Bogotá D.C. 17 de octubre de 2025. La Superintendencia de Industria y Comercio, como autoridad de protección de datos personales, mediante la Resolución 78798 del 3 de octubre de 2025, sancionó a World Foundation y Tools for Humanity Corporation con el cierre inmediato y definitivo de toda operación en Colombia que involucre tratamiento de datos personales.

Cabe recordar que World Foundation y Tools for Humanity iniciaron operaciones en Colombia en el primer semestre de 2024. Estas empresas recolectaron imágenes biométricas del iris (una parte del ojo humano) de millares de personas en el país, a través de instrumentos y procesadores especiales, y a partir del contacto directo con los titulares. Parte de su estrategia se basó en el ofrecimiento de una contraprestación económica a cambio de entregar estos datos sensibles. Las imágenes del iris fueron sometidas a distintas formas de tratamiento, como plantillas biométricas. Sin embargo, las finalidades del tratamiento de estos datos no fueron suficientemente claras ni bien informadas.

Alertada sobre el fenómeno, la Dirección de Investigaciones de Protección de Datos Personales adelantó la investigación respectiva y pudo verificar, con plena garantía del debido proceso de las empresas sancionadas, el incumplimiento de varios deberes legales en materia de protección de datos personales. En especial: i) no contar con políticas de tratamiento de datos personales con el cumplimiento de los requisitos legales y reglamentarios, (ii) no contar con procedimientos para la presentación y atención de consultas o reclamos por parte de los titulares de los datos personales, que permitan el ejercicio efectivo del derecho fundamental de habeas data, (iii) no contar con las medidas de seguridad necesarias para prevenir los riesgos que conlleva el tratamiento de datos personales sensibles, y (iv) no contar con la autorización para el tratamiento de datos personales, según los mandatos del principio de libertad y los requisitos exigidos por las leyes colombianas, incluida la especial consideración a la naturaleza sensible de los datos personales objeto de tratamiento.

La Dirección de Investigaciones de Protección de Datos Personales constató que World Foundation condicionó la voluntad de las y los titulares de aceptar el tratamiento de su información sensible, al ofrecimiento de un incentivo económico. Adicionalmente constató que no les brindó información clara, transparente y sencilla sobre las finalidades específicas del tratamiento, en abierto desconocimiento de su derecho a la autodeterminación informática.

Ante la gravedad de la situación, la Superintendencia ordenó suprimir los datos personales sensibles, incluidos los códigos de iris, de las bases de datos, repositorios o servidores que tengan dispuestos para su almacenamiento, y que hayan sido recolectados desde el inicio de operaciones en Colombia, hasta la fecha de ejecutoria del acto administrativo sancionatorio. Asimismo, ordenó el cierre inmediato y definitivo de la operación que involucre el tratamiento de datos personales. Esto implica que World Foundation y Tools for Humanity no podrán realizar ninguna actividad de tratamiento de datos personales en Colombia.

Las medidas que toma la Dirección están dirigidas a proteger el derecho constitucional de habeas data de las personas residentes en este país, y a evitar que la información sea tratada por fuera de las normas que regulan la materia.

Esta decisión reafirma el deber de cualquier empresa cuyo modelo de negocios implique el tratamiento de datos personales de personas en Colombia, que se realice en el territorio nacional, y de respetar la Constitución y las Leyes de la República de Colombia. En especial, el deber de ceñir su conducta y actividades al régimen de protección de datos personales establecido en la Ley 1581 de 2012 y en sus normas reglamentarias.

La Superintendencia de Industria y Comercio no pretende desincentivar el desarrollo tecnológico, la innovación, ni las libertades económicas reconocidas en el artículo 333 de la Constitución. Pero recuerda, en cambio, que la creación de nuevos negocios que impliquen la recolección y el tratamiento de datos personales, realizadas total o parcialmente en territorio colombiano, debe hacerse de manera responsable, ética y en estricto cumplimiento del ordenamiento jurídico de la República de Colombia.

Consulte aquí la Resolución No. 78798 del 03 de octubre de 2025.