CO-000297-2023-medida-provisional

1/5 Ref.: EXP202312448 Asunto: Acuerdo de adopción de medida provisional La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento del tratamiento de datos personales a gran escala, sobre todo de menores de edad, que a continuación se describe y que presuntamente vulnera la legislación en materia de protección de datos personales. I Hechos El tratamiento de datos personales se lleva a cabo en el marco de Worldcoin, un proyecto de criptomoneda biométrica con reconocimiento de iris desarrollado por la entidad Tools for Humanit Corporationy, y consiste en el procesado de datos biométricos a través de la captura inicial de imágenes de los iris, ojos y rostro de miles de personas desde múltiples puntos de la geografía española y haciéndose uso para ello de un dispositivo especial, denominado ORB, capaz de almacenar esta información y generar patrones biométricos, afectando dicha práctica a numerosas personas, incluidos menores de edad, sin constar acreditado el consentimiento y la información proporcionada acerca de este tratamiento. En la información conocida por esta Agencia, se constató que, en diferentes centros comerciales en Madrid, así como en otras ciudades españolas, la entidad procedía al escaneo de iris a cambio de obtener un pago en una criptomoneda ingresada en el 'wallet' vinculado a una 'app. La finalidad de Worldcoin es proporcionar a los ciudadanos una identidad digital que les permita acreditar su condición de humanos ante una inminente generalización de la IA en el marco de sus servicios y en su funcionamiento se requeriré la instalación de una aplicación en el móvil y el registro como usuario, y la recepción de un código QR. Posteriormente, se procede a la verificación de esta prueba de personalidad mediante la captura del iris mediante Orb y la generación de un patrón biométrico que se asocia al código QR y la aplicación se transforma en un pasaporte llamado World ID, que es también el monedero de una criptodivisa llamada Worldcoin. Consta también la presentación de varias reclamaciones en las que se señala que se están captando datos de menores. Se denuncia la insuficiente información aportada, en particular, no es claro para los interesados que se captan datos biométricos. Se denuncia también que no se facilita a petición de los interesados el formulario que han rellenado prestando el consentimiento y que no se permite la retirada del consentimiento remitiendo al interesado al borrado de la aplicación. También se señala por uno de los reclamantes que un supuesto procedimiento de supresión mediante un formulario en Internet no funciona, en tanto que requiere que la empresa envíe un código por correo que llega siempre tarde, con lo cual cuando llega al usuario ya no es válido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Según las Directrices 05/2022 sobre el uso del reconocimiento facial tecnología en el ámbito de la aplicación de la ley, Versión 2.0” El tratamiento de datos biométricos en cualquier circunstancia constituye una interferencia grave en sí mismo…”. En el caso analizado la recogida de la información se realiza sin facilitar la información relacionada con el tratamiento de datos personales que implica- dicho tratamiento. El considerando 39 del RGPD señala que “Las personas físicas deben tener conocimiento de los riesgos” con relación a los tratamientos, en este caso biométrico. Sin embargo, esta información no está siendo suministrada a los interesados que no son advertidos de los riesgos que implica el uso de sus datos biométricos. La base de legitimación del tratamiento no puede ser el consentimiento, pues este debe ser libre, específico, informado e inequívoco. En este caso no se estaría obteniendo un consentimiento informado. Según consta en las reclamaciones recibidas en esta Agencia el responsable no habría habilitado un procedimiento para la retirada del consentimiento, por lo que tampoco sería libre. Además, no se ha acreditado que se supere el análisis de idoneidad y necesidad que exige el tratamiento de datos de alto riesgo, ni si existen otras alternativas posibles para los fines objeto del tratamiento que no requieran la recogida de datos biométricos Por ello, realizada por esta Agencia una valoración provisional de los hechos, se estima que existen indicios racionales de que el tratamiento de datos personales por medio del procesado de datos biométricos, puede constituir una vulneración de los artículos 5.1.a), 6.1, 7, 9, 12, 13 y 17 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD). II Justificación de la urgencia El uso de datos biométricos conlleva elevados riesgos para los derechos de los interesados. Atendiendo a la naturaleza especialmente sensible de los datos personales objeto de tratamiento, sobre todo datos de menores, y a la intensa afectación a los derechos y libertades de las personas a que se refieren, esta Agencia considera que la continuación de su tratamiento compromete seriamente su bienestar y muestra que los efectos adversos sobre los datos de los sujetos y sus derechos y libertades fundamentales son considerables. El tratamiento se produce en diferentes partes del territorio español afectando a un gran número de interesados y generando una gran alarma social que se manifiesta en numerosas noticias en los periódicos e incluso en los telediarios de la televisión pública C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Se trata, en consecuencia, de una decisión basada en "circunstancias excepcionales", un supuesto de urgencia inaplazable en el que, para la protección de los intereses implicados, resulta necesario y proporcionado adoptar medidas provisionales dirigidas al cese inmediato de ese tratamiento de datos personales, la prevención de su posible cesión a terceros y, en definitiva, la salvaguarda del derecho fundamental a la protección de datos personales de la persona afectada. Según dispone el RGPD en su artículo 57, la AEPD, autoridad de control en materia de protección de datos, tiene atribuida la competencia de controlar la aplicación del Reglamento General de Protección de Datos y hacerlo aplicar y, para ello, ostenta los poderes establecidos en el artículo 58.2.f) del citado Reglamento. El tratamiento se lleva a cabo en varios establecimientos del Espacio Económico Europeo del responsable del tratamiento y afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado, siendo en la actualidad Baviera (Alemania) la autoridad de control principal. Por ello, se considera urgente por la AEPD adoptar una medida cautelar con carácter excepcional y dentro del marco habilitante del artículo 66.1 del RGPD, de acuerdo con el cual, en circunstancias excepcionales, cuando una autoridad de control interesada considere que es urgente intervenir para proteger los derechos y las libertades de interesados, podrá, como excepción al mecanismo de coherencia contemplado en los artículos 63, 64 y 65, o al procedimiento mencionado en el artículo 60, adoptar inmediatamente medidas provisionales destinadas a producir efectos jurídicos en su propio territorio, con un periodo de validez determinado que no podrá ser superior a tres meses. La autoridad de control comunicará sin dilación dichas medidas, junto con los motivos de su adopción, a las demás autoridades de control interesadas, al Comité y a la Comisión. III Riesgos para los derechos de los interesados que necesitan protección El tratamiento presuntamente ilícito Implica el procesamiento de datos personales sensibles a través de medios altamente opacos e intrusivos, que podrían incluir operaciones de seguimiento y elaboración de perfiles, sin garantizar, además, el derecho de los interesados a la información adecuada. De las reclamaciones recibidas se desprende, asimismo, que se ponen en riesgo otros derechos concedidos por el RGPD como el derecho a la retirada del consentimiento o el derecho de supresión. En este contexto, no tomar medidas urgentes para garantizar el cumplimiento de la normativa de protección de datos dejaría a los interesados en riesgo elevado, privándolos efectivamente de las protecciones a las que tienen derecho según el RGPD y, en tal sentido, la adopción de medidas urgentes de prohibición temporal de las actividades de tratamiento consideradas potencialmente irregulares está justificada para evitar daños potencialmente irreparables a sus derechos y libertades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Debe tenerse en cuenta, además, que en el presente supuesto se están tratando datos de menores de edad y debe considerarse la necesidad de primar el interés superior del menor, en consonancia con lo establecido en la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor. En el ámbito concreto de la protección de los datos personales dicho interés queda garantizado en el propio RGPD, cuyos Considerandos 38 y 75 establecen que los niños merecen una protección específica de sus datos personales, así como a través del artículo 84 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, al regular la protección de los menores en Internet. Por su parte, la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violencia, prevé en su artículo 45 el uso seguro y responsable de Internet y en el artículo 52 determina expresamente que la Agencia Española de Protección de Datos garantizará “una protección específica de los datos personales de las personas menores de edad en los casos de violencia ejercida sobre la infancia y la adolescencia, especialmente cuando se realice a través de las tecnologías de la información y la comunicación”. IV Descripción de las medidas adoptadas Por todo lo anteriormente expuesto, en uso de las facultades conferidas por el artículo 58 del RGPD, y conforme a lo dispuesto en el artículo 69.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, SE ACUERDA: 1.- Ordenar a TOOLS FOR HUMANITY CORPORATION GMBH que, de forma inmediata, cese la recopilación y tratamiento de datos personales en el territorio español que implica el escaneo de iris, ojos y rostro, y su posterior procesamiento. 2.- Ordenar el bloqueo de los datos captados en el territorio español. 3.- Ordenar a TOOLS FOR HUMANITY CORPORATION GMBH que comunique a esta Agencia la efectiva ejecución de la medida en el plazo máximo de 72 horas desde la recepción de este Acuerdo. 4.- Notificar el presente Acuerdo a TOOLS FOR HUMANITY CORPORATION GMBH. Conforme a lo dispuesto en el artículo 83.6 del RGPD, el incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, del RGPD, se sancionará con multas administrativas de 20 millones de euros como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Durante el procedimiento sancionador que, en su caso, se inicie, o bien en la resolución por la que se acuerde el archivo de las presentes actuaciones previas de investigación, se resolverá sobre el mantenimiento o levantamiento de los efectos de esta medida provisional. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 290-030320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es