La Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), autoridad de protección de datos de Baviera (Alemania), ha dictado una resolución en la que determina que la empresa responsable del proyecto Worldcoin ha infringido varios artículos del Reglamento General de Protección de Datos (RGPD). En consecuencia, se le insta a adoptar las medidas correctivas necesarias. Esta decisión se produce tras la finalización del procedimiento de cooperación entre autoridades competentes previsto en el artículo 60 del RGPD, un proceso en el que la Agencia Española de Protección de Datos (AEPD) ha participado activamente.

Confirmación de la medida cautelar impuesta por la AEPD

La resolución de la BayLDA ratifica la medida cautelar impuesta por la AEPD en marzo de este año. Ante la detección de graves incumplimientos y con el objetivo de evitar daños irreparables, la AEPD ordenó la suspensión inmediata de la recogida y tratamiento de datos personales en España, así como el bloqueo de los datos ya recopilados.

La empresa responsable de Worldcoin recurrió esta medida ante la Audiencia Nacional, que confirmó su validez, destacando que primaba "la salvaguarda del interés general en la protección de los datos personales de los ciudadanos sobre el interés particular de la empresa".

Sanciones y medidas correctivas impuestas por la BayLDA

Como autoridad de protección de datos del país donde la empresa tiene su establecimiento principal en Europa, la BayLDA ha dictaminado que Worldcoin debe:

• Eliminar todos los códigos de iris almacenados desde el inicio del proyecto, ya que no se han implementado las medidas de seguridad necesarias para la protección de estos datos biométricos.
• Asegurar que cualquier tratamiento futuro de datos de iris se realice con el consentimiento explícito del interesado, ya que hasta ahora se ha basado en una base jurídica incorrecta según lo dispuesto en los artículos 6.1 y 9 del RGPD.
• Garantizar el derecho a la supresión de datos en cualquier tratamiento futuro de códigos de iris.
• Implementar mecanismos eficaces para impedir el tratamiento de datos de menores, una deficiencia que ha sido constatada y que será objeto de una investigación adicional.

Consecuencias del incumplimiento

La resolución también contempla la imposición de multas en caso de que la empresa no cumpla con las medidas ordenadas. Además, se prevé la aplicación de sanciones administrativas adicionales derivadas de los incumplimientos ya declarados en materia de protección de datos personales, las cuales serán determinadas en una resolución sancionadora posterior conforme al Derecho administrativo alemán.

Con esta decisión, las autoridades europeas refuerzan la necesidad de un cumplimiento estricto de la normativa de protección de datos, en especial en lo referente al tratamiento de información biométrica y a la garantía de los derechos fundamentales de los ciudadanos.