La Audiencia Nacional avala la medida provisional adoptada por la Agencia Española de Protección de Datos (AEPD) contra Tools for Humanity Corporation GmbH, desarrolladora del proyecto Worldcoin, por la que se ordenó detener en España la recopilación y tratamiento de datos personales mediante el escaneo de iris, ojos y rostro.
Tools for Humanity Corporation GmbH (TFH) es la entidad desarrolladora de Worldcoin, un proyecto de criptomoneda biométrica basado en el reconocimiento del iris. En España, el sistema obtenía imágenes del iris, los ojos y el rostro de los usuarios mediante unos dispositivos denominados ORB y generaba patrones biométricos vinculados a una identidad digital denominada World ID y a un monedero de criptomonedas. La captación se realizaba en distintos puntos del territorio español, entre ellos centros comerciales, ofreciendo a los usuarios un pago en criptomonedas a cambio del escaneo.
Al analizar el tratamiento de datos realizado por TFH, la AEPD consideró que este tratamiento afectaba a numerosas personas, incluidos menores de edad, sin que constaran acreditados el consentimiento ni la información facilitada sobre el tratamiento de sus datos. En consecuencia, la Agencia acudió al procedimiento de urgencia previsto en el artículo 66.1 del RGPD, el cual permite a una autoridad de control adoptar medidas provisionales cuando concurran circunstancias excepcionales que exijan una intervención inmediata para proteger los derechos y libertades de los interesados, y ordenó a TFH, el 26 de febrero de 2024, cesar de forma inmediata en España en la recopilación y tratamiento de datos personales mediante el escaneo de iris, ojos y rostro, bloquear los datos ya captados y comunicar el cumplimiento de la medida en un plazo máximo de 72 horas.
Ante esto, TFH interpuso recurso contencioso-administrativo ante la Audiencia Nacional solicitando la anulación de la resolución de la AEPD. La empresa alegó que no concurrían las circunstancias excepcionales exigidas por el artículo 66.1 del RGPD para que la AEPD pudiera adoptar medidas provisionales, al considerar que la autoridad de control competente era la Autoridad de Protección de Datos de Baviera (BayLDA), por encontrarse allí el establecimiento principal del responsable del tratamiento.
La Audiencia Nacional empieza recordando que, aunque en los tratamientos transfronterizos la autoridad de control principal es la correspondiente al establecimiento principal del responsable, ello no impide la intervención de otras autoridades en los supuestos previstos por el RGPD, entre ellos el procedimiento de urgencia del artículo 66.1.
TFH aportó un informe de la autoridad bávara que descartaba la existencia de razones excepcionales para adoptar medidas provisionales. Sin embargo, la Sala entendió que dicho análisis no reflejaba las circunstancias específicas del caso español, como la captación en espacios públicos, el pago por la cesión de datos y la participación de adolescentes. Por ello, concluyó que concurrían las circunstancias excepcionales exigidas por el artículo 66.1 del RGPD para justificar la intervención inmediata de la AEPD.
La Audiencia Nacional además considera adecuada la medida adoptada por la AEPD al apreciar que no quedaban claros los fines del tratamiento, así como por las condiciones en las que se realizaba la captación, mediante campañas en lugares de concurrencia pública, alcanzando también a adolescentes y ofreciendo un pago a cambio de la cesión de los datos, circunstancias que permitían cuestionar la validez del consentimiento obtenido. Asimismo, considera que la medida era proporcionada, ya que no suponía el cese total de la actividad de TFH en España, sino únicamente de la recopilación y tratamiento de datos mediante el escaneo de iris, ojos y rostro.
Por todo lo anterior, la Audiencia Nacional desestima el recurso contencioso-administrativo interpuesto por TFH y confirma las medias impuestas por la AEPD.