Resolución de la Agencia Española de Protección de Datos CO-000297-2023-medida-provisional de 26 de febrero de 2024

Cuestión

Ref.: EXP202312448

Asunto: Acuerdo de adopción de medida provisional

La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento del

tratamiento de datos personales a gran escala, sobre todo de menores de edad, que a

continuación se describe y que presuntamente vulnera la legislación en...

Contestacion

1/5

Ref.: EXP202312448

Asunto: Acuerdo de adopción de medida provisional

La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento del

tratamiento de datos personales a gran escala, sobre todo de menores de edad, que a

continuación se describe y que presuntamente vulnera la legislación en materia de

protección de datos personales.

I Hechos

El tratamiento de datos personales se lleva a cabo en el marco de Worldcoin, un

proyecto de criptomoneda biométrica con reconocimiento de iris desarrollado por la

entidad Tools for Humanit Corporationy, y consiste en el procesado de datos

biométricos a través de la captura inicial de imágenes de los iris, ojos y rostro de miles

de personas desde múltiples puntos de la geografía española y haciéndose uso para

ello de un dispositivo especial, denominado ORB, capaz de almacenar esta

información y generar patrones biométricos, afectando dicha práctica a numerosas

personas, incluidos menores de edad, sin constar acreditado el consentimiento y la

información proporcionada acerca de este tratamiento.

En la información conocida por esta Agencia, se constató que, en diferentes centros

comerciales en Madrid, así como en otras ciudades españolas, la entidad procedía al

escaneo de iris a cambio de obtener un pago en una criptomoneda ingresada en el

'wallet' vinculado a una 'app. La finalidad de Worldcoin es proporcionar a los

ciudadanos una identidad digital que les permita acreditar su condición de humanos

ante una inminente generalización de la IA en el marco de sus servicios y en su

funcionamiento se requeriré la instalación de una aplicación en el móvil y el registro

como usuario, y la recepción de un código QR. Posteriormente, se procede a la

verificación de esta prueba de personalidad mediante la captura del iris mediante Orb

y la generación de un patrón biométrico que se asocia al código QR y la aplicación se

transforma en un pasaporte llamado World ID, que es también el monedero de una

criptodivisa llamada Worldcoin.

Consta también la presentación de varias reclamaciones en las que se señala que se

están captando datos de menores. Se denuncia la insuficiente información aportada,

en particular, no es claro para los interesados que se captan datos biométricos. Se

denuncia también que no se facilita a petición de los interesados el formulario que han

rellenado prestando el consentimiento y que no se permite la retirada del

consentimiento remitiendo al interesado al borrado de la aplicación. También se señala

por uno de los reclamantes que un supuesto procedimiento de supresión mediante un

formulario en Internet no funciona, en tanto que requiere que la empresa envíe un

código por correo que llega siempre tarde, con lo cual cuando llega al usuario ya no es

válido.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/5

Según las Directrices 05/2022 sobre el uso del reconocimiento facial tecnología en el

ámbito de la aplicación de la ley, Versión 2.0? El tratamiento de datos biométricos en

cualquier circunstancia constituye una interferencia grave en sí mismo??. En el caso

analizado la recogida de la información se realiza sin facilitar la información

relacionada con el tratamiento de datos personales que implica- dicho tratamiento. El

considerando 39 del RGPD señala que ?Las personas físicas deben tener

conocimiento de los riesgos? con relación a los tratamientos, en este caso biométrico.

Sin embargo, esta información no está siendo suministrada a los interesados que no

son advertidos de los riesgos que implica el uso de sus datos biométricos.

La base de legitimación del tratamiento no puede ser el consentimiento, pues este

debe ser libre, específico, informado e inequívoco. En este caso no se estaría

obteniendo un consentimiento informado. Según consta en las reclamaciones

recibidas en esta Agencia el responsable no habría habilitado un procedimiento para la

retirada del consentimiento, por lo que tampoco sería libre. Además, no se ha

acreditado que se supere el análisis de idoneidad y necesidad que exige el tratamiento

de datos de alto riesgo, ni si existen otras alternativas posibles para los fines objeto del

tratamiento que no requieran la recogida de datos biométricos

Por ello, realizada por esta Agencia una valoración provisional de los hechos, se

estima que existen indicios racionales de que el tratamiento de datos personales por

medio del procesado de datos biométricos, puede constituir una vulneración de los

artículos 5.1.a), 6.1, 7, 9, 12, 13 y 17 del Reglamento (UE) 2016/679 del Parlamento

Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas

físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de

estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de

protección de datos, en adelante RGPD).

II Justificación de la urgencia

El uso de datos biométricos conlleva elevados riesgos para los derechos de los

interesados. Atendiendo a la naturaleza especialmente sensible de los datos

personales objeto de tratamiento, sobre todo datos de menores, y a la intensa

afectación a los derechos y libertades de las personas a que se refieren, esta Agencia

considera que la continuación de su tratamiento compromete seriamente su bienestar

y muestra que los efectos adversos sobre los datos de los sujetos y sus derechos y

libertades fundamentales son considerables.

El tratamiento se produce en diferentes partes del territorio español afectando a un

gran número de interesados y generando una gran alarma social que se manifiesta en

numerosas noticias en los periódicos e incluso en los telediarios de la televisión

pública

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/5

Se trata, en consecuencia, de una decisión basada en "circunstancias excepcionales",

un supuesto de urgencia inaplazable en el que, para la protección de los intereses

implicados, resulta necesario y proporcionado adoptar medidas provisionales dirigidas

al cese inmediato de ese tratamiento de datos personales, la prevención de su posible

cesión a terceros y, en definitiva, la salvaguarda del derecho fundamental a la

protección de datos personales de la persona afectada.

Según dispone el RGPD en su artículo 57, la AEPD, autoridad de control en materia de

protección de datos, tiene atribuida la competencia de controlar la aplicación del

Reglamento General de Protección de Datos y hacerlo aplicar y, para ello, ostenta los

poderes establecidos en el artículo 58.2.f) del citado Reglamento.

El tratamiento se lleva a cabo en varios establecimientos del Espacio Económico

Europeo del responsable del tratamiento y afecta sustancialmente o es probable que

afecte sustancialmente a interesados en más de un Estado, siendo en la actualidad

Baviera (Alemania) la autoridad de control principal. Por ello, se considera urgente por

la AEPD adoptar una medida cautelar con carácter excepcional y dentro del marco

habilitante del artículo 66.1 del RGPD, de acuerdo con el cual, en circunstancias

excepcionales, cuando una autoridad de control interesada considere que es urgente

intervenir para proteger los derechos y las libertades de interesados, podrá, como

excepción al mecanismo de coherencia contemplado en los artículos 63, 64 y 65, o al

procedimiento mencionado en el artículo 60, adoptar inmediatamente medidas

provisionales destinadas a producir efectos jurídicos en su propio territorio, con un

periodo de validez determinado que no podrá ser superior a tres meses. La autoridad

de control comunicará sin dilación dichas medidas, junto con los motivos de su

adopción, a las demás autoridades de control interesadas, al Comité y a la Comisión.

III Riesgos para los derechos de los interesados que necesitan protección

El tratamiento presuntamente ilícito Implica el procesamiento de datos personales

sensibles a través de medios altamente opacos e intrusivos, que podrían incluir

operaciones de seguimiento y elaboración de perfiles, sin garantizar, además, el

derecho de los interesados a la información adecuada.

De las reclamaciones recibidas se desprende, asimismo, que se ponen en riesgo otros

derechos concedidos por el RGPD como el derecho a la retirada del consentimiento o

el derecho de supresión.

En este contexto, no tomar medidas urgentes para garantizar el cumplimiento de la

normativa de protección de datos dejaría a los interesados en riesgo elevado,

privándolos efectivamente de las protecciones a las que tienen derecho según el

RGPD y, en tal sentido, la adopción de medidas urgentes de prohibición temporal de

las actividades de tratamiento consideradas potencialmente irregulares está justificada

para evitar daños potencialmente irreparables a sus derechos y libertades.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/5

Debe tenerse en cuenta, además, que en el presente supuesto se están tratando

datos de menores de edad y debe considerarse la necesidad de primar el interés

superior del menor, en consonancia con lo establecido en la Ley Orgánica 1/1996, de

15 de enero, de Protección Jurídica del Menor.

En el ámbito concreto de la protección de los datos personales dicho interés queda

garantizado en el propio RGPD, cuyos Considerandos 38 y 75 establecen que los

niños merecen una protección específica de sus datos personales, así como a través

del artículo 84 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos

Personales y garantía de los derechos digitales, al regular la protección de los

menores en Internet.

Por su parte, la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia

y la adolescencia frente a la violencia, prevé en su artículo 45 el uso seguro y

responsable de Internet y en el artículo 52 determina expresamente que la Agencia

Española de Protección de Datos garantizará ?una protección específica de los datos

personales de las personas menores de edad en los casos de violencia ejercida sobre

la infancia y la adolescencia, especialmente cuando se realice a través de las

tecnologías de la información y la comunicación?.

IV Descripción de las medidas adoptadas

Por todo lo anteriormente expuesto, en uso de las facultades conferidas por el artículo

58 del RGPD, y conforme a lo dispuesto en el artículo 69.2 de la Ley Orgánica 3/2018,

de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos

digitales, SE ACUERDA:

1.- Ordenar a TOOLS FOR HUMANITY CORPORATION GMBH que, de forma

inmediata, cese la recopilación y tratamiento de datos personales en el

territorio español que implica el escaneo de iris, ojos y rostro, y su posterior

procesamiento.

2.- Ordenar el bloqueo de los datos captados en el territorio español.

3.- Ordenar a TOOLS FOR HUMANITY CORPORATION GMBH que comunique

a esta Agencia la efectiva ejecución de la medida en el plazo máximo de 72

horas desde la recepción de este Acuerdo.

4.- Notificar el presente Acuerdo a TOOLS FOR HUMANITY CORPORATION

GMBH.

Conforme a lo dispuesto en el artículo 83.6 del RGPD, el incumplimiento de las

resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, del RGPD,

se sancionará con multas administrativas de 20 millones de euros como máximo o,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/5

tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del

volumen de negocio total anual global del ejercicio financiero anterior, optándose por la

de mayor cuantía.

Durante el procedimiento sancionador que, en su caso, se inicie, o bien en la

resolución por la que se acuerde el archivo de las presentes actuaciones previas de

investigación, se resolverá sobre el mantenimiento o levantamiento de los efectos de

esta medida provisional.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de

1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas, los interesados podrán interponer, potestativamente, recurso de reposición

ante la Directora de la Agencia Española de Protección de Datos en el plazo de un

mes a contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

290-030320

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es