World Network 被要求删除虹膜数据：GDPR 合规与数字身份隐私争议
德国巴伐利亚数据保护监督局（BayLDA）近期向 World Network（简称 World）发出声明，要求其删除部分过去未依法收集的用户虹膜数据。World Network 由 OpenAI 首席执行官 Sam Altman 联合创立，项目核心涉及 World ID、WLD 代币 以及生物识别硬件 Orb。这一事件的关键并非代币价格波动，而是 Web3 项目如何处理敏感生物数据、用户隐私与欧盟 GDPR 合规要求。
适合国内用的虚拟币交易所
BayLDA 调查结果：数据删除程序与用户同意机制成焦点
BayLDA 自 2026 年春季开始调查 World 的数据处理活动，近期完成相关工作并发布初步纠正命令。监管机构要求 World 在命令生效后一个月内，提交一套符合 《通用数据保护条例》（GDPR） 要求的数据删除程序。监管重点不仅在于数据是否被删除，还包括删除流程是否合规、能否被有效证明，以及如何避免类似问题再次发生。
声明特别指出，World 在未来部分数据处理场景中，需要取得更明确的用户同意。对于过去缺乏充分法律依据而收集的数据，监管机构要求主动清除。BayLDA 负责监督私营部门对 GDPR 的遵守，World 已收到命令并决定上诉。
GDPR 对虹膜数据合规的四大核心关注点
- 过去收集的虹膜相关个人数据是否具备充分法律依据——特别是敏感生物识别信息的处理基础
- 数据删除机制是否符合 GDPR 对程序与证明的要求——包括删除后的可审计性
- 用户同意是否足够明确、可验证并适用于具体场景——尤其是撤回同意的路径是否清晰
- 敏感生物识别数据在采集、保存与删除环节是否存在合规缺口——如数据保留期限与用途限制
World 回应：争议主要涉及旧技术流程，系统已更新
World 方面表示，BayLDA 此次调查主要聚焦于 2026 年已被替换的旧操作方式与旧技术流程。监管讨论的问题并不完全对应当前系统的实际安排。World 强调，此前收集的个人虹膜代码已经被自愿删除，以确保运行 World ID 时不保留任何个人数据。
公司进一步解释，为了达到高于 GDPR 要求的标准，用于验证用户 World ID 的虹膜代码已不再被存储，先前收集的虹膜资料也已自愿删除。World 试图将当前系统与历史流程区分开来，强调问题主要集中在旧版本的数据处理方式上。不过，争议范围和实际影响仍有待监管机构与项目方后续披露更多信息。
World Network 架构解析：World ID、Orb 与 WLD 代币
要理解此次事件，需先了解 World Network 的产品结构。这是一个围绕 数字身份验证 展开的 Web3 项目，旨在解决“如何证明你是真人”这一互联网难题，并提出了与 全民基本收入（UBI） 相关的愿景，以应对人工智能发展带来的影响。
具体运作机制如下：
- World Network：项目整体框架，聚焦数字身份及生态应用
- World ID：身份验证凭证，用于证明用户是独立真人，防止女巫攻击
- Orb：生物识别硬件装置，通过扫描虹膜采集信息，是身份验证流程的关键入口
- WLD 代币：项目代币，通常与空投奖励、参与机制及生态治理相关
用户完成 Orb 虹膜扫描后，可获得 World ID，并领取 WLD 代币空投。这套体系试图将“真人证明”做成可规模化的 Web3 基础设施。
World 的争议与行业启示：生物识别隐私与合规挑战
World 项目的特点在于其切中了机器人账号、女巫攻击以及链上身份可信度等现实问题，因此在身份验证场景中具有讨论空间。但争议同样集中在生物识别数据领域：Orb 涉及虹膜这类敏感信息，一旦进入数据收集环节，外界关注的不仅是技术效率，还包括授权是否充分、用户是否真正理解数据用途、数据是否会被保存、保存多久，以及删除机制是否清晰且可执行。
围绕 World Network 的讨论通常集中在以下方向：
- World ID 数字身份系统如何完成“真人”验证——技术方案与隐私保护的平衡
- Orb 在采集生物识别信息时如何处理隐私、授权与合规——特别是 GDPR 下敏感数据处理的特殊要求
- WLD 代币空投机制与用户参与之间的关系——代币激励是否影响用户对数据使用的理解
事件核心启示：Web3 项目必须面对数据治理与合规现实
此次事件的核心看点不在于加密资产价格波动，而在于 区块链项目与 Web3 身份系统如何与现实世界的数据保护规则衔接。当项目涉及虹膜这类敏感生物识别信息时，监管要求往往更严格。项目方不仅要解释技术如何运作，还需回答更核心的问题：用户是否充分知情、同意是否明确、数据会保留多久、是否可以删除、删除是否有程序保障，以及收集这些数据是否具备充分法律依据。
对于关注 World Network、WLD、区块链身份验证或 Web3 生物识别应用 的人来说，这次事件释放的信号很直接：技术创新只是评估项目的一部分，数据治理、隐私设计和合规安排同样会持续影响项目的外部评价与实际落地。
用户接触类似产品时的关键检查清单
- 隐私政策是否清楚说明数据采集范围与具体用途——特别是敏感生物数据的处理方式
- 是否提供明确的用户同意机制及撤回同意的路径——符合 GDPR 的“明确同意”要求
- 敏感数据是否会被保存、保存多久、是否支持删除——包括删除后是否可验证
- 项目在不同司法辖区下的合规风险是否已有公开说明——如欧盟、美国、中国等地的监管差异
目前的信息仍应以监管机构和项目方后续披露为准。对于任何涉及个人敏感数据的产品，用户在接触前应仔细查看隐私政策、数据用途说明及数据使用风险。此次事件再次提醒市场：Web3 项目的产品设计，除了可用性之外，还必须面对现实监管环境中的隐私与合规要求。