Preguntas
¿Es procedente el tratamiento de datos biométricos para el registro de Asistencia de trabajadores por parte del Empleador?, ¿es necesario el consentimiento expreso para el tratamiento de esos datos biométricos para control de asistencia?, ¿sin consentimiento es procedente el tratamiento de esos datos bajo las otras circunstancias del Art. 26, de la LOPDP?
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El artículo 33 de la Constitución de la República del Ecuador (“CRE”) establece lo siguiente:
“Art. 33.- El trabajo es un derecho y un deber social, y un derecho económico, fuente de realización personal y base de la economía. El Estado garantizará a las personas trabajadoras el pleno respeto a su dignidad, una vida decorosa, remuneraciones y retribuciones justas y el desempeño de un trabajo saludable y libremente escogido o aceptado.” (énfasis agregado).
En este sentido los numerales 2 y 17 del artículo 66 CRE reconocen lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas (…) 2. El derecho a una vida diga, que asegure la salud, alimentación y nutrición, agua potable, vivienda, saneamiento ambiental, educación, trabajo, empleo, descanso y ocio, cultura física, vestido, seguridad social y otros servicios sociales necesarios. (…) 17. El derecho a la libertad de trabajo. Nadie será obligado a realizar un trabajo gratuito o forzoso, salvo los casos que determine la ley (…)” (énfasis agregado).
Adicionalmente, el numeral 19 del artículo 66 CRE reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
Asimismo, el artículo 92 de la CRE prevé lo siguiente:
“Art. 92.- Toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá derecho a conocer de la existencia y a acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, en soporte material o electrónico. Asimismo, tendrá derecho a conocer el uso que se haga de ellos, su finalidad, el origen y destino de información personal y el tiempo de vigencia del archivo o banco de datos.
Las personas responsables de los bancos o archivos de datos personales podrán difundir la información archivada con autorización de su titular o de la ley.
La persona titular de los datos podrá solicitar al responsable el acceso sin costo al archivo, así como la actualización de los datos, su rectificación, eliminación o anulación. En el caso de datos sensibles, cuyo archivo deberá estar autorizado por la ley o por la persona titular, se exigirá la adopción de las medidas de seguridad necesarias. Si no se atendiera su solicitud, ésta podrá acudir a la jueza o juez. La persona afectada podrá demandar por los perjuicios ocasionados.” (énfasis agregado).
En concordancia con los artículos previamente citados, el artículo 4 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) define lo siguiente: “Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente. Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros. (…) Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.” (énfasis agregado).
El artículo 8 de la LOPDP dispone lo siguiente:
“Art. 8.- Consentimiento.- Se podrán tratar y comunicar datos personales cuando se cuente con la manifestación de la voluntad del titular para hacerlo. El consentimiento será válido, cuando la manifestación de la voluntad sea:
1) Libre, es decir, cuando se encuentre exenta de vicios del consentimiento;
2) Específica, en cuanto a la determinación concreta de los medios y fines del tratamiento;
3) Informada, de modo que cumpla con el principio de transparencia y efectivice el derecho a la transparencia,
4) Inequívoca, de manera que no presente dudas sobre el alcance de la autorización otorgada por el titular. El consentimiento podrá revocarse en cualquier momento sin que sea necesaria una justificación, para lo cual el responsable del tratamiento de datos personales establecerá mecanismos que garanticen celeridad, eficiencia, eficacia y gratuidad, así como un procedimiento sencillo, similar al proceder con el cual recabó el consentimiento. El tratamiento realizado antes de revocar el consentimiento es lícito, en virtud de que este no tiene efectos retroactivos. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste que dicho consentimiento se otorga para todas ellas.” (énfasis agregado).
Asimismo, el artículo 10 de la LOPDP determina lo siguiente:
“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…)
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos. (…)” (énfasis agregado).
En este sentido el artículo 25 de la LOPDP dispone:
“Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
a) Datos sensibles;
b) Datos de niñas, niños y adolescentes;
c) Datos de salud; y,
d) Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.” (énfasis agregado).
El artículo 26 del mismo cuerpo legal indica:
“Art. 26.- Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias:
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley.” (énfasis agregado).
El artículo 40 de la LOPDP establece:
“Análisis de riesgo, amenazas y vulnerabilidades.- Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
1) Las particularidades del tratamiento;
2) Las particularidades de las partes involucradas; y,
3) Las categorías y el volumen de datos personales objeto de tratamiento.” (énfasis agregado).
El artículo 41 de la LOPDP menciona que: “Determinación de medidas de seguridad aplicables.- Para determinar las medidas de seguridad, aceptadas por el estado de la técnica, a las que están obligadas el responsable y el encargado del tratamiento de los datos personales, se deberán tomar en consideración, entre otros:
1) Los resultados del análisis de riesgos, amenazas y vulnerabilidades;
2) La naturaleza de los datos personales;
3) Las características de las partes involucradas; y,
4) Los antecedentes de destrucción de datos personales, la pérdida, alteración, divulgación o impedimento de acceso a los mismos por parte del titular, sean accidentales e intencionales, por acción u omisión, así como los antecedentes de transferencia, comunicación o de acceso no autorizado o exceso de autorización de tales datos.
El responsable y el encargado del tratamiento de datos personales deberán tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del titular, de conformidad con la normativa que emita la Autoridad de Protección de Datos Personales.” (énfasis agregado).
El artículo 42 de la LOPDP dispone:
“Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera (…)” (énfasis agregado).
En concordancia con lo antedicho, el artículo 1472 del Código Civil (“CC”) menciona lo siguiente:
“Art. 1472.- La fuerza no vicia el consentimiento, sino cuando es capaz de producir una impresión fuerte en una persona de sano juicio, tomando en cuenta su edad, sexo y condición. Se mira como fuerza de este género todo acto que infunde a una persona justo temor de verse expuestos ella, su cónyuge o alguno de sus ascendientes o descendientes, a un mal irreparable y grave.
El temor reverencial, esto es, el solo temor de desagradar a las personas a quienes se debe sumisión y respeto, no basta para viciar el consentimiento.” (énfasis agregado).
Respecto el derecho de acceso, el artículo 13 de la LOPDP establece: “Derecho de acceso.- El titular tiene derecho a conocer y a obtener, gratuitamente, del responsable de tratamiento acceso a todos sus datos personales y a la información detallada en el artículo precedente, sin necesidad de presentar justificación alguna. El responsable del tratamiento de datos personales deberá establecer métodos razonables que permitan el ejercicio de este derecho, el cual deberá ser atendido dentro del plazo de quince (15) días.
El derecho de acceso no podrá ejercerse de forma tal que constituya abuso del derecho.” (énfasis agregado).
En este sentido, el derecho de rectificación se reconoce el artículo 14 de la LOPDP menciona: “Derecho de rectificación y actualización.- El titular tiene el derecho a obtener del responsable del tratamiento la rectificación y actualización de sus datos personales inexactos o incompletos.
Para tal efecto, el titular deberá presentar los justificativos del caso, cuando sea pertinente. El responsable de tratamiento deberá atender el requerimiento en un plazo de quince (15) días y en este mismo plazo, deberá informar al destinatario de los datos, de ser el caso, sobre la rectificación, a fin de que lo actualice.”
Con base en la normativa previamente citada y en concordancia con el Oficio Nº SPDP-IRD-2025-0031-O de la consulta de expediente EXP-SPDP-IRD-CNSR-2025-0002 donde se dio contestación a la consulta respecto al uso de biométricos para el registro de asistencia, se ratifica la contestación de dicha consulta respecto a las preguntas realizadas sobre el uso de biométricos. Sin embargo, se recalca que, el uso de datos biométricos para registro de asistencia, no deben ser usados como primera ni única opción, sino como última elección, considerando lo que seguidamente se señala. En efecto, de acuerdo con el numeral 19 del artículo 66 de la CRE, en concordancia con el artículo 26 de la LOPDP, los datos personales solo podrán tratarse para tal finalidad, esto es, para el control de asistencia, siempre y cuando el tratamiento haya superado el test de proporcionalidad de acuerdo con el principio de proporcionalidad, análisis de riesgo y evaluación de impacto, bajo el consentimiento del titular de datos, tanto del sector privado como del sector público. El solo consentimiento del titular no libera al responsable del tratamiento de llevar a cabo el test de proporcionalidad (y de poder demostrar que fue superado), el análisis de riesgo y la evaluación de impacto; y para que el consentimiento se lo tenga por libre, en los términos del artículo 8 de la LOPDP, el titular deberá tener la posibilidad real de poder escoger, entre varias opciones efectivamente puestas a su disposición, cuál es la que mejor le conviene para el control de su asistencia, en cuyo caso se deberá ser capaz de probar ante la SPDP, de manera fehaciente, que efectivamente el titular de datos personales pudo y escogió el mencionado tratamiento para el registro de asistencia.
Cabe mencionar que el interés general no es una base legitimadora reconocida en la CRE ni en el artículo 26 de la LOPDP por lo que no aplica en el presente caso planteado, en este sentido se invita al Consultante a revisar y leer el análisis realizado en el Oficio Nº SPDP-IRD-2025-0031-O de la consulta de expediente EXP-SPDP-IRD-CNSR-2025-0002 donde se analizó la aplicabilidad de todas las bases legitimadoras del artículo 26 de la LOPDP.
Respecto al uso del derecho de acceso, de acuerdo con el artículo13 de la LOPDP el “[e]l titular tiene derecho a conocer y a obtener, gratuitamente, del responsable de tratamiento acceso a todos sus datos personales y a la información detallada en el artículo precedente, sin necesidad de presentar justificación alguna. (…)”. En este sentido, es procedente que un trabajador o extrabajador solicite, en virtud de su derecho de acceso contemplado en el artículo 13 de la LOPDP, los documentos generados durante la relación laboral —como contratos de trabajo, avisos de entrada y salida a la seguridad social, roles de pago, renuncias, entre otros— siempre que aquellos contengan sus datos personales.
La normativa de protección de datos personales establece de forma clara que el titular de los datos tiene derecho a conocer y obtener gratuitamente toda su información en poder del responsable del tratamiento, sin necesidad de justificación alguna. Por tanto, si los documentos mencionados contienen datos personales del solicitante (como nombre, cédula, dirección, cargo, salario, entre otros), aquel tiene derecho a acceder a ellos. Además, el responsable del tratamiento está obligado a facilitar el acceso mediante métodos razonables, entendibles y, a responder la solicitud en un plazo de quince (15) días. No obstante, este derecho debe ejercerse de manera sensata y no abusiva por parte de los titulares de datos personales, por lo que la solicitud debe estar relacionada con la información personal del titular y no perseguir fines que puedan interpretarse como un abuso del derecho.
Respecto al derecho de rectificación, conforme a lo establecido en el artículo 14 de la LOPDP, el titular de los datos personales tiene derecho a solicitar la rectificación de aquellos datos que sean inexactos, erróneos o incorrectos. En este contexto, si la información relacionada con la forma en que finalizó una relación laboral es un hecho controvertido, el titular podrá ejercer su derecho de rectificación ante el responsable del tratamiento siempre y cuando, el titular presente los justificativos correspondientes que respalden la solicitud. No obstante, queda perfectamente aclarado que el titular de datos personales podrá solicitar la rectificación de los hechos de su historial laboral cuando cuente con decisión judicial que así lo declare; decisión que deberá hallarse ejecutoriada y pasada en autoridad de cosa juzgada. En caso de que se llegue a rectificar la información, el responsable del tratamiento deberá atender el requerimiento en un plazo de quince (15) días y, en ese mismo término, comunicar la rectificación a los destinatarios de los datos, si los hubiere, para que también procedan con su actualización.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN del 25 de marzo de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿Es aplicable el tratamiento de datos biométricos para el registro de asistencia de servidores públicos en función del interés general? En caso de ser procedente, ¿Bajo qué circunstancias del Art. 26, de la LOPDP sería aplicable?”
El tratamiento de datos biométricos, en el presente caso planteado, puede aplicarse siempre y cuando pase el test de proporcionalidad, no emita un riesgo alto ni crítico posterior al análisis de riesgos realizados, y cuente con una evaluación de impacto que establezca las medidas de mitigación de riesgo adecuadas, pertinentes, proporcionales y necesarias al tratamiento de datos específicos. Una vez que cuente con todos los pasos anteriores y no haya un riesgo alto ni crítico, se deberá contar con el consentimiento de los titulares; consentimiento que, para tenérselo por libre, específico, informado e inequívoco, deberá permitirle al titular disponer de la posibilidad real de escoger entre varias alternativas para el control de su asistencia. Por lo tanto, el interés general no es una base legitimadora reconocida en la CRE ni en el artículo 26 de la LOPDP, por lo que no aplica en el presente caso planteado.
“¿Es procedente que un trabajador o ex trabajador solicite, en virtud de su derecho de acceso (Art. 13 de la LOPDP), sus documentos que fueron generados durante la relación laboral (contratos de trabajo, avisos de entrada y salida a la seguridad social, roles de pago, renuncias, entre otros), mismos que contienen información personal?”
Sí es procedente que un trabajador o extrabajador solicite el acceso total a documentos que contienen sus datos personales que haya otorgado como trabajador y los que se hayan generado y contengan información que identifiquen o le hagan identificable.
“En caso de detectarse información errónea o desactualizada sobre la forma de terminación de la relación laboral, como una supuesta renuncia voluntaria o abandono cuando en realidad se trató de otra causal, ¿Es válido solicitar la rectificación de dicha información conforma al Art. 14 de la LOPDP?”
Por tratarse de una cuestión de hecho, la causal de terminación de la relación laboral se podrá rectificar siempre y cuando una autoridad judicial la hubiese declarado en su sentencia, que, tal cual está apuntado, deberá estar ejecutoriada y pasada en autoridad de cosa juzgada. Cumplido lo anterior, el titular de datos personales podrá ejercer su derecho de rectificación ante el responsable de tratamiento.
El presente pronunciamiento deberá ser entendido en su integridad, siendo de exclusiva responsabilidad de la persona consultante su aplicación.