Preguntas
“¿La obligación impuesta por el Consejo de la Judicatura de registrar, conservar e incorporar al protocolo notarial información sensible, incluyendo los códigos dactilares de menores y comparecientes, las huellas dactilares de los comparecientes, así como la imagen facial del notario o de los funcionarios notariales vulnera el principio de minimización y proporcionalidad previsto en el artículo 11 literales e) y f) de la Ley Orgánica de Protección de Datos Personales?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPD-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta, a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)”(énfasis agregado).
Los artículos 424 y 425 de la CRE determinan:
“Art. 424.- La Constitución es la norma suprema y prevalece sobre cualquier otra del ordenamiento jurídico. Las normas y los actos del poder público deberán mantener conformidad con las disposiciones constitucionales; en caso contrario carecerán de eficacia jurídica.
La Constitución y los tratados internacionales de derechos humanos ratificados por el Estado que reconozcan derechos más favorables a los contenidos en la Constitución, prevalecerán sobre cualquier otra norma jurídica o acto del poder público.
Art. 425.- El orden jerárquico de aplicación de las normas será el siguiente: La Constitución; los tratados y convenios internacionales; las leyes orgánicas; las leyes ordinarias; las normas regionales y las ordenanzas distritales; los decretos y reglamentos; las ordenanzas; los acuerdos y las resoluciones; y los demás actos y decisiones de los poderes públicos.
En caso de conflicto entre normas de distinta jerarquía, la Corte Constitucional, las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, lo resolverán mediante la aplicación de la norma jerárquica superior.
La jerarquía normativa considerará, en lo que corresponda, el principio de competencia, en especial la titularidad de las competencias exclusivas de los gobiernos autónomos descentralizados.”(énfasis agregado).
El artículo 426 de la CRE dispone:
“Art. 426.- Todas las personas, autoridades e instituciones están sujetas a la Constitución. Las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, aplicarán directamente las normas constitucionales y las previstas en los instrumentos internacionales de derechos humanos siempre que sean más favorables a las establecidas en la Constitución, aunque las partes no las invoquen expresamente.
Los derechos consagrados en la Constitución y los instrumentos internacionales de derechos humanos serán de inmediato cumplimiento y aplicación. No podrá alegarse falta de ley o desconocimiento de las normas para justificar la vulneración de los derechos y garantías establecidos en la Constitución, para desechar la acción interpuesta en su defensa, ni para negar el reconocimiento de tales derechos.” (énfasis agregado).
El artículo 4 de la LOPDP dispone lo siguiente:
“Art. 4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)
Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales. (…)”(énfasis agregado).
El artículo 10 de la LOPDP establece los siguientes principios:
“ Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de:
d) Finalidad.- Las finalidades del tratamiento deberán ser determinadas, explícitas, legítimas y comunicadas al titular : no podrán tratarse datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta Ley.
El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. Para ello, habrá de considerarse el contexto en el que se recogieron los datos, la información facilitada al titular en ese proceso y, en particular, las expectativas razonables del titular basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los titulares del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista.
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento. f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos.” (énfasis agregado).
El artículo 21 de la LOPDP dispone lo siguiente:
“Art. 21.-Derecho de niñas, niños y adolescentes a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas.- Además de los presupuestos establecidos en el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, no se podrán tratar datos sensibles o datos de niñas, niños y adolescentes a menos que se cuente con la autorización expresa del titular o de su representante legal; o, cuando, dicho tratamiento esté destinado a salvaguardar un interés público esencial, el cual se evalúe en atención a los estándares internacionales de derechos humanos, y como mínimo satisfaga los criterios de legalidad, proporcionalidad y necesidad, y además incluya salvaguardas específicas para proteger los derechos fundamentales de los interesados.
Los adolescentes, en ejercicio progresivo de sus derechos, a partir de los 15 años, podrán otorgar, en calidad de titulares, su consentimiento explícito para el tratamiento de sus datos personales, siempre que se les especifique con claridad sus fines.” (énfasis agregado).
El artículo 25 de la LOPDP dispone:
“(…)Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes: a) Datos sensibles;
b) Datos de niñas, niños y adolescentes (…)”(énfasis agregado).
El artículo 26 de la LOPDP indica:
“ Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias:
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley.” (énfasis agregado).
El artículo 33 de la LOPDP establece que:
“Art. 33.- Transferencia o comunicación de datos personales.- Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, además, con el consentimiento del titular.
Se entenderá que el consentimiento es informado cuando para la transferencia o comunicación de datos personales el Responsable del tratamiento haya entregado información suficiente al titular que le permita conocer la finalidad a que se destinarán sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datos.” (énfasis agregado).
El artículo 40 de la LOPDP establece que:
“Art. 40.- Análisis de riesgo, amenazas y vulnerabilidades.- Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
1) Las particularidades del tratamiento;
2) Las particularidades de las partes involucradas; y,
3) Las categorías y el volumen de datos personales objeto de tratamiento.”
El artículo 42 de la LOPDP indica lo siguiente:
“Art. 42 .- Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera.
La evaluación de impacto relativa a la protección de los datos será de carácter obligatoria en caso de:
a) Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas naturales;
b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales, o
c) Observación sistemática a gran escala de una zona de acceso público.
La Autoridad de Protección de Datos Personales establecerá otros tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.
La evaluación de impacto deberá efectuarse previo al inicio del tratamiento de datos personales.” (énfasis agregado).
El numeral 9 del artículo 76 de la LOPDP determina que:
“Art. 76.- Funciones atribuciones y facultades.- La Autoridad de Protección de Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias para que se respeten los principios, derechos, garantías y procedimientos previstos en la presente Ley y en su reglamento de aplicación, para lo cual le corresponde las siguientes funciones, atribuciones y facultades:
9) Atender consultas en materia de protección de datos personales” (énfasis agregado).
Para poder realizar un correcto análisis, resulta necesario remitirse al régimen jurídico sectorial correspondiente, en este sentido, el artículo 40 de la Ley Notarial establece:
“Art. 40.- Cualquier persona puede pedir copia o testimonio de la escritura matriz o compulsa de los documentos protocolizados.” (énfasis agregado) Por su parte, la Resolución N° 063-2025 del Pleno del Consejo de la Judicatura expedida el 04 de septiembre de 2025 sobre el Procedimiento Notarial para Tramitar la Autorización de Salida del País de Niños, Niñas y Adolescentes, derogada a través de la Resolución N° 084-2025 del Pleno del Consejo de la Judicatura, disponía:
“Artículo 6.- Procedimiento: Las y los notarios deberán cumplir el siguiente procedimiento: e) Tomar las huellas dactilares de los comparecientes en el acta notarial, con la finalidad de que las entidades de control migratorio verifiquen la correspondencia e idoneidad. f) Tomar una fotografía de los comparecientes, con la finalidad de aportar elementos para el proceso de verificación de las entidades de control migratorio.” (énfasis agregado).
Mediante resolución 084-2025 del Pleno del Consejo de la Judicatura expedida el 29 de octubre de 2025, en su artículo único determina:
“Artículo Único.- Derogar la Resolución 063-2025, de 04 de septiembre de 2025, emitida por el Pleno del Consejo de la Judicatura, a través de la cual resolvió: “EXPEDIR EL REGLAMENTO PARA TRAMITAR LA AUTORIZACIÓN DE SALIDA DEL PAÍS DE NIÑOS, NIÑAS Y ADOLESCENTES EN EL SERVICIO NOTARIAL A NIVEL NACIONAL” (énfasis agregado).
En concordancia con la normativa previamente referida, se aclara que la consulta fue presentada cuando la Resolución N° 063- 2025 se encontraba vigente y establecía la obligación de registrar, conservar e incorporar al protocolo notarial datos biométricos y datos sensibles, incluyendo códigos dactilares, huellas dactilares y fotografías faciales. Sin embargo, ésta fue derogada mientras transcurría el tiempo de respuesta a la presente Consulta, por lo tanto, esta autoridad, en el presente análisis no se pronuncia sobre la legalidad de la resolución antes señalada y, actualmente, ya derogada. No obstante aquello, se realizará un análisis de la proporcionalidad de solicitar datos especiales biométricos en la actividad notarial.
Para tal efecto, es necesario mencionar en primer lugar que imponer una obligación de solicitar las huellas dactilares y fotografías de los comparecientes como parte del procedimiento notarial para tramitar la autorización de salida del país de niños, niñas y adolescentes implica en sí mismo una actividad de tratamiento. Al respecto, cabe aclarar que el artículo 4 de la LOPDP establece que dentro de los datos sensibles se encuentran los datos biométricos a los cuales en el mismo artículo los definen como “(…) [d]ato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros (…)” En este sentido, de conformidad con los artículos 25 y 26 de la norma ibídem, tanto la fotografía como las huellas dactilares constituyen datos personales especiales – sensibles de naturaleza biométrica. Al tratarse de información perteneciente a la esfera más íntima de una persona natural, requieren un nivel de protección reforzado, pues cualquier afectación a estos datos podría generar un daño considerablemente mayor.
Ahora bien, al ser considerados datos sensibles de naturaleza biométricos, estos deben cumplir con una de las bases de legitimación establecidas en el artículo 26 el cual establece las siguientes, de manera taxativa:
“a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines. b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social. c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento. d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos. e) El tratamiento se lo realiza por orden de autoridad judicial. f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular. g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley.” (énfasis agregado).
Es así que, en la consulta presentada, la única base de legitimación aplicable sería el consentimiento.
En concordancia con lo previamente mencionado el numeral 19 del artículo 66 de la CRE reconoce a todas las personas el derecho de protección de datos personales, el cual se menciona que para que sean debidamente tratados, esto es que estén legitimados, deberá solicitarse el consentimiento o el tratamiento deberá estar autorizado en una Ley. En este sentido, como se ha citado anteriormente la LOPDP establece en su artículo 26 las bases de legitimación por las cuales se puede tratar datos personales sensibles. En este mismo sentido, los artículos 424 y 425 de la CRE establece que toda la normativa que constituye el bloque de constitucionalidad debe ser armónica, para lo cual se establece una jerarquía normativa. Es así como la Ley Notarial debe entenderse en armonía con la LOPDP y, toda la normativa secundaria que emane de ésta deberá respetar la LOPDP, teniendo en cuenta que ésta última goza de mayor jerarquía normativa. Adicionalmente, en caso de involucrar datos de niñas, niños y adolescentes, los cuales también constituyen categorías especiales de datos personales conforme a lo dispuesto en el artículo 25 de la LOPDP, habría que tener en consideración que se estarían tratando datos personales sensibles sumamente delicados ya que hay un tipo de acumulación en la especialidad de los datos tratados debido a que en una primera instancia serían especiales, en segunda instancia serían sensibles de naturaleza biométrica y en tercera instancia serían de menores de edad, lo que suma un nivel extremadamente alto de protección. A su vez, el artículo 21 del mismo cuerpo normativo establece que no se podrán tratar datos sensibles ni datos de niñas, niños y adolescentes sin la autorización expresa del titular o de su representante legal, o sin acreditar un interés público esencial acompañado de criterios de legalidad, necesidad, proporcionalidad y salvaguardas específicas. En este sentido, todo tratamiento de datos personales debe cumplir con toda las obligaciones establecidas en la LOPDP, entre estos todos los principios reconocidos en la normativa y, en el tratamiento de datos personales especiales de naturaleza biométrica, ya sean de menores de edad o de titulares de datos mayores de edad, debe evaluarse con especial relevancia los principios de finalidad, pertinencia y minimización de datos personales, proporcionalidad del tratamiento y seguridad de datos personales, los cuales se detallan a continuación. < En primer lugar, el principio de finalidad adquiere un carácter determinante en el tratamiento de datos biométricos, pues este tipo de información, al estar vinculada de manera inseparable con la identidad física del titular, no puede emplearse con propósitos amplios, indeterminados o susceptibles de reinterpretación futura. En consecuencia, el responsable del tratamiento debe definir de manera estricta y verificable para qué serán utilizados los datos biométricos, asegurando que tales fines sean legítimos y coherentes con la expectativa razonable del titular al momento de su recolección. Cualquier desviación o intento de reutilización para propósitos distintos sin una nueva justificación legal implicaría una afectación desproporcionada al derecho a la protección de datos personales, dada la imposibilidad del titular de sustituir o revocar elementos biométricos comprometidos.
En relación con el principio de pertinencia y minimización de datos personales, su observancia es aún más rigurosa cuando se trata de datos sensibles. Esto implica que únicamente se deben recopilar y tratar aquellos datos biométricos estrictamente indispensables para alcanzar la finalidad definida, excluyendo toda información adicional que no aporte valor operativo real. La minimización actúa como una salvaguarda frente a la recopilación excesiva o indiscriminada, evitando la construcción de bases de datos biométricos innecesarias que aumenten la superficie de riesgo para los titulares. En este sentido, el responsable debe justificar objetivamente la elección del dato biométrico empleado y demostrar que no existe un método menos intrusivo que permita cumplir la misma finalidad.
Por su parte, el principio de proporcionalidad del tratamiento exige que la utilización de datos biométricos sea adecuada y equilibrada respecto del propósito que se pretende alcanzar. Esto implica evaluar si el uso de esta categoría especial de datos resulta indispensable o si, por el contrario, existen mecanismos alternativos que permitan cumplir el objetivo sin comprometer información tan sensible. La proporcionalidad funciona, como un criterio de ponderación que evita la adopción de medidas excesivas o invasivas, especialmente cuando se trata del tratamiento de datos de menores de edad o de grupos en situación de vulnerabilidad, en quienes la protección reforzada debe ser aún mayor.
Finalmente, el principio de seguridad de los datos personales exige la implementación de medidas de seguridad físicas, administrativas, organizativas, legales y técnicas robustas que sean acordes con el nivel de sensibilidad de los datos especiales tratados. Debido a que esta información, una vez comprometida, no puede ser modificada ni reemplazada por el titular, el nivel de protección requerido es significativamente más alto que en el tratamiento de datos ordinarios. El responsable debe garantizar mecanismos de cifrado, controles de acceso estrictos, trazabilidad de las operaciones de tratamiento, segmentación de bases de datos y medidas preventivas frente a riesgos asociados a filtraciones, accesos indebidos o vulneraciones. El incumplimiento de este principio no solo expone al titular a un daño irreversible, sino que además incrementa de manera sustancial las consecuencias jurídicas para el responsable del tratamiento.
A partir de estos principios, se observa que todo tratamiento de datos personales tiene la obligación de realizar un análisis de riesgos de acuerdo con el artículo 40 de la LOPDP y al tratar datos personales especiales- sensibles de naturaleza biométrica sería recomendable que se realice una evaluación de impacto debido a que existe un riesgo elevado al tratar datos extremadamente sensibles, esto de acuerdo con el artículo 42 de la LOPDP.
En consecuencia, de lo analizado anteriormente se concluye que todo tratamiento de datos personales y, de manera específica, aquellos que involucren datos personales especiales deben cumplir estrictamente con los estándares establecidos en la LOPDP. Ello implica contar con una base de legitimación válida, observar rigurosamente los principios de la LOPDP y elaborar un análisis de riesgos, así como una evaluación de impacto cuando corresponda. Asimismo, para habilitar un tratamiento legítimo de datos biométricos y otros datos sensibles, particularmente cuando involucran información de niñas, niños y adolescentes, es indispensable aplicar las medidas de seguridad más robustas y estrictas, en atención al alto nivel de sensibilidad de la información tratada.
Del mismo modo, se destaca que el derecho a la protección de datos personales constituye un derecho fundamental reconocido en la CRE y desarrollado en la LOPDP. En virtud de ello, toda normativa que forma parte del bloque de constitucionalidad debe respetar y garantizar lo dispuesto en dicho marco jurídico. En consecuencia, ningún tratamiento de datos personales puede considerarse legítimo basándose únicamente en disposiciones contenidas en resoluciones que no tienen rango de ley. Por tanto, todo tratamiento deberá sustentarse necesariamente en una de las bases de legitimación previstas en los artículos 7 y 26 de la LOPDP, según corresponda.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio N° CNP- HVM-2025-00034 del 14 de octubre de 2025, recibido el 15 de octubre de 2025 y debidamente subsanado mediante oficio N° CNP-P-HVM-2025-00047 del 19 de noviembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿La obligación impuesta por el Consejo de la Judicatura de registrar, conservar e incorporar al protocolo notarial información sensible, incluyendo los códigos dactilares de menores y comparecientes, las huellas dactilares de los comparecientes, así como la imagen facial del notario o de los funcionarios notariales vulnera el principio de minimización y proporcionalidad previsto en el artículo 11 literales e) y f) de la Ley Orgánica de Protección de Datos Personales?”
Con base en el análisis efectuado, esta Intendencia determina que no se puede pronunciar sobre la legalidad de una norma derogada, sobre la cual se realizó la consulta específica ya que la misma y por ende sus obligaciones están fuera del ordenamiento jurídico vigente. Sin embargo, esta autoridad sí puede pronunciarse, y en dicho sentido, así lo hace, respecto a la necesidad de cumplimiento obligatorio de los principios de la LOPDP, la obligación de contar con una base de legitimación de tratamiento, la obligación de realizar un análisis de riesgos y una evaluación de impacto, en TODOS los tratamientos de datos personales especiales, sensibles de naturaleza biométrica e implementar todas las medidas de seguridad de categoría tecnológica, organizativa, administrativa, legal y física que correspondan para garantizar la integridad, disponibilidad y confidencialidad de la información y, aun con mayor rigurosidad en caso de que los datos tratados pertenezcan a niños, niñas y adolescentes.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.