L'Agence Espagnole de Protection des Données (AEPD) a émis un avertissement à l'encontre de la société Tools for Humanity concernant le traitement de données personnelles envisagé dans le cadre de la reprise de ses activités en Espagne, connues sous le nom de projet Worldcoin.
Suite à la communication de Tools for Humanity annonçant la reprise de ses activités, l'AEPD a émis un avertissement préventif le 16 février 2026. Cet avertissement met en lumière de possibles infractions au RGPD liées au traitement de données biométriques, notamment l'iris pour l'identification et le visage pour l'authentification. En réponse, l'entreprise a décidé de reporter temporairement son projet afin d'examiner les aspects soulevés. Il lui incombe de justifier la nécessité et la proportionnalité du traitement via une évaluation d'impact et de gérer les risques associés. L'établissement principal de la société étant en Allemagne, l'autorité de protection des données de Bavière (BayLDA) est désignée comme autorité chef de file, l'AEPD agissant comme autorité concernée.

En 2024, l'AEPD avait déjà ordonné une mesure conservatoire pour faire cesser la collecte et le traitement de données par la société en Espagne, suite à des plaintes concernant une information insuffisante, la collecte de données de mineurs et l'impossibilité de retirer son consentement. Cette mesure avait été confirmée par la justice, qui a fait prévaloir "la sauvegarde de l'intérêt général que constitue la protection du droit à la protection des données personnelles des intéressés face à l'intérêt particulier de l'entreprise". Les enquêtes, menées par la BayLDA en coopération avec l'AEPD dans le cadre de la procédure de l'article 60 du RGPD, ont abouti en décembre 2024 à une décision de l'autorité bavaroise. Cette dernière a constaté plusieurs infractions et a ordonné des mesures correctives, dont la suppression des codes d'iris stockés sans mesures de sécurité adéquates et la mise en place de garanties pour le droit à l'effacement et pour empêcher le traitement des données de mineurs.