Boletín Legal: Nueva Norma General para el Tratamiento de Datos Biométricos en Ecuador (Resolución N° SPDP-SPD-2026-0039-R)

1. Objeto y ámbito de aplicación.

La Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma General para el Tratamiento de Datos Biométricos para regular las condiciones, garantías y límites aplicables al uso de tecnologías biométricas en Ecuador.

Esta regulación es de acatamiento obligatorio para todos los responsables y encargados del tratamiento de los sectores público y privado que operen dentro del territorio ecuatoriano. Su aplicación alcanza a todo tratamiento efectuado mediante procedimientos automatizados, parcialmente automatizados o guardados en sistemas y bases de datos estructuradas con fines de identificación o verificación.

2. Clasificación jurídica y principios de diseño.

• Categoría Especial de Datos Sensibles: Los datos biométricos se consideran legalmente datos sensibles cuando tienen por finalidad o resultado la identificación unívoca de una persona natural.

• Dato biométrico bruto vs. plantilla biométrica: La norma distingue entre el dato biométrico bruto (captura directa como imagen facial, huella dactilar, patrón de voz o escaneo de iris) y la plantilla biométrica (representación matemática y codificada derivada del dato bruto).

• Obligación de minimización: Los responsables tienen la obligación estricta de privilegiar en todo momento el uso de plantillas biométricas y evitar, salvo estricta necesidad técnica justificada, el almacenamiento de datos biométricos brutos.

3. Consentimiento, mecanismos alternativos y asimetría laboral

• Requisitos del consentimiento: Cuando el tratamiento se sustente en el consentimiento, este debe ser previo, libre, específico, informado, inequívoco y explícito.

• Mecanismo alternativo no biométrico: El responsable está obligado a ofrecer al titular al menos una alternativa equivalente que no requiera el uso de biometría. La excepción por imposibilidad técnica o fáctica solo aplica si se demuestra documentalmente en la Evaluación de Impacto que no existe otro medio viablemente disponible.

• Relaciones de asimetría significativa: Existe asimetría significativa cuando hay subordinación jurídica o dependencia económica (como en el control de asistencia de empleados) o cuando se condiciona el acceso a servicios esenciales. En estos escenarios, es obligatorio brindar la alternativa no biométrica para preservar la libertad del consentimiento.

• Excepción de debida diligencia: No se considera que exista asimetría significativa en operaciones de autenticación sujetas a debida diligencia reforzada por normas de prevención de fraude, lavado de activos o financiamiento del terrorismo.

• Revocatoria del consentimiento: El titular puede revocar su consentimiento en cualquier momento mediante mecanismos expeditos y céleres.

4. Evaluación de Impacto (EIPD) y Gestión de Riesgo

• Análisis previo de riesgos y EIPD: Ningún sistema biométrico podrá implementarse sin realizar previamente un análisis de riesgos y una Evaluación de Impacto en la Protección de Datos (EIPD).

• Tratamientos de alto riesgo: Se clasifican de alto riesgo los tratamientos que generen identificación unívoca, los que evalúen aspectos personales de forma sistemática para adoptar decisiones con efecto jurídico, o la observación a gran escala en zonas de acceso público.

• Actualización anual: La EIPD debe ser revisada y actualizada obligatoriamente cada doce (12) meses, así como cada vez que varíe el nivel de riesgo o se modifique la tecnología utilizada.

5. Prohibiciones expresas y límites de uso.

• Prohibición de reutilización: Se prohíbe reutilizar datos biométricos para finalidades distintas a las autorizadas originalmente sin obtener un nuevo consentimiento explícito.

• Identificación masiva en espacios públicos: Queda prohibida la identificación biométrica masiva e indiscriminada en lugares de acceso público, salvo autorización por norma con rango de ley.

• Tratamiento de menores de edad: Se prohíbe el tratamiento biométrico de niños, niñas y adolescentes, salvo inexistencia de medios menos invasivos y bajo el consentimiento explícito de sus representantes legales. Los adolescentes de 15 a 17 años pueden otorgar su consentimiento por sí mismos si reciben la información en un lenguaje adaptado a su edad.

• Decisiones automatizadas: Se prohíbe fundamentar decisiones que afecten derechos exclusivamente en sistemas biométricos automatizados o con intervención humana meramente formal o testimonial.

6. Régimen transitorio de adecuación

• Plazo de 12 meses: Las entidades públicas y privadas que actualmente utilicen sistemas biométricos disponen de un plazo de doce (12) meses contados a partir de la publicación de la resolución en el Registro Oficial para adecuar sus procesos, contratos, arquitecturas tecnológicas y evaluaciones de impacto.