Tras un proceso de solicitudes de acceso a la información que inició en julio de 2025 y concluyó en noviembre del mismo año, la Fiscalía General de la República (FGR) y la Secretaría Anticorrupción y Buen Gobierno (SABG) negaron la entrega de documentos relacionados con Worldcoin, el proyecto de recolección de datos biométricos que opera en México desde 2023.

La postura de las autoridades mexicanas contrasta con las medidas adoptadas en otras jurisdicciones durante el mismo periodo. En septiembre de 2024, Corea del Sur impuso sanciones a la empresa por transferencias indebidas; a principios de 2025, Filipinas suspendió la recolección de datos; Tailandia ejecutó inspecciones en los centros de registro; y en Brasil, el Congreso abrió una investigación parlamentaria.

Santiago Narváez, investigador de la Red en Defensa de los Derechos Digitales (R3D), cuestiona la validez de este argumento legal. “En primer lugar, el que una empresa esté siendo investigada no significa que sea culpable, por lo que no se estaría afectando su honor o presunción de inocencia”, señala el especialista.

Lee: Más de 700 mil personas venden sus datos biométricos por criptomonedas a empresa que opera en el limbo legal en México

La Secretaría Anticorrupción y Buen Gobierno (SABG), entidad que asumió las funciones del INAI en materia de datos en posesión de particulares, declaró la “inexistencia” de la información. En su respuesta oficial, la dependencia admitió no contar con un registro que permita identificar cuántas empresas biométricas operan en México, qué tecnologías utilizan o si han sido objeto de sanciones.

Sobre esta ausencia, Narváez advierte: “la ausencia de este tipo de controles es reflejo de la falta de actualización de la normativa actual y la falta de cuidado que existe en torno al tratamiento de datos biométricos“. Según el experto, esto “invisibiliza el peligro al cual está expuesta la ciudadanía”.

El precedente colombiano: incompatibilidad con la Ley de datos personales

La SIC ordenó a Worldcoin eliminar la base de datos recolectada en Colombia en el plazo de un mes. La autoridad precisó: “la eliminación de la información que haya sido recolectada busca evitar el tratamiento de datos personales sensibles… el lapso tenido en cuenta es desde la fecha en que World y Tools For Humanity inició su operación en Colombia, siendo esta el 30 de mayo de 2024″.

Lucía Camacho advierte sobre las implicaciones legales de este argumento: “Cuando tú tienes un dato personal que deja de serlo a partir de un proceso técnico… en donde el iris ya no es la imagen del iris, sino una extensa cadena de letras y números… En materia de protección de datos, a partir de ese momento ya no le es exigible la ley a esta gente”.

Lee más: Secretaría Anticorrupción no tiene información sobre empresa que recolecta datos biométricos

El problema radica en la verificación de la eliminación. “En la experiencia chilena, las sentencias que han ordenado a World la eliminación de estos datos y que están en firme, no se han cumplido”, señala Camacho. “La compañía no tiene cómo probar que en efecto ha eliminado los datos porque, como ellos lo han reconocido en el caso de Brasil, esos datos no se pueden eliminar”.

Camacho explica la dificultad técnica con una analogía: “Borrar esa información de esa base de datos es como encontrar la aguja en el pajar y asegurarte que esa aguja es la que tú estabas buscando y no otra”. La investigadora subraya que la empresa no ha acreditado el cumplimiento de estándares como la norma ISO 27001 para certificar la eliminación efectiva de estos registros.

A pesar de esto, la SIC mantiene la orden vigente y declaró que, una vez transcurrido el plazo, “el equipo forense de la Superintendencia podrá verificar el cumplimiento de la orden de eliminación”.

Dentro del expediente colombiano y brasileño, Camacho analizó un elemento documental clave: un informe de auditoría presentado por la propia empresa. Lucía detalla el contenido de este documento: “El informe de auditoría independiente pagado por ellos mismos sugiere que hay unas serias fallas de seguridad en todo el proceso de transmisión de datos y de anonimización de la información”.

Según la investigadora, el análisis de este informe permite observar la estructura operativa interna. “Uno se da cuenta, por ejemplo, de cómo los datos fluyen de una manera muy natural entre la parte sin ánimo de lucro [World Foundation] y la parte comercial [Tools for Humanity], y no es fácil establecer en qué punto quién tiene los datos”.

Camacho señala que Tools for Humanity es la entidad encargada de desarrollar “las tecnologías críticas como el algoritmo de reconocimiento facial, el orbe, la billetera o la wallet”, y su objetivo es “ofertar esos servicios” comercialmente.

La SIC ordenó a Worldcoin eliminar la base de datos recolectada en Colombia en el plazo de un mes. La autoridad precisó: “la eliminación de la información que haya sido recolectada busca evitar el tratamiento de datos personales sensibles… el lapso tenido en cuenta es desde la fecha en que World y Tools For Humanity inició operación en Colombia, siendo esta el 30 de mayo de 2024″.

Sin embargo, el cumplimiento de esta orden enfrenta un obstáculo técnico relacionado con la naturaleza del sistema. Worldcoin utiliza un proceso de “hashing”. Un hash es una función criptográfica que transforma un conjunto de datos (en este caso, la imagen del iris) en una cadena alfanumérica única de longitud fija. La empresa sostiene que, una vez generado el código, la imagen original se borra y el proceso es irreversible, por lo que el “IrisCode” resultante deja de ser un dato personal identificable.

Sigue leyendo: Diputados aprueban reforma sobre desaparición de personas y creación de Plataforma Única de Identidad con datos biométricos

Lucía Camacho advierte sobre las implicaciones legales de este argumento: “cuando tú tienes un dato personal que deja de serlo a partir de un proceso técnico… en donde el iris ya no es la imagen del iris, sino una extensa cadena de letras y números… En materia de protección de datos, a partir de ese momento ya no le es exigible la ley a esta gente”.

El problema radica en la verificación de la eliminación. “En la experiencia chilena, las sentencias que han ordenado a World la eliminación de estos datos y que están en firme, no se han cumplido”, señala Camacho. “La compañía no tiene cómo probar que en efecto ha eliminado los datos porque, como ellos lo han reconocido en el caso de Brasil, esos datos no se pueden eliminar”.

Camacho explica la dificultad técnica con una analogía: “Borrar esa información de esa base de datos es como encontrar la aguja en el pajar y asegurarte que esa aguja es la que tú estabas buscando y no otra”. La investigadora subraya que la empresa no ha acreditado el cumplimiento de estándares como la norma ISO 27001 para certificar la eliminación efectiva de estos registros.

A pesar de esto, la SIC mantiene la orden vigente y declaró que, una vez transcurrido el plazo, “el equipo forense de la Superintendencia podrá verificar el cumplimiento de la orden de eliminación”.

La batalla no está perdida: nuevas generaciones frente al cinismo corporativo

Las investigaciones en la región también han abordado el mecanismo de recolección de datos. En Brasil, la autoridad emitió una medida cautelar para suspender la entrega de criptomonedas a cambio de datos, argumentando vicios en el consentimiento.

“La autoridad dice: ‘vea, aquí es problemática la contraprestación porque eso hace que el consentimiento libre deje de serlo, especialmente cuando vemos con ojos de desigualdad quiénes son los que van a buscar ese dinero'”, relata Camacho. La experta describe que el perfil recurrente de los usuarios son “personas en vulnerabilidad económica, mujeres cabeza de hogar” que acuden por el incentivo económico, el cual ronda los 50 dólares.

Respecto a la finalidad de los datos, Camacho indica que el objetivo de Tools for Humanity es comercializar el sistema de verificación. “World busca ofrecer ese sistema de identificación biométrico a servicios que lo necesiten en un debate que hoy está sucediendo en internet que es crítico: la verificación de edad”. La investigadora cita como ejemplo la alianza existente en Corea del Sur entre Worldcoin y la aplicación de citas Tinder. “Cualquier plataforma de internet… desde OnlyFans, sitios de webcams, aplicaciones de citas… la información de uno va a terminar sirviendo para que esta gente ofrezca un servicio”.

Te puede interesar: Detectan presunto lavado de dinero utilizando bitcoins en México; cárteles estarían vinculados

Camacho señala un factor geopolítico adicional: el interés de gobiernos extranjeros en bases de datos biométricas. “Uno de los patrones que hemos identificado… es la solicitud y acceso de datos biométricos por parte del gobierno estadounidense y el Departamento de Estado a los distintos países de la región como un elemento crucial en las negociaciones para bajar aranceles”.

Según la investigadora, estas solicitudes abarcan “los datos biométricos de toda la población” en países como Argentina, Chile, Ecuador, Perú, Colombia y México. “No solo se trata de una cantidad inmensa de información, sino que va a estar en manos del gobierno menos amistoso de los derechos que hay hoy en el país del norte”, concluye.

Mientras el plazo para la eliminación de datos corre en Colombia, en México la información sobre las investigaciones permanece bajo reserva. Santiago Narváez insiste en que la autoridad omitió realizar una “prueba de daño” para justificar el secreto. “En su resolución la Fiscalía no esclarece de qué manera beneficia que la información solicitada se mantuviera en secrecía… Omite evaluar el riesgo de perjuicio que supondría no dar a conocer la información”.

Finalmente para Lucía Camacho, la batalla no está perdida. A pesar del poder de las Big Tech y su alineación con gobiernos autoritarios, encuentra motivos para la esperanza en la evolución cultural de la privacidad.

“Las nuevas generaciones van a ser las que nos ayuden a navegar las preguntas más difíciles sobre la privacidad hoy… tienen prácticas mucho más celosas de lo que se considera privado”, reflexiona. “Decir que no me preocupa la privacidad porque quién me va a vigilar a mí, es como decir que no me importa la libertad de expresión porque no tengo nada que decir… Estas empresas han mostrado que no les interesa el color del político de turno… simplemente si el gobierno se los pide y es amistoso con la empresa… están dispuestos a ceder y ofrecer”.