En Citizen, hemos hablado unas cuentas veces de IA: el 1º post grupal de pautas de uso para ChatGPT/Generativas,  el de Guillermo sobre “areneros”, el de Sara sobre la versión final del RIA, el de Jorge sobre oposición al entrenamiento de IA de META, o el de Carmen con el ejemplo algorítmico del sistema BOSCO. Con todo, no habíamos aterrizado el punto ya vigente de las finalidades prohibidas del RIA sobre uno de los “areneros” menos vigilados del momento: los micropagos en los videojuegos. Vivimos rodeados del ansia viva de un sector que cada vez tiene menos freno: jugadores que pasan de leer, desarrollos cada vez más caros, despidos masivos para mantener las primas y beneficios, o adopción sin pasar por legal (o pasando sin mirar mucho) de cualquier innovación que pite.

En la hegemonía actual de los juegos como servicio (“games as a services”), nos encontramos de bruces con el artículo 5.1, apartados a y b del RIA.

“(a) la comercialización, la puesta en servicio o el uso de un sistema de IA que utilice técnicas subliminales que escapen a la conciencia de una persona o técnicas deliberadamente manipuladoras o engañosas, con el objetivo o el efecto de distorsionar materialmente el comportamiento de una persona o de un grupo de personas, mermando de forma apreciable su capacidad de tomar una decisión con conocimiento de causa, haciéndoles tomar una decisión que de otro modo no habrían tomado, de forma que causen o sea razonablemente probable que causen a esa persona, a otra persona o a un grupo de personas un daño significativo;”

“(b) la comercialización, la puesta en servicio o el uso de un sistema de IA que explote cualquiera de las vulnerabilidades de una persona física o de un grupo específico de personas debido a su edad, discapacidad o una situación social o económica específica, con el objetivo, o el efecto, de distorsionar materialmente el comportamiento de esa persona o de una persona perteneciente a ese grupo de manera que cause o sea razonablemente probable que cause a esa persona o a otra un daño significativo;”

¿El literal de cada apartado recuerda a alguna cosa que se ve/sufre en los videojuegos más conocidos? ¿Recuerda muy mucho a gastar irreflexivamente cantidades importantes de dinero en loot boxes, sobres, bailes, skins y demás objetos digitales in-game  a “bajo precio”? Con estos recuerdos de Vietnam, vamos a jugar en este artículo. Vamos a intentar aterrizar el RIA sobre los micropagos, vía psicología aplicada.

Técnicas subliminales, manipuladoras, vulnerabilidades y efectos significativos

Partiendo de la presunción iuris tantum de que del otro lado de la pantalla esté alguien de la hermandad jurídica (necesaria para entender el latinismo usado), podemos prescindir de las definiciones de IA y de algoritmo que todos controlamos más o menos. Y así ahorramos palabras, que no se viene un artículo precisamente corto. Al final, es el tema de moda sobre el que todos estamos intentando retener conocimiento al estilo de aquel niño chino que “absorbe el libro”.

De lo que es mejor no prescindir para nada, es de definir los elementos clave de estos dos apartados del 5.1 del RIA. Al igual que el GT29 nos dio las directrices sobre decisiones automatizadas que aterrizan los conceptos de decisión, perfilado, efectos jurídicos o significativamente similares (tampoco en el RGPD había maticez que se pillaban bien); la Comisión Europea ha sacado el borrador de las directrices sobre finalidades prohibidas del RIA (efectos secundarios de su aplicabilidad desde el 2 de febrero).

• Técnicas subliminales: no se definen en el articulado del RIA, pero la Comisión Europea lo aterriza, vía lo dispuesto en el Considerando 29: “capaces de influir en el comportamiento de forma que la persona no sea consciente de dicha influencia, de cómo funciona o de sus efectos sobre la toma de decisiones o la formación de valores y opiniones de la persona. Básicamente, provocar una respuesta inconsciente en el cerebro para que hagamos, demos o digamos lo que quiera el que lo dispuso. Aquí sería el pasar por caja, pero el ejemplo más clásico es de las imágenes intercaladas en un vídeo para que lo captes de manera subconsciente.
• Técnicas deliberadamente manipuladoras o engañosas: tampoco se definen a nivel del RIA, pero podríamos decir que serían todas aquellas encaminadas a intentar confundirnos con tácticas no tan extremas como las subliminales. A efectos, los patrones oscuros, engañosos y adictivos que todos sufrimos. Donde juegan los GAFAM continuamente, y el tipo principal del que vamos a hablar luego. Bueno, hablaremos del subtipo interesante de “patrón adictivo”.
• Distorsión material del comportamiento y efectos significativos: muy en la línea de lo que ya se necesita justificar en las decisiones totalmente automatizadas. En este caso, el perjuicio ocasional de que realices un gasto no previsto/decidido por una técnica subliminal o manipuladora. Nos quedaría colgando el punto de la vulnerabilidad, pero tampoco es algo distinto a lo que ya se tenía que valorar por protección de datos (sobre lo que la ICO ha desarrollado más en guías enfocadas). Lo bueno para nuestro caso, es que la Comisión aprovecha para incluirlo en uno de los pocos ejemplos sobre videojuegos que da en este documento:

“Un juego utiliza IA para analizar el comportamiento y las preferencias individuales de los niños, a partir de las cuales crea recompensas personalizadas e impredecibles mediante programas de refuerzo adictivos y bucles dopaminérgicos para fomentar el juego excesivo y el uso compulsivo. El juego está diseñado para ser altamente adictivo, explotando las vulnerabilidades inherentes a los niños, incluida su limitada capacidad para comprender las consecuencias a largo plazo, su susceptibilidad a la presión, su falta de autocontrol y su inclinación hacia la gratificación instantánea.  

Las consecuencias de esta explotación posibilitada por la IA pueden ser graves y duraderas para los niños, incluyendo un comportamiento potencialmente aditivo, problemas de salud física debidos a la falta de ejercicio y sueño, deterioro de la vista, problemas de concentración y capacidades cognitivas reducidas, bajo rendimiento académico y dificultades sociales. Puede repercutir significativamente en el desarrollo y el bienestar del niño, con posibles consecuencias a largo plazo que pueden extenderse también a la edad adulta.”

Y nunca hay que olvidar el punto de que la finalidad prohibida venga sin que se busque en origen. La típica de que el sistema la líe por el data set de base aportado, o por los mil sesgos aprendidos porque patata. Aquel algoritmo de Amazon para contratar que discriminabas a las mujeres por el histórico de mayoría de hombres contratados para perfil técnico.

Teoría de la autodeterminación y juegos como servicio

¿Cómo se consiguen aterrizar en el mundo real del videojuego (o lo que sea) estas técnicas que distorsionan sin conocimiento/control pleno tus acciones? Como casi todo en este mundo: a través de la psicología aplicada.

En 2025 nos creemos que se inventan muchas cosas, pero la mayor parte de veces son vueltas de tuerca de conceptos o actuaciones más viejas que una Secuoya. La diferencia estriba en la palabrería marketiniana y en la fanfarria de lucecitas digitales. Toda la vida la publicidad ha intentado “pulsarnos las inquietudes y las pasiones”, pero el mundo digital es el que ha conseguido llevarlo al summum de la inmediatez y del consumismo acelerado. La omnipresencia bolsillesca del móvil no es inocua para nadie.

Un videojuego, como casi cualquier otro producto o servicio, necesita ser atractivo para el público objetivo. A todos nos suena la famosa teoría del juego que se aplica a las tragaperras para que nunca te vayas ni seas consciente del despilfarro, pero no tanto la “teoría de la autodeterminación”, aka cubrir las necesidades psicológicas básicas de todo ser humano:

• Autonomía: esa necesidad de libre albedrío y de que tú seas el dueño absoluto de tus acciones. En los videojuegos se fuerza con las mil misiones que sólo puedes hacer tú como el héroe inigualable que eres.
• Socialización: esa caprichosa necesidad de los animales gregarios de vivir en la manada que es la sociedad. El ser parte de algo más grande que tú mismo. En los videojuegos se fuerza con recompensas que sólo puedes conseguir con cooperación con otros jugadores. También con falsa cooperación (el dar vidas a amigos que “haces” de la lista que te doy para ello del Candy Crush), pero queda más claro con el 1º ejemplo de juego tipo Destiny o «mazmorras para varios jugadores».
• Dominio: esa necesidad de creer que siempre mejoras en lo que haces o en lo que te gusta hacer. Los videojuegos lo aterrizan con niveles, mejoras y “dificultad dinámica” (luego hablamos de ello).

Todo videojuego que se precie de serlo, busca el equilibro entre estas tres pautas. Por no enrollarnos más de lo necesario, tendríamos tres fases o hitos cronológicos de aplicación/mal uso de esta base psicológica para hacer dinero:

– Juegos como producto: aquella época maravillosa hasta el advenimiento de las plataformas y apps/launchers en la que el dinero venía de hacer y vender juegos + posibles expansiones de contenido. El marketing estaba en forma de anuncios que serían muy discutibles legalmente por el tono y por dirigirse a menores a saco, pero que nos respetaba sin “publicidad dirigida”.  Nos respetaban porque era “dirigida” a que te tomaras el tiempo y el esfuerzo en rellenarlo, revisarlo y enviarlo por correo (postal, claro). Un consentimiento libre de verdad.

– Juegos como servicio: con la estandarización de las bibliotecas de juegos unidas a un perfil/cuenta de usuario, llegó la posibilidad de hacer la publicidad dirigida, programática y cansina vía cookies y tecnologías equivalentes que seguimos sufriendo. Todo a lo que juegues, mires y compres se va a analizar y parametrizar para proponerte comprar cositas que saben que te interesan más de lo que quieres reconocer. No se cumple con todo lo que se debería en lo legal, pero no es nada nuevo que no pase en los mil servicios, app y lo que sea. Ojalá se hubieran quedado aquí.

– Juegos como servicio en el último círculo del infierno: una de las peores cosas que han demostrado juegos como Fornite o Candy Crush, es que se puede estirar el chicle de un juego sacando contenido cosmético o potenciadores in aeternum. Los famosos “free to play”, “freemium”, “Pay to Win”, “Pay to Progress” o “Pay to Fast”.

¿Ejemplos? Casi todo lo multijugador de gran presupuesto a lo que juegan los mayores y los menores (puedan por edad recomendada o no): Fornite, Candy Crush, Clash Royale, Call of Duty Warzone, Geshin Impact, World of Tanks, World of Warships, League of Legends, Counter Strike, Apex Legends, Marvel Snap, Valorant, FIFA Ultimate Team o Roblox.

Micropagos y loot boxes

¿Qué contenidos o potenciadores se ofrecen para reducir nuestra cartera? Podemos hacer dos tipos de microtransacciones (por no utilizar el mismo concepto de micropago para todo): micropagos y loot boxes.

– Micropagos: se suelen entender como un concepto único, pero si nos ponemos algo pejigueros tiene subtipos:

• Objetos cosméticos: aquellos que únicamente alteran la estética del personaje, apariencia del arma, interfaz de juego, narración de voz, animaciones de victoria, bailes y todo lo que no suponga una ventaja frente a jugadores. Lo más conocidos son los emotes de Fornite y las skins.
• Potenciadores: aquellos que sí otorgan ventajas en el juego, ya sean en la propia partida o para agilizar el progreso en el mismo. Candy Crush juega fuerte a este tipo de micropago.
• Conversiones a dinero del juego: aunque no parezca un micropago como tal, lo es en el sentido de actuar como casa de cambio de moneda con a interés fijo. Moneda real en moneda del juego que no puede volverse a convertir en dinero de curso legal. Y con el punto de que los precios se ajustan para obligarte a pasar a convertir varias veces: justito te falta un poco para lo que quieres, pero acabas con un excedente de moneda de juego que inconscientemente ya estás pensando en qué más gastarlo.
• Downloable Content o DLC: los más viejos del libro. Contenido jugable del propio juego: mayor extensión, duración o profundidad que los anteriores. Se pervierte mucho este tipo en la actualidad, pero debería ser la típica expansión del modo historia o un contenido majo con fondo de bastantes personas jugables nuevos.
• Pago con anuncios: el que no se considera como tal por no saca dinero de manera directa del jugador, pero que lo es por “obligarte” a ver el vídeo para obtener la recompensar. El micropago que honra la legendaria cita de: “Si no pagas por el producto, entonces tú eres el producto”.

– Cajas de botín o “Loot Boxes”

El tipo de microtransacción que se hizo tan conocido y odiado no hace tanto tiempo. Nuestro extinto Ministerio de Consumo lo intentó regular de una manera tan atroz que se quedó durmiendo el sueño de los justos como anteproyecto en 2022. En Europa empezaron a pintar bastos cuando las autoridades de países como Bélgica y Holanda las consideraron juego regulado que debía cumplir con esta normativa tan restrictiva y específico. Poca broma con la obligación de autorización administrativa previa, registro de jugadores a los que prohibir el acceso, o registro de familiares de empleados para evitar amaños……

Hubo debate jurídico sobre si cumplía los tres elementos del concepto de “juego” de la ley pero ahí se quedó. Se decía que no encajaba porque aquí no se arriesgaba cantidades de dinero por siempre tocar algo, pero lo cierto es que mucho de lo que toca carece de valor real para el jugador. El punto más puñetero era de la trasmisibilidad entre participantes que encaja muy bien en el póker, pero aquí haría una buena parte de loot boxes se quedarán fuera.

Las particularidades de este tipo de microtransacciones: aleatoriedad algorítmica o “probabilidad, segregación de objetos por calidad e incentivos sonoros y visuales. Siendo independiente de si permiten o no el intercambio de lo obtenido entre cuentas de varios jugadores.

Este tipo concreto de microtransacciones se popularizó más de lo debido por los cientos de influencers de alto copete grabándose abriendo cajas, sobres y +. De manera patrocinada, sin que ellos perdieran ni un chavo y con alguna sospecha de manipulación algorítmica para que parezca que toca más de lo toca. Al fin y al cabo, la gente que ve este tipo de contenido son potenciales compradores a captar.

Aunque ya están de capa caída, en el proyecto de «Ley Orgánica para la protección de las personas menores de edad en los entornos digitales» (ya en tramitación parlamentaria) tenemos rescatado el concepto. El legislador nunca supo bien qué hacer, pero mantiene el intento miope de Garzón de no darse cuenta que todos los micropagos juegan a lo mismo. ¿Tiene sentido penalizar a un Clash Royale y dejar vivo sin mácula a un Candy Crush? ¿Conseguimos mayor protección para el menor si todos se pasan al modelo micropago manipulador no aleatorio para esquivar el grano de arena regulado? ¿No es bajarse los pantalones hasta los tobillos añadir la coletilla siguiente? : “En su caso, reglamentariamente podrán determinarse los supuestos excepcionales en los que podrá flexibilizarse dicha prohibición, siempre garantizando el principio de protección a la infancia que inspira esta Ley.”. Artículo 5 del proyecto.

Patrones adictivos

¿Qué tipo de acciones concretas basadas en esa psicología aplicada existen para lograr la manipulación subliminal?  Patrones oscuros del subtipo de adictivos.  

A casi todo el mundo le suena el concepto de patrón oscuro, “dark pattern”, “deceptive pattern” o “patrón engañoso”. Sea por la definición y enfoque original de Harry Brignull, o por las variaciones que se han ido haciendo.

El EDPB en sus directrices sobre targeting en redes sociales (mareando más de lo que debería por no mantener los denominativos originales más estandarizados). O los más clásicos: preguntas trampa, sneak into the basket, roach motel, privacy zuckering (ese Zuckerberg, sí), confirmshaming, bait and switch, nudge techniques o continuidad forzada (Mil ejemplos en la página del bueno de Harry Brignull).

Estos patrones que consiguen aterrizar esa psicología aplicada que comentaba al principio para que acabes haciendo/dando/comprando lo que quieren sin que seas consciente de que no ha sido tu decisión real, son el genérico. Para lo que no interesa aquí y ahora, tenemos el subtipo de patrón adictivo que hace más hincapié en el punto de gasto irreflexivo.

Tenemos la suerte de que la AEPD se atreviera a hacerse un informe sobre los mismos (Patrones adictivos en el tratamiento de datos personales Implicaciones para la protección de datos). Y todavía más afortunados por el hecho de que han aterrizado con bastante tino los más conocidos en el mundo de los videojuegos.  Nos quedamos con 6 + 1 ejemplo más novelado de “continuidad forzada del tipo de temporizador”:

“Imaginemos un videojuego de fantasía. El jugador quiere forjar una espada legendaria y el juego le permite crearla, pero esta tarea tardará 4 horas en completarse. El jugador no puede acelerar el proceso; sólo esperar.

Durante estas 4 horas, el jugador se mantiene conectado al juego. Puede que se esté ejecutando en segundo plano, pero es probable que el jugador realice comprobaciones periódicas del progreso del proceso. El jugador necesitará 1 día para actualizar el castillo. Para entrenar tropas, 2 días. Y así sucesivamente para otros recursos valiosos.

Esto es eficaz porque garantiza la retención. Una vez que finalice el temporizador, los jugadores interactuarán con el juego para reclamar los resultados (la espada, el nuevo castillo, etc.). En algunos casos, este patrón permite la monetización. Por ejemplo, el jugador puede omitir el tiempo de espera usando la moneda del juego (gemas, monedas). En este caso, el patrón fomenta el compromiso.

Si los temporizadores son demasiado largos, demasiado frecuentes o están relacionados con recursos que los jugadores perciben como de “bajo valor”, estos pueden sentirse frustrados o perder el interés. Los diseñadores de juegos deben lograr un equilibrio entre la anticipación y la molestia.

Perfilan a los jugadores según sus hábitos (duración de la sesión de juego, momento de juego, frecuencia de juego, preferencias de juego, historial de gastos, etc.) para optimizar todas estas características.”

Podríamos poner mil ejemplos ilustrativos con los bailecitos/emotes de Fornite, las muy discutibles skins de Warzone de convertir armas en ¿unicornios, motos, destructores imperiales de Hacendado, barcos piratas y +? (juzguen ustedes mismos vía enlace de ejemplo), pero vamos con Candy Crush. El juego que conocen niños y mayores para conseguir una facturación desmesurada vía microcosas (propiedad de la empresa que compró Microsoft por algún susto en competencia no hace tanto: Activison-Blizzard-King).

Aplicando todo lo comentado a la “drogaína” con forma de caramelo:

• Uso de incentivos visuales y sonoros, similares a los de las máquinas recreativas y tragaperras (clara influencia de la teoría del juego) para generar esa sensación comentada de cubrir la necesidad psicológica de dominio/mejora por haber realizar un nivel entero con un único movimiento que es más cosa del juego que tuya por pericia (si no contamos lo de destacarte la mejor jugada que puedes hacer). Por ejemplo, las explosiones en pantalla de colores o los mensajes narrados o “voz en off” por movimientos del jugador “destacados”: “sweet”, “delicious” o “tasty”.
• Introducción progresiva de potenciadores comprables con moneda del juego que otorgan ventajas al jugador en partida, de manera que cada vez que se avanza sea más difícil conseguirlos sin tener que convertir dinero real en moneda del juego.
• Recompensas por todo: en el sentido de los patrones de la captura anterior de jugar con cita, dotación, grinding (se suele decir más “grindeo”, “farming” o “chino farming”), recompensa periódica o pull to refresh: por darte moneda del juego si vuelves pasado un tiempo, varias recompensas diarias, mil tareas gratuitas para que sigas en el juego, tareas gratuitas que para cobrarlas necesita gastar dinero. Este punto de recompensas por todo también hace combo con el anterior, de manera que las recompensas van siendo menores (o te renten menos) conforme vas avanzando.
• Uso de sistemas de dificultad dinámica: el punto más fino y peligroso de todos. El algoritmo modifica la dificultad de cada nivel según si te vas frustrar tanto que no te vas a ir, o si con ese punto de frustración vas a verte “obligado” a comprar algún potenciador para superarlo. Nunca reconocerán hacerlo en carne propia, pero la vida se abre camino con un mínimo de representantes públicos que sepan ir al hueso. Como ya hay perfilado del jugador, la golosina la tiene al alcance para más cosas

Punto 104 del apartado 4 del documento “Immersive and addictive technologies” elaborado por el Parlamento Británico tras las comparecencias de especialistas en la materia y representantes de la industria: “Moreover, despite concerns around gaming disorder, some parts of the games industry use data collected about players to modify their experience and keep them playing for longer. Alex Dale told us that King does not use player data to change the experience for individual users—a practice known as ‘dynamic difficulty adjustment’—however, other companies do. For example, Electronic Arts has patented systems that mean “the difficulty level of the video game may be automatically adjusted” to “keep a user engaged for a longer period of time.”

De Algoritmos y el RGPD

Del RGPD

Nunca se empieza por los principios del artículo 5, pero es el núcleo de todo. Al igual que todos los caminos conducen a Roma, todos los artículos del RGPD conducen a los grandes principios rectores. Y con el cajón de sastre que es el artículo 25 de privacidad por diseño y por defecto, volviendo a recogerlos para matizar el punto de aplicación de medidas técnicas, organizativas que los garanticen.

El principio de transparencia va al rosco de la información cero que dan, pero ¿cumpliría con el principio de lealtad?. No siempre es fácil aterrizar a elementos concretos estos principios que todos utilizamos dando por sabido lo que significan, pero vamos a tirar del bolso mágico del EDPB (Directrices 4/2019 de privacy by design y default). El de lealtad es el principio específico que determina que un dato personal no debe ser tratado de manera “injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado”. Siniestro total, pero vamos a hacer el parte del perito con varios de los elementos que el EDPB determina para que exista lealtad:

• Expectativas razonables: 10 de 10. Típico tratamiento invisible del que sólo tienes idea si lo investigas o te encuentras con un artículo de este tipo ;).
• Sin discriminación: 100 de 10. Sin comentarios.
• Sin abusos: 1.000 de 10. Nadie está intentando hacer palanca en las necesidades o vulnerabilidades de los interesados.
• Sin engaños: 10.000 de 10. ¿uso de lenguaje o diseño engañoso o manipulador?. Nunca de los jamases del País de Nunca Jamás.
• Ética y verdad: 100.000 de 10. Existe la verdad y la “verdad” + la ética del código de los piratas de Libertalia.
• Intervención humana: poca, pero la línea genérica de derecho a la intervención humana siempre está en las políticas. Se meten todos los derechos, con independencia de que apliquen o no a los tratamientos informados.
• Lealtad en el funcionamiento de los algoritmos: ∞ de 10. Si el tratamiento es tan leal que ni te lo van a decir, pues es complicado que cuente con detalle sobre cómo funciona y qué hace para no discriminarte o perjudicarte. No ayuda que la única razón del ser del asunto sea perjudicarte la cartera.

De Algoritmos

Con todo lo dicho, creo que a nadie se le escapa que este tipo de acciones estarían un poco complicadas de justificar de base. Habemus un tratamiento totalmente automatizado con efectos significativamente similares a los jurídicos. ¿Por qué? Por lo de siempre de cumplir los requisitos del 22 del RGPD:

• Existencia de una decisión sobre el jugador: el hecho de que el algoritmo, previo perfilado del jugador sobre qué compra, qué no, cómo juega y otros elementos relevantes, va a determinar qué patrones adictivos mostrar o cómo mostrarlos para maximizar que el jugador acabe picando. El dar una recompensa especial si detecta un período largo de inactividad (puede que con notificaciones vía dispositivo que sea), el no apretar en dificultar en un nivel para no provocar frustración de la mala para ellos, el subirla para ver si pica el jugador…….
• Realizada por medios totalmente automatizados y sin intervención humana: con el punto del algoritmo ya llevamos puesto el que sea automatizado, pero también el que no haya intervención humana. En un tratamiento a escala completamente global y del nivel de intensidad en los videojuegos de gran público, pues va todo en automático y con decisión aplicada en tiempo real.
• Que provoca efectos significativamente similares a los jurídicos: el punto mucho más líquido que el claro de efecto jurídico, pero que aquí lo tenemos por el hecho de que va a producir una distorsión real y significativa en el comportamiento económico del jugador. Consumo irreflexivo en el momento.

Podríamos comentar la jodida situación de sólo tener el consentimiento explicito para levantar la prohibición del 22, la PIA que en necesidad y proporcionalidad tampoco te va a salir muy allá, los derechos concretos del 22, o el punto de Schufa y sus predicciones algorítmicas y el efecto real de la misma si la respeta/es dimanante para el responsable; pero es más interesante dejar caer el tema de la información.

Hablando de un algoritmo de caja negra como la copa de un pino (lo de operar de manera opaca y no comprensible para el usuario no hace bien), es buena oportunidad para recordar la complejidad de la información del 22. No es nada nuevo que no digan las famosas directrices de decisiones automatizadas del GT29 (una de las asumidas por el EDPB), pero vamos con novedades del TJUE en forma de resolución del TJUE del 2025: C-203/22 (CK contra Dun & Bradstreet Austria GmbH y Magistrat der Stadt Wien). Sí, la ahora de moda/referencia en el tema. Y justo una en la que las cuestiones prejudiciales que le hacen hablan de algoritmos de caja negra:

La resolución tiene la importancia de que es a nivel del TJUE, pero lo más novedoso que no saliera ya en las directrices del GT29 son dos perlitas del Abogado General. Dos concretas sobre que el 15.1.h es un derecho real a que te expliques + vete mandando todo a la autoridad de control o tribunal competente, y luego ya se verá el límite de secreto empresarial y derechos de terceros que existe:

• “Por ello, como ha señalado el Abogado General en el punto 67 de sus conclusiones, procede considerar que el artículo 15, apartado 1, letra h), del RGPD ofrece al interesado un genuino derecho a una explicación sobre el funcionamiento del mecanismo aplicado en la adopción de una decisión automatizada de la que ha sido objeto y sobre el resultado al que ha llevado dicha decisión.”

Me parecen más inspirados los puntos 64 y 2ª parte del 71 del Abogado General sobre la necesidad de dar contexto inteligible y real de lo técnico para que pueda ejercerse el derecho con el conocimiento de lo que pasa que exige: “El conocimiento de este contexto por parte del interesado debe permitirle comprender el resultado al que se ha llegado mediante la decisión automatizada, al conocer los elementos esenciales del método y de los criterios utilizados. En resumen, el proceso, de carácter técnico, que ha conducido a esta decisión debe hacerse inteligible. Solo de este modo podrá el interesado ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. (…..). “En segundo lugar, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada.”

• “Como ha señalado el Abogado General en el punto 94 de sus conclusiones, esta jurisprudencia es plenamente extrapolable al supuesto en el que la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por el artículo 15, apartado 1, letra h), del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por el RGPD o bien un secreto comercial, en el sentido del artículo 2, punto 1, de la Directiva 2016/943. En este supuesto también, la referida información debe comunicarse a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión para determinar el alcance del derecho de acceso del interesado a los datos personales que le conciernen.”

El resto lo podemos ejemplificar mejor con lo que dice el GT29:

• A fin de que esta información sea significativa y comprensible, deben ofrecerse ejemplos reales y tangibles del tipo de efectos posibles.

• En lugar de ofrecer una compleja explicación matemática sobre cómo funcionan los algoritmos o el aprendizaje automático, el responsable del tratamiento debe considerar la utilización de formas claras y exhaustivas de ofrecer información al interesado, por ejemplo: las categorías de datos que se han utilizado o se utilizarán en la elaboración de perfiles o el proceso de toma de decisiones; por qué estas categorías se consideran pertinentes; • cómo se elaboran los perfiles utilizados en el proceso de decisiones automatizadas, incluidas las estadísticas utilizadas en el análisis; por qué este perfil es pertinente para el proceso de decisiones automatizadas; y cómo se utiliza para una decisión relativa al interesado.

¿Algo más de la Comisión in love with AI.?

Lo divertido para el caso está al inicio del artículo. Hubiera sido muy raro dejarlo en un apartado final cuando son definiciones básicas del tema a tratar.

Aún con todo, sí se puede hacer un gran finale. La Comisión Europea se fumó alguna sustancia nociva por uno de los ejemplos sobre videojuegos que incluyen . Es cierto que se va a ello, pero ni a medio plazo me creo que comercialmente vayamos a tener nada en el mercado de este estilo. Hay prototipos y ejemplos de gente que hace pinitos con sensores de encefalograma para disparar o moverse con la “mente”, pero la batalla a corto-medio plazo va a ser el eye tracking de los casos de realidad virtual, aumentada o mixta.

Fuera de carta, tendríamos el derecho a explicación de decisiones tomadas individualmente del artículo 86 RIA, y la futura resolución del TJUE ante la 1ª cuestión prejudicial que nos viene sobre interpretación decisión automatizada sobre RIA.

Y hasta aquí llegamos. Podría incluir unas conclusiones para cerrar el artículo, pero casi es final abierto hasta que pase algo. Hemos hecho un recorrido para intentar poner en papel este tema que está ahí, pero el final ya nos lo darán escrito cuando empiecen a venir las investigaciones de autoridades, las denuncias, los cambios en los modelos para evitarlo y las sanciones.

Bueno, sí existe una conclusión importante que podemos dejar apuntada ahora: no jueguen a Candy Crush ni a ninguno de sus primos que utilizan la psicología aplicada para generar una tragaperras con forma de videojuegos. Parecen videojuegos, pero en el fondo son drogaína pura de Walter White.

La entrada ¿Qué tienen que ver las finalidades prohibidas del RIA con los micropagos? se publicó primero en Citizen8.

Si obviamos el gran tema de la IA (dos artículos en Citizen: Sara sobre el texto de Reglamento de IA y Guillermo sobre los sandboxes de IA), el follón de los menores con el “pornorama” (otro por un servidor) o los neuroderechos (creo que un poco antes de más se empieza a cacarear); nos viene a la cabeza Sam Altman como gran foco de riesgo.

Nos viene a la mente por ChatGPT y sus líos con la autoridad italiana, pero ahora habemus nueva cosa: el Palantir u orbe de Mordor que nos recopila el iris a cambio de criptomoneda propia.  Voy avisando que no es un artículo corto ni cumple el mantra canónico del SEO en extensión máxima, pero algo de tela sí había que desplegar sobre la mesa. Amerita el siguiente índice interactivo para ir saltando al apartado que se quiera, o volver a la parte que se dejó para leerlo de varias veces.

En el siguiente punto toca minuto y resultado del Palantir, pero desde el principio ya era una de las grandes minas del Potosí por:

• Que ellos mismos declaren que no quieren tu iris si eres residente de los estados de Illinois, Texas, Oregon, Maryland o Washington; o de las ciudades de Portland y Baltimore. Cómo no fiarse si hay estados y ciudades de Estados Unidos que tienen normativa que prohíben “innovación innovadora” con datos biométricos del tipo que sea. Aunque puede que lo más innovador es que en la versión española y en inglés US se diga que Maryland y Oregon son ciudades y no estados (salvo que se refiera al as improbables y pequeñas Oregon y Maryland City). También tiene su aquel que se mencionen las ciudades de Baltimore o Portand de manera concreta, cuando forma parte de Oregon y Maryland aka la norma afecta a las ciudades del estado se llamen Portland, Columbia o Rapture.
• Que el iris es un dato personal único que nos identifica de una manera que nunca podremos cambiar (salvo que películas como Minority Report lleguen en breve con el cambio fácil y sencillo de globos oculares), que se pierde el control real una vez dado, y que puede provocar efectos muy perjudiciales de manera que ni la propia Worldcoin puede prever. Qué casualidad que ahora que se habla de neuroderechos, reconocimiento automatizado de emociones para mil cosas, visores de realidad aumentada/virtual, eye tracking, pagos y los escaneos con iris para cada vez más cosas; empezemos a ver este tipo de tratamientos;
• Que la propia Worldcoin sí es consciente del órdago grande que hace. Y por eso se empeña en la sobrecompensación de poner muchas veces privacidad, darte criptocosas para que creas que es un buen negocio/que no son villanos como Meta de gratis total, o mensajes tipo “la economía mundial pertenece a todo el mundo”. Para ejemplo, un fragmento de un doc perdido por ahí de explicación que nos deja perlitas que hacen recordar otros conflictos tipo Vietnam. “Excusatio non petita, accusatio manifesta

¿Qué nos vamos encontrado al desbloquear el móvil este tipo de cosas?. Claro, pero también nos encontramos con sanciones día a día: los gimnasios, Mercadona por su idea de bombero del reconocimiento facial para gente con órdenes de alejamiento de sus supermercados (y menos mal que sólo era un proyecto piloto), la licitación de Renfe para reconocimiento de etnia, sexo o vestimenta que retiró por el revuelo, la advertencia de la AEPD a la La Liga por reconocimiento facial en estadios, alguna de lo anterior que va cayendo o todo lo que Sam sabe de los líos de ChatGPT.

¿Qué es una herramienta de inclusión y solución para la gente sin identidad a efectos legales o para servicios financieros? Pues mejor que no, pero es lo mismo que te dirían los siguientes que acabaron “apercibidos” o avisados: Hungría con los refugiados que acabó en paralización por el EDPS, la del Ministerio del Interior italiano, la de los sistemas “Marvel” y “Protector” de Trento, las mil de ClearView con autoridades policiales o la general que recuerdan el EDPB y EDPS sobre la relajación que habría que tener que movidas “innovadoras” en las directrices sobre reconocimiento facial para fines policiales:

¿Cómo va el tema? Minuto y resultado

Una de las ventajas (o inconvenientes, según se mire) de publicar algo más tarde la noticias, es que el contenido no se queda desactualiza en todo lo que va saliendo al minuto. Por contra, toca recapitular. ¿Cuál son los highlights del tema hasta ahora?

• Al principio, teníamos a la CNIL, la APDCAT, la AVPD, el ICO, la de Hong Kong o a nuestra AEPD con aprox 4 denuncias;
• El 6 de marzo, la AEPD pasa a primera fila al ordenar paralizar el tratamiento de Worldcoin durante un plazo máximo de 3 meses (ojo, que no tiene por qué llegar al límite o puede suponer una prórroga) y la petición de información en el típico plazo de 72 horas, es decir, nada de recopilar más datos personales y bloquear sin posibilidad de toquetear lo que ya está recabado. 400.000 iris o así de nada por España;
• Casi por esa fecha, Worldcoin contesta a través de su DPO diciendo que la AEPD les ha ignorado durante meses, que no ha seguido el procedimiento correcto, que colabora con la autoridad de Baviera como entidad de control principal por la sede europea de la empresa, y que la AEPD está difundiendo información inexacta y errónea de lo que hacen. Worldcoin se irá emperrando poco a poco en hacer la “ignoración” a la AEPD por la “arañación” recibida
• La autoridad de Baviera sigue investigando todavía e incorporando cosas que la AEPD estaba investigando para a dar traslado al EDPB para coordinar a nivel europeo. Como Worldcoin anda enfadada con la AEPD por la “arañación” recibida, irán deslizando que Baviera es la única a la que harán caso en sus propuestas/”ignoración” a la AEPD;
• El 11 de marzo, la Audiencia Nacional le dice a Worldcoin que qué me estás contando de cautelares de suspender la medida de la AEPD por perjuicio irreparable. La AEPD lo hace en el marco de su competencia, y ya si gana Worldcoin se le indemnizará como corresponda;
• El 22 de marzo, se publica el contenido del acuerdo de adopción de la medida provisional de paralización de la AEPD. Justificada por la gran escala, naturaleza de los datos y alto riego + expresa referencia a muchas cosas de las recibidas en las múltiples denuncias existentes: no facilitar copia del documento de información y consentimiento prestado, no permitir retirada del consentimiento, cositas feas para dificultar el ejercicio del derecho de supresión;
• El 26 de abril la autoridad portuguesa (CNPD) se suma a la AEPD con una suspensión del tratamiento en el país luso. Aprox 300.000 personas afectadas, una decena de denuncias y por un plazo de 90 días/3 meses. ¿Intentarán la misma jugada de ir a los tribunales para que suspenda la medida cautelar, o con lo que nuestro ya aprendieron que nop?. Y enlace al comunicado de prensa, por aquello de ser más fácil de leer que el propio acuerdo; y
• El 2 abril introdujeron cambios en las versiones de la política y del formulario del consentimiento publicadas (aplicables desde el 5 de abril). Una prueba sólida de que nada había que cambiar. ¿Putada? Podría ser, pero nos da oportunidad de ver cómo estaba en el momento en que saltó la liebre y que creo que es el comentario que debería ser el principal, y si han mejorado algo o no con un cuadrito final por cada apartado comentado.
• El 19 de diciembre (actualización desde el futuro), la autoridad de Baviera se suma a la AEPD en su cautelar, es decir, ordenando la eliminación «iridiscente». No se podía saber que iba a pasar.

¿Qué es el Palantir u “Orbe”?

En corto, un dispositivo justo con esa formita y una cámara que permitir recopilar el iris + otros elementos faciales para finalidades que ya veremos en otro apartado, pero que tampoco es que sean claras en el sentido que se les exige por normativa en esta buena tierra del himno de la alegría (y Noruega, Islandia y Liechtenstein, ya sabéis).

Suena muy feo cuando lo escuchas por primera vez, pero la cosa no mejora cuando te das cuenta que los cacharros están por todo el mundo en centros comerciales trincando datos especialmente protegidos. ¿Por todo el mundo de verdad? Pues sí, ya que las cosas sólo llegan a la España provincial cuando pasan un tiempo de pijoterío por Madrid y Barcelona, o porque hay un interés muy fuerte porque nos llegue a todos de manera simultánea.

¿Cuál es el modus operandi de este Palantir? Descargarse la aplicación llamado WorldApp aka monedero en el que te van a dar las monedas de plata de valor variable (hasta aquí, porque ni papa de criptomonedas. Aunque ya podrían dar unas Bitcoin, Ethereum o “ElmoCoin” más conocidas), y luego pasar por el orbe para que te capte el iris y crear tu identificador (World ID).

¿Y qué hace el orbe? Pues varias cosas que mejor lo explica Worldcoin. Aunque en doc de explicación biométrica y no en la política o formulario de consentimiento:

“La primera tarea del Orb es determinar si alguien es una persona viva real que no está intentando defraudar la verificación. Para ello utiliza diversos sensores de cámara y modelos de aprendizaje automático que analizan los rasgos faciales y del iris. Una vez determinado esto, la Orb toma una serie de fotografías del iris de la persona y utiliza varios modelos de aprendizaje automático y otras técnicas de visión por ordenador para crear un código del iris, que es una representación numérica de las características más importantes del patrón del iris de una persona.”

¿Se dice qué hace técnicamente el Ojo de Sauron? Pues poca cosa, y sin que se entienda bien. En el whitepaper se dice: “El Orb utiliza sensores multiespectrales para verificar la humanidad y la unicidad de la persona para emitir un World ID verificado por el Orb, y todas las imágenes se eliminan rápidamente en el dispositivo por defecto (en ausencia de consentimiento explícito para la Custodia de Datos).”

Sí se dice en unas FAQS perdidas (para no perder la buena costumbre de trocear la información y que nunca la veas toda), que no te dejará ciego ni te dañará la vista. Ya sólo faltaba, pero para que veamos que cumplen con ISO específica. El chiste está en que enlaza la nada y el humo para liar: la propia ISO en versión free, pero no el certificado de cumplimiento otorgado por entidad certificadora para ver si realmente lo cumplen y si está en vigor. ¿Hay ISOs específicas de sistemas que traten datos biométricos?. Sip, pero ya para otro momento si eso: ISO/IEC 19794-6:2011,

Si como lector has pensado en el medidor PKE de los Cazafantasmas que detectaba radicación ectoplasmática, pues tienes buen gusto en películas + suena a eso. La manía de no traducir al usuario lo que significa técnicamente + poner el palabro para dar la sensación de ser Apple.

Lo datero

Siguiendo el orden del RGPD, vamos a ir viendo si va cumpliendo el tema o no. Obviamente, información en papel o a pie de pista no habrá al no acercarme ni con un palo, pero el comentario se basará en lo visto en su política de privacidad actualizada y el formulario de obtención del consentimiento que también publican. Y dentro de este marco limitado, pues tampoco voy a entrar a comentar todo lo que podría para no irnos a una especie de ensayo, tesina sin mucho formato o similares.

Una de las peores cosas que tiene Worldcoin, es seguir la regla de la infoxicación de las grandes tecnológicas: mucho texto, muchos textos enlazados entre sí, información no tan similar en varias modalidades, preguntas frecuentes o “FAQS” perdidas para que no llegues fácilmente a ver todo el bosque, y otros documentos adicionales que dicen cosas interesantes (o preocupantes).

¿Quién es el responsable?

En una copia de guión a lo ChatGPT, tenemos otra fundación querida. Aunque con un plot twist caribeño del “Gran Caimán”. ¿Qué historia no acaba siendo + divertida cuando empieza desde un paraíso fiscal de esos clásicos y asentados que sigue siendo una orgullosa colonia británica?

Worldcoin Foundation, Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Gran Caimán KY1-9006, Islas Caimán.

Es llamativo que al jugar con caimanes desde la sede que declaran, no informen de la existencia del obligado representante en la UE como entidad no establecida en la UE + 3. Aquí podría empezar una derivada sobre si al no haber declarado representante sería la Agencia Española de Protección de Datos (AEPD) la que se lo quedara, pero gracias al revuelo se llegar a que sí tienen establecimiento por Baviera. Si no hubiera sido por el lío, sólo tendríamos la referencia descontextualizada de declarar como autoridad a la de Baviera porque patata.

Yendo al tema puro de la responsabilidad, Worldcoin, sólo se está declarando responsable de lo que llaman los datos del orbe y de los “datos del protocolo”: “los datos personales recopilados y tratados a través de su uso del protocolo de Worldcoin o los tokens de Worldcoin.”. Con este límite empieza sobrevolar la sombra de la corresponsabilidad con los “operadores Orb” aka empresas locales que ponen el stand y están allí.

Si no se bichea el ya mencionado whitepaper o el “quieres convertirte en operador de Worldcoin” se podría pensar lo anterior, pero lo cierto es que tiende más a un encargado del tratamiento al uso + rollo franquicia o empresa contratada. ¿Por qué tan cuasiseguro?. Por las conclusiones de ese doc de sé operador:

• La determinación de medios y fines viene por Worldcoin totalmente;
• Hay que pasar un proceso de selección; y
• Los medios te los suministran y te obligan a cumplir código de conducta. No haría falta acudir al matiz del EDPB de los medios principales y los medios técnicos para llevarlos a cabo.

Recordando el revuelo vía AEPD, hablamos de Worldcoin, pero esa petición de información y misil de paralización profesional fuera para “Tools for Humanity Corporation”.  En la información figura como cesionaria, pero es el ¿representante? o ¿el responsable real?.

¿Lo han mejorado ahora?. Sip. Desde el culebrón ahora se dice clarito quién es el responsable y que hay un establecimiento permanente en la UE que llama a no tener que meter a represente alguno.

Datos personales obtenidos

Vamos con uno de los puntos más importantes de todos. ¿Qué recaba el Palantir?. A pesar de que van diciendo por varios sitios que lo de recabar datos personales no es que quieran como tal para nada. La información que nos dan lo divide en varias categorías. Para que sea más fácil de leer, vamos por dobles como la pareja de agentes de patrulla: lo que dicen ellos vs lo que me parece en cada caso.

Imágenes de los iris y los ojos:

• Lo suyo: “estas imágenes se recopilan en el espectro visible y el infrarrojo cercano. Tal y como se describe en el apartado 2.3 siguiente, el algoritmo no es perfecto y puede cometer errores, como determinar por error que ya se ha registrado en un Orb.”
• Comentario: Lo del iris ya nos lo imaginamos, pero ¿qué más del ojo quiere decir todo eso? La llamada al 2.3 (el fragmento de abajo) del formulario del consentimiento no aclara nada, salvo dejar más claro que el principio de exactitud les importa tres narices y habemus falsos positivos + que aquí no hay supervisión humana y derechos a no ser objeto decisión automatizada ni por equivocación. Ya se funde el 22 del RGPD, y estamos casi al principio de la info.

“Nuestro software utiliza probabilidades para determinar si se ha registrado anteriormente en un Orb. No es perfecto. Como resultado, puede concluir erróneamente que ya se ha registrado en un Orb (y ha solicitado su parte de WLD gratis). En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo. Al aceptar el presente Formulario de consentimiento de datos biométricos, consiente a esta toma de decisiones automatizada.”

Imágenes faciales.

• Lo suyo: “estas imágenes también se recopilan en el espectro visible y el infrarrojo cercano. También recogemos imágenes de profundidad (3D). Las imágenes se utilizan para confirmar que usted es un ser humano, y por lo tanto ayudan a detectar y prevenir el fraude, y a entrenar el algoritmo de prevención del fraude (conjuntamente estas imágenes faciales y las imágenes del iris se denominan “Datos de imagen”).”

• El comentario: el problema de base, es que, si hacemos caso a los principios de minimización, de limitación de la finalidad, de necesidad y del infrecuente sentido común, llegamos al punto de que este tratamiento es excesivo por el mero hecho de que una comprobación visual del pollo que está allí al lado del Palantir ya serviría a ello sin recopilar dato alguno. Para que no salte la liebre, se enmascara con el tema de entrenamiento de sistema de prevención del fraude, pero vaya usted a saber por lo dicho + que tendríamos un tratamiento distinto y adicional no necesario sometido a otro consentimiento explícito adicional. Y luego que ya que nos digan realmente qué se va a entrenar, o si ese algoritmo solo se va a usar para ello.

Derivados de los datos anteriores.

• Lo suyo: “utilizamos algoritmos complejos de última generación y nuestras propias redes neuronales artificiales para crear representaciones numéricas (“Derivados”) de las imágenes anteriores para permitir comparaciones informáticas e interacciones entre ellas. Estos Derivados son cadenas de números (p. ej., “10111011100…”) que implican las características más importantes de las imágenes. No es posible invertir completamente los Derivados a la imagen original. Y lo que es más importante, utilizamos nuestra versión personalizada del algoritmo de Daugman para calcular dicha cadena de números a partir de la imagen del iris (“Código del iris”). Este Código del iris se utiliza para garantizar que los usuarios solo puedan registrarse una vez.”
• El comentario: de una manera muy rara, declara el resultante de la captación del iris, es decir un código alfanumérico que genera el Palantir de los datos de iris que capta. El punto de que usa una versión modificada de un algoritmo famoso, pues a nivel del usuario es irrelevante y no le aportar mayor garantía, salvo que sea del ramo y lo controle. Y lo de que el código del iris se usa para evitar el fraude de volver a registrarse, pues casa poco el punto de que lo se quiere captar sea el iris + que hay medios menos invasivos para evitarlo.

Los datos de la propia app y el “Servicio PDH”:

• Lo suyo: “como usuario, no tiene la obligación de facilitar ningún dato para acceder a la Aplicación. Sin embargo, es posible que tenga que facilitarnos ciertos datos para poder utilizar una función dentro de los Servicios.”

“Servicio PDH: El Servicio de verificación de prueba de humanidad (“Servicio PDH”) permite a otros desarrolladores aprovechar el protocolo de la World ID para verificar que sus usuarios son humanos individuales. El Servicio PDH puede permitir a los desarrolladores utilizar otras señales como verificaciones de números de teléfono en lugar de, o además de, el World ID. En caso de verificación del número de teléfono, utilizamos Twilio para recopilar, enmascarar y verificar el número de teléfono de conformidad con su declaración de privacidad. Tras recibir la confirmación de singularidad de Twilio, informamos a los desarrolladores que se ha verificado el número de teléfono. Solo transmitimos su número de teléfono con el fin de recibir el código de verificación, no almacenamos números de teléfono ni hashes de los números de teléfono. Solo facilitamos a los desarrolladores un hash irreversible de su número de teléfono que les permite validar que el número de teléfono es real y único. Tenga en cuenta que esta sección solo cubre los datos que recopilamos, utilizamos y compartimos. No explica lo que hacen los desarrolladores con los datos que les facilitamos (o cualquier otra información que puedan recopilar sobre usted por separado). Estos datos constituyen Datos del Protocolo.”

• El comentario: obviando el punto de la no obligación de dar datos o el “puede” (lo de descargar una app por narices y no dar datos por necesidad es el nuevo “son los padres”) vamos con el servicio PDH, es decir, ¿el trincarnos el número de teléfono que va ir asociado al identificador que genera el dichoso Palantir? , ¿que lo procese Twilio y se comparta con “desarrolladores” sin que se informe de cómo + patada a su política y seguro que fines propios? ¿para hacer cosas de las que no se informe porque se cede y ya películas el siguiente?

Huele a mareo cuasi ininteligibles de los datos “anonimizados” van a acabar en cualquier sitio de la cadena comercial, a lo adtech y publicidad programática + corresponsabilidad Voldemort que no debe ser nombrada. A vista de la información, es imposible saber qué bigotes van a hacer.

Datos biométricos de categoría especial o no

• Lo suyo: “los datos que recopilamos (descritos anteriormente) pueden considerarse o no datos biométricos dependiendo de las leyes aplicables en su lugar de residencia. Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado.”

• El comentario: ¿Se lo podemos considerar como responsabilidad proactiva, o más bien no? o ¿siempre sería dato biométrico, o deberían haber especificado si hablaba de dato de categoría especial? Por la definición del artículo 4.14 del RGPD siempre hablaríamos de datos de categoría especial por existir tratamiento técnico, pero el punto es si es de categoría especial con la prohibición inicial de tratamiento a levantar o no. Este punto te lo deja un poco botando el artículo 9.1 sobre si la finalidad es la identificación unívoca, pero, como prácticamente con todo, la confirmación te la dan las autoridades de protección de datos en sus documentos. El ICO en reciente guía sobre biometría:

¿Esto significan que el orbe podría ser un tratamiento biométrico que no fuera de categoría especial?. No, ni de coña. De la misma manera que ya no cuela aquello de que la verificación biométrica no es de categoría especial.

Seguro que como lector interesado en temas dateros, habrás visto las noticias sobre los científicos chinos que parece que han ideado un sistema para reconstruir la huella por los sonidos que produce el dedo en la pantalla. No hay nada 100% seguro, pero no queda tan claro que no sea algo a nivel más de prototipo que ya veremos. Si exige que andes toqueteando la pantalla no parece que pueda sacar el desbloqueo de huella normal, ¿cuánto hay que estar toqueteando la pantalla?, ¿si se cambia de dedo pasa algo? ¿se habla de un tercio de acierto, pero qué pasa con los falsos positivos? ¿el protector de pantalla o crista templado no supone un problema gordo al alterar el sonido resultante?.

¿Lo han mejorado ahora?. Pues no tanto. Le han metido un tijeretazo importante a lo del servicio PDH que ya no dice cosas chulas de Twilio.

¿Finalidades?, ¿finalidades?. ¡Yo no veo tantas finalidades!

A estas alturas, pues toda pinta a un ClearView de la vida que entrenará un modelo, generará base de datos y lo usará para “cosas”. La información, como en casi todo lo que pulula por internet, es cumplidora a nivel de foto general, pero con mil lagunas si te paras a mirar.

La regla de oro de la información es que el EDPB nos destila en las famosas pautas de sus directrices de transparencia:

¿La información de Worldcoin aguantará estas pautas? Vamos a verlo con sus grandes éxitos de los dos textos informativos de base:

• “Ofrecer y mantener nuestros productos y servicios en virtud de las Condiciones del usuario”: buen uso de la generalidad que atenta con la claridad, la semántica y la comprensión;
• “Para permitirle publicar información en una cadena de bloques para demostrar su singularidad”: buen uso de cryptopalabros que no dicen nada para el que no sepa lo que significan. Y no es requisito saberlo para dar tus datos;
• “Para mejorar y desarrollar nuestros productos y servicios, incluso para depurar y reparar errores en nuestros Servicios”: Lo mismo que la 1º;
• “Para llevar a cabo investigaciones científicas de datos”: otra generalidad, pero olvidando que el EDPB ya matizó que investigación científica lo es en aceptación más estricta (y varias veces): “proyecto de investigación establecido con arreglo a las correspondientes normas metodológicas y éticas relacionadas con el sector, de conformidad con las buenas prácticas”;
• “Analizar el uso que usted hace de nuestros Servicios para prestarle una mejor asistencia”: nos encajaría en el listado de clásicos en materia de cookies cuando no se dice nada sobre qué hacen las analíticas;
• “Para cumplir con la legislación aplicable, como la legislación contra el blanqueo de capitales y las sanciones”: ¿y la referencias a la normativa concreta que hay que incluir?
• “Cálculo de Códigos del iris y comparación de su Código del iris con otros Códigos del iris”: el funcionamiento del chisme no es una finalidad de tratamiento en sí misma;
• “Detectar si un usuario es un ser humano vivo, lo que incluye comprobar si la temperatura del rostro detectada coincide con un intervalo de temperaturas corporales humanas normal”: cojonudo, ahora aparece otra funcionalidad que permite captar datos de salud. Y mira que es fácil ver si anda vivo el que se viene hasta el orbe o es un zombie. Y mira que en época del Covid ya se vio lo que fallaban los sistemas de medición de temperatura/falso positivos o negativos;
• “Detectar si un registro muestra un iris humano natural, sin alteraciones ni obstrucciones, lo que incluye comprobar si el rostro cambia durante el registro”: ¿En qué casos puede pasar eso? ¿La personita puesta allí no está precisamente para vigilar que todo se haga bien y no intenten escanear el iris de una foto de Pepe Viyuela? ¿Están pensando en que alguien vaya con un ojo de cristal a lo Piratas del Caribe?, ¿alguien se les ha dormido durante el proceso? ¿están pensando en un rebelde miope que se vuelva a poner las gafas a medio palantirazo?, ¿puede detectar casos de cataratas o afecciones oculares para decir que nanay? ¿y el que lleve lentillas puede, o es un coste oculto al tener que tirarlas?;
• “Etiquetar los datos recopilados” y “probar los algoritmos con los resultados etiquetados por humanos”: nop es una finalidad, sino lo que hay que hacer entre bambalinas técnicamente; o
• “Formar y evaluar al personal que trabaja en estos sistemas”: ¿en serio? Es más, una obligación del RGPD de esas ineludibles y tal.

¿Lo han mejorado ahora? Han mejorado la referencia legal, aunque sin incluir referencia a la ley o norma concreta. Y la primera finalidad que no se entendía ni papa, también. Si dicen mejor que habrá entrenamiento del algoritmo con imágenes reales para que aprenda a distinguirlas, pero volvemos a lo mismo. ¿No se puede conseguir eso con un número muy limitado y no a lo loco por el mundo?

Del consentimiento y bases de legitimación

Aunque existen varios tratamientos enlazados de muchas cosas con distintas bases, la gracia es centrarse en la principal y más controvertida: el consentimiento explícito o reforzado necesario para tratar el dato biométrico del Iris, dividido en tres niveles de consentimiento a “elegir” por el interesado.

Aunque antes de darle cera, sí se merece dejar apuntado el punto del interés legítimo. Siempre se piensa que la descripción de las finalidades y el propio interés legítimo es lo mismo, pero el EDPB siempre recuerda que nop + que deber ser real, actual y no vago o especulativo:

Y ahora, apliquemos todo esto a lo que nos dice Worldcoin en algunos ejemplos de su política:

• “Los intereses perseguidos son ofrecer una experiencia estable y segura de nuestro software y hardware.” Más de la nada humidificada con relevancia en protección de datos;
• “La base jurídica de este tratamiento son los intereses legítimos de ofrecer una mejor experiencia de usuario, mayor asistencia y funciones más útiles en los Servicios.” Muchos más de la nada humidificada con relevancia en protección de datos;
• “Los intereses perseguidos son ofrecer una mejor experiencia de nuestro software y hardware.” Me cansé de ponerlo; o
• “La base jurídica para almacenar el Código del iris y compararlo pasivamente es nuestro interés legítimo, a saber, nuestro interés en defendernos de usuarios fraudulentos que intentan registrarse ilegalmente más de una vez.” El único que sí está redactada siguiendo la pauta, pero habría que verlo a nivel de LIA.

Volviendo a los tres tipos de consentimiento que plantean, vamos uno a uno, aunque amerita empezar por los requisitos principales que siempre han de cumplir para serlo, de conformidad al artículo 7 del RGPD:

• Manifestación libre de voluntad: que realmente se tenga una capacidad de elección, de control y que no existan perjuicios o consecuencias negativas si lo otorga;
• Específico e informado: que no sea una habilitación general y se dé para fines concretos y bien clarito;
• Inequívoco o clara acción afirmativa: que no quede lugar a dudas de que se ha otorgado un consentimiento. Los tacitus, ¡afuera!;
• Demostrable: que quede prueba de que se ha otorgado;
• Revocable: que se puede revocar en el momento que el interesado quiera de una manera tan fácil como fue darlo; e
• Explícito: como es un consentimiento de datos de categoría especial, pues toca reforzarlo específicamente: firma, doble check, en doble fase o lo que se ocurra que pueda cumplir.

El punto de que sea demostrable se da por supuesto al interesarle a Worldcoin, el de revocabilidad no se puede comprobar sólo viendo la info, y el punto de ser explícito o si clara acción afirmativa, tampoco, por no haber pasado por el cauce de dar datos y ponerme ante el cacharro.

¿Y el resto los cumplirían? Vamos a verlo, pero espóiler: nop.

1º Consentimiento aka no biométrico: apertura de la cuenta, pero sin criptdinerin y funcionalidades limitadas. Es decir, un consentimiento que no sería libre por el intento de manipulación de no darte el critpodinerin si vas por aquí, la ambigüedad de menos funcionalidades sin decir cuáles o de disponer de una chachi-identidad única y ¿portátil?. Tampoco sería informado por el punto que ya arrastra de que las finalidades sometidas a consentimiento no están clarificadas.

El punto de que te hable de consentimiento para la “declaración de privacidad” se lo regalamos por manía típica de gran empresa de decir que la información de privacidad se acepta.

2º Consentimiento aka consentimiento biométrico poco: consiente el tratamiento de datos biométricos, pero con perjuicios a modo de no te doy funcionales completas sin decirte cuales, te digo que surgirán molestias sin aclararlo y que tendrás que volver al cacharro cada vez que actualice el algoritmo. Lo mismo que el anterior, pero con el perjuicio añadido de que te obligue a pasar más veces por el Palantir.

3º Consentimiento aka el biométrico real bueno: el que realmente quieren que des para poder tratar los datos biométricos, pero también para poder transferirlo. De hecho, los otros dos parecen puestos para que esta tercera opción buena ni te dé miedo ni te cueste pulsarla por no tener contraprestaciones o “molestias” aparentes. Uso de psicología aplicada de la ansiedad que nos generan las múltiples opciones y el elegir lo que menos nos beneficie, para llevar la manita hacía el que se quiere que se marque.

 Lo mismo de los dos anteriores, con el añadido de que se pretende que dos consentimientos explícitos pasen por uno lentejas. El intento de justificar que, sin dar información real y control sobre dónde van a acabar los datos, es el interesado el que les autoriza a todo.

Se vislumbra la maldad añadida de que te mencionan Estados Unidos y equipos en la UE para quitar hierro al hecho de que te piden un consentimiento adicional para transferencias. Claro, ahora Estados Unidos ha vuelto a ser país seguro, pero dos problemas: o lo necesitan porque se lo van a ceder a empresas que no están adheridas al Data Privacy Framework Program y ni SCCs, o eso va a ir a terceros países de los peligrosos. Sea directamente, o como transferencia sucesiva desde Estados Unidos.

Y el bonus clips de este tipo de consentimiento y del anterior, de encajar aquí el consentimiento explicito para el tratamiento de decisión totalmente automatizada que implica el algoritmo. Cucamente te lo informa el formulario por ahí perdido, pero el cómputo sería: el 2º consentimiento debería desdoblase en 2, pero el tercer jugosón en tres: tratamiento de categoría especial, transferencia internacional y decisión totalmente automatizada del 22. Y el divertido punto final de decirle al interesado que se necesitan los tres sin excepción para poder palantinear el Iris.

¿Lo han mejorado ahora?. Han quitado las cositas preocupantes de los efectos perjudiciales, pero, por otra parte, sigue la perlita de cuando actualicemos te puede tocar volver a pasar por Palantir.  Meten con calzador lo del cifrado de extremo a extremo y obligarse a mejorar la información de qué hacen con la información en los primeros casos.

De patrones oscuros e información

La transparencia no es hacer fotitos del Palantir sin carcasa y enseñarte sus distintos competentes. Eso es más para creas que son muy transparentes y te fijes menos en la mala transparencia/información de protección de datos que dan. Podríamos ponernos a discutir la definición de patrón oscuro aka “Dark Pattern” o recurrir a la canónica del creado del concepto (Harry Brignull), pero a mí me gusta una propia:

“El uso de técnicas de puñetero y onmipresente neuromarketing (magia negra) para que acabes haciendo/dando/comprando lo que quieren, pero sin que seas consciente de que tu decisión no ha sido genuina, sopesada o tuya.”

También nos valdría una conocida de David Icke (antes de que se hiciera negacionista de cosas): “La mayor forma de control es cuando piensas que eres libre, cuando estás, fundamentalmente manipulado y dirigido.”

Como buena información que intenta marear y que su objetivo es dar la sensación formal al no entendido de que se cumple, se hace uso de bastantes expresiones ambiguas y condiciones clásicos: “puede”, “de vez en cuando”, “es posible”. No tanto como la política inventada con expresiones de varios casos reales que un servidor hizo/achacó a Umbrella Corporation, pero van bien cargados.

Podríamos hacer la comparativa de los originales de Brignull y de los que el EDPB se sacó de la chistera en sus directrices al respecto en redes sociales, pero siendo un artículo datero sólo nos interesan las últimas. Además de que sería un lío importante intentar hacer las equivalencias de algo que no casa tanto.

• Incitación continua o “Continuous prompting”: en forma no de que te estén todo el rato taladrando para que des el consentimiento, pero sí en el punto de que te digan en los dos tipos de consentimiento que no quieren que marques que te tendrás que dar otro paseo por el orbe: “Sin embargo, es posible que tenga que volver a visitar un Orb para que su IrisCode pueda verificarse de nuevo cuando actualicemos nuestros algoritmos.”

• Laberinto de privacidad o “privacy maze”: en forma de que la información se divide en un formulario y una política de privacidad que hay que ir cotejando y comparando para llegar a tener la información “completa” de los tratamientos. Y la guinda del laberinto, que no son cortitos ninguno de los dos documentos;

• Dirección emocional o “Emotional Steering”: todo el rato nos van soltando perlas sobre lo mucho que les preocupa la privacidad y que todo esto es muy positivo. Lo que toda la vida se ha llamado sobrecompensación, o, en brocardo latino legal: “Excusatio non petita, accusatio manifesta”, otra vez:

Por ejemplo: “Worldcoin gira en torno a World ID, una red de identidad global que preserva la privacidad.”; “La privacidad está en el ADN de nuestra empresa”; “Por otra parte, observamos los principios del Reglamento General de Protección de Datos de la UE (“RGPD”) en cuestiones de privacidad”; “No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”; “Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado”; “Hemos diseñado nuestros productos y servicios teniendo en cuenta su privacidad,”; “debemos abordar el problema de las cuentas duplicadas y falsas en línea (como los bots), a la vez que protegemos su privacidad y la seguridad de sus datos.”; o “No utilizamos los Datos de imagen para saber quién es usted (identificación). “

• Mira por allí o “Look over there”: en forma de colar dentro de la redacción genérica de conservación para el cumplimiento de obligaciones legales que no se dice más, cuelan la de prevención del fraude para quede con ese disfraz: “Si lo exige la ley, seguiremos conservando sus datos personales según sea necesario para cumplir con nuestras obligaciones legales y reglamentarias, incluyendo la supervisión, detección y prevención del fraude, así como las obligaciones fiscales, contables y de información financiera.”

• Falta de jerarquía o “Lacking hierarchy”: en el sentido de no aclara la jerarquía de los documentos en caso de duda. Con la redacción que dan parece que sí, pero a la hora de la verdad la política contiene también información sobre los posibles tratamientos biométricos.

“La Declaración de privacidad cubre los datos recopilados a través de nuestro sitio web, la aplicación y otros servicios, mientras que el presente Formulario de consentimiento para datos biométricos describe cómo tratamos sus datos biométricos recopilados a través de nuestro dispositivo Orb. Estos documentos operan de manera conjunta y ambos son importantes para comprender cómo se ve afectada su privacidad por la participación en el proyecto Worldcoin”

• Información contradictoria o “Conflicting information”: se nos va diciendo que el interés no es identificar en ningún momento, pero se genera un ID como tal y les queda asociado con el número de teléfono dado (fue lo primer que saltó en prensa). Se juega a lo mismo que las cookies hicieron de no ser un identificador por no recabar el DNI o nombre, cuando lo son en sentido estricto y todavía más por ser el iris un elemento único de cada uno:

“No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”, “Confirma que usted es un “humano único” sin exigirle que proporcione ninguna documentación de identidad u otra información sobre quién es.”

Que, si te voy diciendo una cantidad interesante de datos con tratamientos que se podrían evitar o con medios menos invasivos, para luego mencionar que: “Ofrecemos una prueba de singularidad y de ser un ser humano (Prueba de condición de persona) que requiere la menor cantidad de datos posible.”

Que, si no compartimos nada con nadie que no sea del proyecto Worldcoin, cuando luego hay patante de corso no explicada de “colaboradores” y +: “No compartimos las imágenes ni sus Derivados con nadie que no trabaje en el proyecto Worldcoin”.

El hecho de darte cosas muy concretas y hasta con ejemplos para luego ser impreciso en apartados mucho más nucleares y que tocan lo importante para que el usuario pueda decidir de manera consciente: “Tenga en cuenta que esta lista contiene ejemplos, pero puede no incluir todos los posibles riesgos para usted.”

El hecho de decirte que tienes los derechos que te reconoce el RGPD, para luego decirte que no podrás ejercer el relativo a impugnar la decisión del algoritmo, el de supresión o la propia limitación del plazo de conservación de la información:

“En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo”; o “Si decide registrarse en un Orb, crearemos un código de iris único (tal y como se define a continuación) que ya no podrá ser borrado (si lo borrásemos, la prueba de singularidad dejaría de funcionar)”.

“Tenga en cuenta lo siguiente: las cadenas de bloques son redes descentralizadas de terceros que no controlamos ni operamos. Debido a la naturaleza pública e inmutable de la tecnología de cadena de bloques, no podemos modificar, borrar o controlar la comunicación de los datos que se almacenan en cadenas de bloques.”

Que, si se especifica que contiene información sobre cómo se utilizan las cookies cuando está en la política separada sobre eso, o que se anuncie “En qué se diferencia esta Declaración de privacidad para niños y adolescentes” para significar no una información concreta para ellos, sino nada más que el intento de exoneración que veremos en el apartado de menores. Aunque también veremos que algo han tenido que cambiar.

Que, sí “realizamos una evaluación exhaustiva previa sobre las leyes de privacidad locales antes del lanzamiento y hacemos todo lo posible por cumplir la normativa local, aunque Worldcoin sea un proyecto mundial”; cuando ya van dos países de la UE que te lo han paralizado.

• Acción engañosa o “Misleading Action”: el intento de disuadir cualquier reclamación diciendo que la competente es la de Baviera. Una cosa es que la autoridad principal a la que se le van a comunicar sea ésta por tema coordinación y ventanilla única, y otra muy distinta que no se informe al interesado de que podrá acudir a la de su país. No vaya a ser que el tratamiento lo estén realizando es España sobre españoles y que el EDPB no lo haya dicho: “el interesado tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro donde tenga su residencia habitual, trabaje o de la supuesta infracción del RGPD.”

• Información ambigua o “Ambiguous wording or information”: todas las expresiones genéricas de finalidades que no se entienden un pijo ya mencionadas, o los condicionales que no aclarar si se hará o no. Un clásico: “Se ofrece la funcionalidad completa, pero con posibilidad de que surja alguna molestia”, “Esto probablemente le ayudará a evitar inconvenientes porque, si tenemos sus Datos de imagen.”

¿Lo han cambiado a mejor? Pues sí, pero ha perdido mucha garra sin algunas expresiones maximalistas de defensa de la privacidad como ideal caballeresco. Oye, las tenemos inmortalizadas en este artículo y diría que incluye alguna del tipo emocional: “Estamos profundamente comprometidos con la protección de su privacidad y la seguridad de sus datos.”, o “la privacidad y la seguridad de los datos son fundamentales para ganarnos su confianza.”

Han tenido que plegar velas y ahora reconocen que si te pones bruto con la supresión del código del iris, pues hasta lo respetan.

Tema menores y comprobación de edad

Este es un tema importante y de rabiosa actualidad. Está de moda, pero es siempre vital por ser los menores un colectivo especialmente vulnerable. El tema teórico de qué dice el RGPD o de los sistemas de comprobación de edad (incluyendo la propuesta de la AEPD), se puede consultar es este otro artículo específico anterior (la patata datera de la comprobación de edad). Repetir lo mismo, pues es ser pesao de más.

Sí cabe empezar con el matiz que se asocia de que a partir de los 14 años que marca nuestra LOPODgdd (dentro de la horquilla 13-16 del RGPD), ya no tenemos un menor, sino un pequeño adulto. Nada más lejos de la realidad, porque el RGPD no distorsiona la máxima de la edad legal de los 18 años, sino que sólo incide en si el tratamiento que se base en el consentimiento se puede dar por el propio menor, o requiere de complemento del consentimiento del padre o tutor legal + matices de limitaciones en tratamiento especialmente invasivos sobre menores tengan la edad que tenga.

De la misma manera, el matiz de creer que un sistema de comprobación solo es necesario en los casos en los que haya que comprobar si el consentimiento del padre o tutor es válido. El RGPD incide ahí todavía sobre el consentimiento, pero el no tener un sistema de comprobación de edad real te meter en una posible sanción ¿Cómo evitar tratar datos de menores de los que tienes legitimación o garantías para ello, sin ningún medio de control?

En resumen, aunque fuera mayor de 14 se debería seguir teniendo en cuenta y aplicando las garantías y advertencias en decisiones totalmente automatizadas, datos de categoría especial y cualquier temita. Eso que haría que la evaluación de impacto saliera menos, y que a los menores no les pueda hacer ni la mitad que a los mayores.

La gracia del Palantir es que sus términos apuntan a que se debe tener 18 años para participar en la maravilla, que la mayor parte de las personitas que ha dado su iris en España son adolescentes y que el intento de patada de responsabilidad al padre/tutor es bien burda:

• “Si cree que su hijo menor de 18 años ha accedido a los Servicios sin su permiso, puede solicitar la eliminación de sus datos poniéndose en contacto con nosotros a través de nuestro Portal de Solicitudes.”
• “Si nos enteramos de que hemos recopilado datos de un menor de 18 años, eliminaremos dichos datos lo antes posible.”
• “(…… ) y no recopilamos conscientemente datos de personas menores de 18 años 18”. “(……) No comercializamos productos o servicios a niños”.

No me parece un error que no haya referencia a comprobar el consentimiento del padre o tutor, porque creo que el intento siempre fue ir al hueco del medio: el adolescente a partir de 14 que ya no necesita a papi o al tutor.

Pero como hemos dicho antes, no les evitaría un sistema de comprobación de edad. Lo chistoso es siendo un tratamiento que supone la recopilación in situ con cacharro, esta comprobación no tiene que tecnificarse ni ir más allá de lo visual: el pollo autorizado mirando que no eres menor/pidiendo DNI para cotejo visual sin registro en ningún sitio. ¿Hablan de esto en la información? Parece que dicen que dan instrucciones a los operadores/pollos allí, pero luego lo rematan con la inútil auto confirmación, y un tratamiento automatizado IA de detección de edad que se ve que no funciona + buena suerte con no sea excesivo, necesario y lo menos invasivo con todo lo dicho.

¿Lo han mejorado? Sólo incluyendo referencia a “hemos tomado medidas comercialmente razonables para limitar el uso de los Servicios a los mayores de 18 años”. En una casualidad no casual ahora dicen que pondrán a un pollo a comprobar in situ. O sea, lo propuesto antes y que se le hubiera ocurrido a cualquiera que intentara hacerlo bien.

De conocimiento cero y la conservación

Worldcoin nos dice que su sistema supone una prueba de la personalidad que preserva la privacidad, mediante “pruebas de conocimiento cero”. El tema del conocimiento cero o “zero-knowledge proof” son palabras mayores. Muchas autoridades han hablado de ello, pero diría que la más instructiva y clara es la británica en su web. Hasta con ejemplo y dibujín:

Claro, viendo que no es que recaben pocos datos ni normalitos y que sí se asocia con el número de teléfono del interesado, pues parece osado decirlo. Y que tampoco se da mucha información al respecto.

Sobre la conservación, pues poco más que decir que se pasan por el arco las pautas de delimitar plazos concretos o reglas que no den vergüencita informativa: “Conservaremos los Datos de imagen hasta que el desarrollo y la mejora del algoritmo haya concluido o según lo exijan la legislación o las normativas”

 Se habla de un posible de 10 años para los datos de imagen que es una locura, pero también que puede que nunca llegue a tal. ¿Quién sabe? Ya es preocupante que algo que se debe informar claro no lo esté, pero no tenemos más carne para valorar si procederían ciertos plazos o no. Aunque lo de los plazos no es materia tasada

Haciendo un poco de pitoniso y viendo el percal, no veo descabellado que la AEPD acabe ejerciendo la competencia que establece el artículo 32.5 de la LOPDgdd: ordenar la supresión automática sin bloqueo de lo “iridiscente” por el gran riesgo para los derechos de los afectados, que sean datos de categoría especial y el número elevado de afectados.

Y, por si Worldcoin intentara ir por el tema de que no esto no es posible porque el vulneraría el RGPD si no lo pide el interesado (ya va por ahí ahora mismo), pues el TJUE le ha venido a aguar la fiesta con el matiz de que la autoridad puede ordenarlo sin necesidad de solicitud previa del interesado C‑46/23.

De cesiones y encargados de tratamiento

Con la mera información no podría entrarse a valorar si es cierto lo que se declara, o si realmente todo está limitado a encargados de tratamiento puros y nada que no lo sea, pero si hay unas cuántas cosas curiosas:

• El mantra tan estadounidense de “no vendemos tus datos”. Les viene muy bien por el mensaje tranquilizador que supone, pero no significa nada fuera de Estados Unidos;
• Que se compartirá de manera segura sin más aclaración, que se garantizará que se gestiona de “forma coherente con nuestro compromiso de privacidad” (pues mejor, no); o que
• Que se prohibirá que otras empresas los usen para fines propios. Si todo fuera un encargado de tratamiento puro con contrato del artículo 28, seguro. El tema es que ese “Tool for Humanity” que parece ser algo más que el mero proveedor, pues no estaría sujeto nada de esto.

Y luego todos los “creamos” para justificar cesiones por la carita aduciendo cumplimiento legal (como si no estuviera claro los casos en los que se debe ceder información por esta vía), los siempre “concretos” intereses comerciales o no decir si las cesiones intragrupo van por interés legítimo dentro de la mera labor administrativa o si va más allá. Lo de la propiedad común es un concepto que intenta quitar relevancia al tema, pero desde lo datero son entidades separadas que ya se verían si son responsables, corresponsables o encargados.

El consentimiento puesto sin contexto, puede que sea la reminiscencia de la parte de consentimiento para transferencias comentada que ya meten en el consentimiento tipo 3/bueno.

¿Ha mejorado algo? Nop, salvo que se apuntala mejor a Tools for Humanity con el matiz de que “Worldcoin no requiere acceso a ninguno de sus datos aparte de los Datos del Protocolo”. Los de las Herramientas para la humanidad siguen siendo un misterio.

En el anterior de conservación, han matizado que la eliminación de los datos que el interesado pida suprimir, se hará en un mes máximo.

De transferencias internacionales

No podía faltar algo de chispa en un punto tan importante como si los datos vuelan fuera de la UE + Liechtenstein, Noruega e Islandia. Se hace mucha mención a que los datos de los europeos estarán almacenados en Alemania, Polonia y Estados Unidos + que nada a las Caimán, es decir, una situación que no debería levanta suspicacias ni intentos raros. ¿Verdad?

Ni una referencia a cláusulas contractuales tipo (SCCs), no vaya a ser que fuera el contrato adecuado para ello y que ya contará con previsiones concretas que obligan al importador y ante accesos de autoridades a los datos. Está bien aquello de lo intentaré impugnar, pero ¿y el importador lo va a intentar como especifican las SCCS?, y si se existe obligación de aportar la información, ¿de qué sirve ese cifrado avanzado que se menciona? El artículo 32 exige el cifrado como medida de seguridad mínima, pero aquí no se menciona con esa intención más general.

Cuando toca informar de los riesgos porque la transferencia se va al cajón de sin garantías aka el consentimiento explícito aquel escondido en el tercer tipo de consentimiento biométrico, pues mejor decir “inferior” y no “no coherente”. Y que no vale con aquello de meros ejemplos de riesgos.

Existir decisión de adecuación sobre Estados Unidos, existe. Otra cosa es que interese dejarlo así para apuntalar el relato anterior + que aquellas entidades importadoras no cumplen con la particularidad de esta decisión de adecuación: estar adheridos al Data Privacy Framework Program (DPF). Alguno podrá decir que la fecha de actualización de la política es de junio de 2023, es decir, un mes antes de la aprobación de la misma. Cierto, pero no es excusa para no actualizar la política/revisarlo todo + ¿cuál es la excusa del formulario de consentimiento datado en octubre de 2023, pero con el mismo “error”?

¿Ha mejorado? Pues algo. Ahora se mete una adenda concreta para el EEE y UK con la referencia a benditas SCCs, aunque dejándolo en el aire y hasta que no habrá transferencias porque ¿sólo se informa a los de UE que se transferirán los datos a la UE?. Y qué pasa con los famosos Tools for Humanity que son y en otro punto se dice que: “A continuación, se enumeran los posibles riesgos que pueden surgir si transferimos sus datos (en caso de que los datos se consideren datos personales) a los Estados Unidos y la Unión Europea”.

Es gracioso ver cómo añaden un cuadro de destinatarios relevante con Tools por el mundo, pero lo encajan en el anexo para residentes en Corea de Sur, se añade un cuadro resumen sobre base de legitimación que no está mal y se agradece, y se quita aquello de que no hay decisión de adecuación en Estados Unidos. Alguien se acordó del tema.

PIA

El artículo ya se ha hecho muy largo, pero cabe rematarlo con breve mención a lo más complejo y limitado del todo. Toca evaluación de impacto como un camión. Es algo que se dejaba un poco en tierra de nadie, pero que en la actualización se ha matizado

Vista la liada, ya podrían haber incorporado aunque fuera las conclusiones de la misma bien, y no dar un enlace que dirige un texto que mezcla cosas interesante con rollo, y que dirigir a otros textos relevantes– No estás obligado a publicarla, pero casi mejor si se hubiera hecho una mini versión pública.

Conclusión

Poco más que añadir a lo dicho. A lo lejos se ve raro, de cerca se ve peor y en frente asusta como un Palantir en el que ves a Sauron. Muy preocupante para el que escribe este texto que 5 años y pico después de la aplicación efectiva nos venga al corazón de la UE un intento tan grosero y tan peligroso a lo bruto. Y que después del daño empiecen a cambiarlo para ajustarlo más al mínimo que tendrían que haber tenido en un inicio, y todo ello para que les sirva de atenuante en el muy posible guantazo.

Que el lector que haya llegado hasta el final, tenga cuidado ahí fuera con todo el positivismo y poco espíritu crítico de grandes nombres sobre este u otros temas polémicos de derecho vs innovación. Lo importante, y más en derecho, no es quién lo diga, sino lo que se diga basado en prueba documental y argumento desarrollado:). Y que el derecho está ahí para protegernos y nunca es un tope, claro.

Por último, lo más importante de todo el artículo: el memo de Pippin ya nos enseñó lo que pasa por ir tocando palantiri (plural de Palatir) que te encuentres por ahí.

Darío López Rincón  – Entusiasta de los palantiri

La entrada El Palantir de Worldcoin: el orbe a examen RGPDiano se publicó primero en Citizen8.

Como todo lo que se publica en Citizen8, esto va a ir desde la perspectiva de la ignota, mística e inabarcable protección de datos. No en vano, es uno de los principales puntos a tener en cuenta en el tema.

En este post vamos a contar un poco el panorama, si dice algo el RGPD del tema y, finalmente, sí hay algún sistema en vigor o previsto que solucione el tema como toca.

1) El panorama o ¿pornorama?

Tanto la pornografía como la comprobación de edad han sido dos temas tabú tradicionales en internet, pero han tenido que llegar los de la generación alfa (el nombre técnico-místico de los nacidos entre el 2010 y 2020) para combinarlas ambas en una suerte de problema sistémico que ha llevado al legislador de muchos países a correr, ahora sí, para regular la obligación de imponer barreras de entrada sólidas.

Lo que otras generaciones previas empezaban a conocer en la adolescencia de variopintas maneras, ahora lo comienzan a toquetear mucho antes, con el riesgo de no entender y asimilar lo que ven como algo normal. Rematado con la guinda de un acceso gratuito (pago con datos, pero nos entendernos), y sin cortapisas por edad más allá del famoso “pulsa aquí”, “pon tu fecha de nacimiento” o “nos vale como prueba plena la mentira que pulsas de que eres mayor de edad”.

Como una imagen vale más que mil palabras para entender este contexto, os dejamos el vídeo cortito de promoción de una campaña concreta del Parlamento Europeo/sesión de trabajo, que el día 9 de octubre hizo una conferencia con la participación de la AEPD: “Generación XXX: por un control efectivo del acceso de los menores a la pornografía”.

En esta línea, el Parlamento Europeo presentó, en este mismo octubre, su estrategia para mover la enorme maquinaría europea en este tema, destacando que pide una norma europea sobre verificación en línea para 2024 (no se aclara si Directiva o Reglamento, pero de ilusión también se vive). Por aquí nos quedamos con párrafos que mencionan el RGPD y esa norma que pide crear + un código de conducta a nivel de la UE:

A nivel europeo, sí tenemos algo en vigor que puede llegar a obligar a alguno de los de este «pornorama» a tener un sistema de verificación de edad que funcione: La Directiva de Servicios Digitales o «DSA». Puede hacerlo porque la Comisión Europea, a fecha de 20 de diciembre de 2023, ha tenido a bien ampliar su listado original de plataformas online de muy gran tamaño («VLOPs») con tres primeras espadas del tema, es decir, de los obligados principales de la norma a las medidas más cualificadas y que incluyen la verificación. Oh sorpresa, no incluye ninguna megacorpo de los videojuegos.

Finalmente, hay otra derivada/catalizador de la que no se tiene muy claro si el legislador o las autoridades son conscientes: los videojuegos. Tienen mil y un beneficios de corte psicológico y mejora de aptitudes que puede ser útiles para la vida (lo dicen los expertos y se recopila en este post propio, pero que es claramente spam legítimo), pero que en combinación con la pornografía puede hacer que el menor esté siempre en un entorno peligroso para el desarrollo de su personalidad y madurez.

Da la casualidad que muchas de las grandes páginas, así como los creadores de contenido de las mismas que puedan llegar a vivir de ello y monetizarlo en forma de canales al estilo de YouTube, promueven la existencia de vídeos explícitos sobre los personajes (sobre todo femeninos) y juegos más populares de cada momento. A tal nivel, que es hecho conocido que las grandes fluctuaciones de usuarios en este tipo de sitios se deben a sí ha habido algún lanzamiento de un videojuego de gran público o no.

Y es conocido, porque estas grandes webs sacan pecho del tema enseñando sus estadísticas, aunque con la ausencia deliberada de los datos agregados de los usuarios menores que anda pululando por allí. ¿Ejemplos de juegos con mucho menor pululando? Mil, pero por poner ejemplo de tres populares y sus “métricas”: Minecraft, el último Zelda o las mil temporadas de Fornite.

2) ¿Qué dice el RGPD sobre el tema?

El querido RGPD no regula específicamente la comprobación de edad, sino que incide en la necesidad de poder comprobar de manera adecuada el consentimiento que los padres o tutores legales den en casos de menores de edad (14, en nuestro caso) en el artículo 8.2.

Esta limitación concreta puede hacer creer que solo sería necesario tener un sistema de este tipo si el tratamiento se base en el consentimiento, pero nunca hay que olvidar los Considerandos en los que se dejaron perlitas aplicables, y que muchas veces son lo concreto que el articulado del RGPD no pudo ser. En lo que nos interesa, y que tienen buena parte de los elementos que habrá que considerar:

• Considerando 38: Los niños, por el hecho de serlo, tienen que tener una protección especial en su tratamiento. Básicamente, porque no pueden comprender los riesgos, consecuencias, garantías o derechos de la misma manera que los adultos (está por ver que los adultos los entendamos y dejemos de comprar cosas como las Ray-Ban Stories Meta). Y zas por el perfilado con fines comerciales, personalidad o sobre cosas peores.
• Considerando 58: también tienen derecho a entender la información que se dé del tratamiento de datos, por lo anterior y por aquello de que son los titulares del derecho fundamental a la protección de datos. ¿Alguien ha visto información del 13 o 14 adaptada para menores de edad? Nosotros tampoco, aunque más valdría que se miraran las tablas que el ICO da como pauta por franjas de edad en guía sobre “Age appropriate design”.
• Considerandos 71 y 75: las advertencias previas al bonito artículo 22 sobre cualquier perfilado o decisión que tome un algoritmo o similar sin intervención humana y con efectos jurídicos o igualmente divertidos. P.ej. rendimiento en el trabajo, la situación económica, la salud, las preferencias, intereses personales, fiabilidad, comportamiento, o movimientos (de esto último sabe Telepizza por la sanción que se comió con pepperoni al geolocalizar de más a sus empleados de reparto).

Además de que nos queda claro que el perfilado comercial a lo loco tan habitual (y sancionado sobre menores y no menores), el RGPD nos deja la idea apuntada de que la comprobación de edad es un elemento obligado, básicamente, porque de no saber que es un menor no se van a tener en cuenta todos estos elementos y se rifará una sanción.

Estos elementos comentados en los Considerandos, se pueden traducir en los tres grandes, que en una evaluación de interés legítimo y/o evaluación de impacto hay que tener en cuenta. Evaluación de impacto siempre tocaría, pero hasta que nos llegue la normativa con su posible obligación legal de implantación, la mejor base para legitimar este tipo de tratamiento será el interés legítimo y su evaluación obligatoria a juego (si nos metemos a comentar todo eso, este post se va casi más a ser un estudio o ensayo coñazo)

• Interés superior del menor: ese principio que lo sobrevuela todo, y, que implica que al menor sólo se le pueda hacer un 1/3 de lo que sea que se esté pensando hacer. Y con especial celo tenemos a la AEPD sobre todo el contenido inadecuado y el canal prioritario.
• Expectativa razonable: el hecho de que la persona se espere y tenga clarinete, sin necesidad de aclaración ninguna, que algo se va a realizar. Puede ser bastante inatacable que los menores se imaginen que algún sistema para no acceder a eso que saben que es para mayores exista, pero el problema es que eso no alcanzaría al meterle un sistema de reconocimiento facial o similares. Este tema de la expectativa está clarinete en la resolución sancionadora al BBVA por parte de la AEPD (anulada anda, pero esto es igual de valioso).
• Proporcionalidad y necesidad: las típicas de poder demostrar que establecer un sistema de este tipo es impepinable, y que se han tenido en cuenta los especiales derechos del menor con límites concretos y garantías. El problema viene cuando empezamos con los medios infalibles de reconocimiento facial y nos olvidamos, que al igual que en el caso de la anonimización, no existe el riesgo cero y certeza absoluta, sino que lo relevante es poder probar el haber realizado esfuerzos razonables.

¿Queréis un ejemplo de empresita conocida por todo el mundo, especialmente por la generación alfa? Pues TikTok acude al rescate con 345 millones. La famosa Generación TikTok no son ellos, pero también son bastante nativos en el tema.

3) ¿Hay alguna propuesta o sistema ya disponible?

El tema está candente y seguro que habéis escuchado que los franceses están en ello, gracias a que va a juego con su proyecto de ley sobre regulación en materia de acceso a webs pornográficas,  o la reciente revelación de qué sistema es que la AEPD va a intentar proponer. También es importante tener en cuenta que hay países que han dado un paso atrás, debido a los riesgos de privacidad, seguridad y que los sistemas comerciales actuales no tienen el rodaje suficiente como para ser efectivos y adecuados.

En este último grupo de países que se han bajado de esta ola está Australia. En agosto de este mismo 2023, su gobierno consideró que no era el momento por esos tres elementos comentados, y entró a sustituirlo por una hoja de ruta de diversas alternativas:

• Códigos con los actores relevantes, que siempre gustan y se venden bien;
• Campañas concretas de educación: «Safety by Design» y «Tech Trends». Como las que se hacen todos los países; y
• Meter algún matiz en la Ley de Seguridad en Línea.

Entre los medios que existan ya, o que se proponen, se pueden destacar 2+1. Un sistema que aprobó una autoridad alemana de una empresa privada, el famoso de Francia y la idea de la AEPD/FNMT con colaboración de la CNMC.

La de Alemania

No es un sistema propuesto por una autoridad o entidad alemana, pero sí que se aprobó por el organismo regulador de protección de menores en línea (KJM). El sistema, creado y comercializado por Yoti, consiste en el uso de un sistema de reconocimiento facial que promete tener los siguientes límites según su documento explicativo:

• Solo se analiza la geometría de la cara para que el algoritmo coteje aquellos rasgos típicos de cada edad y pueda arrojar como conclusión si es mayor de edad o no, pero sin intentar la identificación; y que
• Todo esto no va a suponer generar una base de datos específica ni cruce de datos de otras fuentes distintas.

Si como lector te estás preguntando si todo suena demasiado bien, te alegrará saber (a nosotros también), que dos autoridades tienes dudas:

• La Comisión Federal de Comercio Estadounidense (FTC), porque ha solicitado que se incluyan este tipo de medios como posibles en el listado que la famosa ley de protección del menor (COPPA) incluye en su articulado. En esas, que la FTC les ha pedido aclaraciones concretas.
• El ICO, que, aunque le pareció interesante la solución, dejó alguna perla de que sería necesario aclarar esa afirmación de que no implica un tratamiento de datos de categoría especial/biométrico (recordemos que categoría especial lo es porque lo tratas de primeras, o porque lo puedes inferir de lo que tratas) en su informe sobre el sistema. «……………As above, for the purposes of our analysis we have operated on the assumption that the tool will be processing biometric data, but a detailed assessment of this question falls outside the scope of this Sandbox Project», «It should be noted that biometric data will nonetheless be special category data in many cases. For accountability purposes, Yoti should document their rationale for the conclusion that Article 9 doesn’t apply in the specific context set out above, alongside a risk-based analysis and evidence for this decision in its DPIA………….».

Aunque luego se mete uno en ese documento explicativo del sistema otra vez más, y le asaltan más dudas.  ¿El color de piel realmente es necesario, o es que las arrugas y cambios por edad ahora se ceban según el tono?

La de Francia

Para finalizar este post, acabamos con la más avanzada de todas por ir a juego con la ley que está en proceso de aprobación en Francia. Al igual que en España, es la autoridad francesa de protección de datos (CNIL) la que le ha dado impulso desde su “Laboratorio de Innovación Digital (LINC)”

En vez de ser un certificado de atributos como plantea la AEPD, será un mecanismo basado en un tercero de confianza al que el usuario le pedirá que valide que es mayor de edad en el acceso a la web pornográfica. ¿Cómo funciona? De una manera sencilla, pero que la CNIL nos cuenta mucho mejor de lo que podríamos redactar nosotros. Y en formato de infografía.

Para más información, la CNIL tiene una página dedicada en su web.

La de Españita

La AEPD fue dejando miguitas en forma de noticia en su web sobre reuniones con otros organismos públicos para abordar este tema, pero el bombazo se ha soltado en ese evento del Parlamento Europeo que comentamos al principio del post: la AEPD, en colaboración con la FNMT, están buscándole las vueltas a establecer un certificado electrónico que contenga exclusivamente el atributo de ser mayor de edad.

No sabíamos mucho más hasta el día 14 de diciembre de este 2023 que lo presentaron dentro del marco de la celebración de los 30 años de la AEPD.

Amalgamando lo presentando a la vez: nota de prensa, decálogo de principios (la clave de bóveda), nota técnica de las propuestas (el más vistoso), las declaraciones del evento y el documento de preguntas frecuentes (el más jugoso), se podría destacar lo siguiente. Y también algunas dudas que se desvelarán cuando esté en rodaje.

• Lo mollar unificado: el usuario tiene que obtener de un proveedor de identidad certificado el atributo de edad o fecha de nacimiento validada (por ejemplo, como QR), e introducirlo en la aplicación de verificación de edad que actúa como intermediario que se conectará el navegador o app del contenido marcado como para adultos que se pretenda acceder. El intercambio limitado al atributo de edad (meter el elemento de zero knowledge proof) y en todo ello desde el dispositivo del usuario.
• El punto de partida parece ser el del usuario que navega por internet, pero ¿qué pasa en los casos de perfiles de usuario? Por ejemplo, en los que todo es un perfil de usuario y vas a saber por narices que es menor y todo el contenido tiene que ir en consonancia a ello (controles parentales, acceso capado a tienda, chat y +), o varios usuarios menores y no menores que accedan desde el mismo dispositivo concreto. ¿Google (Android) o (IOs) seguro que no pueden llegar a identificar al usuario con todo lo que saben, lo que trincan del dispositivo y su magia negra habitual?
• Los principios estipulados en el decálogo son el checklist comparativo que la AEPD pondrá frente a sistemas de verificación de edad que valore.
• ¿Parece infalible? Pues no, pero ahí está la gracia de los esfuerzos razonables y el respeto al interés del menor. El infalible encalla es costas peligrosas, pero luego a contárselo a la AEPD (hola, Yoti y tu ¡Privacy-Protective! Facial Age Estimation” comentado en el punto de Alemania).
• ¿En cada acceso toca pasar el control? Pues cada cual, porque la AEPD no se ha metido en ese tema de detalle técnico. Sin un poco de usabilidad real el usuario corre hacia el otro lado.
• Pinta muy bien, pero habrá que ver en acción. Por comparativa con la prometedora de la CNIL, esa aplicación intermedia de verificación añade un paso que al usuario le tira para atrás, y a nivel de solución única mundial de la plataforma parece de implantación más fácil.
• La AEPD tiene mandato del EDPB para trabajar a nivel europeo en un grupo sobre los criterios presentados. ¿se viene a futuro estas pautas con el sello EDPB? ¿el mismo sistema para todos los países? ¿Cambios que luego impactarán en lo que vemos ahora? ¿La CNIL lo mirará de reojo por lo propio en lo que estaban por allí? Pues algo que nos contaran cuando los planteen en el “Grupo Berlín” de la Global Privacy Assembly
• La CNMC va a utilizar los criterios de la AEPD para valorar la idoneidad de los sistemas de verificación de edad y consulta pública (se entiende que plataformas de compartición, buscadores y en línea de gran tamaño que tanto lío trae por DSA y Ley de Comunicación Audiovisual.
• LA FNMT promete app de verificación de edad.

Octubre (actualizado en diciembre) 2023

La entrada La patata datera caliente de la comprobación de edad se publicó primero en Citizen8.