Imagen generada con IA.
A finales de 2023 se formaron colas kilométricas en varias ciudades españolas: cientos de personas esperaban su turno para que un dispositivo esférico escaneara el iris de sus ojos a cambio de una pequeña cantidad de criptomoneda gratuita. Era Worldcoin, el proyecto de identidad biométrica impulsado por Tools for Humanity, la empresa cofundada por Sam Altman. La Agencia Española de Protección de Datos (AEPD) decidió frenarlo en seco, y la Audiencia Nacional acaba de respaldar esa decisión frente al recurso de la compañía.
El caso: colas para escanear el iris a cambio de criptomoneda en España
El funcionamiento de Worldcoin era sencillo y, precisamente por eso, generó alarma: un dispositivo llamado «Orb» capturaba una imagen del iris del usuario para generar un identificador biométrico único, a cambio de una recompensa económica en criptomoneda. La iniciativa se instaló en espacios públicos y captó la atención de un público muy amplio, incluidos menores, atraídos por la promesa de dinero gratis.
La AEPD consideró la situación lo bastante preocupante como para intervenir de forma inmediata: recogida masiva de datos biométricos en la vía pública, un consentimiento condicionado a una recompensa económica y una información sobre el tratamiento de los datos que la Agencia calificó de insuficiente e incompleta.
Qué es el «freno de emergencia» que puede aplicar la AEPD y cuándo lo usa
Para detener la actividad, la AEPD recurrió al artículo 66.1 del RGPD, un mecanismo excepcional que permite a una autoridad de control adoptar medidas provisionales inmediatas cuando existe una necesidad urgente de actuar para proteger los derechos de las personas. A finales de febrero de 2024, la Agencia ordenó el cese provisional de la recogida y el tratamiento de datos de iris, ojos y rostro por parte de Worldcoin en territorio español.
Es lo que coloquialmente se conoce como «freno de emergencia»: una herramienta que no exige el trámite de audiencia previa propio de un procedimiento sancionador ordinario, precisamente porque su razón de ser es permitir una reacción rápida ante un riesgo grave para los derechos de los ciudadanos. La empresa afectada conserva, eso sí, todas las vías de defensa posteriores, incluida la de recurrir la medida ante los tribunales.
Por qué la Audiencia Nacional respalda la suspensión cautelar
Tools for Humanity recurrió el freno de emergencia ante la Audiencia Nacional alegando que no concurrían circunstancias excepcionales que justificaran una medida provisional. La Sección Primera de la Sala de lo Contencioso-Administrativo, en su sentencia 304/2026, de 30 de junio, ha desestimado el recurso y ha avalado íntegramente la actuación de la AEPD, con imposición de costas a la compañía.
El tribunal considera que la medida respetaba el principio de proporcionalidad, ya que se limitaba a la recogida de datos biométricos en España y no obligaba a Worldcoin a cesar el resto de su actividad. Sobre el fondo, los magistrados cuestionan abiertamente la validez del consentimiento obtenido a cambio de dinero: «la situación era especialmente preocupante cuando se utilizaban técnicas agresivas para la recopilación de datos, interviniendo en espacios públicos y captando la atención de menores, obteniendo el consentimiento para el tratamiento mediante el pago de un precio, algo que en sí mismo permite cuestionar la validez de este consentimiento», señala la sentencia.
La Audiencia Nacional recuerda además que las medidas provisionales de urgencia existen precisamente para permitir una intervención inmediata en casos de riesgo para el interés público, sin que ello deje indefensa a la empresa afectada, que puede defenderse después por las vías ordinarias, incluida la acción de responsabilidad patrimonial.
Datos biométricos e IA: por qué el iris es una categoría especialmente sensible
El RGPD clasifica los datos biométricos destinados a identificar de manera unívoca a una persona como una categoría especial de datos, con un nivel de protección reforzado frente a otros datos personales. El iris, igual que la huella dactilar o el reconocimiento facial, es un identificador prácticamente inmutable: a diferencia de una contraseña, no se puede «cambiar» si se ve comprometido.
A esto se suma el contexto de proyectos que combinan biometría con inteligencia artificial para generar identificadores digitales globales, lo que multiplica el impacto de cualquier fallo en la base jurídica o en la información facilitada a las personas: no se trata de un dato aislado, sino de la pieza central de un sistema de identidad pensado para operar a gran escala.
Qué implica para otros proyectos de biometría con criptomoneda o recompensas
La sentencia deja varias lecciones prácticas para cualquier empresa que plantee recoger datos biométricos a cambio de un incentivo económico, ya sea en criptomoneda, en descuentos o en cualquier otra recompensa:
- El «pay for data» es un terreno de riesgo: cuando el consentimiento se obtiene a cambio de dinero, su validez como base jurídica queda en entredicho, especialmente si existe un desequilibrio de información entre la empresa y el usuario.
- La captación en espacios públicos agrava el riesgo: recoger datos biométricos en la calle, sin un entorno controlado y con capacidad de llegar a menores, es precisamente el tipo de escenario que puede activar una intervención de urgencia de la autoridad de control.
- La información tiene que ser completa desde el primer momento: no basta con explicar que se entrega una recompensa; hay que detallar con claridad qué datos se recogen, con qué finalidad, durante cuánto tiempo se conservan y qué garantías de seguridad existen.
- Las medidas provisionales pueden llegar sin previo aviso: cuando el riesgo es grave, la autoridad de protección de datos puede actuar antes de abrir un procedimiento sancionador ordinario, por lo que conviene auditar estos proyectos antes de lanzarlos, no después.
En Dataibérica recomendamos a cualquier negocio que maneje datos biométricos —ya sea huella, rostro o iris— revisar la base jurídica del tratamiento antes de recabar el primer dato, evitar condicionar el consentimiento a una recompensa económica y documentar con detalle la evaluación de impacto correspondiente, dado el nivel de riesgo que este tipo de datos conlleva. Si quieres una valoración de tu caso, contacta con nosotros.
