Worldcoin，OpenAI首席执行官Sam Altman试图通过说服足够多的“肉体凡胎”接受眼球扫描以换取加密货币代币（没错，真的），从而垄断人类身份验证市场。虽然本周才正式启动全球推广，但它已经引起了欧洲数据保护机构的注意。
为什么有人需要在互联网上证明自己是人类呢？嗯，其中一个原因是，通过释放像 ChatGPT 这样的免费“强力工具”，Altman的生成式AI公司正引领潮流，使得区分机器生成的人类数字活动变得更加困难。但别担心，他有一个结合眼球扫描和加密货币代币的方案来让人类为此买单！
在这些快闪地点，自愿充当实验品的人（即人类）可以获取一些Worldcoin“数字代币”，作为交换，他们需将其生物特征数据输入到其专有的 半衰期-风格的设备中。到目前为止，这类设备已在欧洲的四个市场出现：英国、法国、德国和西班牙。而令人毫不意外的是，至少三个市场的隐私监管机构已经表达了担忧，并/或正在积极调查Worldcoin究竟在欧洲人的敏感个人数据上做了什么。
英国信息专员办公室（ICO）启动查询与警告
本周早些时候，当被问及Worldcoin在英国启动的情况时，英国信息专员办公室（ICO）公开表示将进行“查询”，随后发布了一段标准警告：“组织在进行任何可能导致高风险的处理之前，必须开展数据保护影响评估（DPIA），例如处理特殊类别的生物特征数据。如果识别出无法缓解的高风险，他们必须咨询ICO。”
ICO的声明还强调需要“处理个人数据的明确法律依据”，并补充道：“如果依赖同意，该同意必须是自由给予的，并且能够在不遭受不利后果的情况下撤回。”
因此，一个需要考虑的隐私合规问题是：如果人们被鼓励交出生物特征数据以换取一种被宣传为虚拟货币形式的代币，这种同意是否可以被视为自由给予？
法国CNIL质疑合法性并启动调查
几天后，法国的数据保护机构CNIL紧随ICO的声明之后，提出了更加具体的担忧，正如 路透社 首次报道的那样——直接质疑Worldcoin行为的合法性。法国当局还透露，它已经在积极调查Worldcoin。
一位CNIL发言人通过电子邮件确认称：“[Worldcoin的数据]收集的合法性似乎值得怀疑，存储生物特征数据的条件也是如此，”并补充道：“Worldcoin在法国收集了数据，且 CNIL 启动了调查。”
根据法国国家信息与自由委员会（CNIL）的说法，其启动的调查已移交至巴伐利亚数据保护局——此前该机构发现德国这一州级当局是Worldcoin在欧盟的主要数据监管机构（ presumably 是因为Worldcoin在该州设有子公司）。CNIL还补充称，它正在依据欧盟法律中的“互助程序”向巴伐利亚的调查提供支持。
GDPR“一站式服务”机制与巴伐利亚主导调查
欧盟的《通用数据保护条例》（GDPR）——这是一项全欧盟范围内的法律，目前仍被纳入英国旧有的数据保护规则中（因此英国信息专员办公室ICO也表达了与欧盟同行类似的担忧）——包含一个名为“一站式服务”（One-Stop-Shop）的机制，旨在简化当关切事项跨越成员国边界时的监管监督，正如本案所示。或者至少适用于涉事数据处理者在欧盟拥有主要机构的情况，而Worldcoin显然符合这一条件。
在这种情况下，数据控制者只需与单一主导的数据保护局（DPA）进行联络。而在Worldcoin的案例中，这显然是巴伐利亚州的数据保护局。
我们就此次调查向巴伐利亚当局提出了问题。一位发言人表示，由于程序仍在进行中，他们无法透露细节。但他们确实确认了将从众多问题中首先审查的一个方面，即执行数据保护影响评估的义务——他们指出，“这应提供对拟议处理操作对个人数据保护的影响以及现有风险缓解措施的清晰分析”。
在被追问更多细节时，这位发言人在TechCrunch表示，此次调查“旨在澄清关于数据处理透明度和安全性的问题”，并补充道：“这包括是否向数据主体提供了充分的信息，使他们能够清楚理解对其数据的处理及其目的；是否保障了数据主体的权利，如删除权、反对权或撤回同意的权利；或者是否确保了针对Tools for Humanity处理的未经授权访问数据的充分保护，例如避免身份滥用。”
我们还联系了西班牙的数据保护局，询问其是否与其他同行一样对Worldcoin在该欧盟市场的数据处理行为表示担忧，并将根据任何回复更新本报告。
生物特征数据合规难题：明确同意与透明度
就合法性而言，GDPR将用于身份识别目的的生物特征数据——这正是Worldcoin项目所意图的——归类为所谓的“特殊类别数据”。这类（高度敏感）数据的合法处理受到最严格的规则约束。
Tools For Humanity（一家营利性科技公司，负责领导Worldcoin的开发并运营World App）的一位女发言人向TechCrunch证实，同意是该公司在处理欧洲人生物特征数据时所主张的合法基础。“根据GDPR，该项目依赖用户同意来创建个人身份验证（proof of personhood）并选择加入数据托管，”她告诉我们。
她还向我们展示了Worldcoin的生物识别数据同意书和隐私声明——这两份文件分别长达近3,800字和近3,400字。
由于Worldcoin依赖人们的同意来处理其特殊类别数据，根据欧盟法律，它必须达到更高的标准——即明确同意——才能使这种处理合法化。这意味着在收集生物识别信息之前，向眼球扫描提供者展示的描述必须极其清晰且具体地说明处理的用途。可以说，当人们面对约7,000字的法律术语并被告知只要完成扫描就能获得大量加密货币时，要达到最高的清晰度标准至少是极具挑战性的。（注：根据欧盟法律，同意还必须自由给予。）
复杂的治理结构与数据控制权归属
即使是去中心化加密货币项目Worldcoin的治理结构，也显得极其复杂，以至于人们甚至难以理解他们究竟是将数据交给了谁。
当被问及Worldcoin是否为营利或非营利实体时，Tools For Humanity的女发言人未能给出明确答案——因为根本不存在这样一个简单分类。Worldcoin的组织结构和去中心化治理方式并不适合用简单的“是”或“否”来回答。但她确实确认，Tools for Humanity（及其德国子公司），即Worldcoin的开发者，是一家营利性科技公司。
其他（主要的）相关实体是Worldcoin基金会和Worldcoin协议，她暗示这些 非营利实体 非营利实体。Worldcoin 网站上的披露声明指出：“Worldcoin 基金会是一家豁免的有限责任担保基金会公司，这是一种在开曼群岛注册的、属于非营利性质的机构。”那么，它是一种带有营利性子公司的“类型”的非营利组织吗？（为了好玩，我们询问 ChatGPT “豁免的有限责任担保基金会公司”是什么，OpenAI 的聊天机器人回应称，截至其 2021 年 9 月的数据训练截止日期，“不存在广泛认可的称为[此]的法律结构或术语”。）
接下来还有一个问题：究竟是谁在处理这些数据——从而在法律上对不违反欧盟数据保护法负责？Worldcoin 的生物识别同意书似乎将位于开曼群岛的 Worldcoin 基金会列为“通过我们的 Orb 收集你的图像和生物识别数据”的数据控制者。
我们要求 Tools for Humanity 的女发言人对此进行确认，她限定说明数据控制者“现在”是 Worldcoin 基金会，而 Tools For Humanity 是 Worldcoin 的数据处理者。（尽管巴伐利亚州数据保护局主导对该项目的调查这一事实表明，Tools for Humanity 的德国子公司在处理人们数据方面发挥着重要作用。）
“不可删除”条款引发GDPR合规红旗
如果你查看 Worldcoin 生物识别数据同意书的摘要部分，还会出现另一个关于 GDPR 合规性的问题和潜在红旗——其中包含一段加粗警告，指出那些“通过 Orb 注册”（即其生物识别数据被采集）的人在此步骤之后将无法删除其个人数据。Worldcoin 写道：“我们将创建一个唯一的虹膜代码（定义如下），该代码无法再被删除（如果我们删除它，唯一性证明将无法工作）。)
问题是，GDPR 赋予欧洲人对其个人数据的一系列访问权利，包括要求删除数据的权利。声称无法删除是不行的。该法规还广泛定义了个人数据，即可能识别自然人（包括与其他数据结合时）的信息，因此试图声称从生物识别扫描中得出的“唯一虹膜代码”不是个人数据以规避遵守删除请求的义务，似乎不太可能被监管机构接受。
总而言之，很容易理解为什么欧洲隐私监管机构如此迅速地动员起来表达关切并采取行动。尽管监管机构的执法速度如何仍有待观察，如果这些担忧成立的话。
被问及数据保护机构（DPAs）的活动时，Humanity Tools的发言人声称Worldcoin项目符合所有适用法律（尽管在某些美国州，这意味着居民因当地法律限制生物识别数据处理而被完全禁止进行扫描。“如果您居住在伊利诺伊州、德克萨斯州或华盛顿州，或俄勒冈州的波特兰市或马里兰州的巴尔的摩市，您不能在Orb上提供您的生物识别信息。”Worldcoin的同意书注明）。
她还确认Worldcoin已进行了数据保护影响评估——她称该评估是“严格”进行的。
在今天我们要求Worldcoin对巴伐利亚数据保护机构（Bavarian DPA）调查作出回应后，通过电子邮件向我们发送进一步评论时，Humanity Tools的发言人补充道：
Worldcoin旨在保护个人隐私，并建立了强大的隐私保护计划。Worldcoin基金会遵守Worldcoin可用市场中关于个人数据处理的所有法律法规，包括《通用数据保护条例》（“GDPR”）。在欧盟，该项目受巴伐利亚州数据保护监督局（Bayerisches Landesamt für Datenschutz）的监督。该项目将继续与监管机构合作，就其隐私和数据保护实践提供更多信息的请求。我们致力于与欧洲各地的合作伙伴共同努力，确保Worldcoin项目满足监管要求，并为经过验证的人类提供安全、可靠和透明的服务。
本报告已根据巴伐利亚数据保护机构的额外评论进行了更新。
Sam Altman的Worldcoin眼球扫描加密货币项目启动
法国因违反GDPR对Clearview AI处以最高罚款