Tools for Humanity, compañía estadounidense cofundada por Sam Altman (CEO de OpenAI), lanzó a escala global una campaña para capturar la imagen del iris de millones de personas. La idea es crear un sistema de identificación biométrica global –denominado World ID– que permita a cualquier plataforma incorporada al sistema verificar que el usuario es quien dice ser.
Para incentivar la participación, la compañía compensa a los interesados con un activo digital propio denominado Worldcoin. Aunque su cotización es baja, numerosos especuladores han comprado el token confiando en que la creciente cesión de datos biométricos consolidará la posición dominante de la compañía y elevará el valor del activo.
El procedimiento es sencillo: el usuario descarga la aplicación World App y proporciona datos básicos y de contacto. Para seguir, se pregunta al usuario si es mayor de edad (edad afirmada por clic, sin verificación estricta). Tras ello, genera un código QR y acude al punto de encuentro para el proceso de escaneado del iris por una máquina esférica bautizada como «Orb». El dispositivo, en apenas unos segundos toma una serie de imágenes del rostro e iris de la persona que, mediante modelos de aprendizaje automático y otras técnicas de visión por ordenador, se transforman en un código numérico que es encriptado por seguridad. Ese identificador (hash) recibe el nombre de «World ID». En teoría, la imagen del rostro e iris son destruidas, tras generarse el código numérico, pero no hay forma de comprobarlo.
¿Es legal el tratamiento?
El iris es un dato biométrico único e inmutable (como la huella dactilar), clasificado como categoría especial de datos personales (artículo 9 del RGPD).
Su tratamiento exige el consentimiento explícito, libre, informado, específico e inequívoco del interesado, además de una evaluación de impacto obligatoria. El incentivo económico condiciona gravemente la libertad del consentimiento, especialmente en contextos de vulnerabilidad económica. Además, la imposibilidad de verificar la destrucción real de las imágenes genera un riesgo adicional.
Antes de recabar el consentimiento, el responsable del tratamiento debe informar al interesado sobre los siguientes puntos:
- Identidad y datos de contacto del responsable y, en su caso, de su representante.
- Datos de contacto del Delegado de Protección de Datos.
- Fines del tratamiento.
- Base jurídica que lo legitima.
- Destinatarios o categorías de destinatarios.
- Transferencias internacionales garantías adoptadas.
- Plazos de conservación..
- Cómo ejercer los derechos de acceso, rectificación, supresión, oposición y limitación del tratamiento.
- Existencia de decisiones automatizas, incluida la elaboración de perfiles, con información significativa sobre la lógica aplicada y sus consecuencias.
- Derecho a presentar una reclamación ante la autoridad de control de protección de datos.
Prohibición y cese en España
La AEPD decretó el cese de toda actividad durante tres meses a partir del 6 de marzo de 2024, así como el bloqueo de los datos ya recabados, como medida cautelar urgente. Dejo enlazada aquí la resolución. La AEPD justificó la urgencia por el alto riesgo para los derechos y libertades de los interesados, especialmente menores y personas en situación de vulnerabilidad económica.
La AEPD actuó en el marco del procedimiento establecido en el artículo 66.1 del RGPD que establece que, en circunstancias excepcionales, cuando una autoridad de control interesada ‒en este caso, la AEPD‒ considere urgente intervenir para proteger los derechos y libertades de las personas, podrá adoptar medidas provisionales con efectos jurídicos en su territorio y con un periodo de validez que no podrá ser superior a tres meses. Es la primera vez que la AEPD activa este mecanismo.
La compañía recurrió la resolución ante la Audiencia Nacional. La Sección Primera de la Sala de lo Contencioso-Administrativo en su sentencia nº 304/2026, de 30 de junio, desestimó el recurso y confirmó la legalidad de la medida cautelar. Para la Sala, la AEPD tenía base legal porque se daba «en un supuesto de excepcionalidad que exigía una intervención inmediata», señalando que el consentimiento obtenido mediante un incentivo económico era de dudosa validez, ya que pagar por ceder datos biométricos pone en duda que el consentimiento fuera totalmente libre.
Otro de los argumentos de la compañía era que la AEPD debía haberle concedido audiencia antes de dictar la medida. La Sala descartó este motivo porque ni el artículo 69 de la LOPDGDD ni el régimen general del artículo 56 de la Ley 39/2015, de 1 de octubre, establecen, para estas medidas provisionales urgentes, un trámite previo de audiencia.
Borrado de los datos recabados y medidas adicionales
Al tratarse de una actividad transfronteriza, es decir, que se despliega por distintos Estados miembros de la Unión, rige el principio de «ventanilla única» del RGPD, que garantiza la cooperación entre las distintas autoridades de control. Tools for Humanity Corporation opera en la Unión Europea a través de Worldcoin Foundation y la empresa ZipCode GmbH, con sede en Baviera (Alemania). Por tanto, la autoridad de control principal es la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA).
En diciembre de 2024, la BayLDA dictó una resolución, en la que ordenó la eliminación de todos los códigos de iris almacenados desde julio de 2023. También ordenó que el tratamiento de iris futuro se realice sobre la base del consentimiento explícito del interesado, no en interés legítimo ni contractual como pretendía la compañía. Por último, ordenó la implementación de un procedimiento efectivo y verificable de supresión de los datos (real, no solo teórico).
La resolución prevé una serie de multas en caso de incumplimiento de las órdenes exigidas, sin perjuicio de las sanciones administrativas que correspondan por los incumplimientos ya declarados en materia de protección de datos personales, que serán objeto de una resolución sancionadora posterior de acuerdo con el Derecho administrativo alemán.
Conclusión
¿Me dejaría escanear el iris? No, del mismo modo que no cedería mis huellas dactilares a nadie.
Actualización (16.02.2026)
