Worldcoin ha sido obligada a eliminar todos los datos biometricos recogidos en Europa por incumplir el RGPD

Worldcoin conocida por su innovador proyecto que combina criptomonedas y verificación biométrica, enfrenta un importante revés tras la resolución de la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), la autoridad de protección de datos de Baviera, Alemania. Esta decisión obliga a Worldcoin a eliminar los datos biométricos recopilados, como los códigos de iris, por incumplir el Reglamento General de Protección de Datos (RGPD).

¿Qué es Worldcoin?

Worldcoin es una nueva criptomoneda que promete una identidad única y la oportunidad de formar parte de la economía global. Utilizando un dispositivo llamado «orb», escanea el iris del usuario para crear un código único que garantiza la seguridad y autenticidad de las transacciones. Los usuarios que se registran reciben pagos en el token WLD de Worldcoin a través de la aplicación World App.

Detrás de este ambicioso proyecto está Sam Altman, conocido también por liderar OpenAI, la organización responsable de herramientas de inteligencia artificial como ChatGPT. Junto con Alex Blania, Altman diseñó Worldcoin con el objetivo de integrar identidad y servicios financieros en una red global. Sin embargo, la recopilación de datos biométricos ha suscitado serias preocupaciones en el ámbito de la protección de datos.

El origen del conflicto con el RGPD

Desde sus inicios, el proyecto de Worldcoin generó preocupaciones entre los defensores de la privacidad y los reguladores debido a la sensibilidad de los datos recopilados y la posibilidad de vulneraciones en su manejo.

En marzo de 2024, la Agencia Española de Protección de Datos (AEPD) ordenó una medida cautelar contra Tools for Humanity Corporation (TFHC), la empresa detrás del proyecto Worldcoin. Esta medida fue apelada por TFHC ante la Audiencia Nacional, pero el tribunal avaló la decisión, subrayando la importancia de salvaguardar el interés general y proteger los derechos de los interesados frente a los intereses comerciales de la compañía.

Como consecuencia de lo anterior, TFHC quedó obligada a detener la recopilación y tratamiento de datos personales en España relacionados con Worldcoin, así como a bloquear los datos ya recopilados. En esta entrada, que en su día publicamos, encontrarás más detalles sobre la medida cautelar aplicada en 2024.

La resolución del BayLDA

El pasado mes de diciembre de 2024, la BayLDA (que es la autoridad de protección de datos del país donde Worldcoin tiene su establecimiento principal en Europa) confirmó las sospechas iniciales y declaró que Worldcoin había infringido múltiples disposiciones del RGPD. Las principales violaciones identificadas fueron:

Almacenamiento inseguro de datos biométricos: Los códigos de iris recopilados desde el inicio del proyecto se almacenaron sin las medidas de seguridad necesarias para proteger esa información de naturaleza tan sensible.
Base jurídica incorrecta: Worldcoin utilizó una base jurídica inadecuada para tratar datos biométricos, contraviniendo los artículos 6.1 y 9 del RGPD, que exigen el consentimiento explícito para procesar este tipo de datos especialmente protegidos.
Falta de medidas para proteger a menores: Worldcoin no implementó controles adecuados para evitar el tratamiento de datos personales de menores de edad, lo que supone una grave negligencia que será objeto de una investigación adicional.

Como consecuencia de lo anterior, la BayLDA ha ordenado a Worldcoin:

Eliminar todos los códigos de iris almacenados hasta la fecha.
Garantizar que cualquier tratamiento futuro de datos biométricos cumpla con los requisitos del RGPD, incluyendo el consentimiento explícito de los interesados.
Incluir el derecho a la supresión de datos en sus políticas y procedimientos.

Repercusiones legales y económicas

Si Worldcoin incumple las medidas definidas en el apartado anterior, podría enfrentar sanciones adicionales, incluyendo multas de hasta el 4% de su facturación anual global, conforme a lo estipulado por el RGPD.

Además de las sanciones económicas, la empresa enfrenta un daño reputacional considerable. Este caso pone de relieve los riesgos asociados con la gestión de datos biométricos y genera dudas sobre la viabilidad de proyectos similares en el futuro.

La respuesta de Worldcoin

En un comunicado, la compañía afirmó que había eliminado voluntariamente los datos biométricos en meses anteriores y que actualmente opera su sistema de identificación utilizando datos anonimizados. Sin embargo, esta declaración no ha sido suficiente para disipar las críticas de los expertos en privacidad y derechos digitales.

Worldcoin también destacó su compromiso con la transparencia y aseguró que colaborará plenamente con las autoridades para implementar las medidas correctivas necesarias.

Implicaciones para el sector tecnológico

El caso de Worldcoin es un recordatorio contundente de que el cumplimiento del RGPD no es opcional. Las empresas tecnológicas que manejan datos sensibles, como los biométricos, deben adoptar un enfoque proactivo para garantizar la legalidad y ética de sus prácticas.

La resolución sienta un precedente importante, marcando un punto de inflexión en la regulación de tecnologías emergentes. Aunque la innovación es clave para el desarrollo tecnológico, debe ir acompañada de un firme compromiso con la protección de datos y los derechos fundamentales.

Conclusión

El incumplimiento del RGPD por parte de Worldcoin ilustra los riesgos de ignorar la normativa de protección de datos en Europa. Este caso refuerza la importancia de que las empresas tecnológicas adopten medidas claras y transparentes para proteger la privacidad de los usuarios.

El futuro de Worldcoin está ahora en juego, y su capacidad para cumplir con las estrictas normativas del RGPD será clave para su supervivencia en el competitivo sector de las criptomonedas y la tecnología biométrica

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

Hoy nos centraremos en los sistemas biométricos para fines de control de acceso o de registro de jornada laboral. Hablamos, básicamente, de lectores de huella o sistemas de reconocimiento facial o de iris, que varias empresas utilizan para controlar el acceso al centro de trabajo y/o para registrar la jornada laboral de sus empleados.

El pasado mes de noviembre de 2023 la Agencia Española de Protección de Datos (AEPD) publicó la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. En esta guía la AEPD cambia de criterio y aclara que, como norma general, no se pueden tratar datos biométricos para fines de control de acceso o de registro de jornada laboral, aunque se utilicen sistemas de biometría débil.

Entonces, ¿ya no se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral? Para poder responder a esta pregunta, primero conviene repasar algunos conceptos importantes:

¿Qué es un dato biométrico?

Son datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos (art. 4.14 del Reglamento General de Protección de Datos Personales, el RGPD).

Los datos biométricos son datos sensibles (también llamados categorías especiales de datos). Como regla general, el tratamiento de datos sensibles está prohibido (art. 9 del RGPD).

¿Qué son las plantillas biométricas?

Las plantillas biométricas, también denominadas firmas o patrones, son una forma de escritura de una característica biométrica humana, por ejemplo, de una huella o de un rostro, entre otros. Las plantillas biométricas están orientadas a ser tratadas en un proceso automatizado que permita su interpretación eficiente y eficaz por una máquina. No están orientadas a ser interpretadas por una persona, como una fotografía.

Cambio de criterio de la AEPD

En mayo 2021, la Agencia Española de Protección de Datos (AEPD) publicó la guía “La Protección de Datos en las Relaciones Laborales”, según esta guía la autenticación biométrica no debía considerase como un tratamiento de datos sensibles.

Sin embargo, en 2022 el Comité Europeo de Protección de Datos (CEPD) aclaró que tanto la autenticación como la identificación biométrica deben considerarse tratamientos de datos sensibles, hecho que obligó a la AEPD a cambiar de criterio y a publicar en noviembre de 2023 la nueva guía sobre tratamientos de control de presencia mediante sistemas biométricos.

La Identificación biométrica es el proceso que permite reconocer a una persona en particular dentro de un grupo de personas. Para ello, se comparan los datos de la persona que se quiere identificar con los datos del resto de personas del grupo.

Por otro lado, la verificación o autenticación se refiere al proceso que permite confirmar que una determinada persona es quien dice ser. Para ello, se comparan los datos de esa persona con los datos asociados a la identidad reclamada

Tratamiento de datos personales para fines de control de acceso o de registro de jornada laboral

El Estatuto de los Trabajadores (art. 20.3 y 34.9), la Ley Orgánica de Protección de Datos (LOPDGDD) y el RGPD, en su conjunto, permiten que los empleadores traten datos personales de sus empleados para fines de control de control de acceso o para fines de registro de jornada laboral, siempre y cuando se cumplan los principios para el tratamiento de datos definidos en estas normas.

Tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral

Para poder tratar datos biométricos se deben respetar los principios y requisitos para el tratamiento de datos definidos en el RGPD y, además, se debe cumplir alguna de las circunstancias definidas en el artículo 9.2 del mismo Reglamento que levantan la prohibición de tratar datos sensibles.

Una de esas circunstancias, la del artículo 9.2.b, permite que se traten datos sensibles si existe una ley de Derecho laboral y de la seguridad y de protección social que así lo autorice. Sobre esta circunstancia, la AEPD ha aclarado que, actualmente, en España no aplica para el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada en el ámbito laboral, ya que el Estatuto de los Trabajadores no autoriza expresamente el tratamiento de datos biométricos para esos fines.

El consentimiento del interesado es otra de las circunstancias (art. 9.2.a del RGPD) que autoriza el tratamiento de datos sensibles. Sin embargo, la AEPD remarca en su nueva Guía que el consentimiento tiene que ser libre y que, como regla general, el consentimiento de un empleado para que se traten sus datos biométricos para fines de control de acceso o de registro de jornada laboral no se considera como consentimiento libre. La AEPD no lo considera como un consentimiento libre por la posición de desequilibro que existe entre el empleado y el empleador, a no ser que se justifique que se ha ofrecido al empleado una alternativa real cuya elección no le causaría ninguna represalia o efecto adverso.

Por lo tanto, supongamos que el consentimiento ha sido libre, todavía se debe justificar la necesidad y proporcionalidad del tratamiento de datos biométricos para fines de control de acceso o registro de jornada laboral. Sobre este último punto, la AEPD en su nueva Guía ha dejado claro que por lo general el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral no es necesario, ya que existen otros mecanismos menos intrusivos que permiten alcanzar las mismas finalidades. Y que, por lo tanto, se trata de un tratamiento adicional de datos que debe justificarse con finalidades del tratamiento adicionales (seguridad física, evolución del rendimiento, acceso a determinados espacios o recursos del empleador).

Teniendo en cuenta lo anterior, para poder utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral, con en el consentimiento del interesado, se deben dar las siguientes circunstancias:

El sistema biométrico debe respetar los principios para el tratamiento de datos personales (art. 5 del RGPD):
- Principio de licitud, lealtad y transparencia;
- Principio de minimización de datos;
- Principio de exactitud;
- Principio de limitación del plazo de conservación; y
- Principio de integridad y confidencialidad.

Se debe superar favorablemente una Evaluación de Impacto para la Protección de Datos (EIPD) que incluya y también supere el triple juicio de idoneidad, necesidad y proporcionalidad estricta establecido en el art. 35.7.b del RGPD.

El consentimiento debe ser libre, y para ello se debe ofrecer al interesado (en este caso, al empleado) una alternativa real que le permita cumplir con la misma finalidad. Si la alternativa real es menos intrusiva y permite alcanzar las mismas finalidades, el uso de datos biométricos no se considerará necesario ni proporcional.

Se deben aplicar medidas técnicas, jurídicas y organizativas que mitiguen el riesgo que implica el tratamiento de datos sensibles.

Para implementar un sistema biométrico para fines de control de acceso fuera del ámbito laboral, por ejemplo, en un gimnasio, también se deben cumplir los requisitos anteriores. En ambos casos, uno de los grandes retos es poder justificar en la Evaluación del Impacto que los beneficios buscados por el empleado, o por el interesado, se integran en las finalidades del tratamiento y lo hacen necesario.

¿Se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral?

Depende. Cada caso requiere de un análisis individual que determine si se cumplen o no los requisitos detallados en el apartado anterior de esta entrada. Este análisis debe ser exhaustivo y debe realizarlo un experto en protección de datos, de esa forma se minimizará el riesgo de sanción por parte de la AEPD.

Si ya has implementado o te estás planteando implementar un sistema biométrico para fines de control de acceso o de registro de jornada laboral debes tener claro si cumples o vas a cumplir con los requisitos y las limitaciones definidas en el RGPD y en la LOPDGDD. De lo contrario, existirá el riesgo de sanción por incumplimiento, el cual se castiga con importantes multas. En Qualgest podemos ayudarte, nuestros más de 15 años de años de experiencia asesorando a empresas a cumplir con la normativa sobre protección de datos personales nos avalan. Contacta con nosotros si quieres que analicemos tu caso y te asesoremos.

KEYWORDS: Sistemas biométricos para fines de control de acceso o de registro de jornada laboral, lectores, huella dactilar, voz, iris, reconocimiento facial, sistema, derechos interesados, Estatuto de los Trabajadores, AEPD, RGPD, LOPDGDD, cumplimiento, sanción, principios tratamiento de datos personales.