Si obviamos el gran tema de la IA (dos artículos en Citizen: Sara sobre el texto de Reglamento de IA y Guillermo sobre los sandboxes de IA), el follón de los menores con el “pornorama” (otro por un servidor) o los neuroderechos (creo que un poco antes de más se empieza a cacarear); nos viene a la cabeza Sam Altman como gran foco de riesgo.

Nos viene a la mente por ChatGPT y sus líos con la autoridad italiana, pero ahora habemus nueva cosa: el Palantir u orbe de Mordor que nos recopila el iris a cambio de criptomoneda propia.  Voy avisando que no es un artículo corto ni cumple el mantra canónico del SEO en extensión máxima, pero algo de tela sí había que desplegar sobre la mesa. Amerita el siguiente índice interactivo para ir saltando al apartado que se quiera, o volver a la parte que se dejó para leerlo de varias veces.

En el siguiente punto toca minuto y resultado del Palantir, pero desde el principio ya era una de las grandes minas del Potosí por:

• Que ellos mismos declaren que no quieren tu iris si eres residente de los estados de Illinois, Texas, Oregon, Maryland o Washington; o de las ciudades de Portland y Baltimore. Cómo no fiarse si hay estados y ciudades de Estados Unidos que tienen normativa que prohíben “innovación innovadora” con datos biométricos del tipo que sea. Aunque puede que lo más innovador es que en la versión española y en inglés US se diga que Maryland y Oregon son ciudades y no estados (salvo que se refiera al as improbables y pequeñas Oregon y Maryland City). También tiene su aquel que se mencionen las ciudades de Baltimore o Portand de manera concreta, cuando forma parte de Oregon y Maryland aka la norma afecta a las ciudades del estado se llamen Portland, Columbia o Rapture.
• Que el iris es un dato personal único que nos identifica de una manera que nunca podremos cambiar (salvo que películas como Minority Report lleguen en breve con el cambio fácil y sencillo de globos oculares), que se pierde el control real una vez dado, y que puede provocar efectos muy perjudiciales de manera que ni la propia Worldcoin puede prever. Qué casualidad que ahora que se habla de neuroderechos, reconocimiento automatizado de emociones para mil cosas, visores de realidad aumentada/virtual, eye tracking, pagos y los escaneos con iris para cada vez más cosas; empezemos a ver este tipo de tratamientos;
• Que la propia Worldcoin sí es consciente del órdago grande que hace. Y por eso se empeña en la sobrecompensación de poner muchas veces privacidad, darte criptocosas para que creas que es un buen negocio/que no son villanos como Meta de gratis total, o mensajes tipo “la economía mundial pertenece a todo el mundo”. Para ejemplo, un fragmento de un doc perdido por ahí de explicación que nos deja perlitas que hacen recordar otros conflictos tipo Vietnam. “Excusatio non petita, accusatio manifesta

¿Qué nos vamos encontrado al desbloquear el móvil este tipo de cosas?. Claro, pero también nos encontramos con sanciones día a día: los gimnasios, Mercadona por su idea de bombero del reconocimiento facial para gente con órdenes de alejamiento de sus supermercados (y menos mal que sólo era un proyecto piloto), la licitación de Renfe para reconocimiento de etnia, sexo o vestimenta que retiró por el revuelo, la advertencia de la AEPD a la La Liga por reconocimiento facial en estadios, alguna de lo anterior que va cayendo o todo lo que Sam sabe de los líos de ChatGPT.

¿Qué es una herramienta de inclusión y solución para la gente sin identidad a efectos legales o para servicios financieros? Pues mejor que no, pero es lo mismo que te dirían los siguientes que acabaron “apercibidos” o avisados: Hungría con los refugiados que acabó en paralización por el EDPS, la del Ministerio del Interior italiano, la de los sistemas “Marvel” y “Protector” de Trento, las mil de ClearView con autoridades policiales o la general que recuerdan el EDPB y EDPS sobre la relajación que habría que tener que movidas “innovadoras” en las directrices sobre reconocimiento facial para fines policiales:

¿Cómo va el tema? Minuto y resultado

Una de las ventajas (o inconvenientes, según se mire) de publicar algo más tarde la noticias, es que el contenido no se queda desactualiza en todo lo que va saliendo al minuto. Por contra, toca recapitular. ¿Cuál son los highlights del tema hasta ahora?

• Al principio, teníamos a la CNIL, la APDCAT, la AVPD, el ICO, la de Hong Kong o a nuestra AEPD con aprox 4 denuncias;
• El 6 de marzo, la AEPD pasa a primera fila al ordenar paralizar el tratamiento de Worldcoin durante un plazo máximo de 3 meses (ojo, que no tiene por qué llegar al límite o puede suponer una prórroga) y la petición de información en el típico plazo de 72 horas, es decir, nada de recopilar más datos personales y bloquear sin posibilidad de toquetear lo que ya está recabado. 400.000 iris o así de nada por España;
• Casi por esa fecha, Worldcoin contesta a través de su DPO diciendo que la AEPD les ha ignorado durante meses, que no ha seguido el procedimiento correcto, que colabora con la autoridad de Baviera como entidad de control principal por la sede europea de la empresa, y que la AEPD está difundiendo información inexacta y errónea de lo que hacen. Worldcoin se irá emperrando poco a poco en hacer la “ignoración” a la AEPD por la “arañación” recibida
• La autoridad de Baviera sigue investigando todavía e incorporando cosas que la AEPD estaba investigando para a dar traslado al EDPB para coordinar a nivel europeo. Como Worldcoin anda enfadada con la AEPD por la “arañación” recibida, irán deslizando que Baviera es la única a la que harán caso en sus propuestas/”ignoración” a la AEPD;
• El 11 de marzo, la Audiencia Nacional le dice a Worldcoin que qué me estás contando de cautelares de suspender la medida de la AEPD por perjuicio irreparable. La AEPD lo hace en el marco de su competencia, y ya si gana Worldcoin se le indemnizará como corresponda;
• El 22 de marzo, se publica el contenido del acuerdo de adopción de la medida provisional de paralización de la AEPD. Justificada por la gran escala, naturaleza de los datos y alto riego + expresa referencia a muchas cosas de las recibidas en las múltiples denuncias existentes: no facilitar copia del documento de información y consentimiento prestado, no permitir retirada del consentimiento, cositas feas para dificultar el ejercicio del derecho de supresión;
• El 26 de abril la autoridad portuguesa (CNPD) se suma a la AEPD con una suspensión del tratamiento en el país luso. Aprox 300.000 personas afectadas, una decena de denuncias y por un plazo de 90 días/3 meses. ¿Intentarán la misma jugada de ir a los tribunales para que suspenda la medida cautelar, o con lo que nuestro ya aprendieron que nop?. Y enlace al comunicado de prensa, por aquello de ser más fácil de leer que el propio acuerdo; y
• El 2 abril introdujeron cambios en las versiones de la política y del formulario del consentimiento publicadas (aplicables desde el 5 de abril). Una prueba sólida de que nada había que cambiar. ¿Putada? Podría ser, pero nos da oportunidad de ver cómo estaba en el momento en que saltó la liebre y que creo que es el comentario que debería ser el principal, y si han mejorado algo o no con un cuadrito final por cada apartado comentado.
• El 19 de diciembre (actualización desde el futuro), la autoridad de Baviera se suma a la AEPD en su cautelar, es decir, ordenando la eliminación «iridiscente». No se podía saber que iba a pasar.

¿Qué es el Palantir u “Orbe”?

En corto, un dispositivo justo con esa formita y una cámara que permitir recopilar el iris + otros elementos faciales para finalidades que ya veremos en otro apartado, pero que tampoco es que sean claras en el sentido que se les exige por normativa en esta buena tierra del himno de la alegría (y Noruega, Islandia y Liechtenstein, ya sabéis).

Suena muy feo cuando lo escuchas por primera vez, pero la cosa no mejora cuando te das cuenta que los cacharros están por todo el mundo en centros comerciales trincando datos especialmente protegidos. ¿Por todo el mundo de verdad? Pues sí, ya que las cosas sólo llegan a la España provincial cuando pasan un tiempo de pijoterío por Madrid y Barcelona, o porque hay un interés muy fuerte porque nos llegue a todos de manera simultánea.

¿Cuál es el modus operandi de este Palantir? Descargarse la aplicación llamado WorldApp aka monedero en el que te van a dar las monedas de plata de valor variable (hasta aquí, porque ni papa de criptomonedas. Aunque ya podrían dar unas Bitcoin, Ethereum o “ElmoCoin” más conocidas), y luego pasar por el orbe para que te capte el iris y crear tu identificador (World ID).

¿Y qué hace el orbe? Pues varias cosas que mejor lo explica Worldcoin. Aunque en doc de explicación biométrica y no en la política o formulario de consentimiento:

“La primera tarea del Orb es determinar si alguien es una persona viva real que no está intentando defraudar la verificación. Para ello utiliza diversos sensores de cámara y modelos de aprendizaje automático que analizan los rasgos faciales y del iris. Una vez determinado esto, la Orb toma una serie de fotografías del iris de la persona y utiliza varios modelos de aprendizaje automático y otras técnicas de visión por ordenador para crear un código del iris, que es una representación numérica de las características más importantes del patrón del iris de una persona.”

¿Se dice qué hace técnicamente el Ojo de Sauron? Pues poca cosa, y sin que se entienda bien. En el whitepaper se dice: “El Orb utiliza sensores multiespectrales para verificar la humanidad y la unicidad de la persona para emitir un World ID verificado por el Orb, y todas las imágenes se eliminan rápidamente en el dispositivo por defecto (en ausencia de consentimiento explícito para la Custodia de Datos).”

Sí se dice en unas FAQS perdidas (para no perder la buena costumbre de trocear la información y que nunca la veas toda), que no te dejará ciego ni te dañará la vista. Ya sólo faltaba, pero para que veamos que cumplen con ISO específica. El chiste está en que enlaza la nada y el humo para liar: la propia ISO en versión free, pero no el certificado de cumplimiento otorgado por entidad certificadora para ver si realmente lo cumplen y si está en vigor. ¿Hay ISOs específicas de sistemas que traten datos biométricos?. Sip, pero ya para otro momento si eso: ISO/IEC 19794-6:2011,

Si como lector has pensado en el medidor PKE de los Cazafantasmas que detectaba radicación ectoplasmática, pues tienes buen gusto en películas + suena a eso. La manía de no traducir al usuario lo que significa técnicamente + poner el palabro para dar la sensación de ser Apple.

Lo datero

Siguiendo el orden del RGPD, vamos a ir viendo si va cumpliendo el tema o no. Obviamente, información en papel o a pie de pista no habrá al no acercarme ni con un palo, pero el comentario se basará en lo visto en su política de privacidad actualizada y el formulario de obtención del consentimiento que también publican. Y dentro de este marco limitado, pues tampoco voy a entrar a comentar todo lo que podría para no irnos a una especie de ensayo, tesina sin mucho formato o similares.

Una de las peores cosas que tiene Worldcoin, es seguir la regla de la infoxicación de las grandes tecnológicas: mucho texto, muchos textos enlazados entre sí, información no tan similar en varias modalidades, preguntas frecuentes o “FAQS” perdidas para que no llegues fácilmente a ver todo el bosque, y otros documentos adicionales que dicen cosas interesantes (o preocupantes).

¿Quién es el responsable?

En una copia de guión a lo ChatGPT, tenemos otra fundación querida. Aunque con un plot twist caribeño del “Gran Caimán”. ¿Qué historia no acaba siendo + divertida cuando empieza desde un paraíso fiscal de esos clásicos y asentados que sigue siendo una orgullosa colonia británica?

Worldcoin Foundation, Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Gran Caimán KY1-9006, Islas Caimán.

Es llamativo que al jugar con caimanes desde la sede que declaran, no informen de la existencia del obligado representante en la UE como entidad no establecida en la UE + 3. Aquí podría empezar una derivada sobre si al no haber declarado representante sería la Agencia Española de Protección de Datos (AEPD) la que se lo quedara, pero gracias al revuelo se llegar a que sí tienen establecimiento por Baviera. Si no hubiera sido por el lío, sólo tendríamos la referencia descontextualizada de declarar como autoridad a la de Baviera porque patata.

Yendo al tema puro de la responsabilidad, Worldcoin, sólo se está declarando responsable de lo que llaman los datos del orbe y de los “datos del protocolo”: “los datos personales recopilados y tratados a través de su uso del protocolo de Worldcoin o los tokens de Worldcoin.”. Con este límite empieza sobrevolar la sombra de la corresponsabilidad con los “operadores Orb” aka empresas locales que ponen el stand y están allí.

Si no se bichea el ya mencionado whitepaper o el “quieres convertirte en operador de Worldcoin” se podría pensar lo anterior, pero lo cierto es que tiende más a un encargado del tratamiento al uso + rollo franquicia o empresa contratada. ¿Por qué tan cuasiseguro?. Por las conclusiones de ese doc de sé operador:

• La determinación de medios y fines viene por Worldcoin totalmente;
• Hay que pasar un proceso de selección; y
• Los medios te los suministran y te obligan a cumplir código de conducta. No haría falta acudir al matiz del EDPB de los medios principales y los medios técnicos para llevarlos a cabo.

Recordando el revuelo vía AEPD, hablamos de Worldcoin, pero esa petición de información y misil de paralización profesional fuera para “Tools for Humanity Corporation”.  En la información figura como cesionaria, pero es el ¿representante? o ¿el responsable real?.

¿Lo han mejorado ahora?. Sip. Desde el culebrón ahora se dice clarito quién es el responsable y que hay un establecimiento permanente en la UE que llama a no tener que meter a represente alguno.

Datos personales obtenidos

Vamos con uno de los puntos más importantes de todos. ¿Qué recaba el Palantir?. A pesar de que van diciendo por varios sitios que lo de recabar datos personales no es que quieran como tal para nada. La información que nos dan lo divide en varias categorías. Para que sea más fácil de leer, vamos por dobles como la pareja de agentes de patrulla: lo que dicen ellos vs lo que me parece en cada caso.

Imágenes de los iris y los ojos:

• Lo suyo: “estas imágenes se recopilan en el espectro visible y el infrarrojo cercano. Tal y como se describe en el apartado 2.3 siguiente, el algoritmo no es perfecto y puede cometer errores, como determinar por error que ya se ha registrado en un Orb.”
• Comentario: Lo del iris ya nos lo imaginamos, pero ¿qué más del ojo quiere decir todo eso? La llamada al 2.3 (el fragmento de abajo) del formulario del consentimiento no aclara nada, salvo dejar más claro que el principio de exactitud les importa tres narices y habemus falsos positivos + que aquí no hay supervisión humana y derechos a no ser objeto decisión automatizada ni por equivocación. Ya se funde el 22 del RGPD, y estamos casi al principio de la info.

“Nuestro software utiliza probabilidades para determinar si se ha registrado anteriormente en un Orb. No es perfecto. Como resultado, puede concluir erróneamente que ya se ha registrado en un Orb (y ha solicitado su parte de WLD gratis). En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo. Al aceptar el presente Formulario de consentimiento de datos biométricos, consiente a esta toma de decisiones automatizada.”

Imágenes faciales.

• Lo suyo: “estas imágenes también se recopilan en el espectro visible y el infrarrojo cercano. También recogemos imágenes de profundidad (3D). Las imágenes se utilizan para confirmar que usted es un ser humano, y por lo tanto ayudan a detectar y prevenir el fraude, y a entrenar el algoritmo de prevención del fraude (conjuntamente estas imágenes faciales y las imágenes del iris se denominan “Datos de imagen”).”

• El comentario: el problema de base, es que, si hacemos caso a los principios de minimización, de limitación de la finalidad, de necesidad y del infrecuente sentido común, llegamos al punto de que este tratamiento es excesivo por el mero hecho de que una comprobación visual del pollo que está allí al lado del Palantir ya serviría a ello sin recopilar dato alguno. Para que no salte la liebre, se enmascara con el tema de entrenamiento de sistema de prevención del fraude, pero vaya usted a saber por lo dicho + que tendríamos un tratamiento distinto y adicional no necesario sometido a otro consentimiento explícito adicional. Y luego que ya que nos digan realmente qué se va a entrenar, o si ese algoritmo solo se va a usar para ello.

Derivados de los datos anteriores.

• Lo suyo: “utilizamos algoritmos complejos de última generación y nuestras propias redes neuronales artificiales para crear representaciones numéricas (“Derivados”) de las imágenes anteriores para permitir comparaciones informáticas e interacciones entre ellas. Estos Derivados son cadenas de números (p. ej., “10111011100…”) que implican las características más importantes de las imágenes. No es posible invertir completamente los Derivados a la imagen original. Y lo que es más importante, utilizamos nuestra versión personalizada del algoritmo de Daugman para calcular dicha cadena de números a partir de la imagen del iris (“Código del iris”). Este Código del iris se utiliza para garantizar que los usuarios solo puedan registrarse una vez.”
• El comentario: de una manera muy rara, declara el resultante de la captación del iris, es decir un código alfanumérico que genera el Palantir de los datos de iris que capta. El punto de que usa una versión modificada de un algoritmo famoso, pues a nivel del usuario es irrelevante y no le aportar mayor garantía, salvo que sea del ramo y lo controle. Y lo de que el código del iris se usa para evitar el fraude de volver a registrarse, pues casa poco el punto de que lo se quiere captar sea el iris + que hay medios menos invasivos para evitarlo.

Los datos de la propia app y el “Servicio PDH”:

• Lo suyo: “como usuario, no tiene la obligación de facilitar ningún dato para acceder a la Aplicación. Sin embargo, es posible que tenga que facilitarnos ciertos datos para poder utilizar una función dentro de los Servicios.”

“Servicio PDH: El Servicio de verificación de prueba de humanidad (“Servicio PDH”) permite a otros desarrolladores aprovechar el protocolo de la World ID para verificar que sus usuarios son humanos individuales. El Servicio PDH puede permitir a los desarrolladores utilizar otras señales como verificaciones de números de teléfono en lugar de, o además de, el World ID. En caso de verificación del número de teléfono, utilizamos Twilio para recopilar, enmascarar y verificar el número de teléfono de conformidad con su declaración de privacidad. Tras recibir la confirmación de singularidad de Twilio, informamos a los desarrolladores que se ha verificado el número de teléfono. Solo transmitimos su número de teléfono con el fin de recibir el código de verificación, no almacenamos números de teléfono ni hashes de los números de teléfono. Solo facilitamos a los desarrolladores un hash irreversible de su número de teléfono que les permite validar que el número de teléfono es real y único. Tenga en cuenta que esta sección solo cubre los datos que recopilamos, utilizamos y compartimos. No explica lo que hacen los desarrolladores con los datos que les facilitamos (o cualquier otra información que puedan recopilar sobre usted por separado). Estos datos constituyen Datos del Protocolo.”

• El comentario: obviando el punto de la no obligación de dar datos o el “puede” (lo de descargar una app por narices y no dar datos por necesidad es el nuevo “son los padres”) vamos con el servicio PDH, es decir, ¿el trincarnos el número de teléfono que va ir asociado al identificador que genera el dichoso Palantir? , ¿que lo procese Twilio y se comparta con “desarrolladores” sin que se informe de cómo + patada a su política y seguro que fines propios? ¿para hacer cosas de las que no se informe porque se cede y ya películas el siguiente?

Huele a mareo cuasi ininteligibles de los datos “anonimizados” van a acabar en cualquier sitio de la cadena comercial, a lo adtech y publicidad programática + corresponsabilidad Voldemort que no debe ser nombrada. A vista de la información, es imposible saber qué bigotes van a hacer.

Datos biométricos de categoría especial o no

• Lo suyo: “los datos que recopilamos (descritos anteriormente) pueden considerarse o no datos biométricos dependiendo de las leyes aplicables en su lugar de residencia. Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado.”

• El comentario: ¿Se lo podemos considerar como responsabilidad proactiva, o más bien no? o ¿siempre sería dato biométrico, o deberían haber especificado si hablaba de dato de categoría especial? Por la definición del artículo 4.14 del RGPD siempre hablaríamos de datos de categoría especial por existir tratamiento técnico, pero el punto es si es de categoría especial con la prohibición inicial de tratamiento a levantar o no. Este punto te lo deja un poco botando el artículo 9.1 sobre si la finalidad es la identificación unívoca, pero, como prácticamente con todo, la confirmación te la dan las autoridades de protección de datos en sus documentos. El ICO en reciente guía sobre biometría:

¿Esto significan que el orbe podría ser un tratamiento biométrico que no fuera de categoría especial?. No, ni de coña. De la misma manera que ya no cuela aquello de que la verificación biométrica no es de categoría especial.

Seguro que como lector interesado en temas dateros, habrás visto las noticias sobre los científicos chinos que parece que han ideado un sistema para reconstruir la huella por los sonidos que produce el dedo en la pantalla. No hay nada 100% seguro, pero no queda tan claro que no sea algo a nivel más de prototipo que ya veremos. Si exige que andes toqueteando la pantalla no parece que pueda sacar el desbloqueo de huella normal, ¿cuánto hay que estar toqueteando la pantalla?, ¿si se cambia de dedo pasa algo? ¿se habla de un tercio de acierto, pero qué pasa con los falsos positivos? ¿el protector de pantalla o crista templado no supone un problema gordo al alterar el sonido resultante?.

¿Lo han mejorado ahora?. Pues no tanto. Le han metido un tijeretazo importante a lo del servicio PDH que ya no dice cosas chulas de Twilio.

¿Finalidades?, ¿finalidades?. ¡Yo no veo tantas finalidades!

A estas alturas, pues toda pinta a un ClearView de la vida que entrenará un modelo, generará base de datos y lo usará para “cosas”. La información, como en casi todo lo que pulula por internet, es cumplidora a nivel de foto general, pero con mil lagunas si te paras a mirar.

La regla de oro de la información es que el EDPB nos destila en las famosas pautas de sus directrices de transparencia:

¿La información de Worldcoin aguantará estas pautas? Vamos a verlo con sus grandes éxitos de los dos textos informativos de base:

• “Ofrecer y mantener nuestros productos y servicios en virtud de las Condiciones del usuario”: buen uso de la generalidad que atenta con la claridad, la semántica y la comprensión;
• “Para permitirle publicar información en una cadena de bloques para demostrar su singularidad”: buen uso de cryptopalabros que no dicen nada para el que no sepa lo que significan. Y no es requisito saberlo para dar tus datos;
• “Para mejorar y desarrollar nuestros productos y servicios, incluso para depurar y reparar errores en nuestros Servicios”: Lo mismo que la 1º;
• “Para llevar a cabo investigaciones científicas de datos”: otra generalidad, pero olvidando que el EDPB ya matizó que investigación científica lo es en aceptación más estricta (y varias veces): “proyecto de investigación establecido con arreglo a las correspondientes normas metodológicas y éticas relacionadas con el sector, de conformidad con las buenas prácticas”;
• “Analizar el uso que usted hace de nuestros Servicios para prestarle una mejor asistencia”: nos encajaría en el listado de clásicos en materia de cookies cuando no se dice nada sobre qué hacen las analíticas;
• “Para cumplir con la legislación aplicable, como la legislación contra el blanqueo de capitales y las sanciones”: ¿y la referencias a la normativa concreta que hay que incluir?
• “Cálculo de Códigos del iris y comparación de su Código del iris con otros Códigos del iris”: el funcionamiento del chisme no es una finalidad de tratamiento en sí misma;
• “Detectar si un usuario es un ser humano vivo, lo que incluye comprobar si la temperatura del rostro detectada coincide con un intervalo de temperaturas corporales humanas normal”: cojonudo, ahora aparece otra funcionalidad que permite captar datos de salud. Y mira que es fácil ver si anda vivo el que se viene hasta el orbe o es un zombie. Y mira que en época del Covid ya se vio lo que fallaban los sistemas de medición de temperatura/falso positivos o negativos;
• “Detectar si un registro muestra un iris humano natural, sin alteraciones ni obstrucciones, lo que incluye comprobar si el rostro cambia durante el registro”: ¿En qué casos puede pasar eso? ¿La personita puesta allí no está precisamente para vigilar que todo se haga bien y no intenten escanear el iris de una foto de Pepe Viyuela? ¿Están pensando en que alguien vaya con un ojo de cristal a lo Piratas del Caribe?, ¿alguien se les ha dormido durante el proceso? ¿están pensando en un rebelde miope que se vuelva a poner las gafas a medio palantirazo?, ¿puede detectar casos de cataratas o afecciones oculares para decir que nanay? ¿y el que lleve lentillas puede, o es un coste oculto al tener que tirarlas?;
• “Etiquetar los datos recopilados” y “probar los algoritmos con los resultados etiquetados por humanos”: nop es una finalidad, sino lo que hay que hacer entre bambalinas técnicamente; o
• “Formar y evaluar al personal que trabaja en estos sistemas”: ¿en serio? Es más, una obligación del RGPD de esas ineludibles y tal.

¿Lo han mejorado ahora? Han mejorado la referencia legal, aunque sin incluir referencia a la ley o norma concreta. Y la primera finalidad que no se entendía ni papa, también. Si dicen mejor que habrá entrenamiento del algoritmo con imágenes reales para que aprenda a distinguirlas, pero volvemos a lo mismo. ¿No se puede conseguir eso con un número muy limitado y no a lo loco por el mundo?

Del consentimiento y bases de legitimación

Aunque existen varios tratamientos enlazados de muchas cosas con distintas bases, la gracia es centrarse en la principal y más controvertida: el consentimiento explícito o reforzado necesario para tratar el dato biométrico del Iris, dividido en tres niveles de consentimiento a “elegir” por el interesado.

Aunque antes de darle cera, sí se merece dejar apuntado el punto del interés legítimo. Siempre se piensa que la descripción de las finalidades y el propio interés legítimo es lo mismo, pero el EDPB siempre recuerda que nop + que deber ser real, actual y no vago o especulativo:

Y ahora, apliquemos todo esto a lo que nos dice Worldcoin en algunos ejemplos de su política:

• “Los intereses perseguidos son ofrecer una experiencia estable y segura de nuestro software y hardware.” Más de la nada humidificada con relevancia en protección de datos;
• “La base jurídica de este tratamiento son los intereses legítimos de ofrecer una mejor experiencia de usuario, mayor asistencia y funciones más útiles en los Servicios.” Muchos más de la nada humidificada con relevancia en protección de datos;
• “Los intereses perseguidos son ofrecer una mejor experiencia de nuestro software y hardware.” Me cansé de ponerlo; o
• “La base jurídica para almacenar el Código del iris y compararlo pasivamente es nuestro interés legítimo, a saber, nuestro interés en defendernos de usuarios fraudulentos que intentan registrarse ilegalmente más de una vez.” El único que sí está redactada siguiendo la pauta, pero habría que verlo a nivel de LIA.

Volviendo a los tres tipos de consentimiento que plantean, vamos uno a uno, aunque amerita empezar por los requisitos principales que siempre han de cumplir para serlo, de conformidad al artículo 7 del RGPD:

• Manifestación libre de voluntad: que realmente se tenga una capacidad de elección, de control y que no existan perjuicios o consecuencias negativas si lo otorga;
• Específico e informado: que no sea una habilitación general y se dé para fines concretos y bien clarito;
• Inequívoco o clara acción afirmativa: que no quede lugar a dudas de que se ha otorgado un consentimiento. Los tacitus, ¡afuera!;
• Demostrable: que quede prueba de que se ha otorgado;
• Revocable: que se puede revocar en el momento que el interesado quiera de una manera tan fácil como fue darlo; e
• Explícito: como es un consentimiento de datos de categoría especial, pues toca reforzarlo específicamente: firma, doble check, en doble fase o lo que se ocurra que pueda cumplir.

El punto de que sea demostrable se da por supuesto al interesarle a Worldcoin, el de revocabilidad no se puede comprobar sólo viendo la info, y el punto de ser explícito o si clara acción afirmativa, tampoco, por no haber pasado por el cauce de dar datos y ponerme ante el cacharro.

¿Y el resto los cumplirían? Vamos a verlo, pero espóiler: nop.

1º Consentimiento aka no biométrico: apertura de la cuenta, pero sin criptdinerin y funcionalidades limitadas. Es decir, un consentimiento que no sería libre por el intento de manipulación de no darte el critpodinerin si vas por aquí, la ambigüedad de menos funcionalidades sin decir cuáles o de disponer de una chachi-identidad única y ¿portátil?. Tampoco sería informado por el punto que ya arrastra de que las finalidades sometidas a consentimiento no están clarificadas.

El punto de que te hable de consentimiento para la “declaración de privacidad” se lo regalamos por manía típica de gran empresa de decir que la información de privacidad se acepta.

2º Consentimiento aka consentimiento biométrico poco: consiente el tratamiento de datos biométricos, pero con perjuicios a modo de no te doy funcionales completas sin decirte cuales, te digo que surgirán molestias sin aclararlo y que tendrás que volver al cacharro cada vez que actualice el algoritmo. Lo mismo que el anterior, pero con el perjuicio añadido de que te obligue a pasar más veces por el Palantir.

3º Consentimiento aka el biométrico real bueno: el que realmente quieren que des para poder tratar los datos biométricos, pero también para poder transferirlo. De hecho, los otros dos parecen puestos para que esta tercera opción buena ni te dé miedo ni te cueste pulsarla por no tener contraprestaciones o “molestias” aparentes. Uso de psicología aplicada de la ansiedad que nos generan las múltiples opciones y el elegir lo que menos nos beneficie, para llevar la manita hacía el que se quiere que se marque.

 Lo mismo de los dos anteriores, con el añadido de que se pretende que dos consentimientos explícitos pasen por uno lentejas. El intento de justificar que, sin dar información real y control sobre dónde van a acabar los datos, es el interesado el que les autoriza a todo.

Se vislumbra la maldad añadida de que te mencionan Estados Unidos y equipos en la UE para quitar hierro al hecho de que te piden un consentimiento adicional para transferencias. Claro, ahora Estados Unidos ha vuelto a ser país seguro, pero dos problemas: o lo necesitan porque se lo van a ceder a empresas que no están adheridas al Data Privacy Framework Program y ni SCCs, o eso va a ir a terceros países de los peligrosos. Sea directamente, o como transferencia sucesiva desde Estados Unidos.

Y el bonus clips de este tipo de consentimiento y del anterior, de encajar aquí el consentimiento explicito para el tratamiento de decisión totalmente automatizada que implica el algoritmo. Cucamente te lo informa el formulario por ahí perdido, pero el cómputo sería: el 2º consentimiento debería desdoblase en 2, pero el tercer jugosón en tres: tratamiento de categoría especial, transferencia internacional y decisión totalmente automatizada del 22. Y el divertido punto final de decirle al interesado que se necesitan los tres sin excepción para poder palantinear el Iris.

¿Lo han mejorado ahora?. Han quitado las cositas preocupantes de los efectos perjudiciales, pero, por otra parte, sigue la perlita de cuando actualicemos te puede tocar volver a pasar por Palantir.  Meten con calzador lo del cifrado de extremo a extremo y obligarse a mejorar la información de qué hacen con la información en los primeros casos.

De patrones oscuros e información

La transparencia no es hacer fotitos del Palantir sin carcasa y enseñarte sus distintos competentes. Eso es más para creas que son muy transparentes y te fijes menos en la mala transparencia/información de protección de datos que dan. Podríamos ponernos a discutir la definición de patrón oscuro aka “Dark Pattern” o recurrir a la canónica del creado del concepto (Harry Brignull), pero a mí me gusta una propia:

“El uso de técnicas de puñetero y onmipresente neuromarketing (magia negra) para que acabes haciendo/dando/comprando lo que quieren, pero sin que seas consciente de que tu decisión no ha sido genuina, sopesada o tuya.”

También nos valdría una conocida de David Icke (antes de que se hiciera negacionista de cosas): “La mayor forma de control es cuando piensas que eres libre, cuando estás, fundamentalmente manipulado y dirigido.”

Como buena información que intenta marear y que su objetivo es dar la sensación formal al no entendido de que se cumple, se hace uso de bastantes expresiones ambiguas y condiciones clásicos: “puede”, “de vez en cuando”, “es posible”. No tanto como la política inventada con expresiones de varios casos reales que un servidor hizo/achacó a Umbrella Corporation, pero van bien cargados.

Podríamos hacer la comparativa de los originales de Brignull y de los que el EDPB se sacó de la chistera en sus directrices al respecto en redes sociales, pero siendo un artículo datero sólo nos interesan las últimas. Además de que sería un lío importante intentar hacer las equivalencias de algo que no casa tanto.

• Incitación continua o “Continuous prompting”: en forma no de que te estén todo el rato taladrando para que des el consentimiento, pero sí en el punto de que te digan en los dos tipos de consentimiento que no quieren que marques que te tendrás que dar otro paseo por el orbe: “Sin embargo, es posible que tenga que volver a visitar un Orb para que su IrisCode pueda verificarse de nuevo cuando actualicemos nuestros algoritmos.”

• Laberinto de privacidad o “privacy maze”: en forma de que la información se divide en un formulario y una política de privacidad que hay que ir cotejando y comparando para llegar a tener la información “completa” de los tratamientos. Y la guinda del laberinto, que no son cortitos ninguno de los dos documentos;

• Dirección emocional o “Emotional Steering”: todo el rato nos van soltando perlas sobre lo mucho que les preocupa la privacidad y que todo esto es muy positivo. Lo que toda la vida se ha llamado sobrecompensación, o, en brocardo latino legal: “Excusatio non petita, accusatio manifesta”, otra vez:

Por ejemplo: “Worldcoin gira en torno a World ID, una red de identidad global que preserva la privacidad.”; “La privacidad está en el ADN de nuestra empresa”; “Por otra parte, observamos los principios del Reglamento General de Protección de Datos de la UE (“RGPD”) en cuestiones de privacidad”; “No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”; “Sin embargo, los tratamos como datos biométricos y los gestionamos con un mayor grado de seguridad y cuidado”; “Hemos diseñado nuestros productos y servicios teniendo en cuenta su privacidad,”; “debemos abordar el problema de las cuentas duplicadas y falsas en línea (como los bots), a la vez que protegemos su privacidad y la seguridad de sus datos.”; o “No utilizamos los Datos de imagen para saber quién es usted (identificación). “

• Mira por allí o “Look over there”: en forma de colar dentro de la redacción genérica de conservación para el cumplimiento de obligaciones legales que no se dice más, cuelan la de prevención del fraude para quede con ese disfraz: “Si lo exige la ley, seguiremos conservando sus datos personales según sea necesario para cumplir con nuestras obligaciones legales y reglamentarias, incluyendo la supervisión, detección y prevención del fraude, así como las obligaciones fiscales, contables y de información financiera.”

• Falta de jerarquía o “Lacking hierarchy”: en el sentido de no aclara la jerarquía de los documentos en caso de duda. Con la redacción que dan parece que sí, pero a la hora de la verdad la política contiene también información sobre los posibles tratamientos biométricos.

“La Declaración de privacidad cubre los datos recopilados a través de nuestro sitio web, la aplicación y otros servicios, mientras que el presente Formulario de consentimiento para datos biométricos describe cómo tratamos sus datos biométricos recopilados a través de nuestro dispositivo Orb. Estos documentos operan de manera conjunta y ambos son importantes para comprender cómo se ve afectada su privacidad por la participación en el proyecto Worldcoin”

• Información contradictoria o “Conflicting information”: se nos va diciendo que el interés no es identificar en ningún momento, pero se genera un ID como tal y les queda asociado con el número de teléfono dado (fue lo primer que saltó en prensa). Se juega a lo mismo que las cookies hicieron de no ser un identificador por no recabar el DNI o nombre, cuando lo son en sentido estricto y todavía más por ser el iris un elemento único de cada uno:

“No se requiere pasaporte ni documentos oficiales. Ni siquiera queremos saber su nombre.”, “Confirma que usted es un “humano único” sin exigirle que proporcione ninguna documentación de identidad u otra información sobre quién es.”

Que, si te voy diciendo una cantidad interesante de datos con tratamientos que se podrían evitar o con medios menos invasivos, para luego mencionar que: “Ofrecemos una prueba de singularidad y de ser un ser humano (Prueba de condición de persona) que requiere la menor cantidad de datos posible.”

Que, si no compartimos nada con nadie que no sea del proyecto Worldcoin, cuando luego hay patante de corso no explicada de “colaboradores” y +: “No compartimos las imágenes ni sus Derivados con nadie que no trabaje en el proyecto Worldcoin”.

El hecho de darte cosas muy concretas y hasta con ejemplos para luego ser impreciso en apartados mucho más nucleares y que tocan lo importante para que el usuario pueda decidir de manera consciente: “Tenga en cuenta que esta lista contiene ejemplos, pero puede no incluir todos los posibles riesgos para usted.”

El hecho de decirte que tienes los derechos que te reconoce el RGPD, para luego decirte que no podrás ejercer el relativo a impugnar la decisión del algoritmo, el de supresión o la propia limitación del plazo de conservación de la información:

“En este momento, no contamos con un método para que los usuarios notifiquen la sospecha de errores o refuten lo que determina el algoritmo”; o “Si decide registrarse en un Orb, crearemos un código de iris único (tal y como se define a continuación) que ya no podrá ser borrado (si lo borrásemos, la prueba de singularidad dejaría de funcionar)”.

“Tenga en cuenta lo siguiente: las cadenas de bloques son redes descentralizadas de terceros que no controlamos ni operamos. Debido a la naturaleza pública e inmutable de la tecnología de cadena de bloques, no podemos modificar, borrar o controlar la comunicación de los datos que se almacenan en cadenas de bloques.”

Que, si se especifica que contiene información sobre cómo se utilizan las cookies cuando está en la política separada sobre eso, o que se anuncie “En qué se diferencia esta Declaración de privacidad para niños y adolescentes” para significar no una información concreta para ellos, sino nada más que el intento de exoneración que veremos en el apartado de menores. Aunque también veremos que algo han tenido que cambiar.

Que, sí “realizamos una evaluación exhaustiva previa sobre las leyes de privacidad locales antes del lanzamiento y hacemos todo lo posible por cumplir la normativa local, aunque Worldcoin sea un proyecto mundial”; cuando ya van dos países de la UE que te lo han paralizado.

• Acción engañosa o “Misleading Action”: el intento de disuadir cualquier reclamación diciendo que la competente es la de Baviera. Una cosa es que la autoridad principal a la que se le van a comunicar sea ésta por tema coordinación y ventanilla única, y otra muy distinta que no se informe al interesado de que podrá acudir a la de su país. No vaya a ser que el tratamiento lo estén realizando es España sobre españoles y que el EDPB no lo haya dicho: “el interesado tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro donde tenga su residencia habitual, trabaje o de la supuesta infracción del RGPD.”

• Información ambigua o “Ambiguous wording or information”: todas las expresiones genéricas de finalidades que no se entienden un pijo ya mencionadas, o los condicionales que no aclarar si se hará o no. Un clásico: “Se ofrece la funcionalidad completa, pero con posibilidad de que surja alguna molestia”, “Esto probablemente le ayudará a evitar inconvenientes porque, si tenemos sus Datos de imagen.”

¿Lo han cambiado a mejor? Pues sí, pero ha perdido mucha garra sin algunas expresiones maximalistas de defensa de la privacidad como ideal caballeresco. Oye, las tenemos inmortalizadas en este artículo y diría que incluye alguna del tipo emocional: “Estamos profundamente comprometidos con la protección de su privacidad y la seguridad de sus datos.”, o “la privacidad y la seguridad de los datos son fundamentales para ganarnos su confianza.”

Han tenido que plegar velas y ahora reconocen que si te pones bruto con la supresión del código del iris, pues hasta lo respetan.

Tema menores y comprobación de edad

Este es un tema importante y de rabiosa actualidad. Está de moda, pero es siempre vital por ser los menores un colectivo especialmente vulnerable. El tema teórico de qué dice el RGPD o de los sistemas de comprobación de edad (incluyendo la propuesta de la AEPD), se puede consultar es este otro artículo específico anterior (la patata datera de la comprobación de edad). Repetir lo mismo, pues es ser pesao de más.

Sí cabe empezar con el matiz que se asocia de que a partir de los 14 años que marca nuestra LOPODgdd (dentro de la horquilla 13-16 del RGPD), ya no tenemos un menor, sino un pequeño adulto. Nada más lejos de la realidad, porque el RGPD no distorsiona la máxima de la edad legal de los 18 años, sino que sólo incide en si el tratamiento que se base en el consentimiento se puede dar por el propio menor, o requiere de complemento del consentimiento del padre o tutor legal + matices de limitaciones en tratamiento especialmente invasivos sobre menores tengan la edad que tenga.

De la misma manera, el matiz de creer que un sistema de comprobación solo es necesario en los casos en los que haya que comprobar si el consentimiento del padre o tutor es válido. El RGPD incide ahí todavía sobre el consentimiento, pero el no tener un sistema de comprobación de edad real te meter en una posible sanción ¿Cómo evitar tratar datos de menores de los que tienes legitimación o garantías para ello, sin ningún medio de control?

En resumen, aunque fuera mayor de 14 se debería seguir teniendo en cuenta y aplicando las garantías y advertencias en decisiones totalmente automatizadas, datos de categoría especial y cualquier temita. Eso que haría que la evaluación de impacto saliera menos, y que a los menores no les pueda hacer ni la mitad que a los mayores.

La gracia del Palantir es que sus términos apuntan a que se debe tener 18 años para participar en la maravilla, que la mayor parte de las personitas que ha dado su iris en España son adolescentes y que el intento de patada de responsabilidad al padre/tutor es bien burda:

• “Si cree que su hijo menor de 18 años ha accedido a los Servicios sin su permiso, puede solicitar la eliminación de sus datos poniéndose en contacto con nosotros a través de nuestro Portal de Solicitudes.”
• “Si nos enteramos de que hemos recopilado datos de un menor de 18 años, eliminaremos dichos datos lo antes posible.”
• “(…… ) y no recopilamos conscientemente datos de personas menores de 18 años 18”. “(……) No comercializamos productos o servicios a niños”.

No me parece un error que no haya referencia a comprobar el consentimiento del padre o tutor, porque creo que el intento siempre fue ir al hueco del medio: el adolescente a partir de 14 que ya no necesita a papi o al tutor.

Pero como hemos dicho antes, no les evitaría un sistema de comprobación de edad. Lo chistoso es siendo un tratamiento que supone la recopilación in situ con cacharro, esta comprobación no tiene que tecnificarse ni ir más allá de lo visual: el pollo autorizado mirando que no eres menor/pidiendo DNI para cotejo visual sin registro en ningún sitio. ¿Hablan de esto en la información? Parece que dicen que dan instrucciones a los operadores/pollos allí, pero luego lo rematan con la inútil auto confirmación, y un tratamiento automatizado IA de detección de edad que se ve que no funciona + buena suerte con no sea excesivo, necesario y lo menos invasivo con todo lo dicho.

¿Lo han mejorado? Sólo incluyendo referencia a “hemos tomado medidas comercialmente razonables para limitar el uso de los Servicios a los mayores de 18 años”. En una casualidad no casual ahora dicen que pondrán a un pollo a comprobar in situ. O sea, lo propuesto antes y que se le hubiera ocurrido a cualquiera que intentara hacerlo bien.

De conocimiento cero y la conservación

Worldcoin nos dice que su sistema supone una prueba de la personalidad que preserva la privacidad, mediante “pruebas de conocimiento cero”. El tema del conocimiento cero o “zero-knowledge proof” son palabras mayores. Muchas autoridades han hablado de ello, pero diría que la más instructiva y clara es la británica en su web. Hasta con ejemplo y dibujín:

Claro, viendo que no es que recaben pocos datos ni normalitos y que sí se asocia con el número de teléfono del interesado, pues parece osado decirlo. Y que tampoco se da mucha información al respecto.

Sobre la conservación, pues poco más que decir que se pasan por el arco las pautas de delimitar plazos concretos o reglas que no den vergüencita informativa: “Conservaremos los Datos de imagen hasta que el desarrollo y la mejora del algoritmo haya concluido o según lo exijan la legislación o las normativas”

 Se habla de un posible de 10 años para los datos de imagen que es una locura, pero también que puede que nunca llegue a tal. ¿Quién sabe? Ya es preocupante que algo que se debe informar claro no lo esté, pero no tenemos más carne para valorar si procederían ciertos plazos o no. Aunque lo de los plazos no es materia tasada

Haciendo un poco de pitoniso y viendo el percal, no veo descabellado que la AEPD acabe ejerciendo la competencia que establece el artículo 32.5 de la LOPDgdd: ordenar la supresión automática sin bloqueo de lo “iridiscente” por el gran riesgo para los derechos de los afectados, que sean datos de categoría especial y el número elevado de afectados.

Y, por si Worldcoin intentara ir por el tema de que no esto no es posible porque el vulneraría el RGPD si no lo pide el interesado (ya va por ahí ahora mismo), pues el TJUE le ha venido a aguar la fiesta con el matiz de que la autoridad puede ordenarlo sin necesidad de solicitud previa del interesado C‑46/23.

De cesiones y encargados de tratamiento

Con la mera información no podría entrarse a valorar si es cierto lo que se declara, o si realmente todo está limitado a encargados de tratamiento puros y nada que no lo sea, pero si hay unas cuántas cosas curiosas:

• El mantra tan estadounidense de “no vendemos tus datos”. Les viene muy bien por el mensaje tranquilizador que supone, pero no significa nada fuera de Estados Unidos;
• Que se compartirá de manera segura sin más aclaración, que se garantizará que se gestiona de “forma coherente con nuestro compromiso de privacidad” (pues mejor, no); o que
• Que se prohibirá que otras empresas los usen para fines propios. Si todo fuera un encargado de tratamiento puro con contrato del artículo 28, seguro. El tema es que ese “Tool for Humanity” que parece ser algo más que el mero proveedor, pues no estaría sujeto nada de esto.

Y luego todos los “creamos” para justificar cesiones por la carita aduciendo cumplimiento legal (como si no estuviera claro los casos en los que se debe ceder información por esta vía), los siempre “concretos” intereses comerciales o no decir si las cesiones intragrupo van por interés legítimo dentro de la mera labor administrativa o si va más allá. Lo de la propiedad común es un concepto que intenta quitar relevancia al tema, pero desde lo datero son entidades separadas que ya se verían si son responsables, corresponsables o encargados.

El consentimiento puesto sin contexto, puede que sea la reminiscencia de la parte de consentimiento para transferencias comentada que ya meten en el consentimiento tipo 3/bueno.

¿Ha mejorado algo? Nop, salvo que se apuntala mejor a Tools for Humanity con el matiz de que “Worldcoin no requiere acceso a ninguno de sus datos aparte de los Datos del Protocolo”. Los de las Herramientas para la humanidad siguen siendo un misterio.

En el anterior de conservación, han matizado que la eliminación de los datos que el interesado pida suprimir, se hará en un mes máximo.

De transferencias internacionales

No podía faltar algo de chispa en un punto tan importante como si los datos vuelan fuera de la UE + Liechtenstein, Noruega e Islandia. Se hace mucha mención a que los datos de los europeos estarán almacenados en Alemania, Polonia y Estados Unidos + que nada a las Caimán, es decir, una situación que no debería levanta suspicacias ni intentos raros. ¿Verdad?

Ni una referencia a cláusulas contractuales tipo (SCCs), no vaya a ser que fuera el contrato adecuado para ello y que ya contará con previsiones concretas que obligan al importador y ante accesos de autoridades a los datos. Está bien aquello de lo intentaré impugnar, pero ¿y el importador lo va a intentar como especifican las SCCS?, y si se existe obligación de aportar la información, ¿de qué sirve ese cifrado avanzado que se menciona? El artículo 32 exige el cifrado como medida de seguridad mínima, pero aquí no se menciona con esa intención más general.

Cuando toca informar de los riesgos porque la transferencia se va al cajón de sin garantías aka el consentimiento explícito aquel escondido en el tercer tipo de consentimiento biométrico, pues mejor decir “inferior” y no “no coherente”. Y que no vale con aquello de meros ejemplos de riesgos.

Existir decisión de adecuación sobre Estados Unidos, existe. Otra cosa es que interese dejarlo así para apuntalar el relato anterior + que aquellas entidades importadoras no cumplen con la particularidad de esta decisión de adecuación: estar adheridos al Data Privacy Framework Program (DPF). Alguno podrá decir que la fecha de actualización de la política es de junio de 2023, es decir, un mes antes de la aprobación de la misma. Cierto, pero no es excusa para no actualizar la política/revisarlo todo + ¿cuál es la excusa del formulario de consentimiento datado en octubre de 2023, pero con el mismo “error”?

¿Ha mejorado? Pues algo. Ahora se mete una adenda concreta para el EEE y UK con la referencia a benditas SCCs, aunque dejándolo en el aire y hasta que no habrá transferencias porque ¿sólo se informa a los de UE que se transferirán los datos a la UE?. Y qué pasa con los famosos Tools for Humanity que son y en otro punto se dice que: “A continuación, se enumeran los posibles riesgos que pueden surgir si transferimos sus datos (en caso de que los datos se consideren datos personales) a los Estados Unidos y la Unión Europea”.

Es gracioso ver cómo añaden un cuadro de destinatarios relevante con Tools por el mundo, pero lo encajan en el anexo para residentes en Corea de Sur, se añade un cuadro resumen sobre base de legitimación que no está mal y se agradece, y se quita aquello de que no hay decisión de adecuación en Estados Unidos. Alguien se acordó del tema.

PIA

El artículo ya se ha hecho muy largo, pero cabe rematarlo con breve mención a lo más complejo y limitado del todo. Toca evaluación de impacto como un camión. Es algo que se dejaba un poco en tierra de nadie, pero que en la actualización se ha matizado

Vista la liada, ya podrían haber incorporado aunque fuera las conclusiones de la misma bien, y no dar un enlace que dirige un texto que mezcla cosas interesante con rollo, y que dirigir a otros textos relevantes– No estás obligado a publicarla, pero casi mejor si se hubiera hecho una mini versión pública.

Conclusión

Poco más que añadir a lo dicho. A lo lejos se ve raro, de cerca se ve peor y en frente asusta como un Palantir en el que ves a Sauron. Muy preocupante para el que escribe este texto que 5 años y pico después de la aplicación efectiva nos venga al corazón de la UE un intento tan grosero y tan peligroso a lo bruto. Y que después del daño empiecen a cambiarlo para ajustarlo más al mínimo que tendrían que haber tenido en un inicio, y todo ello para que les sirva de atenuante en el muy posible guantazo.

Que el lector que haya llegado hasta el final, tenga cuidado ahí fuera con todo el positivismo y poco espíritu crítico de grandes nombres sobre este u otros temas polémicos de derecho vs innovación. Lo importante, y más en derecho, no es quién lo diga, sino lo que se diga basado en prueba documental y argumento desarrollado:). Y que el derecho está ahí para protegernos y nunca es un tope, claro.

Por último, lo más importante de todo el artículo: el memo de Pippin ya nos enseñó lo que pasa por ir tocando palantiri (plural de Palatir) que te encuentres por ahí.

Darío López Rincón  – Entusiasta de los palantiri

La entrada El Palantir de Worldcoin: el orbe a examen RGPDiano se publicó primero en Citizen8.