Protección de datos en la encrucijada: el escaneo del iris de WorldCoin
La innovación tecnológica ha constituido siempre una fuerza impulsora en la evolución de la sociedad. Desde la invención de la rueda hasta la era digital, la humanidad ha abrazado constantemente nuevos avances para mejorar la eficiencia y la comodidad en nuestras vidas.
Sin embargo, cada progreso trae consigo riesgos y desafíos, especialmente cuando se trata de la salvaguarda de la privacidad y la protección de datos.
En el presente artículo, se examina el futuro más cercano (con tintes distópicos) del impacto social, riesgos y finalidad de WorldCoin, empresa de criptomonedas de Sam Altman (cofundador de OpenAI y creador de ChatGPT) que ofrece a las personas interesadas criptomonedas a cambio del escaneo del iris del ojo provocando en centros comerciales largas colas de gente interesada en entregar sus datos biométricos sin conocer cuál será el fin de los mismo.
¿Cómo actúa WorldCoin?
La compañía internacional WorldCoin ha irrumpido con fuerza en el mercado nacional e internacional desde su corta andadura ofreciendo un nuevo modelo de mercado a través de su visión universal; creando un pasaporte digital para todas las personas reales sin utilizar nuestros datos personales. Es decir, evitar el fraude de usurpación de identidad por una Inteligencia Artificial o cualquier robot; lo que permitiría identificarnos en cualquier lugar usando solo nuestro físico: en este caso, con el iris de nuestros ojos. De momento, más de 100.000.000 millones de personas han “vendido” sus datos personales biométricos sin tener en cuenta la finalidad real de esta transacción y sus consecuencias.
¿Cómo funciona WorldCoin?
La forma de “comprar” el iris es muy sencilla. Los usuarios que visitan el stand que suelen poner en los centros comerciales, se acercan a un orbe plateado y a la misma vez que miran hacia dentro, un rayo infrarrojo analiza su iris al detalle, y a cambio de los datos biométricos ingresan unos 10 tokens* de WorldCoin.
Dependiendo del valor especulativo de la criptomoneda en el momento que sea, se puede conseguir entre 30 y 200 euros por el escaneo.
¿Qué riesgos tiene?
Si analizamos los riesgos que conlleva este tipo de prácticas, hemos de tener en cuenta varios aspectos:
- Como la huella dactilar, la voz o el ADN, nuestro iris es un dato biométrico único, y como tal, está incluido dentro de las categorías especiales de datos amparadas en el artículo 9** del Reglamento General de Protección de Datos***. Para tratar este tipo de datos a gran escala, es obligatorio la realización de una Evaluación de Impacto****. De momento, no hay constancia de que se haya llevado a cabo en nuestro país.
- Se vulneran los principios relativos al tratamiento del art. 5 del RGPD: en concreto, el principio de transparencia, minimización de datos, integridad y de confidencialidad; ya que no se sabe con exactitud qué información es la que realmente se extrae y si realmente se anonimiza de manera irreversible.
- Se produce también un vicio en la recogida del consentimiento***** como base de legitimación; ya que este debe de ser libre, informado, específico e inequívoco. Ello exige, que la persona que lo presta tiene que ser plenamente consciente de todas las consecuencias que se derivan del tratamiento de sus datos personales; ya que no sólo captan la biometría del iris; sino que también se escanea imágenes de los ojos y de la cara.
- Tampoco se tiene información sobre los servidores que utilizan y los medios para guardar estos registros.
- También se tienen que tener en cuenta los riesgos a largo plazo: a diferencia de la voz o de la huella dactilar, la morfología del iris (diferente en cada ojo) suele ser la misma durante toda nuestra vida y el margen de error a la hora de identificarnos es muy limitado con respecto a los otros datos biométricos. Por ejemplo, si te hackean el móvil, tu mail o la cuenta del banco, se cambia la contraseña y se recupera la seguridad; pero si roban tu iris como dato biométrico, no se puede revertir la situación. Es más, puedes ser sujeto de suplantación de identidad.
¿Hacia dónde vamos?
Aunque WorldCoin se presente como un proyecto basado en la tecnología blockchain, aparentemente segura y con un propósito buenista, no dejan de ser tecnologías de control disruptivas que esconden otros fines enmascarados tras nuevos modelos de negocio que ven en los datos biométricos y también de salud activos valiosísimos con los que comercializar nuevos productos.
Países como Francia, Alemania, Gran Bretaña y Kenia han mostrado interés, emitiendo algunos directivas para detener el registro de usuarios. En España, la Agencia Española de Protección de Datos está investigando varios casos y acaba de prohibir como medida cautelar a WorldCoin seguir tratando datos personales en nuestro país.
Además, insta a bloquear los datos personales ya recopilados y basa su decisión en las circunstancias excepcionales del art. 66.1 del RGPD “cuando una autoridad de control interesada ‒en este caso la AEPD‒ considere urgente intervenir para proteger los derechos y libertades de las personas, podrá adoptar medidas provisionales con efectos jurídicos en su territorio y con un periodo de validez que no podrá ser superior a tres meses”****** teniendo como objetivo y prioridad la tutela y salvaguarda de los derechos de los titulares de estos datos biométricos que pueden sufrir daños potencialmente irreparables quedando desamparados.
Por tanto desde este momento, cualquier actividad de esta compañía orientada a captar datos personales en España sería ilegal pudiendo enfrentarse a sanciones que pueden alcanzar los 20 millones7 de euros si sigue recopilando datos. Por ello, es muy importante concienciar a la ciudadanía (sobre todo al sector más joven) sobre este tipo de ventas y las tecnologías emergentes que pueden condicionar nuestro futuro más cercano en detrimento de nuestra libertad y derechos fundamentales más importantes.
No te pierdas toda la actualidad en Protección de Datos & Cumplimiento Normativo de la mano de los mejores profesionales del sector en nuestro Máster Profesional en Dirección de Compliance & Protección de Datos.
* Token: “unidad de valor que una organización crea para gobernar su modelo de negocio y dar más poder a sus usuarios para interactuar con sus productos, al tiempo que facilita la distribución y reparto de beneficios entre todos sus accionistas”, ‘The business blockchain’, William Mougayar.
** https://noticias.juridicas.com/base_datos/Privado/574082-regl-2016-679-ue-de-27-abr-proteccion-de-las-personas-fisicas-en-lo-que.html#a19 (Última visita 5 marzo 2024)
*** En adelante RGPD.
**** Autoridad Vasca de Protección de Datos https://www.avpd.euskadi.eus/webavpd00-content/es/contenidos/noticia/20240124_komunikatua/es_def/index.shtml (Última visita 5 marzo 2024)
***** Informe de la Autoridad Catalana de Protección de Datos https://web.gencat.cat/es/actualitat/detall/Proteccio-de-dades-avisa-de-lescaneig-de-liris (Última visita 6 marzo 2024)
****** https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-agencia-ordena-medida-cautelar-que-impide-a-worldcoin-seguir-tratando-datos-personales-en-espana AEPD, (Última visita 6 marzo 2024)
******* Art. 83 y 58 del Reglamento General de Protección de Datos
