Las colas kilométricas que se generaron en las tiendas de Worldcoin para escanear el iris a cambios de criptomonedas a mitad de 2024 cesaron cuando la Agencia Española de Protección de Datos (AEPD) tuvo que aplicar el artículo 66.1 del Reglamento General de Protección de Datos.
Este artículo establece que en circunstancias excepcionales la autoridad de control puede adoptar las medidas provisionales inmediatas para proteger los derechos de los ciudadanos.
La empresa detrás de Worldcoin, Tools for Humanity, llevó este freno ante la Audiencia Nacional (AN). Ahora la sección 1ª de la Sala de lo Contencioso-Administrativo, en su sentencia nº304/2026, de 30 de junio, ha desestimado su recurso y ha avalado el procedimiento de la autoridad competente.
Los magistrados consideran que la actuación de la AEPD tenía legal dado a la situación «preocupante» de recogida de datos masivos, en espacios público y captando la atención de menores, donde el consentimiento quedaba condicionado a una recompensa económica.
La AEPD frenó el escaneo de iris masivo
Worldcoin, empresa que pertence a Tools for Humanity y fundada por Sam Altman (creador de ChatGPT), Alex Blania y Max Novendstern, lanzó una iniciativa que llamó la curiosidad a muchos: ofrecer una pequeña cantidad de dinero en criptomonedas gratis a cambio de la información biométrica del iris del usuario.
Largas colas se formaron en las inmediaciones de estas tiendas a finales de 2023 para obtener esa pequeña recompensa al considerar que tenían mucho que ganar y poco que perder.
Pero la AEPD no lo vio como estos usuarios. Por lo que usó el procedimiento excepcional del artículo 66 del RGPD para cesar la recopilación y tratamiento de datos personales en territorio español del escaneo de iris, ojos y rostro por parte de Worldcoin de forma provisional, tal y como autoriza dicho precepto, a finales de febrero de 2024.
Entre las razones que argumentó se encontraba que el consentimiento para el tratamiento de los datos recabados no era válido al ser obtenido de forma coaccionado» al ofrecer una recompensa económica a cambio de información o que la información proporcionada al usuario sobre cómo se utilizarían los datos era insuficiente e incompleta.
También alegó que Worldcoin estaba recopilando de manera excesiva datos personales y no había presentado una justificación por la que procedía de esta forma además de desconocer si se estaba cumpliendo con los estándares la seguridad de los datos biométricos recopilados.
Pero la compañía tecnología no se detendría ahí e interpuso un recurso contencioso-administrativo ante la Audiencia Nacional al considerar que no existían razones excepcionales para adoptar medidas provisionales de frenar este servicio.
La Audiencia Nacional avala la medida impuesta por la AEPD
Ahora, la Sala de lo Contencioso-Administrativo, formada por Amalia Basanta Rodríguez (presidente), Helmuth Moya Meyer (ponente), Ricardo Fernández Carballo-Calero, corrige a Worldcoin y acredita que la actuación de la AEPD tenía base legal porque se daba «en un supuesto de excepcionalidad que exigía una intervención inmediata».
Ello, porque la orden de la AEPD estaba dirigida a la acción de recopilación y tratamiento de datos personales en el territorio español que implicaba el escaneo de iris, ojos y rostros, y no exigía el cese total de las actividades de la empresa. Por tanto, la medida adoptada por la autoridad de control respetaba el principio de proporcionalidad.
Por otro lado, a criterio de la Sala, el consentimiento obtenido mediante un incentivo económico era de dudosa validez, ya que pagar por ceder datos biométricos (pay for data) pone en duda que el consentimiento fuera totalmente libre.
«La situación era especialmente preocupante cuando se utilizaban técnicas agresivas parala recopilación de datos, interviniendo en espacios públicos y captando la atención de menores, obteniendo el consentimiento para el tratamiento mediante el pago de un precio, algo que en sí mismo permite cuestionarla validez de este consentimiento», señalan los magistrados.
Por último, recuerda que las medidas provisionales de urgencia existen precisamente para actuar de forma inmediata. Por ello la AEPD pudo actuar de esa forma sin exigir un trámite previo de audiencia ante de acordarlas y que el afectado deberá utilizar los recursos correspondientes para defenderse.
«Las medidas provisionales están concebidas para la intervención inmediata en casos de urgencia para la protección del interés público. El interesado puede defender sus intereses mediante los cauces previstos, y sin perjuicio de la acción de responsabilidad patrimonial», resuelve el tribunal.
En definitiva, la AN desestima el recurso de Worldcoin y avala la actuación de la AEPD respecto a la recopilación masiva de datos biométricas. Con imposición de costas para la empresa tecnológica.
