| Mobile Time Latinoamérica | A Superintendência de Indústria e Comércio (SIC) confirmou, em caráter definitivo, a sanção que determina o encerramento imediato das operações de tratamento de dados sensíveis realizadas na Colômbia pela World Foundation (antiga Worldcoin Foundation) e pela Tools for Humanity, ao concluir que ambas as empresas violaram o regime colombiano de proteção de dados pessoais estabelecido pela Lei 1.581 de 2012.
A decisão foi formalizada por meio da Resolução 45.710, de 18 de junho de 2026, na qual o Departamento para a Proteção de Dados Pessoais rejeitou o recurso apresentado pelas empresas e confirmou a sanção imposta inicialmente em outubro de 2025. Contra essa resolução não cabe novo recurso.
A investigação concentrou-se nas atividades desenvolvidas pelas companhias para coletar dados biométricos de milhares de pessoas na Colômbia, especificamente a imagem da íris, por meio dos dispositivos conhecidos como “Orb”. Em troca do escaneamento, os usuários recebiam uma compensação financeira e obtinham uma conta, além de um World ID, o sistema de identidade digital desenvolvido pela organização.
Segundo a SIC, as empresas não obtiveram consentimento livre, prévio e informado dos titulares dos dados. Além disso, não forneceram informações suficientes sobre as finalidades e as condições do tratamento, incentivaram o fornecimento de dados biométricos por meio de pagamentos e iniciaram suas operações na Colômbia sem políticas de tratamento de dados adequadas à legislação nacional nem mecanismos eficazes para que os usuários exercessem seus direitos relacionados à proteção de dados pessoais.
Natureza pessoal dos dados
Um dos principais argumentos das empresas durante o recurso foi que os chamados “códigos de íris” e os fragmentos de informação gerados por técnicas de computação segura multipartidária (SMPC/AMPC) deixariam de ser dados pessoais por estarem criptografados e distribuídos entre diferentes nós.
No entanto, o departamento rejeitou essa interpretação. A autoridade explicou que as técnicas criptográficas implementadas após a coleta reforçam a segurança das informações, mas não transformam os dados biométricos em informações anônimas.
Em sua análise, destacou que o próprio funcionamento do World ID depende da capacidade do sistema de reconhecer e verificar a identidade única de cada pessoa, o que demonstra que continua existindo um vínculo entre as informações e seu titular.
Da mesma forma, a SIC afirmou que as empresas não demonstraram de forma clara como garantem a eliminação definitiva dos dados biométricos nem o exercício do direito de exclusão em uma arquitetura baseada em dados fragmentados e verificações permanentes de unicidade.
A resolução também confirmou a competência da SIC para investigar e sancionar empresas estrangeiras que realizem tratamento de dados pessoais na Colômbia, independentemente de possuírem ou não domicílio, filial ou representação formal no país.
A autoridade também rejeitou os questionamentos das empresas sobre o devido processo legal, ao considerar que as notificações e o procedimento administrativo foram conduzidos em conformidade com a legislação colombiana e que as empresas exerceram plenamente seu direito de defesa.
Ordem para eliminar os dados coletados
Com a decisão definitiva, a SIC mantém a ordem de encerramento imediato de qualquer operação na Colômbia que envolva o tratamento de dados pessoais sensíveis pela World Foundation e pela Tools for Humanity Corporation.
A autoridade também determinou a exclusão de todos os dados sensíveis coletados desde o início das operações, incluindo os códigos de íris. O cumprimento da medida deverá ser certificado por uma entidade externa, que apresentará as respectivas evidências técnicas.
Por fim, a Superintendência reiterou que os dados biométricos contam com proteção constitucional e legal reforçada e, por isso, seu tratamento exige consentimento prévio, expresso e informado. Também lembrou que tecnologias como criptografia, pseudonimização ou fragmentação aumentam a segurança das informações, mas não isentam as organizações do cumprimento das obrigações previstas na legislação colombiana de proteção de dados pessoais.
