"Mi hijo ha vendido su iris": los peligros de ceder datos biométricos y cómo actuar

Las redes están llenas de mensajes en las que padres y madres comparten que sus hijos menores de edad han consentido dejarse escanear su iris a cambio de bitcoins que luego han canjeado por unos 100 euros. El dispositivo que lo hace recibe el nombre de Orb, una bola plateada de estética futurista que logra registrar la parte de nuestra anatomía más personal: el color de los ojos.

España entra así en una campaña mundial liderada por Sam Altman, fundador de ChatGPT, y su empresa Worldcoin. Según sus propios datos, cuentan con casi 3,5 millones de iris recopilados en más de un centenar de países. La campaña empezó el pasado mes de julio. Ahora, en apenas siete meses, la criptomoneda ha duplicado su valor.

En este mismo periodo, la compañía ha registrado 419.621 cuentas, es decir cerca de 420.000 ojos almacenados en sus bases de datos. Según explica la empresa en su página web, "El Orb comprueba que eres un humano real y no te has registrado antes. Después del registro, estas imágenes se eliminan y nunca salen del Orb". La compañía, sin embargo, sí advierte de que los datos pueden eventualmente trasladarse de sede o país.

La pregunta más lógica es para qué se registran datos que luego, teóricamente, se eliminan. En principio, la empresa explica que sirven para extraer patrones con los que poder discriminar si, por ejemplo, un usuario de una app o de un comercio online es un humano o un bot. Pero lo más importante no es eso. La naturaleza de estos datos está en el origen de la gran duda. Según la normativa de la Ley orgánica de protección de datos y garantía de derechos digitales (LOPDGDD) de España, los datos personales relativos a las características físicas, fisiológicas o conductuales de una persona física, obtenidos a través de un procedimientos técnico específico, son datos biométricos y están categorizados por "datos de alto riesgo".

Como muestran las redes, la reacción de muchos padres no se ha hecho esperar. Hasta el momento, la Agencia Española de Protección de Datos (AEPD) ha recibido cuatro denuncias, pero se encuentran aún en fase de análisis. Sin embargo, los expertos insisten en que la denuncia ante este organismo es el primer paso para poder actuar contra la iniciativa si no ofrece garantías suficientes.

Antes de lo que ya se conoce como la venta de iris, la Agencia publicó en 2023 una guía sobre el tratamiento de control de presencia mediante sisemas biométricos para garantizar que no incumpliera la normativa de la ley general de protección de datos. En el espíritu de esta guía está que el iris merece un régimen singular y de una especial protección, como explica el artículo 9 del RGPD.

La normativa prohíbe específicamente el tratamiento de la huella digital, la voz, el iris del ojo o la imagen del rostro, lo que se conoce como información biométrica, para identificar a una persona física. Esto, que parece útil porque, por ejemplo, elimina dudas sobre la autoría de ciertos hechos, puede ser cuestionable si esta información se hackea o no se maneja de la manera correcta.

Una vez cedidos los datos biométricos, perdemos el control de los mismos. No hay trazabilidad, no se sabe si son cedidos o vendidos a terceros y pueden ser robados por ciberdelincuentes. En ese entorno, pueden darse suplantaciones de identidad. Parece ciencia-ficción, pero se trata de algo posible. Por esta razón, el reglamento de la UE establece que las empresas deben informar a los titulares de esos datos sobre el uso y destino de esa información personal.

Si los titulares son menores de edad, el asunto se complica porque en España no es legal solicitar datos biométricos a un menor, aunque este los ceda. La excepción podría estar en los jóvenes de 16 emancipados, aunque tampoco hay un dictamen unánime. A este respecto, en algunos centros comerciales de Cataluña donde la campaña se está realizando, algunos usuarios admiten que no les han pedido el DNI.

Antes de esta polémica, la revista tecnológica MIT Technology Review publicó una investigación en la que señalaba que la compañía de Sam Altman había recopilado datos biométricos sensibles de personas vulnerables en países como Indonesia, Sudán, Kenia, India o Zimbabue a cambio de dinero y regalos para ampliar su base de usuarios sin que estas personas estuvieran debidamente informadas. Según la investigación, estos datos se habrían destinado para testar modelos de Inteligencia Artificial.

Ya hay más de 2.000 Orbs dispuestos a escanear iris en otros 36 países. En España, hay ahora más de 30 puntos donde poder hacer el escáner de iris. En la web de Worldcoin, la campaña se publicita como el medio necesario para incrementar la seguridad en compras, transacciones financieras y hasta para la gobernanza de los países. Sin embargo, en países de nuestro entorno, la intención de los promotores carece de las garantías suficientes. Por esta razón, en Francia y Reino Unido los reguladores han bloqueado la campaña.