Worldcoin obligada a borrar todos los registros del iris que obtuvo

Inicialmente, se posicionó como una de las empresas más interesantes del mercado: Worldcoin tenía como objetivo confirmar la identidad de las personas en internet a través de un escaneo de iris. La iniciativa evitaría falsificaciones, delitos y facilitaría la identificación en un mundo digitalizado. Ese era el objetivo. Pero la protección de datos actuó para aclarar algunos problemas y la agencia española responsable de ello se aseguró de mantener la privacidad de los usuarios a buen recaudo.

Y ahora, la autoridad de protección de datos de Baviera, la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), considera que la empresa no adoptó las medidas de seguridad necesarias para el tratamiento de los datos biométricos. ¿La consecuencia? Worldcoin tendrá que borrar todos los datos relacionados con los iris que se dedicó a escanear durante meses a cambio de una recompensa de 30 euros en criptomonedas.

Con esta medida, la BayLDA ha dado la razón a la Agencia Española de Protección de Datos (AEPD), que en marzo había ordenado a Worldcoin que detuviera la campaña y bloqueara la información que había obtenido en nuestro país. En aquel momento, la AEPD consideró que había “indicios de graves incumplimientos”, lo que llevó a publicar la medida para “evitar potenciales daños irreparables y proteger los derechos de los ciudadanos”.

La iniciativa de BayLDA (un organismo cuya central está también donde Worldcoin tiene su sede europea) ha ratificado la medida cautelar impuesta por España, y ha ordenado la eliminación de todos los iris almacenados dado que no se han adoptado las medidas de seguridad necesarias para el tratamiento de los datos biométricos.

Junto a esta medida, el organismo bávaro exige que el futuro tratamiento de iris se realice sobre la base del consentimiento explícito del interesado y que debe incluir el derecho a la supresión de los datos. Y eso no es todo: BayLDA afirma que Worldcoin no implantó los protocolos imprescindibles para garantizar el tratamiento de los datos de menores de edad, algo que concluirá en una nueva investigación.

Al saber esto, Worldcoin ha reaccionado con un comunicado en el que entre otras cosas destaca que en “un esfuerzo por ir más allá de los requisitos del GDPR (ley de protección de datos), los códigos de iris utilizados para verificar el World ID de una persona ya no se almacenan, y los códigos de iris recopilados anteriormente fueron eliminados voluntariamente para garantizar que no se retenga ningún dato personal para operar World ID”.

Pero va más allá. No solo asegura que algunas de las premisas que subraya el BayLDA se basan en informes con un año de antigüedad, que ya se han resuelto, y también destaca algo para considerar seriamente: “La ley europea existente no proporciona un estándar claro sobre qué constituye la anonimización – añade el comunicado -, y ni el Tribunal de Justicia de la Unión Europea ni las autoridades de protección de datos de la UE han acordado una guía. Esto hace extremadamente difícil construir sistemas que preserven la privacidad y aprovechen de manera segura los datos para bien en la UE. Más importante aún, pone a los ciudadanos en riesgo”.

Si esto es cierto, aún queda mucho por trabajar en lo que a privacidad respecta. Por parte de todos.