Política de verificación biométrica de los Earthlings

• la biometría se trata en el momento de la comprobación y no se conserva;
• para que una misma persona no pueda tener dos pasaportes en vigor, se conservan hashes criptográficos irreversibles;
• se puede volver tras la salida en cualquier momento;
• el nombre y los apellidos, tal como figuran en el documento, hacen falta para cotejarlos con él; los demás participantes le ven a usted bajo el seudónimo que haya elegido;
• la biometría sirve a la confianza, no al control;
• sistema propio de comprobación, minimización de datos.

Sirve a un solo fin: acreditar que detrás de cada voto hay una sola persona viva y única. Es la base de la confianza entre desconocidos, y nada más. El sistema está diseñado para conservar lo menos posible.

La persona importa más que los documentos. Su pertenencia al pueblo la determina su libre elección, y no un pasaporte o una nacionalidad. La tarea de la comprobación no es un reconocimiento desde fuera, sino la confirmación de un hecho simple: usted es usted, y es uno solo.

1. Confirmación de la unicidad, no control. La comprobación protege al pueblo frente a las inscripciones múltiples de una misma persona y no se emplea para vigilar.

2. La pertenencia se acredita personalmente. Los documentos estatales siguen en su lugar: la comprobación se limita a cotejar la identidad, sin sustituir nada.

3. Confianza mediante la comprobación. En una comunidad sin poder central, una unicidad acreditada crea una capa básica de confianza. Eso no garantiza la buena fe en un trato concreto, pero elimina la multiplicidad anónima de cuentas como fuente de manipulaciones.

4. Protección frente a los abusos. La renuncia a conservar imágenes y plantillas, los hashes calculados con la clave secreta del servidor y la imposibilidad práctica de reconstruir una imagen a partir de los datos conservados tienen por finalidad impedir que el sistema pueda emplearse para una vigilancia masiva.

Los datos biométricos pertenecen a la categoría especial de datos personales conforme al artículo 9 del RGPD y se tratan exclusivamente sobre la base de su consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD).

Es la única base: ni la ejecución de un contrato ni el interés legítimo legitiman por sí solos una categoría especial de datos.

La comprobación es voluntaria. Usted puede revocar el consentimiento en cualquier momento escribiendo a privacy@earth-lings.org.

Qué ocurre al revocarlo:

• el tratamiento de los datos biométricos cesa (tras la comprobación tampoco se conservan); el resultado de la comprobación (sección 04) se conserva: no es un dato biométrico;
• el hash irreversible de unicidad también se conserva. Está calculado a partir de los datos del documento y no de la biometría, por lo que no queda comprendido en el consentimiento del artículo 9 del RGPD y se conserva por otro fundamento. Sin él, una misma persona podría obtener un segundo pasaporte con los mismos datos del documento: el hash permite detectar ese intento, incluso cuando provenga de usted mismo, y un pasaporte emitido eludiendo la comprobación se anula (Declaración, artículo 8);
• la revocación del consentimiento no afecta a la pertenencia ni al derecho de voto, y la cuenta de usuario tampoco se suprime por esa revocación; para quien pertenece al pueblo, la supresión de la cuenta de usuario solo va unida a la salida;
• el pasaporte lo destruye usted mismo, con su propia clave, si decide salir: la revocación del consentimiento no destruye el pasaporte.

La lista completa y las bases jurídicas están en la Política de privacidad. Para la comprobación se requieren:

• seudónimo: a su elección, se emplea en el pasaporte y para entrar en la plataforma;
• dirección de correo electrónico: para el contacto;
• comprobación del documento y del rostro, junto con el nombre y los apellidos en alfabeto latino tal como figuran en el documento; además, se indica el país de residencia y se confirma la edad de 18 años o más. La verificación se apoya en un documento acreditativo de la identidad: una persona sin documentos hoy no puede entrar. Esto contradice el artículo 8 de la Declaración y sigue siendo una cuestión abierta: la garantía está escrita, pero todavía no se cumple.

El nombre y los apellidos reales no se conservan. Los datos del documento se emplean solo en el momento de la comprobación, para cotejar el rostro con el documento y confirmar la unicidad; tras concluir esta, de ellos solo quedan el tipo y el país de expedición del documento y unos hashes irreversibles. Su seudónimo sigue siendo el nombre bajo el que le ven los demás participantes.

• pasaporte: acreditación de la pertenencia al pueblo;
• derecho de voto en la Asamblea DAO: una persona, un voto;
• acceso a la infraestructura: participación en proyectos, servicios, coordinación;
• derecho a presentar propuestas y a participar en las decisiones sobre cualquier cuestión.

• el documento: cotejo de los datos con un documento oficial acreditativo de la identidad;
• la geometría del rostro: puntos clave y proporciones;
• la presencia viva: por ahora es una comprobación pasiva básica sobre una sola imagen del rostro: está concebida para detectar falsificaciones simples - la captura de una fotografía impresa o de la imagen de una pantalla -; no protege frente a grabaciones de vídeo ni frente a máscaras, y la imagen se puede subir como archivo. La comprobación según el modelo de detección de ataques de presentación descrito en la norma ISO/IEC 30107 todavía no está implantada; el nivel de resistencia declarado y los resultados de la comprobación independiente se publicarán cuando se implante.

1. Recepción de la imagen del documento y del rostro por una conexión protegida.
2. Comprobación de presencia viva.
3. Extracción de rasgos: datos del documento y puntos clave del rostro.
4. Construcción de una plantilla matemática: un conjunto de números que describe las características. La plantilla existe únicamente en la memoria durante la comprobación.
5. Cotejo de la biometría con el documento y comprobación de la unicidad.
6. Conservación del resultado, sin imágenes ni plantillas.

• la destrucción del pasaporte no suprime por sí sola los datos: los datos de la cuenta de usuario se suprimen a petición suya y, tras la supresión, quedan la dirección del monedero, el número del asiento del pasaporte, el seudónimo, el país, el resultado y las puntuaciones de la comprobación y los hashes irreversibles;
• los hashes seudonimizados se conservan exclusivamente para que una misma persona no pueda tener dos pasaportes en vigor;
• el derecho a volver se conserva: al adherirse de nuevo, el sistema comprueba que el pasaporte anterior está destruido y emite uno nuevo;
• a partir de los hashes no se puede reconstruir una imagen; de ellos no se puede leer ni el nombre ni el número del documento y, sin la clave secreta del servidor, tampoco se pueden obtener por fuerza bruta.

El código del contrato inteligente del pasaporte es abierto bajo licencia MIT y está verificado en el explorador de la red: el explorador ha confirmado que el código fuente corresponde exactamente al contrato desplegado (documento «Dónde estamos ahora»).

El código del sistema de verificación de identidad es cerrado, precisamente porque trabaja con datos personales y su publicación facilitaría eludir la protección. Es una elección consciente y no un silencio; la lista con sus motivos está en el documento Dónde estamos ahora.

A cambio de esa opacidad asumimos lo siguiente:

• auditoría independiente de seguridad: prevista antes de ampliar las operaciones; el informe se publica;
• documentación técnica: accesible para su estudio;
• informes de seguridad: se publican con regularidad;
• registro de los accesos a los datos de comprobación: está sujeto a auditoría; por ahora no se registran todos los accesos.

Las cuestiones de ética en el tratamiento de datos biométricos se someten al Consejo Independiente, órgano no subordinado a quienes operan la plataforma. Tras la adopción de la Declaración, mientras el Consejo no esté constituido, esta fase se omite y los plazos de debate público de tales cuestiones se duplican (Carta, artículo 39); hasta la adopción de la Declaración no hay Consejo (Carta, artículo 38).

Tras la adopción de la Declaración, las propuestas de modificación de la presente Política se someten a votación de la Asamblea y, antes de la adopción de la Declaración, decide sobre ellas el autor de la Declaración en la forma prevista en el documento «El período constituyente» (parte 2, apartado 2).

• recepción y tratamiento de los datos del documento y del rostro;
• reconocimiento del documento con extracción de los datos de la zona de lectura mecánica;
• comprobación de presencia viva;
• cotejo de la fotografía con el documento;
• confirmación de la unicidad.

Qué no se conserva: nombres y apellidos reales; números de pasaporte y de documentos; fechas exactas de nacimiento; domicilios; fotografías y plantillas biométricas; números de teléfono, salvo en los casos de autenticación de dos factores.

Qué se conserva: el seudónimo; la dirección de correo electrónico; la confirmación de ser mayor de 18 años; el país de residencia (para estadística); el estado de la verificación de identidad; el vínculo con el pasaporte; la fecha de obtención de la condición; la dirección del monedero; la dirección IP y el tipo de navegador en el momento de la comprobación, durante no más de 12 meses.

El registro sigue el principio de minimización de datos conforme al RGPD. Se conserva únicamente lo necesario para confirmar la unicidad y para el vínculo con el pasaporte que permite participar en las decisiones; lo que se conserva exactamente se detalla más arriba, en el recuadro siguiente y en la Política de privacidad.

Las fotografías y los escaneos se suprimen en cuanto concluye la comprobación, pero su resultado sigue siendo válido y verificable.