000 españoles habían escaneado su iris con los Orb de Worldcoin, presentes en grandes superficies como centros comerciales. El mes pasado, el número se había multiplicado hasta los 400.000, siendo España uno de los mayores mercados de la iniciativa cuyo fundador no es otro que Sam Altman, el también CEO de OpenAI.

Sin embargo, los problemas en torno a la privacidad que suscita esta práctica ha llevado a la Agencia Española de Protección de Datos a emprender esta acción. 

Algunas de las preocupaciones que Worldcoin ha suscitado a expertos tienen que ver con que la información del iris de las personas puede ofrecerse a terceros, y es una información muy sensible en tanto que identifica de forma inequívoca a un ser humano. 

Además, el hash del iris se almacena de forma conjunta al número de teléfono, con lo que esa información inequívoca va aparejada a una identidad, como descubría Xataka tras acceder a una petición de información amparada por el RGPD. La propia autoridad española de control avisó al mismo medio el mes pasado de que había iniciado sus investigaciones.

La AEPD ha anunciado este miércoles estas acciones coincidiendo con la publicación de un artículo en El Confidencial en el que se denuncia las grandes colas en el distrito financiero de Azca, en Madrid, protagonizadas por inmigrantes que esperan convertir su criptodivisa, fruto de entregar su iris, en efectivo.