La AN avala frenar el escaneo de iris por Worldcoin

La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en su SAN n.º 304/2026, de 30 de junio, ECLI:ES:AN:2026:2957, ha desestimado el recurso interpuesto contra la medida provisional que ordenó detener en España la recopilación y el tratamiento de datos personales mediante el escaneo de iris, ojos y rostro, así como bloquear la información ya captada.

La resolución de la Agencia Española de Protección de Datos CO-000297-2023-medida-provisional, de 26 de febrero de 2024, confirma que la Agencia Española de Protección de Datos (AEPD) podía intervenir de forma urgente al amparo del apartado 1 del artículo 66 del Reglamento General de Protección de Datos (RGPD), pese a que el tratamiento tenía carácter transfronterizo y la autoridad de control principal se encontraba en otro Estado miembro. El fallo impone las costas a la parte recurrente y puede ser recurrido en casación.

Una medida provisional frente al tratamiento biométrico

El litigio tiene su origen en la resolución de la directora de la AEPD de 26 de febrero de 2024. La Agencia ordenó el cese inmediato, en territorio español, de la recopilación y tratamiento de datos derivados del escaneo de iris, ojos y rostro, su posterior procesamiento y el bloqueo de los datos ya obtenidos. También exigió que la ejecución de la orden fuese comunicada en un plazo máximo de 72 horas.

El tratamiento se desarrollaba en el marco del proyecto Worldcoin, mediante dispositivos capaces de capturar imágenes y generar patrones biométricos asociados a una identidad digital y a una aplicación. La AEPD había detectado la captación de usuarios en centros comerciales y otros espacios de concurrencia pública, ofreciendo un pago en criptomoneda a cambio del escaneo. Entre las personas afectadas figuraban adolescentes, mientras persistían dudas sobre la información facilitada, los fines del tratamiento y la validez del consentimiento.

La medida provisional ya había sido examinada cautelarmente por la Audiencia Nacional, que ponderó la especial sensibilidad de los datos biométricos y la necesidad de proteger el derecho fundamental a la protección de datos frente a los intereses económicos afectados. La resolución describía un tratamiento a gran escala que podía afectar a menores y respecto del cual no constaban suficientemente acreditados el consentimiento y la información proporcionada.

La autoridad principal no excluye la competencia de la AEPD

La empresa sostenía que la única autoridad competente era la del Estado en el que tenía su establecimiento principal. También alegaba que no concurrían las circunstancias excepcionales exigidas por el artículo 66 del RGPD, porque el asunto ya estaba sometido a la supervisión de dicha autoridad.

La Audiencia Nacional rechaza este planteamiento. Explica que la designación de una autoridad de control principal en los tratamientos transfronterizos no priva de toda competencia a las demás autoridades interesadas. Estas pueden intervenir en los supuestos previstos en el RGPD, a través de los procedimientos de cooperación y coherencia o mediante el mecanismo de urgencia del artículo 66.

Este último precepto permite adoptar medidas provisionales con efectos en el propio territorio cuando existan circunstancias excepcionales y resulte urgente actuar para proteger los derechos y libertades de las personas. El apartado 1 del artículo 69 de la LOPDGDD habilita igualmente a la AEPD para acordar medidas necesarias y proporcionadas conforme al artículo 66 del RGPD y el bloqueo cautelar de los datos. 

Las particularidades del caso español justificaban la urgencia

Uno de los elementos decisivos es la diferencia entre los hechos observados en España y los examinados inicialmente por la autoridad principal. Según la sentencia, el análisis realizado fuera de España se centraba en las condiciones de acceso a la plataforma en ese país, la edad requerida para registrarse y las medidas introducidas por la responsable del tratamiento.

Sin embargo, en España la captación se efectuaba mediante campañas en espacios públicos y con incentivos económicos por la cesión de los datos. Además, alcanzaba a jóvenes desde los catorce años. Para la Sala, estas circunstancias intensificaban las dudas sobre la existencia de un consentimiento verdaderamente informado y no habían sido consideradas de forma suficiente por la autoridad principal.

La Audiencia concluye que existía una situación excepcional que requería una intervención inmediata. La orden no suponía el cierre completo de la actividad empresarial en España, sino únicamente el cese temporal del tratamiento vinculado al escaneo y procesamiento de iris, ojos y rostro.

La medida también supera el juicio de proporcionalidad. Su finalidad era someter a control una recopilación masiva de datos biométricos obtenidos a cambio de una contraprestación, cuando no estaban claros los fines del tratamiento ni las condiciones del consentimiento. La presencia de menores y el empleo de técnicas intensivas de captación reforzaban, según el tribunal, la necesidad de protección.

No era obligatoria una audiencia previa

La recurrente alegó asimismo que la AEPD debía haberle concedido audiencia antes de dictar la medida. La Sala descarta este motivo porque ni el artículo 69 de la LOPDGDD ni el régimen general del artículo 56 de la Ley 39/2015, de 1 de octubre, establecen, para estas medidas provisionales urgentes, un trámite previo de audiencia.

La sentencia recuerda que estos instrumentos están concebidos para una reacción inmediata ante riesgos para el interés público. La ausencia de audiencia previa no impide al responsable defender posteriormente sus intereses mediante los cauces administrativos y judiciales correspondientes.

Impacto para empresas y responsables de cumplimiento

El pronunciamiento refuerza la capacidad de la AEPD para actuar territorialmente ante tratamientos transfronterizos cuando las circunstancias concretas existentes en España revelen una urgencia no valorada adecuadamente por la autoridad principal. La denominada ventanilla única no funciona, por tanto, como una exclusión absoluta de las restantes autoridades de control.

Para empresas y responsables de compliance, el criterio subraya la necesidad de analizar separadamente las condiciones de captación de datos en cada país, en especial cuando intervienen datos biométricos, menores, incentivos económicos o espacios de concurrencia pública. La información facilitada, la libertad del consentimiento, la proporcionalidad del tratamiento y la coordinación con las autoridades europeas deben poder acreditarse desde el diseño de la actividad.

En conclusión, la Audiencia Nacional avala la legalidad y proporcionalidad de la respuesta urgente de la AEPD en este caso. Aunque la sentencia todavía es susceptible de recurso de casación, establece un criterio relevante sobre la intervención nacional ante riesgos locales derivados de tratamientos transfronterizos de datos especialmente sensibles.