Ecuador establece reglas específicas para el tratamiento de datos biométricos

La Superintendencia de Protección de Datos Personales (SPDP) expidió la Resolución SPDP-SPD-2026-0039-R, que contiene la Norma General para el Tratamiento de Datos Biométricos. La norma se publicó en el Registro Oficial No. 376 el 24 de septiembre de 2026. Su objetivo es fijar condiciones, garantías y límites para tratar biometría cuando se utiliza para identificar de manera única a una persona. La LOPDP ya considera sensibles estos datos; la nueva disposición concreta medidas específicas para el uso de sistemas biométricos en organizaciones públicas y privadas.

El alcance comprende responsables y encargados públicos o privados sujetos a la LOPDP que traten biometría con fines identificativos. Incluye procesos automatizados, parcialmente automatizados y también tratamientos no automatizados cuando la información forma parte de sistemas o bases estructuradas. Entre los casos que pueden requerir análisis están el control de acceso mediante huella o rostro, autenticación en canales digitales, sistemas de asistencia y ciertos usos de reconocimiento facial. La aplicación depende de la finalidad y de si el tratamiento permite o pretende identificar unívocamente, no solo de que una cámara o sensor esté presente.

Antes de implementar un sistema biométrico, la organización debe realizar un análisis de riesgos y una evaluación de impacto de protección de datos (EIPD) que justifique suficientemente la finalidad. La evaluación debe revisarse cada doce meses y cuando cambie el nivel de riesgo. El tratamiento necesita una base de legitimación válida para datos sensibles conforme a la LOPDP. Si se usa consentimiento, debe ser previo, libre, específico, informado, inequívoco y explícito; también debe existir un mecanismo expedito para revocarlo. La norma considera de alto riesgo, entre otros escenarios, la identificación unívoca y la observación sistemática a gran escala de espacios públicos.

La norma ordena valorar si el propósito puede alcanzarse con un mecanismo menos invasivo o riesgoso. La biometría solo es admisible cuando resulte estrictamente necesaria y no exista otra opción que cumpla la finalidad. Si el tratamiento se basa en consentimiento, debe ofrecerse al menos una alternativa equivalente que no use biometría. La exigencia tiene relevancia en situaciones de dependencia o subordinación, por ejemplo en relaciones laborales o cuando un servicio esencial se condiciona a entregar datos biométricos. La disposición prevé excepciones limitadas, que deben justificarse —como imposibilidad técnica o fáctica— y documentarse en la EIPD.

Los datos no deben reutilizarse para una finalidad distinta de la que justificó su obtención; un uso nuevo exige una base válida conforme al régimen de datos sensibles. La norma también prioriza las plantillas biométricas —representaciones codificadas derivadas de la característica— y pide evitar guardar datos brutos salvo necesidad técnica estricta. Los responsables deben informar de manera clara, accesible y comprobable qué datos se tratan y para qué, restringir accesos y aplicar medidas de seguridad reforzadas. Las decisiones que produzcan efectos jurídicos o afecten derechos no pueden descansar exclusivamente en identificación biométrica automatizada ni en una intervención humana meramente formal.

La resolución prohíbe la identificación biométrica masiva e indiscriminada de personas en espacios públicos, salvo habilitación excepcional mediante una norma con rango de ley y con las garantías aplicables. Para niñas, niños y adolescentes, el tratamiento identificativo está prohibido como regla, excepto cuando no existan medios menos invasivos o riesgosos y se cumplan los requisitos de evaluación y protección. La norma también establece condiciones para que adolescentes de quince a diecisiete años puedan consentir en los supuestos previstos, con información comprensible y adaptada a su edad.

La norma rige desde su publicación en el Registro Oficial. Las organizaciones que ya usan sistemas biométricos cuentan con doce meses desde el 24 de septiembre de 2026 para adecuar procesos y sistemas, es decir, hasta el 24 de septiembre de 2027. El trabajo de adecuación puede incluir inventariar usos y proveedores, determinar si hay identificación unívoca, documentar la EIPD, revisar bases legales y alternativas, limitar almacenamiento de datos brutos y actualizar avisos y contratos. La resolución alcanza también a encargados que tratan datos por cuenta de un responsable. Esta nota es un resumen informativo; cada entidad debe revisar el texto oficial completo y la normativa sectorial que le resulte aplicable.