Avvertimento n. 179 del 21/03/2024

Avvertimento a Worldcoin Foundation sui trattamenti biometrici tramite ORB e World App

Il provvedimento riguarda la Worldcoin Foundation, titolare del trattamento nell’ambito del progetto Worldcoin, fondato sulla scansione dell’iride tramite dispositivo "Orb" e sull’uso della World App per la verifica dell’utente e la gestione del World ID e dei token WLD. L’intervento del Garante nasce da informazioni di stampa e dall’istruttoria avviata dall’Autorità, che ha acquisito documentazione della società, incluso un DPIA.

Contesto fattuale e funzionamento del sistema

Dagli elementi esaminati emerge che l’Orb utilizza il volto e la struttura oculare dell’individuo per creare un codice di identificazione univoco, l’"IrisCode". Una volta effettuata la scansione e salvato l’IrisCode, il sistema genera un World ID, eliminando l’immagine raccolta. La World App consente all’utente di verificarsi mediante scambio di chiavi pubbliche con l’Orb attraverso un QR code e rende disponibili il World ID e i WLD riscattati o acquistati.

Qualificazione giuridica del trattamento

Il Garante ritiene che i dati trattati rientrino nella nozione di dati biometrici di cui all’art. 4, punto 14, GDPR, poiché ottenuti mediante un trattamento tecnico specifico e idonei a consentire l’identificazione univoca della persona. Richiama quindi il divieto generale dell’art. 9 GDPR per il trattamento di dati biometrici destinati a identificare in modo univoco una persona fisica, salvo deroga, in particolare quella del consenso esplicito dell’interessato ex art. 9, par. 2, lett. a). Viene richiamato anche l’art. 2-septies, comma 7, del Codice privacy, che ammette l’uso di dati biometrici in ambiti limitati, con riferimento alle procedure di accesso fisico e logico ai dati da parte dei soggetti autorizzati.

Profili di criticità: informativa, consenso e incentivi economici

Secondo l’Autorità, dalle informazioni fornite dalla società e da quelle reperibili online, il trattamento biometrico si fonda sul consenso degli interessati, ma l’informativa non risulta idonea a rendere consapevoli gli utenti dei rischi elevati connessi al trattamento. In tale quadro, il consenso non sarebbe in grado di soddisfare i requisiti del GDPR e non potrebbe costituire una base giuridica adeguata. Il Garante osserva inoltre che la promessa di token WLD gratuiti incide negativamente sulla libertà del consenso ai sensi dell’art. 7 GDPR.

Rischi ulteriori per i minori e per la correttezza del trattamento

Il provvedimento evidenzia che non esiste un meccanismo di verifica dell’età né al momento della raccolta dell’iride né in fase di installazione della World App, nonostante il servizio non sia destinato ai minori di 18 anni. Questo elemento aggrava i rischi già connessi al trattamento biometrico. L’Autorità richiama i considerando 39 e 51 del GDPR e le Linee guida EDPB 3/2019 e 05/2022, sottolineando che l’uso di tecnologie biometriche comporta un’ingerenza grave e richiede una valutazione particolarmente rigorosa di liceità, necessità, proporzionalità e minimizzazione dei dati.

Decisione del Garante e base normativa dell’intervento

Alla luce della scarsa trasparenza rilevata e dell’assenza, allo stato, di una base giuridica adeguata, il Garante ritiene opportuno adottare un avvertimento nei confronti della Worldcoin Foundation, ai sensi dell’art. 58, par. 2, lett. a), GDPR e dell’art. 154, comma 1, lett. f), del Codice privacy. L’avvertimento segnala che i trattamenti di dati biometrici che dovessero essere effettuati in Italia tramite gli ORB e con le modalità descritte possono verosimilmente violare il GDPR, con conseguenze anche sanzionatorie.

Pubblicazione del provvedimento

Per le medesime ragioni, il Garante dispone la pubblicazione del provvedimento nella Gazzetta Ufficiale della Repubblica italiana ai sensi dell’art. 154-bis, comma 3, del Codice privacy. Il provvedimento non contiene irrogazione di sanzioni pecuniarie, ma ha natura di avvertimento preventivo rispetto a futuri trattamenti sul territorio italiano.