Tu iris sigue protegido

La semana pasada volvió la polémica con una empresa que intentó hacer una práctica de riesgo con una tecnología futurista: escanear el iris de las personas en centros comerciales para crear una identidad digital y dar dinero a cambio. En España esta actividad se paralizó de nuevo tras una advertencia de la Agencia Española de Protección de Datos (AEPD).

¿Qué es World?

World, que antes se llamaba Worldcoin, es un proyecto tecnológico que quiere crear una identidad digital global llamada World ID. Pero, para lograrla, primero necesita capturar muchos datos. Para ello usa un dispositivo esférico llamado Orb que escanea el iris de las personas. A cambio, ofrece una identificación digital y, en algunos casos, criptomonedas. En teoría, dicen que todo esto lo dan para diferenciar a las personas reales de los bots en internet.

¿Y las criptomonedas?

Es como una especie de dinero digital que funciona sin bancos y utilizando códigos secretos.

¿De qué se encarga la AEPD?

Se trata del organismo público que vigila que empresas, instituciones y organizaciones cumplan las normas sobre privacidad y protección de datos en España. Es decir, se encarga de que nadie utilice tu información personal sin garantías suficientes ni sin tu consentimiento.

¿Por qué escanean el iris?

Es una tecnología biométrica que captura una imagen detallada del patrón único que tiene cada persona en el iris, que es la parte de color del ojo.

¿Cuándo empezó World?

World comenzó a operar en España en el 2024, instalando puntos de escaneo en centros comerciales y espacios públicos de varias ciudades. Durante meses, miles de personas se registraron.

¿Por qué paró?

Causó toda una polémica por varias razones. En primer lugar, estaba guardando un dato biométrico que, como veis, es muy sensible. Había dudas sobre si la información que daban en cada punto de escaneo era suficiente. Además, saltaron las alarmas al no saber qué ocurría exactamente con esos datos. Así que la AEPD ordenó una paralización cautelar de la actividad en España.

¿Y cambiaron algo?

Según cuenta la empresa, ahora dan más información antes del escaneo, tienen nuevos sistemas de verificación de edad (para evitar que lo hagan menores), y explican que no conservan la imagen del iris en sí, sino el identificador digital que genera. Es decir, como un código matemático que se produce con cada escaneo.

¿Por qué lo pararon de nuevo?

A la AEPD volvió a advertir a la empresa sobre posibles incumplimientos relacionados con el tratamiento de esos datos, es decir, qué podría pasar con ellos; también sobre la validez del permiso que cada persona otorga y sobre el cumplimiento de lo que la legislación en Europa exige de los datos sensibles. Por esto, World prefirió parar, al menos, temporalmente.

Si miramos a los ojos de nuestros compañeros, podremos ver que los tienen más o menos grandes, rasgados; si son azules, verdes o marrones. Pero más allá de este color, el iris es una de las señas de identidad más certeras que tiene una persona. Por así decirlo, el iris es como nuestro DNI o huella dactilar. Es único. Tanto, que en la Unión Europea se considera un dato biométrico especialmente sensible. Por tanto, está protegido por ley.

¿Por qué el iris es un dato biométrico sensible?

La Agencia Española de Protección de Datos (AEPD) define un dato biométrico como una información obtenida a partir de características físicas o biológicas que permite identificar de manera única a alguien. El iris es distinto en cada persona y apenas cambia a medida que cumplimos años. Por eso puede utilizarse para confirmar quién eres sin necesidad de contraseñas.

El European Data Protection Board, el organismo que coordina la protección de datos en la UE, recuerda que los datos biométricos incluyen rasgos físicos utilizados para identificar a una persona, como la huella, el reconocimiento facial o el iris. Y cuando esos datos se emplean para identificar de forma única a alguien pasan a ser de una categoría especial. Ese cajón está recogido en el Reglamento General de Protección de Datos, la norma europea que protege la privacidad. El reglamento considera que los datos biométricos usados para identificar a una persona son especialmente sensibles y, por tanto, no pueden utilizarse libremente. Necesitan una base legal muy clara y garantías reforzadas. Por ejemplo, si alguien descubre tu contraseña, puedes cambiarla. Pero no puedes cambiar tu iris. Si solo lo utilizasen entidades de confianza, no habría problema porque es un dato muy fiable de nuestra identidad y es muy difícil que dé un falso positivo. Pero existe el riesgo de hackeo o de un ciberataque, y el daño de que alguien lo robase podría extenderse en el tiempo, precisamente, porque no lo podemos cambiar.

Todo lo que cedemos sin saberlo

Internet puede parecer un lugar libre. Si abres una cuenta en TikTok o Instagram, por ejemplo, puedes pensar que este acto no tiene ningún tipo de implicación. Lo cierto es que, al crear un perfil y pulsar el botón de aceptar, cedes a las empresas datos que a menudo no comprendes ni conoces del todo. Las contrapartidas que firmas al registrarte, conocidas como términos y condiciones y políticas de privacidad, no son un formulario inofensivo: son contratos que establecen qué datos compartes, con quién y cómo pueden emplearlos.

Pensemos en las redes sociales. Todas recopilan tu información personal, incluso el correo electrónico. Estas plataformas recogen nuestro nombre, correo (a veces, número de teléfono), la foto de perfil, la fecha en la que nacimos, dónde estamos (si activamos la localización), qué vídeos miramos, con quién interactuamos y cuánto tiempo pasamos en cada parte de la aplicación. Esta información no queda solo dentro de la app, sino que puede ser enviada a terceros, a empresas que trabajan con la plataforma para publicidad, análisis o para mejorar productos, según aceptaste cuando abriste la cuenta.

Además, ¿has oído hablar de las cookies? Muchas aplicaciones y webs las usan. Se trata de pequeños fragmentos de información que quedan guardados en tu dispositivo y que permiten a las compañías saber qué otras páginas visitas, qué buscas o qué compras. La ley europea exige que te informen sobre esto, y lo hacen, pero claro, muchas veces la información es larga, con un lenguaje técnico, y nosotros preferimos no leerla hasta el final. Además, al aceptar términos, una app puede compartir tu número de teléfono o dirección de correo electrónico con servicios de publicidad que luego lo usan para mostrarte anuncios adaptados a tus gustos.

No todo es malo. En Europa existe una normativa fuerte (el RGPD) que protege tus derechos: puedes saber qué datos tienen de ti, y pedir que los corrijan si están mal, que los borren, o incluso que te den una copia completa de toda tu información. Pero para ejercer esos derechos debes saber qué es lo que aceptaste.

Los ciberdelitos aumentaron de forma sostenida en los últimos años

Seguro que alguna vez has oído o leído una noticia sobre la ciberdelincuencia. Son los delitos que se cometen utilizando teléfonos, ordenadores o internet. Ocurre todos los días y afecta a millones de personas. Las consecuencias van desde estafas hasta robos de información e incluso ataques contra infraestructuras públicas o privadas. Te damos un ejemplo: los servicios de protección perimetral de la Amtega (Agencia para la Modernización Tecnológica de Galicia), a cargo de la ciberseguridad de las instituciones públicas de la comunidad, consiguieron bloquear el año pasado 264 millones de intentos de ciberataques contra los sistemas de la Xunta. Es decir, unos 30.000 cada hora. En España, según el Ministerio del Interior, los delitos cometidos a través de internet —como estafas, accesos ilegales a cuentas o difusión de datos personales— aumentaron de forma sostenida en los últimos años. Esto obligó a las fuerzas de seguridad a adaptarse y especializarse. La Policía Nacional y la Guardia Civil cuentan con unidades específicas que investigan los delitos tecnológicos.

En los últimos años, la tecnología sumó un nuevo reto: los deepfakes. Son vídeos, imágenes o audios creados con inteligencia artificial que parecen reales, pero no lo son. Pueden utilizarse para suplantar la identidad, manipular declaraciones o incluso crear imágenes íntimas falsas.

ENTENDER

Los rasgos digitales que nos definen en internet

• Nuestra cara, el nombre y apellidos, nuestro cuerpo. Eso es nuestra identidad física. Podemos extenderla, incluso, a nuestro humor, nuestras amistades o nuestros gustos que todos conocen. Ahora bien, ¿existe nuestra identidad digital?
• El Instituto Nacional de Ciberseguridad (Incibe) la define como el conjunto de información que existe sobre una persona en internet: lo que publica, lo que otros publican sobre ella y los datos que va dejando al registrarse en plataformas o interactuar en línea. No se trata solo de fotos o vídeos. También forman parte de esa identidad los comentarios y los «likes».
• Cuando pulsas el «Me gusta» en un contenido, compartes un meme o comentas una publicación, estás dejando una huella. Según la AEPD, cada acción en internet puede contribuir a crear un perfil sobre ti, especialmente cuando las plataformas utilizan esa información para personalizar contenidos.

PROFUNDIZAR

¿Quién controla la presencia y difusión de fotos o vídeos de menores en las redes sociales?

• Antes de que un bebé hable es posible que ya haya decenas de fotos suyas subidas por su familia circulando en las redes sociales. Todo con cariño. Pero también, muchas veces, con audiencia. Y en algunos casos, con ingresos, como sucede con algunos «influencers». Lo común de este fenómeno llevó a ponerle nombre: sharenting, la práctica de los padres de compartir de forma habitual información e imágenes de sus hijos en redes sociales.
• La AEPD advirtió en varias ocasiones de los riesgos de publicar imágenes de menores sin valorar las posibles consecuencias futuras. Un menor tiene derecho a la protección de su imagen y de sus datos personales, aunque no sea capaz de expresarlo.
• Aquí surge una pregunta clave: ¿dónde está el límite entre compartir con orgullo y exponer en exceso? Un adolescente puede decidir, con mayor o menor acierto, qué quiere mostrar en su perfil. Pero un bebé no puede decir si quiere que cientos o miles de personas vean su cara, su nombre completo o detalles sobre su salud o su rutina.
• Y aquí aparece otra cuestión incómoda: cuando las publicaciones generan ingresos, como sucede con la publicidad, ¿se está protegiendo al menor o se está empleando su imagen como parte de un negocio familiar?
• No todo contenido compartido por los padres es perjudicial. No se trata de señalar ni de alarmar sin motivo. Pero sí de reflexionar: ¿quién controla esta difusión?

---

---

---