noyb ha presentado cinco reclamaciones contra Scale AI en Francia, Italia, Países Bajos y Austria por los rastreadores y la verificación facial que impone a quienes entrenan modelos de inteligencia artificial. Faltan cinco semanas para que venza la transposición de la Directiva (UE) 2024/2831. La norma veta identificar por biometría cotejando bases de datos, pero el selfie con DNI se decide en el RGPD.
La organización europea de derechos digitales noyb presentó este martes cinco reclamaciones contra Scale AI, la compañía estadounidense que opera Outlier. En esa plataforma, más de 900.000 trabajadores «freelance» entrenan modelos de inteligencia artificial. Las denuncias se han registrado ante las autoridades de protección de datos de Francia, Italia, Países Bajos y Austria, con dos en este último país. Sostienen que la empresa instala en los dispositivos de esos trabajadores rastreadores de TikTok, LinkedIn, Facebook, Sprig y Datadog mientras trabajan. También afirman que les obliga a superar de forma repetida una verificación biométrica con vídeo de la cara y documento de identidad. Ninguna de las cinco reclamaciones se ha presentado en España.
Importa quiénes son esas personas. Según la nota publicada por noyb, Outlier tiene entre sus clientes a Meta, OpenAI, xAI, Google, Anthropic y el Gobierno de Estados Unidos. Sus trabajadores redactan instrucciones, ordenan respuestas y corrigen lo que producen los modelos. Son la capa humana que hay detrás de los asistentes conversacionales. Para preparar las denuncias, noyb ha trabajado con la asociación francesa Intérêt à Agir, el equipo de investigación DIPLab y Reversing.Works.
Y el calendario hace el caso más incómodo. El 2 de diciembre vence el plazo para transponer la directiva europea sobre trabajo en plataformas. Las reclamaciones contra Outlier funcionan como prueba de resistencia de esa norma, porque muestran con precisión qué prohíbe y qué deja fuera.
Rastreadores cada pocos segundos y un selfie que se repite
El análisis técnico de noyb detectó que, mientras los trabajadores están en la plataforma, los rastreadores envían datos a terceros cada pocos segundos. Entre esos datos están la dirección IP, los datos de contacto, identificadores únicos e información sobre la página visitada. La reclamación austriaca amplía la lista hasta dieciséis proveedores externos. Entre ellos figura Fullstory, una herramienta que graba movimientos del ratón y clics para reproducir la sesión. También aparece un rastreador de Forethought que recibía el nombre, los apellidos y el correo electrónico de la trabajadora. «¿Por qué deberían saber LinkedIn o Facebook en qué tareas estás trabajando?», plantea Lisa Steinfeld Leiser, abogada de protección de datos de noyb.
La verificación de identidad la ejecuta un tercero, Persona. Según la reclamación austriaca, la trabajadora tuvo que subir su documento y grabarse en vídeo al darse de alta, y después de nuevo a intervalos irregulares. La política de privacidad de Outlier justifica el proceso por la lucha contra el fraude y la comprobación de «capacidades». También admite que genera medidas del rostro que pueden considerarse datos biométricos. noyb recuerda que en octubre de 2025 unos atacantes expusieron unas 70.000 fotos de documentos oficiales almacenadas en Persona. La denuncia austriaca añade dos datos más. En febrero de 2026 quedó expuesto el código fuente de la empresa. Y hasta abril de 2026 su política de privacidad contemplaba usar los documentos subidos por los usuarios para entrenar sus sistemas.
La reclamante austriaca había completado unas 181 tareas hasta marzo. El 10 de febrero pidió acceso a sus datos para saber, entre otras cosas, si la plataforma tomaba decisiones automatizadas sobre ella. Volvió a reclamar el 13 de abril y no obtuvo respuesta. Esa reclamación imputa a Scale AI la infracción de los artículos 5.1.c), 12.3, 15, 25.1 y 28.1 del RGPD. Eso abarca la minimización de datos, el derecho de acceso, la protección de datos desde el diseño y la elección de un encargado del tratamiento con garantías suficientes. Además, alega la norma austriaca que traspone la Directiva ePrivacy por instalar rastreadores sin consentimiento. noyb pide una investigación completa y sugiere una multa. Thomas Le Bonniec, investigador en sociología de DIPLab, sostiene que el trabajo en plataformas se ha convertido en terreno abonado para una vigilancia que no se aceptaría en ninguna otra forma de empleo en la Unión. A su juicio, ese sistema solo se sostiene por la opacidad.
Cuatro autoridades y ninguna al mando
El detalle procesal tiene consecuencias. La reclamación se dirige contra Scale AI, Inc., con sede en San Francisco, y la propia denuncia subraya que la empresa no tiene establecimiento principal en la UE. Sin ese establecimiento no opera la ventanilla única del RGPD, que concentra los asuntos transfronterizos en una autoridad principal. Cada autoridad nacional es competente por la vía del artículo 77 y puede resolver a su ritmo y con su propio criterio.
El precedente más próximo es italiano. Con la resolución n.º 675, de 13 de noviembre de 2024, el Garante multó con 5 millones de euros a Foodinho, filial de Glovo, por el tratamiento de datos de más de 35.000 repartidores. También le prohibió seguir usando el reconocimiento facial para verificar su identidad. Según recoge la reclamación austriaca, el Garante concluyó que la verificación biométrica no era necesaria porque la propia empresa reconoció que funcionaba más como disuasión que como medida antifraude. Baptiste Delmas, coordinador de proyecto en Intérêt à Agir, pide a las autoridades que se tomen el asunto en serio e impongan medidas estrictas. La nota de noyb no recoge ninguna respuesta de la compañía.
Lo que la directiva prohíbe y lo que deja pasar
El artículo 7.1.f) de la Directiva (UE) 2024/2831 prohíbe a las plataformas «tratar datos biométricos […] de una persona que realiza trabajo en plataformas para establecer su identidad mediante el cotejo de sus datos con los datos biométricos de personas físicas almacenados en una base de datos». Es lo que la técnica llama identificación uno a varios. El considerando 41 deja expresamente fuera la verificación uno a uno, es decir, comparar la cara de una persona con los datos que ella misma aportó antes. Esa verificación queda permitida cuando sea lícita conforme al RGPD. El selfie contrastado con el DNI no está prohibido por la directiva: su legalidad se juega entera en el RGPD.
noyb lo sabe y lo usa. La reclamación invoca ese mismo considerando como criterio de interpretación, aunque la norma no esté transpuesta. Sostiene que Persona, según su propia política de privacidad, contrasta los datos recibidos con otras bases de datos, una práctica que noyb asimila a la identificación uno a varios. Así, la frontera entre lo permitido y lo prohibido depende de un detalle técnico que el trabajador no puede ver. Por eso pesan tanto las solicitudes de acceso que nadie contestó.
Con los rastreadores el hueco es más ancho. El artículo 7 solo veta recoger datos cuando la persona no está ofreciendo ni realizando trabajo (letra c). Mientras trabaja, la directiva confía en la transparencia: el artículo 9.1.a).iv) obliga a informar de los destinatarios de los datos. Frente a TikTok o LinkedIn recibiendo información de quien etiqueta datos, la herramienta sigue siendo el RGPD.
La etiqueta de «freelance» no protege a la plataforma. Las reglas sobre gestión algorítmica se aplican también a quien no tiene contrato de trabajo (artículo 1.2 y considerando 54). El considerando 39 descarta el consentimiento como base para tratar estos datos, por el desequilibrio de poder entre las partes. La presunción de laboralidad del artículo 5 entra el 2 de diciembre, también para relaciones firmadas antes y vigentes en esa fecha, aunque solo para el periodo posterior (artículo 5.6). Hasta su transposición, la directiva no crea obligaciones entre particulares. Por eso noyb litiga con el RGPD.
España, sin denuncia y sin ley de transposición
A 28 de octubre no hay en el BOE ninguna norma que transponga la directiva. El texto consolidado del Estatuto de los Trabajadores, actualizado el 21 de octubre, no recoge cambios en esta materia. El último paso público fue la consulta pública previa del Ministerio de Trabajo y Economía Social, abierta entre el 31 de julio y el 14 de agosto. Hoy la presunción de laboralidad específica de la disposición adicional 23.ª del Estatuto, la llamada «ley rider», solo cubre el reparto. El artículo 64.4.d) da al comité de empresa derecho a conocer los parámetros de los algoritmos que afectan a las condiciones de trabajo, pero exige que haya relación laboral y representación. Quien anota datos para una plataforma desde España depende hoy de la presunción general del artículo 8.1 y de la doctrina de la STS 805/2020, de 25 de septiembre, sobre Glovo.
En España, además, el margen para el selfie es más estrecho de lo que sugiere la directiva. La Guía de la AEPD sobre control de presencia mediante sistemas biométricos, de noviembre de 2023, trata también la autenticación uno a uno como dato de categoría especial. Esa guía descarta el consentimiento en el ámbito laboral y exige una norma con rango de ley para acogerse al artículo 9.2.b) del RGPD. Su lógica es trasladable a una verificación facial recurrente de trabajadores, aunque la guía no se escribiera para ese supuesto.
Qué debe revisar ya una empresa española
La empresa que encarga a una plataforma el etiquetado de sus propios datos la convierte en encargada del tratamiento. El artículo 28 del RGPD le obliga entonces a elegir un proveedor con garantías suficientes, que es el mismo precepto que noyb esgrime contra Scale AI por haber elegido a Persona. Conviene exigir por contrato qué verificación de identidad se usa y con qué cotejo, qué subencargados intervienen y qué rastreadores de terceros cargan las pantallas donde se trabaja con esos datos.
La empresa que organiza su propia red de colaboradores con asignación automática de tareas puede encajar en la definición de plataforma digital de trabajo del artículo 2.1.a). En ese caso, la directiva le alcanza desde la transposición, con independencia de cómo llame a la relación. Tendrá que hacer una evaluación de impacto con participación de las personas afectadas (artículo 8). Y lo prudente es retirar ya cualquier biometría que no supere el filtro de necesidad.
Lo que queda abierto se decidirá en la ley española. Habrá que ver si extiende la presunción más allá del reparto y si ofrece una base legal para la verificación de identidad. El considerando 59 pide verificaciones fiables para frenar el alquiler de cuentas, y esa exigencia choca con el artículo 9 del RGPD. Mientras tanto, cuatro autoridades decidirán por separado sobre las mismas prácticas.
 en cuatro países por rastrear y verificar con biometría a sus anotadores. Qué veta la directiva de plataformas y qué no.){kind=link}