Penelitian ini membahas pelindungan data pribadi dalam pemrosesan data biometrik berupa pemindaian iris mata pada proyek World ID/World App di Indonesia, dengan fokus pada keabsahan persetujuan pengguna sebagai dasar sah perjanjian menurut Pasal 1320 KUH Perdata serta kesesuaiannya dengan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Permasalahan meliputi pemenuhan unsur sah perjanjian kesepakatan, kecakapan, objek tertentu, dan sebab yang halal serta bentuk perlindungan hukum bagi pengguna apabila terjadi pelanggaran. Penelitian hukum normatif ini menggunakan pendekatan perundang-undangan, konseptual, dan kasus dengan sumber utama berupa UUD 1945, KUH Perdata, UU ITE, UU PDP, dan PP 71/2019. Hasil penelitian menunjukkan bahwa persetujuan pengguna secara formil memenuhi unsur “sepakat” melalui mekanisme digital, namun secara substantif berpotensi cacat kehendak karena asimetri informasi, rendahnya literasi digital, dan insentif finansial, sehingga tidak sepenuhnya memenuhi standar informed consent menurut UU PDP. Pemrosesan data biometrik hanya sah bila berdasar persetujuan eksplisit, terbatas tujuan, dan memiliki jaminan keamanan memadai. Pelanggaran prinsip tersebut menyebabkan klausul pemrosesan data batal demi hukum. Perlindungan hukum pengguna diwujudkan melalui hak-hak subjek data pribadi serta pengawasan, pembekuan izin PSE, dan perintah penghapusan data oleh Komdigi.