Vuelven a España las cámaras que fotografían el iris: ¿es legal? | Tecnología

A principios de 2024, proliferaron en el intercambiador de la Avenida de América, en Madrid, y en una treintena de centros comerciales de España colas de personas en torno a una especie de pelota metálica con una cámara y otros sensores en el centro. Eran los orbs, u orbes, unos dispositivos que tomaban fotografías del rostro y del iris de los individuos. Quienes pasaban por ese escáner recibían una recompensa en forma de la moneda virtual worldcoin: dejarse retratar por el orbe podía desbloquear unos 80 euros.La Agencia Española de Protección de Datos (AEPD) frenó en seco esa práctica al entender que la empresa hacía un tratamiento indebido de un dato biométrico, el iris, cuya protección legal es más estricta que la de otros datos personales. Casi dos años después, la empresa, que ahora se llama World, vuelve a España, tras desembarcar en los últimos meses en Alemania, Austria, Italia, Polonia, Portugal o Reino Unido. Inaugura hoy un establecimiento en Barcelona para que los potenciales clientes puedan probar su tecnología. Lo que venden es una “prueba de humanidad”, demostrar que el usuario es una persona, lo cual quedaría acreditado después de escanear su rostro e iris. Esa información, dicen desde la empresa, le es útil a apps de citas como Tinder (para tratar de asegurarse de que no se creen perfiles falsos) o a desarrolladores de videojuegos, que han detectado que la gente cada vez juega menos porque hay muchos bots que incrementan la dificultad de las partidas en línea.¿Puede volver World a ofrecer sus servicios en España? ¿Por qué se le prohibió operar en 2024? ¿Qué pasó desde entonces? Estas son algunas de las preguntas que suscita el regreso de la empresa cofundada por Sam Altman, el director general de la desarrolladora de ChatGPT.¿Por qué se prohibió?El hecho de que alguien ofreciera dinero a cambio de entregar datos biométricos no tardó en llamar la atención de las autoridades. La AEPD recibió más de una docena de denuncias en pocos días por aportar información insuficiente a los usuarios sobre el escaneado de su iris, por captación de datos biométricos de menores y por no permitir la retirada del consentimiento (es decir, no borrar los datos del usuario si este lo pide).Varias personas haciendo cola en Madrid en marzo de 2024 para escanearse el iris con un orbe de Worldcoin.ANTOINE DEMAISON (REUTERS)El iris es, entre los distintos datos biométricos, el que identifica de forma más certera a una persona. La forma de la mancha del iris es única en cada individuo y no varía a lo largo de los años. Si alguien obtiene la plantilla alfanumérica con la que se almacena ese rasgo biométrico, puede suplantar la identidad del sujeto con facilidad.Por todo ello, y porque ya habían pasado unos 400.000 españoles frente a los orbes, la AEPD decidió en marzo de 2024 prohibir a Worldcoin seguir escaneando iris en España. Es la única vez hasta la fecha que la Agencia ha ordenado medidas cautelares. “Hemos actuado con urgencia porque así lo requería la situación”, dijo la entonces directora de la Agencia, Mar España.¿Qué pasó después?En un primer momento, la empresa Tools for Humanity, que estaba recogiendo para Worldcoin datos de los iris de los europeos, decidió interrumpir su actividad más allá de mayo, cuando expiraba la medida cautelar de la AEPD. Meses más tarde, presentó un recurso ante la Audiencia Nacional, pero el tribunal no le dio la razón.El futuro de la actividad de Worldcoin en Europa dependía de la BayLDA, la autoridad de protección de datos de Baviera. Era en esa región donde tenía su sede la empresa Tools for Humanity, la empresa que estaba recogiendo para Worldcoin datos de los iris de muchos europeos. Y su decisión no le fue favorable: en diciembre de 2024 resolvió que la compañía, ya rebautizada como World, debía borrar todos los registros de iris recogidos en Europa, incluyendo los 400.000 obtenidos en España.Pero la compañía siguió registrando iris en otras regiones del planeta, especialmente allí donde la recompensa ofrecida por la compañía tenía un valor relativo mayor. Ya cuentan con unos 40 millones de registros, según datos de la propia empresa.¿Por qué vuelve a operar?La empresa asegura que ha cambiado su enfoque y que usa una tecnología nueva que, esta vez sí, respetará el Reglamento General de Protección de Datos (RGPD). “En la anterior versión del sistema, teníamos una base de datos con los registros del iris de los usuarios. Eso se eliminó y ahora usamos un sistema de criptografía AMPC (siglas inglesas de computación multipartita anonimizada)”, explica por videoconferencia Tiago Sada, responsable de producto de Tools for Humanity.El nuevo sistema fragmenta el código generado por la lectura del iris del usuario en “trocitos irreconocibles” que se distribuyen en diferentes nodos alrededor del mundo, de modo que ninguna institución tiene una vista completa, ni siquiera de la versión encriptada del código.Los datos de los sensores del orbe se procesan de manera local. “El dispositivo cuenta con más de 10 modelos de IA que verifican la humanidad del usuario en el momento. Una vez que confirma que se trata de un ser humano, genera un certificado, envía la información al móvil del usuario y elimina los datos originales del dispositivo”, dice Sada. Todo se queda en el teléfono.Cuando el usuario quiere “demostrar su humanidad”, el sistema genera World IDs desechables. “Esto permite demostrar que el usuario es un humano real y único sin revelar su identidad”, indica el ejecutivo.¿Qué dice la AEPD de su regreso a España?World ha avisado a la AEPD de su regreso. “La Agencia ha tenido conocimiento del reinicio de las actividades de la empresa en España a partir de las informaciones facilitadas por esta y está analizando diversos aspectos”, señalan a este periódico desde el organismo.¿Es segura esta tecnología?Los expertos consultados por este periódico se muestran cautos. “La premisa de la ‘prueba de humanidad’ me parece un truco de trilero: dice que no capta identificadores (nombre, apellidos, teléfono), pero te graba el iris, extrae la plantilla biométrica y te la envía al móvil”, apunta Jorge García Herrero, delegado de protección de datos. “Para eso, como mínimo, ha hecho un tratamiento biométrico y tiene que conocer tu Apple ID o Google ID, los identificadores comerciales de nuestros móviles. Con eso, miles de terceros ya pueden llegar a ti”.Para este jurista, la idea de partida es cuestionable. “La empresa dice que su objetivo es saber si eres humano, pero te capta un dato biométrico único, el iris, con el que puede identificarte entre toda la población mundial”. “Incluso si los controles de privacidad son los mejores, no deja de ser una herramienta que puede ser puesta a merced de regímenes cada vez menos democráticos o totalitarios”, opina Carissa Véliz, profesora del Centro de Ética y Humanidades de la Universidad de Oxford y autora de Privacidad es poder (Debate, 2021). Aunque el registro se quede de verdad en el móvil, el dispositivo puede ser intervenido o hackeado. “Hay que ponérselo difícil al autoritarismo, no cada vez más fácil. Aprendamos de la historia”.¿Cómo encaja World en los planes de Sam Altman?Hace tiempo que se rumorea que OpenAI, la empresa desarrolladora de ChatGPT, está trabajando en el lanzamiento de su propia red social. La singularidad de esa plataforma sería la garantía de ausencia de bots, según adelantó Forbes, lo que se lograría exigiendo una “prueba de humanidad” a los usuarios que quieran registrarse. Ahí entraría World.