La autoridad de protección de datos de Baviera (BayLDA) ha resuelto que la empresa responsable de Worldcoin infringió varios artículos del RGPD, instándola a aplicar las medidas correctivas oportunas. Este pronunciamiento se produce tras el procedimiento de cooperación entre autoridades, en el que la Agencia Española de Protección de Datos (AEPD) participó de forma activa. Además, confirma la medida cautelar que la AEPD impuso en marzo, ordenando el cese inmediato de la recogida y tratamiento de datos personales en España, así como el bloqueo de los datos ya recopilados, al apreciar indicios graves y para proteger los derechos de los ciudadanos.
La medida fue recurrida por la empresa ante la Audiencia Nacional, que finalmente avaló primar el interés general en la protección de datos personales. En la resolución final, la autoridad alemana ordena la supresión de todos los códigos de iris almacenados desde el inicio del proyecto, al haberse utilizado una base jurídica inadecuada para el tratamiento de datos biométricos especialmente protegidos. Asimismo, exige que el procesamiento futuro de iris se efectúe con el consentimiento explícito del interesado e incluya la posibilidad de eliminar los datos en cualquier momento. Se constata, además, que la empresa no implantó medidas suficientes para impedir el tratamiento de datos de menores, lo que será objeto de una investigación posterior. Por último, la resolución prevé multas por incumplimiento y la imposición de futuras sanciones administrativas de acuerdo con el Derecho alemán.