1/7 Expediente N.º: EXP202401180 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos (en lo sucesivo AEPD) ha tenido conocimiento a través de una denuncia presentada de la existencia de un posible incumplimiento de la normativa de protección de datos por parte de SIDELINE VENTURES, S.L. con NIF B10875763 (en adelante, SIDELINE) por los hechos que se describen a continuación: La entidad Tools for the World GmbH (en lo sucesivo, WORLDCOIN), a través de un stand en el centro comercial Plenilunio, en Madrid, procedía al escaneo del iris a cambio del pago en una criptomoneda ingresada en el 'wallet' vinculado a una 'app'; dicha práctica habría afectado a numerosas personas, incluidos menores de edad, sin que conste acreditado el consentimiento, ni si facilita la información necesaria previa a la recogida de los datos personales. Según la información conocida por la AEPD, el escaneo de iris y la recogida de los datos biométricos en los distintos centros comerciales podrían canalizarse a través de una máquina especial por parte de SIDELINE. Esta entidad podría estar tratando los datos biométricos de menores para WORLDCOIN, aún a pesar de que tanto en el contrato WORLDCOIN y SIDELINE, como en la política de privacidad de WORLDCOIN, se prohíbe expresamente la recogida de datos de menores de 18 años. SEGUNDO: Con fecha de 24 de enero de 2024, la Directora de la AEPD acuerda iniciar actuaciones de investigación, dado que resulta necesario conocer en profundidad los hechos descritos y sus potenciales consecuencias lesivas para los derechos y libertades de las personas. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: SIDELINE ostenta la condición de Operador de WORLDCOIN, según contrato entre ambas partes de 15/11/2022, y su cometido se refiere mayormente al uso del “Orb”, un dispositivo biométrico personalizado, con el fin de registrar usuarios en la región de SIDELINE, así como para lograr ciertos objetivos del proyecto, como “educar” a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 usuarios sobre el protocolo de WORLDCOIN y ayudarles a reclamar sus tokens de WORLDCOIN.” En el contrato exige WORLDCOIN también a los operadores de que cumplan con la legislación de privacidad correspondiente, así como que suscriban los términos y condiciones del usuario y política de privacidad descrita en https://worldcoin.org/privacy-statement. SIDELINE, afirma en contestación a la AEPD que su papel es análogo al de un agente de marketing, sin llegar a recabar o tratar directamente en ningún momento de datos personales, dado que sus funciones, consisten en explicar el Proyecto de WORLDCOIN a los interesados, responder a sus preguntas y a ayudarles a registrarse en World ID. Afirma también SIDELINE, que, en este proceso, no trata con ningún dato personal en ningún momento y que WORLDCOIN le proporciona los dispositivos biométricos, llamados Orbes, que se comunican directamente con el “backend” y el protocolo de WORLDCOIN, de forma que SIDELINE no accede, ni trata de forma alguna los datos personales o biométricos de los usuarios durante el proceso. Concluye SIDELINE que los datos se obtienen con la única finalidad de ser utilizados en el marco del proyecto de WORLDCOIN, sin que ninguno de estos datos personales quede almacenado en sistemas propios de SIDELINE o se usen para una finalidad distinta a la del propio proyecto. Finalmente SIDELINE decide cesar en su cometido como operador, como consecuencia de la prohibición temporal a WORLDCOIN del tratamiento de datos personales en cuestión por parte de la AEPD. FUNDAMENTOS DE DERECHO I Competencia Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas Del artículo 4 “Definiciones” del RGPD se extraen los conceptos de aplicación al caso: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; 14) «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; Los hechos investigados se refieren a la recogida, registro y organización tratamientos de datos personales junto con su imagen escaneada de su iris, que se recoge y registra a través de un dispositivo biométrico personalizado (en lo sucesivo, “Orb”). El escaneo del iris mediante “Orb” implica un tratamiento técnico específico de datos personales biométricos, que permite la identificación única de las personas a través su iris escaneado y procesado mediante “Orb”. WORLDCOIN es la persona jurídica responsable del tratamiento de datos al determinar los fines y medios del tratamiento, y pone a disposición de SIDELINE el “Orb”, con el fin de registrar usuarios en su región, así como para lograr ciertos objetivos del proyecto. El escaneo del iris de los interesados tiene lugar con la contraprestación del pago por parte de WORLDCOIN de una criptomoneda ingresada en el 'wallet' vinculado a una 'app'. SIDELINE se limitaría a la función de encargado del tratamiento, dado que actúa por cuenta del responsable del tratamiento, WORLDCOIN, y, siempre siguiendo sus instrucciones, en función de un contrato suscrito por ambas partes al efecto. III Artículo 9 Tratamiento de categorías especiales de datos personales 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; IV Encargado del tratamiento El artículo 28 del RGPD regula del modo siguiente las obligaciones relación con el encargado del tratamiento (se subraya lo relevante al caso): 1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. (…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 (…)
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; (…) 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” En este caso, SIDELINE actúa bajo las directrices de WORLDCOIN, reglamentadas en un contrato de operador y realiza el tratamiento de datos personales como encargado de WORLDCOIN, en el marco de la relación contractual entre ambas. La misión que se le atribuye en el contrato es informar a los interesados sobre el Proyecto de WORLDCOIN, responder a sus preguntas, y, en último término, recabar sus datos para WORLDCOIN, dado que su misión es ayudar a los interesados a registrarse en World ID. Para que esta Agencia pueda declarar la existencia de una infracción en materia de protección de datos, resulta imprescindible constatar que el tratamiento de datos personales se ha realizado sin base jurídica válida o en vulneración de los principios y derechos establecidos en el RGPD. Asimismo, dicho tratamiento debe ser imputable a una persona física o jurídica identificada, en su condición de responsable o encargado del tratamiento. El escaneo del iris forma parte del tratamiento de categorías especiales de datos personales, protegidas adicionalmente en el artículo 9 del RGPD, dado que su objetivo es la identificación de manera unívoca de personas físicas, utilizándose en este caso medios técnicos específicos para este fin. El RGPD prohíbe básicamente su tratamiento, salvo que (entre otras excepciones) el interesado haya dado su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados. Y para que el consentimiento sea válido, con carácter general, deben cumplirse además los requisitos de información previstos el artículo 12 y siguientes del RGPD. Adicionalmente el tratamiento de datos especiales requiere a su vez una evaluación de impacto, así como también medidas organizativas y de seguridad incrementadas, porque su uso ilícito puede tener muy graves consecuencias para los derechos y libertades de las personas. Y esta protección se incrementa más aún para el caso de los menores de edad. Aunque en este caso, SIDELINE ostenta sólo la condición de encargado del tratamiento recaba y lleva a cabo tratamiento de datos personales exclusivamente para las finalidades del proyecto de WORLDCOIN, y su encargo consiste en recoger datos de los interesados e informarles sobre su uso y finalidad, por lo que debe cumplir también con lo previsto por el RGPD para el consentimiento bien informado, y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 en especial, para las categorías especiales de datos, siempre en el marco de sus atribuciones e instrucciones recibidas. Si SIDELINE hubiera recogido datos de menores de edad para WORLDCOIN, (como se denuncia inicialmente), en contra de la prohibición expresa del contrato suscrito entre ambas, habría decidido sobre medios y fines del tratamiento al margen del contrato, convirtiéndose así en responsable del tratamiento en este punto, con lo que también podría haber incurrido en responsabilidad por infracción del RGPD. A la vista de los resultados obtenidos en el marco de las actuaciones de investigación, no se ha podido acreditar que la entidad SIDELINE VENTURES, S.L. llevara a cabo un tratamiento de datos personales como responsable del tratamiento. Tal y como se desprende del contrato suscrito entre SIDELINE y WORLDCOIN, y de la propia declaración de la entidad investigada, su papel se limita a funciones informativas y de asistencia en el proceso de registro, sin que participe en la recogida, almacenamiento o tratamiento ulterior de los datos biométricos obtenidos mediante el dispositivo "Orb", propiedad de WORLDCOIN. Durante el procedimiento, SIDELINE ha manifestado no tener acceso a los datos recabados ni tratar en ningún momento información personal o biométrica de los interesados, siendo dicha gestión responsabilidad exclusiva de WORLDCOIN, a través de sus propios sistemas técnicos. Esta afirmación no ha sido desvirtuada por elementos probatorios que permitan sostener una imputación efectiva de responsabilidad. Además, SIDELINE optó por la cesación completa de su actividad, por lo que al prohibir la AEPD temporalmente la actividad de WORLDCOIN, SIDELINE no estaría ya recogiendo datos personales de ninguna clase para WORLDCOIN. Por esta razón, la AEPD procede al archivo de sus actuaciones de investigación en relación con SIDELINE. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento / por la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a SIDELINE VENTURES, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es