España ha prohibido a Worldcoin escanear más iris, pero qué pasa con los que ya ha captado

España ha dado un golpe en la mesa en el debate sobre Worldcoin. Desde este jueves y durante los próximos tres meses, el proyecto de Tools of Humanity, auspiciado por el creador de OpenAI, Sam Altman, no podrá seguir captando el iris de más personas en territorio español ni registrando usuarios. Y en ese tiempo tendrá que bloquear toda la información personal que ya tiene en su poder, impidiendo que se use para nada. Así lo ha decidido la Agencia Española de Protección de Datos en una medida excepcional y única en España y Europa, tomada tras meses de alarma social y que puede ser un punto de inflexión para el proyecto.

Es una medida extrema y urgente, como afirma la propia AEPD, y que se justifica ante los posibles riesgos "irreparables" que esconde el proyecto y la falta de transparencia y cuidado de los derechos de los usuarios mostrada por la compañía. Así, el organismo se apoya en el Reglamento General de Protección de Datos europeo y en sus artículos 66.1 y 66.2 para llevar a cabo una actuación tajante que pocas veces se ha visto en la región. Sin embargo, no está tan claro hasta dónde pueden llegar sus actuaciones por algo que repiten todos los expertos: "se ha llegado demasiado tarde". ¿Qué pasa con los que ya vendieron su iris?

"El caso más parecido a este, para que nos entienda la gente, es el de OpenAI en Italia de hace unos meses. La agencia de protección de datos italiana obligó a la compañía estadounidense a suspender sus trabajos en el país cuando vio el boom de la IA y hasta que se aclarase el uso que hacían de los datos. La cosa es que pronto el organismo vio que cumplían con la normativa y levantaron el veto. Aquí no parece que sea tan sencillo ni liviano", comenta Samuel Parra, jurista especializado en protección de datos y gerente de la consultora de ePrivacidad. La AEPD ha hecho un gesto parecido al recalcar que ahora empezarían una investigación y mirarían en detalle si la compañía cumplía con la regulación, pero para Parra esto se tenía que haberse hecho mucho antes "creo que a la empresa ya le va a importar poco que la suspendan, ya han captado casi todo lo captable".

Según este experto, parece claro que el trabajo de Tools of Humanity en Europa se acerca a su fin. Ve muy difícil que puedan justificar el tratamiento de datos tan sensibles y es probable que la decisión final sea suspender del todo el trabajo de esta empresa en suelo de la UE. Pero la gran duda que queda es qué pasa con los que ya han dado sus datos, que no son pocos. Solo en España la cifra más aproximada habla de 400.000 registros, aunque con el boom de las últimas semanas el número podría haberse disparado. Y otros mercados de Europa como Portugal o Alemania también han sido claves en el crecimiento de una empresa que a día de hoy cuenta con más de 4 millones de usuarios.

Para dar algo de tranquilidad a esos ciudadanos que, destaca la AEPD, tenían limitados sus derechos para reclamar los datos que almacena Worldcoin, la agencia ha ordenado el bloqueo total del uso de los datos. No podrá tratarlos para nada, ni siquiera para borrarlos. Es decir, esto podría afectar hasta al movimiento de las criptomonedas que el usuario cobró por su iris, porque la wallet donde se ingresan es de la propia empresa y necesita tratar datos personales para verificar que esa cartera es suya.

El problema, explica Parra, es que no se sabe hasta qué punto esos datos ya se han movido. "Es muy difícil perseguir esto, puede que ya se hayan llevado a otras regiones e incluso que se hayan vendido a terceros. Ya pasó hace unos años con los coches de Google Streetview que captaban información de los wifi caseros y recopilaban datos sin consentimiento. Cuando se quiso parar ya habían tratado millones de datos. Por eso recalco que en estos casos la única medida eficaz es llevar a cabo estos bloqueos ante la mínima sospecha de que esto pueda pasar".

¿Se puede multar a una empresa de las Islas Caimán?

Para el jurista es muy importante el punto de que la empresa Tools of Humanity, creada como fundación, tiene una sede en Baviera, por ello la AEPD ha acudido a la agencia de esa región alemana para que lleve a cabo la investigación pertinente, pero su sede global está en Islas Caimán. Y World Assets Limited, la compañía que imprime los WLD (criptomoneda de Worldcoin) está en las Islas Vírgenes Británicas. Eso, asegura, limita mucho la capacidad de actuación de una agencia local como la española. No solo para evaluar lo hecho con los datos de sus usuarios, sino por los castigos que pueda imponer si demuestra que no está cumpliendo con lo exigido.

"Puedes multar a una empresa con base en esos países, pero lo más seguro es que la multa no vaya a ninguna parte. Ya cuesta cobrar a empresas españolas, como para cazar a empresas en países con leyes económicas tan particulares". Desde la AEPD han sido tajantes y aseguran que de no ver que la compañía cumple con lo exigido, al organismo no le temblará la mano y actuará. Mandará a inspectores o autoridades locales a comprobar la situación. Los castigos del RGPD son altos, y van hasta los 20 millones de euros o el 4% del volumen de negocio de la empresa.

Además de su sede, todo lo que rodea a Worldcoin tiene un halo de misterio. Pese a su éxito en los centros comerciales, en España solo es posible dar con un par de empleados directos y a día de hoy solo hay una oferta de trabajo visible de esta empresa en nuestro país. Hace unos meses se habló incluso de que abrirían su sede europea en Barcelona, pero nada de eso se completó. El Confidencial ha podido comprobar a cierre de este artículo que los servicios de la app siguen funcionando y se sigue permitiendo la verificación. Además, al contactar con un cajero de bitcoin aseguran que siguen pudiendo canjear los WLD sin problema.

La empresa, por su parte, no ha confirmado si acatará la decisión que se les comunicó el pasado 4 de marzo (tienen hasta este jueves para confirmar su cumplimiento), pero sí han mandado un duro mensaje a las autoridades españolas en un comunicado remitido a este periódico. "La autoridad española de protección de datos (AEPD) está eludiendo la ley de la UE con sus acciones de este miércoles, que se limitan a España y no a la UE en general, y difundiendo afirmaciones inexactas y engañosas sobre nuestra tecnología a nivel mundial", comenta Jannick Preiwisch, Data Protection Officer, de la compañía, en un comunicado difundido el miércoles.

El comunicado, lejos de aceptar los problemas comentados por las autoridades, es una defensa a ultranza de sus sistemas. "World ID se creó para brindar a las personas acceso, privacidad y protección en línea. Es la solución más segura y que mejor preserva la privacidad para verificar la humanidad en la era de la IA, y siempre estamos dispuestos a colaborar con los reguladores, examinar sus comentarios y responder sus preguntas. Nuestros esfuerzos por colaborar con la AEPD y proporcionarles una visión precisa de Worldcoin y World ID han quedado sin respuesta durante meses. Estamos agradecidos de tener ahora la oportunidad de ayudarlos a comprender mejor los hechos importantes relacionados con esta tecnología esencial y legal".