La AEPD prohíbe a Worldcoin seguir recopilando datos del iris en España: preguntas y respuestas

Este artículo, publicado el 6/3/2024, se ha ido actualizando para incorporar las últimas novedades sobre la situación de Worldcoin en España.

La Agencia Española de Protección de Datos (AEPD) ha ordenado una medida cautelar contra Tools for Humanity Corporation, la empresa detrás del proyecto Worldcoin de Sam Altman, para que “cese en la recogida y tratamiento de datos personales que está realizando en España” y “proceda a bloquear los ya recopilados”, según ha informado el 6 de marzo de 2024. La prohibición se comunicó a la corporación el lunes 4 de marzo y disponen de un plazo de 72 horas para llevarla a cabo.

Es decir, a partir del 7 de marzo es ilegal que Worldcoin siga recopilando datos a través del escaneo de iris. En España hay 35 localizaciones en las que se ofrecen criptomonedas a cambio de descargarte una app, escanear tu iris y ceder esos datos biométricos, que son de carácter sensible. La idea detrás (de la que puedes leer en profundidad aquí) es crear un sistema global de identidad digital. Medio año después de su lanzamiento oficial, en nuestro país ya son más de 400.000 personas las que lo han hecho; según su web, a nivel mundial más de 4 millones de personas.

Esta es la primera vez que la AEPD toma una medida urgente de este tipo, que estará vigente durante un período máximo de tres meses (un plazo que se podrá extender) y que se acompaña de una investigación que ya se ha elevado a la Unión Europea. Como respuesta, Worldcoin emitió un comunicado diciendo que la AEPD está difundiendo información engañosa y que ha presentado una demanda contra la medida, que la Audiencia Nacional ya ha rechazado.

Ahora que ha finalizado el periodo de validez de esta medida cautelar, Worldcoin se ha comprometido de manera jurídicamente vinculante a no reanudar su actividad en España hasta final de año o hasta la resolución final de la autoridad de protección de datos de Baviera. Te contamos todo lo que sabemos, cuáles son los siguientes pasos y cómo te afecta si has cedido tus datos a Worldcoin.

¿Qué implica la prohibición de la AEPD a Worldcoin?

La medida cautelar urgente impide a Worldcoin seguir tratando datos personales en España. En concreto, exige el cese en la recogida y tratamiento de categorías especiales de datos personales así como el bloqueo de los ya recopilados. 

La actuación se hace en el marco del artículo 66.1 del Reglamento General de Protección de Datos (RGPD) que establece que, “en circunstancias excepcionales, cuando una autoridad de control interesada [la AEPD] considere urgente intervenir para proteger los derechos y libertades de las personas, podrá adoptar medidas provisionales con efectos jurídicos en su territorio y con un periodo de validez que no podrá ser superior a tres meses”. Una vez se acabe el plazo de tres meses, se podrá aplicar el artículo 66.2 para pedir que se mantenga.

La AEPD lo notificó a la corporación detrás de Worldcoin el 4 de marzo y desde el 7 de marzo debe hacerse efectivo. Es decir, desde esta fecha ya es ilegal que recojan más datos personales biométricos de los ciudadanos españoles y también que sigan tratando los que ya han recogido.

¿Por qué ha tomado esta medida la AEPD?

En rueda de prensa urgente, Mar España, directora de la AEPD, ha explicado que esta medida se ha tomado “en circunstancias excepcionales” ante la alarma social generada, las noticias de las que nos hemos hecho eco los medios de comunicación (en Maldita.es publicamos las primeras en agosto de 2023), las reclamaciones que se estaban llevando a cabo y los riesgos, teniendo en cuenta el elevado número de personas que han cedido sus datos biométricos y su posible cesión a terceros.

“En España ya son 400.000 personas, la mayoría de ellas jóvenes, las que han dado estos datos. Hemos recibido varias reclamaciones en las que se afirma que lo que está haciendo Worldcoin no cumpliría con el Reglamento de Protección de Datos porque no se está permitiendo retirar el consentimiento ni se está dando la información adecuada para darlo”, ha indicado. La AEPD ha confirmado a Maldita.es que a 6 de marzo tienen oficialmente un total de 13 denuncias; el pasado 21 de febrero eran 4. Otro aspecto que se menciona en las reclamaciones es la captación de datos de menores. 

“Podemos estar hablando de riesgos importantes para los derechos fundamentales”, ha añadido España, enumerando riesgos relacionados con la propia identidad ante posibles suplantaciones fraudulentas, riesgos personales porque en nuestro iris se pueden incluir datos de salud, y riesgos sociales con consecuencias “a corto, medio y largo plazo”. Aquí te contamos más sobre estos riesgos.

¿Cómo ha reaccionado la empresa de Worldcoin?

Como respuesta a esta medida, Worldcoin publicó un comunicado en el blog de su página global (no en la web española), que aparece con fecha 6 de marzo, diciendo que la AEPD no está siguiendo los procedimientos del RGPD y que está difundiendo información engañosa: “Es desafortunado que estén difundiendo afirmaciones inexactas y engañosas sobre nuestra tecnología a nivel mundial”. En el comunicado también transmiten que quieren ayudar a esclarecer los detalles sobre el proyecto, pero añaden que han presentado una demanda contra la medida de la AEPD (con fecha del 8 de marzo).

La Audiencia Nacional se ha pronunciado y el lunes 11 ha rechazado el recurso de Worldcoin, avalando la decisión de la agencia. También ha indicado que debe prevalecer “la salvaguarda del interés general que consiste en proteger los datos personales de los interesados frente al interés particular de la empresa recurrente de contenido fundamentalmente económico”.

¿Qué pasa si ya he dado mis datos biométricos a Worldcoin?

La medida de la AEPD exige a Worldcoin que bloquee el tratamiento de los datos personales recopilados. Es decir, que desde el 4 de marzo de 2024 no pueden tratar los datos biométricos que ya han recogido (ni pueden seguir recogiendo nuevos datos). Si tú has escaneado tu iris, teóricamente mientras esté activa la medida de la AEPD Worldcoin no puede hacer nada con ellos.

Según Mar España, nada es nada, es decir, en estos meses tampoco pueden eliminarlos de sus bases de datos. “En este tiempo no tendría sentido pedir la cancelación de nuestros datos, pero queremos transmitir la tranquilidad de que el tratamiento de los datos está paralizado”.

En cualquier caso, si quieres intentarlo (y teniendo en cuenta que de momento Worldcoin no se ha pronunciado), aquí te dejamos qué hacer si has dado tu iris a Worldcoin y te arrepientes.

¿Qué pasa ahora con la aplicación de World App y las criptomonedas?

Según ha respondido la AEPD en rueda de prensa a una pregunta de Maldita.es, el bloqueo del tratamiento de los datos personales recogidos relacionados con el tratamiento del iris implica también el bloqueo de los datos económicos. Es decir, que las transacciones y movimientos que se puedan hacer con la app de Worldcoin (donde se almacenan las criptomonedas que se dan a cambio del escaneo) quedarían también bloqueadas, según exige la medida de la AEPD. Sin embargo, según el comunicado de Worldcoin, la app sigue disponible.

¿Qué pasa si Worldcoin no retira sus puestos de escaneo en España y sigue recopilando datos biométricos?

Si a partir del 7 de marzo de 2024 Worldcoin no detiene la actividad en los puntos de España donde está utilizando los orbes para recopilar iris, la empresa se enfrenta a importantes sanciones. Según ha explicado la directora de la agencia las sanciones del reglamento en este caso serían muy elevadas, con multas de hasta 20 millones de euros o del 4% del volumen de negocio de la empresa.

¿Podrían ir fuerzas de seguridad del estado a “cerrar” los puestos? En el caso de que los orbes sigan en activo en los centros comerciales y estaciones donde están localizados y llegue esta información a la AEPD, Mar España ha explicado que podrán mandar “a una persona a levantar acta y sería objeto de una posible infracción”.

Como respuesta a la medida, en el comunicado publicado en su página web Worldcoin indica que “todos los servicios de verificación de World ID han sido pausados ​​en España”, pero que la aplicación World App “sigue disponible”.

¿Qué se va a hacer desde Europa? ¿Cuáles son los próximos pasos?

España es el primer país de Europa en tomar una medida de estas características, aunque otras autoridades europeas de protección de datos como Alemania, Francia (donde según la web de Worldcoin ya no hay orbes) y también Reino Unido ya habían iniciado investigaciones, además de otros países (en Kenia está prohibido desde agosto de 2023), como publicamos en Maldita Tecnología.

A la par de la medida en España, la AEPD ha informado oficialmente de lo ocurrido a las autoridades europeas y al supervisor europeo de protección de datos, y ha asegurado que con esto se inicia una investigación a nivel europeo para analizar lo ocurrido y tomar medidas en la UE de acuerdo a la normativa europea y el RGPD. Mar España ha explicado que están en comunicación y colaboración con la autoridad de protección de datos del estado de Baviera (que lleva desde finales de 2022 investigado Worldcoin), en Alemania, país donde está la sede de Tools for Humanity en Europa.

Sobre una fecha para tener los primeros resultados de las investigaciones, Olga Pérez Sanjuán, subdirectora General de Inspección de Datos de la AEPD, ha transmitido que se trata de un “procedimiento complejo y laborioso de plazos extensos”, especialmente en el caso de una investigación en la que se va a trabajar conjuntamente a nivel europeo. Mar España ha explicado que abrirán un apartado especial en la web de la AEPD para informar sobre los siguientes pasos a realizar.

¿Qué pasa ahora que se ha cumplido el período de validez de la medida cautelar de la AEPD?

La prohibición se comunicó a Worldcoin el lunes 4 de marzo y tenía un período de validez máximo de tres meses. Cumplido ese plazo, a 4 de junio la AEPD ha emitido un comunicado en el que informa de que “la empresa se ha comprometido de manera jurídicamente vinculante a no reanudar su actividad en España hasta final de año o hasta la resolución final de la autoridad de protección de datos de Baviera”, el organismo que está liderando la investigación.

La AEPD, que está colaborando con la institución alemana, también comunica que esas investigaciones están avanzando y que se espera que “concluyan pronto con una decisión final alineada con todas las autoridades de supervisión europeas interesadas”.

Como contestación a esta información, desde Wordlcoin nos remiten el siguiente comentario oficial de la compañía: “Aunque es alentador ver que, en una encuesta* reciente realizada en España a usuarios de World ID, más del 80% de los 21.000 encuestados afirman que tecnologías como World ID son importantes para distinguir entre robots y humanos en un entorno online; y casi el 90% de ellos apoyan el regreso del proyecto a España, nos hemos ofrecido voluntariamente a prolongar la pausa de las operaciones del orbe en el país”, ha dicho Thomas Scott, director Jurídico de Tools for Humanity. “Este compromiso demuestra hasta qué punto Tools for Humanity y todos los colaboradores del proyecto Worldcoin están plenamente comprometidos a explicar el proyecto a la AEPD y dar a la autoridad de protección de datos de Baviera (BayLDA) la oportunidad de revisar al completo el proyecto y su tecnología”.

*Encuesta realizada a través de la World App de TFH en May 2024, a usuarios verificados de World ID en España, más de 21.000 encuestados (todos los géneros y entornos socioeconómicos), según indica Worldcoin.

Primera fecha de publicación de este artículo: 06/03/2024