La SIC dejó en firme el cierre definitivo de la operación de World, antes Worldcoin, en Colombia

La Superintendencia de Industria y Comercio (SIC) confirmó la sanción de cierre inmediato y definitivo de la operación de tratamiento de datos sensibles que desarrollaban World Foundation, antes denominada Worldcoin Foundation, y Tools for Humanity Corporation en Colombia.

Esto, al concluir que ambas compañías vulneraron las disposiciones de la Ley 1581 de 2012 sobre protección de datos personales. La decisión fue adoptada mediante la Resolución 45710 del 18 de junio de 2026, con la que la Delegatura para la Protección de Datos Personales resolvió el recurso de apelación presentado por las empresas y confirmó la Resolución 78798 del 3 de octubre de 2025.

La entidad precisó además que contra esta determinación no procedía ningún recurso adicional. Se mencionó también que el proceso sancionatorio examinó las actividades relacionadas con la captura de datos personales, especialmente la imagen del iris de miles de personas en Colombia mediante dispositivos conocidos como "Orb".

Según la SIC, esta información era obtenida a cambio de una compensación económica para permitir la creación de una cuenta y la obtención del denominado "World ID".

La autoridad recordó que la imagen del iris constituye un dato personal sensible y que su tratamiento requiere una autorización previa, expresa, informada y cualificada por parte de los titulares, conforme a la legislación colombiana.

Durante la investigación, la Superintendencia concluyó que las compañías no obtuvieron un consentimiento verdaderamente libre e informado, no suministraron información clara sobre las finalidades y condiciones del tratamiento de los datos, incentivaron la entrega de la información biométrica mediante compensaciones económicas y desarrollaron sus operaciones sin contar previamente con políticas de tratamiento ajustadas a la normativa nacional ni con procedimientos adecuados para garantizar el ejercicio del derecho de habeas data.

Uno de los principales argumentos de las empresas durante la apelación estuvo relacionado con el uso de mecanismos criptográficos para cifrar y fragmentar los códigos de iris mediante sistemas de cómputo seguro multiparte.

Sin embargo, la Delegatura concluyó que estas medidas de seguridad no convertían la información en datos anónimos, mencionando que el sistema World ID mantenía la capacidad de individualizar y verificar la identidad de una persona mediante patrones biométricos, por lo que el vínculo entre la información y su titular permanecía vigente.

La SIC señaló que el cifrado, la seudonimización y la fragmentación constituían mecanismos legítimos para proteger la información, pero no eximían a las empresas del cumplimiento de las obligaciones previstas en el régimen de Protección de Datos Personales vigente en el país.

La decisión también dejó en firme la orden de suprimir todos los datos personales sensibles recolectados desde el inicio de la operación en Colombia, incluidos los códigos de iris. El cumplimiento de esta medida deberá acreditarse mediante una certificación expedida por una entidad externa acompañada de la evidencia técnica correspondiente.

Asimismo, la Superintendencia ratificó su competencia para investigar y sancionar a empresas extranjeras que realicen tratamiento de datos personales en Colombia, independientemente de su domicilio o de si cuentan con representación formal en el país.

Finalmente, la entidad reiteró que los datos biométricos gozaban de una protección constitucional y legal reforzada, que el consentimiento para su tratamiento debe otorgarse de manera libre y sin condicionamientos económicos, y que ningún desarrollo tecnológico o modelo de negocio podía justificar el desconocimiento de la legislación colombiana ni la vulneración de los derechos fundamentales de los titulares de los datos personales.

Contraloría de Bogotá inició seguimiento especial a las obras de la calle 45 y al proyecto del corredor de la carrera Séptima