争议性加密货币生物识别项目 Worldcoin 在葡萄牙再次遭到临时禁令后，几乎被完全逐出欧洲；该国数据保护机构发布的命令紧随西班牙数据保护局本月早些时候发出的类似三个月停止处理令之后。
在西班牙禁止之后，葡萄牙是仅剩的两个仍有 Worldcoin 运营其专有眼球扫描 Orb 设备的欧洲国家之一。随着隐私监管机构采取紧急行动以回应当地关切，德国成为目前唯一允许其在欧洲收集生物识别数据的市场。
葡萄牙发布三个月禁令
葡萄牙数据保护局表示，周二在收到关于 Worldcoin 曾扫描儿童眼球的投诉后，对其本地业务发布了为期三个月的禁令。
其于周一发布并宣布暂停的新闻稿中引用的其他投诉也反映了西班牙数据保护局的关切，包括未向用户提供关于其敏感生物识别数据处理方式的充分信息，以及用户无法删除其数据或撤销对 Worldcoin 处理的同意。
该项目利用区块链技术存储由扫描生物特征生成的代币，这意味着该系统旨在永久保留个人数据——人们事后无法要求删除自己的信息。
相比之下，欧盟数据保护法赋予该地区居民一系列针对其个人数据的权利，包括更正、修改或删除有关自身数据的权利。因此，Worldcoin 的做法存在固有的法律冲突——即便暂不考虑其他问题性因素，例如它提供的准金融激励措施以鼓励人们接受扫描、涉及的高度敏感的生物识别数据，以及其构建并运营“人性”身份层的总体目标。
这一备受争议的项目得到了 OpenAI 知名人物 Sam Altman 的支持，而他同时也在助推生成式 AI 工具的繁荣，这些工具使得人们从一开始就更难区分在线上的机器生成活动与人类活动。下一步：向地球上每一个在线人类收取租金？
未成年人数据风险与合规困境
葡萄牙当局 CNPD 表示，上月收到“数十起”关于 Worldcoin 的投诉后采取了行动。
该机构估计，葡萄牙有超过 30 万人为了获得该公司开发的加密货币 Worldcoin，接受了其专有 Orb 设备的眼球虹膜扫描，并指出提供眼球扫描服务的地点数量在六个月内几乎翻了一番。该局还补充称，大量人群涌入试图以眼部扫描换取加密货币，促使 Worldcoin 在市场内推出了扫描预约系统。
关于对儿童数据的潜在风险，CNPD 指出，Worldcoin 的 Orb 操作员未实施年龄验证机制——这表明其未采取有力措施防止儿童接触该技术。
“根据《通用数据保护条例》（GDPR），生物识别数据属于特殊类别数据，因此享有更高程度的保护，且其处理带来的风险较高。”该局写道（原文为葡萄牙语，此为机器翻译）。“另一方面，未成年人尤为脆弱，在国内法和欧洲法下也受到特别保护，因为他们可能不太了解其个人数据处理的风险和后果，以及自身的权利。”
葡萄牙当局给予 Worldcoin 24 小时的时间以遵守当地的停止处理命令。
鉴于 Worldcoin.org 网站已不再将葡萄牙列入可预约眼球扫描的国家名单（该名单正不断缩减，如上所述，德国是仅剩的欧洲国家，其他仍列出的国家包括阿根廷、智利、日本、新加坡和美国），这表明其似乎已遵守了截止日期。
德国监管现状与“一站式”机制
巧合的是，或者并非巧合，德国是 Worldcoin 开发商 Tools for Humanity 设立区域总部的欧盟市场。其联合创始人 Alex Blania 也是德国人。巴伐利亚州数据保护局负责该公司在其他一些案件中的数据保护监管，并自去年起对 Worldcoin 展开调查，但截至目前尚未采取任何公开干预措施，尽管南欧的其他监管机构已紧急介入以保护各自市场的公民。
Worldcoin 未能获得针对西班牙命令的禁令救济，尽管其对数据保护局行动的上诉仍在继续；目前尚不清楚它是否打算尝试对葡萄牙的命令提起上诉。
发言人 Rebecca Hahn 现已发送了一份声明（见下文），该声明归因于 Worldcoin 基金会的数据保护官 Jannick Preiwisch，其中声称公司“完全遵守所有规范生物识别数据收集与转移的法律和法规，包括欧洲的《通用数据保护条例》”。
他补充道：“Worldcoin 基金会对数据保护机构的作用和责任抱有最高敬意，特别是葡萄牙国家数据保护委员会（CNPD）。自在葡萄牙提供人性验证服务以来，我们始终保持完全透明，并乐于回应 CNPD 的疑问或关切。CNPD 的报告是我们首次就许多此类事项与其取得联系，包括关于葡萄牙未成年人注册的报告，对此我们持零容忍态度，并正在处理所有相关案例，即使仅涉及少数几起报告。”
我们还联系巴伐利亚州数据保护局（Bavarian DPA）以获取其调查的最新进展。该局一位发言人告诉我们，其调查仍在进行中。“作为 World Coin Foundation 的主要监管机构，根据‘一站式’机制，我们与数据控制方保持联系，以便尽快建立可靠的预防措施，阻止服务的潜在滥用及违反服务条款的行为。”他们补充说，目前正审查来自西班牙数据主体的 20 多起投诉，这些投诉涉及处理未成年人数据的问题。
作为 TFH 的主要数据保护机构（DPA），根据欧盟《通用数据保护条例》（GDPR）下的“一站式”（OSS）机制，它负责调查针对该公司的多项隐私和数据保护投诉。
这意味着巴伐利亚数据保护局将就其针对 Worldcoin 的 GDPR 调查起草一份决定草案，供其他监管机构审查。如果其他机构不同意该局的调查结果，它们将有机会提出异议。根据规定，跨境案件的决定需要多数支持，这使得在达成共识认为应采取更强有力措施时，较弱的执法决定可以被推翻。这在一定程度上缓解了 GDPR 一站式服务机制中固有的“挑选法院”风险，尽管这一过程耗时较长。
葡萄牙为何绕过“一站式”机制直接干预
西班牙正在利用 GDPR 第66条的权力对其对 Worldcoin 实施的临时性本地禁令，该条款也为监管机构提供了工具，以便在牵头监管机构尚未采取行动或行动迟缓的情况下应对紧急风险。
然而，葡萄牙数据保护局告诉我们，它在此案中并未依赖第66条的权力。相反，该局表示，早在2023年8月，它就主动启动了对 Worldcoin 项目的独立调查，当时尚不清楚各个相关实体中哪一家在法律上负责数据处理。
该局一名发言人告诉我们：“根据两家公司提供的声明……[总部位于开曼群岛的] Worldcoin 基金会作为生物识别数据及与 World ID 相关的其他数据处理的控制者，而[总部位于美国的] Tools for Humanity Corporation 是这些数据处理的操作者，同时也是 World App 数据处理的控制者。”因此，“由于 Worldcoin 基金会自2023年7月24日起就是生物识别数据的控制者，而 TFH 仅是操作者，我们未向德国提交任何投诉，因为一站式服务不适用于此类特定数据处理。”
西班牙和葡萄牙的监管机构均未明确指责巴伐利亚当局在调查 TFH 方面花费了过多时间。但其他数据保护机构采取自身紧急干预措施的事实已说明了一切。
葡萄牙监管机构指出：“鉴于当前情况，即存在处理未成年人生物识别数据的违法行为，并可能违反其他 GDPR 标准，CNPD 认为对公民基本权利的风险很高，有必要进行紧急干预以防止严重或不可挽回的损害。”并表示将继续调查 Worldcoin 在当地的业务活动。
CNPD 主席 Paula Meira Lourenço 在一份声明中补充道：“这项要求 Worldcoin 基金会暂时限制收集生物识别数据的命令，在当前时刻是一项必要且合理的措施，旨在有效维护公共利益，特别是保护未成年人的基本权利。”
本报告根据 Worldcoin 和巴伐利亚数据保护局（Bavarian DPA）的意见进行了更新。此外，在葡萄牙数据保护局告知我们其并未依据《通用数据保护条例》（GDPR）第66条的权力发布停止处理命令后，我们也对此前报道的内容进行了更正。该局表示，这是因为其认定与本地 Worldcoin 运营相关的美国及开曼群岛实体为本案中的责任主体——这意味着“一站式服务”机制不适用。
Worldcoin 未能获得针对西班牙隐私暂停令的禁令
Worldcoin 称其在对临时禁令提起法律挑战后已暂停在西班牙的服务