Consulta
1.- ¿Se debe interpretar que los artículos 7 numeral 2) y artículo 26 literal b) de la Ley Orgánica de Protección de Datos Personales, permiten a las entidades públicas tratar datos biométricos para fines exclusivos de autenticación o validación de identidad, cuando dicho tratamiento resulte necesario para cumplir su naturaleza jurídica y el ejercicio de sus competencias legalmente atribuidas?
2.- ¿Cómo deben interpretarse y aplicarse los principios de proporcionalidad, minimización y confidencialidad previstos en el artículo 10, literales e), f) y g), de la Ley Orgánica de Protección de Datos Personales, en concordancia con el artículo 26, literal b), del mismo cuerpo legal, para determinar las condiciones, parámetros y garantías mínimas que deben observar las entidades públicas en el tratamiento de datos biométricos destinado exclusivamente a la autenticación o validación de identidad, incluyendo aquellos tratamientos que impliquen la interoperabilidad en tiempo real con los registros biométricos de otra entidad pública?
Análisis
De conformidad con lo dispuesto en el numeral 11.3.9 del artículo 11 de la Resolución N° SPDP-SPD-2026-0030-R, mediante la cual se aprobó y expidió la Codificación del Estatuto Orgánico de Gestión Organizacional por Procesos de Arranque de la Superintendencia de Protección de Datos Personales, y en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales mediante el literal c) del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP establece las siguientes definiciones:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
Datos biométricos: Datos personales únicos, relativos a las características físicas o fisiológicas, o conductas de una persona natural que permiten o confirman la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros.
Datos sensibles: Datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.”
(…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización,
posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El numeral 2 del artículo 7 de la LOPDP establece lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personales.- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones: (…) 2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal; (…)”.
Los literales e), f) y g) del artículo 10 de la LOPDP disponen:
“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…)
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos.
g) Confidencialidad.- El tratamiento de datos personales debe concebirse sobre la base del debido sigilo y secreto, es decir, no debe tratarse o comunicarse para un fin distinto para el cual fueron recogidos, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta ley.
Para tal efecto, el responsable del tratamiento deberá adecuar las medidas técnicas organizativas para cumplir con este principio. (…)”.
En este sentido el artículo 25 de la LOPDP dispone:
Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
Datos sensibles;
Datos de niñas, niños y adolescentes;
Datos de salud; y,
Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.” (énfasis agregado).
El artículo 26 del mismo cuerpo legal establece:
“Art. 26.- Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias: (…)
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente ley. (énfasis añadido)
El artículo 40 de la LOPDP establece:
Análisis de riesgo, amenazas y vulnerabilidades.- Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
1) Las particularidades del tratamiento;
2)Las particularidades de las partes involucradas; y,
3) Las categorías y el volumen de datos personales objeto de tratamiento.” (énfasis agregado).
El artículo 41 de la LOPDP menciona que:
Determinación de medidas de seguridad aplicables.- Para determinar las medidas de seguridad, aceptadas por el estado de la técnica, a las que están obligadas el responsable y el encargado del tratamiento de los datos personales, se deberán tomar en consideración, entre otros:
Los resultados del análisis de riesgos, amenazas y vulnerabilidades;
La naturaleza de los datos personales;
Las características de las partes involucradas; y,
Los antecedentes de destrucción de datos personales, la pérdida, alteración, divulgación o impedimento de acceso a los mismos por parte del titular, sean accidentales e intencionales, por acción u omisión, así como los antecedentes de transferencia, comunicación o de acceso no autorizado o exceso de autorización de tales datos.
El responsable y el encargado del tratamiento de datos personales deberán tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar, prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del titular, de conformidad con la normativa que emita la Autoridad de Protección de Datos Personales.” (énfasis agregado).
El artículo 42 de la LOPDP dispone:
“Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera (…)” (énfasis agregado).
El artículo 29 del RGLOPDP establece:
Art. 29.- Evaluación de impacto.- La evaluación de impacto consiste en un análisis preventivo, de naturaleza técnica, mediante el cual el responsable valora los impactos reales del tratamiento de datos personales, a efecto de identificar y mitigar posibles riesgos relacionados con el cumplimiento de los principios y el respeto de los derechos y de las obligaciones establecidas en la Ley Orgánica de Protección de Datos Personales, este Reglamento y demás normativa aplicable.
El artículo 31 del RGLOPDP dispone:
Art. 31.- Obligatoriedad de la evaluación de impacto.- Las evaluaciones de impacto del tratamiento de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse de forma previa al inicio del tratamiento de datos personales (…).
El artículo 32 del RGLOPDP establece, en lo pertinente:
Art. 32.- Contenido de la evaluación de impacto.- En los casos en que sea obligatoria, la evaluación de impacto será presentada ante la Autoridad de Protección de Datos Personales y contendrá, al menos, lo siguiente:
La descripción sistemática de las operaciones de tratamiento y las finalidades de ese tratamiento;
La justificación de la necesidad de llevar a cabo esas operaciones de tratamiento, así como su proporcionalidad con respecto de la finalidad;
La evaluación de riesgos a los derechos y libertades de los titulares; y,
Las medidas previstas para hacer frente a los riesgos, las garantías, medidas de seguridad y mecanismos destinados a salvaguardar y demostrar el respeto al derecho de los titulares a la protección de sus datos personales. (…).
Mediante Resolución N° SPDP-SPD-2026-0039-R se expidió la Norma General para el Tratamiento de Datos Biométricos, en su artículo 4 contempla las siguientes definiciones:
Art. 4.- Para efectos del tratamiento de datos biométricos, las palabras enlistadas a continuación tendrán los siguientes significados: (…)
4.7. Imposibilidad técnica: Es una situación acreditada mediante análisis técnico previo y documentado que demuestra, justifica y prueba fehacientemente que las alternativas razonablemente disponibles de carácter no biométrico resultan insuficientes, inviables o incapaces de cumplir la finalidad perseguida con un nivel equivalente de seguridad, confiabilidad o eficiencia operativa.
(…)
4.10. Verificación biométrica: Es la comparación de una muestra biométrica con una plantilla previamente asociada a una identidad declarada, con el fin de confirmar dicha identidad.
El artículo 5 de la Norma General establece:
Art. 5.- El tratamiento de datos biométricos deberá, en todo momento, estar precedido de un análisis de riesgos y su correspondiente evaluación de impacto, que justifique suficientemente la utilización de sistemas biométricos para la finalidad perseguida; todo ello de acuerdo con la LOPDP, el RGLOPDP y la normativa secundaria aplicable.
La determinación del nivel de riesgo deberá realizarse en cada caso, considerando, entre otros factores, la finalidad, el alcance y el contexto del tratamiento, así como el tipo y el volumen de los datos biométricos objeto de tratamiento. Para ello, se deberán aplicar las medidas de seguridad correspondientes que estuvieren determinadas a partir del análisis de riesgos y su evaluación de impacto, de conformidad con lo previsto en la normativa aplicable de protección de datos.
El artículo 6 de la misma Norma General para el Tratamiento de Datos Biométricos dispone:
Art. 6.- El tratamiento de datos biométricos será lícito únicamente cuando exista una base de legitimación válida de conformidad con el tratamiento de datos sensibles contemplado en la LOPDP.
Siempre que, de manera técnica y cabalmente demostrada, los tratamientos de datos biométricos no incluyeren identificación unívoca o verificación biométrica, se los podrá realizar al amparo de las bases de legitimación de la LOPDP.
Asimismo, el artículo 13 de la misma Norma General:
<i<Art. 13.- Antes de implementar un sistema biométrico, el responsable o encargado, según corresponda, deberá evaluar si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad de las personas.
El uso de biometría solo será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y cuando no existieren otros medios que permitan cumplirla.
El artículo 13 de la Norma General dispone:
Art. 14.- Los sistemas biométricos deberán diseñarse e implementarse de conformidad con los principios de protección de datos desde el diseño y por defecto, además de garantizar que el tratamiento de datos biométricos incorpore salvaguardas técnicas y organizativas desde las fases iniciales de concepción del sistema. Para ello, el responsable o encargado, según corresponda, deberá asegurar la minimización de los datos tratados, la limitación estricta de accesos, la seguridad reforzada y la adopción de arquitecturas tecnológicas que reduzcan estructuralmente el riesgo de identificación indebida, reutilización no autorizada o filtración de datos biométricos.
Por otro lado, el artículo 15 de la Norma General regula:
Art. 15.- El responsable o encargado, según corresponda, deberá realizar en forma obligatoria la EIPD antes de implementar cualquier sistema biométrico.
La EIPD deberá identificar, analizar, y evaluar los riesgos para los derechos y libertades de las personas, así como establecer las medidas necesarias para mitigarlos siguiendo los lineamientos del marco normativo aplicable.
La EIPD deberá ser revisada y actualizada cada doce (12) meses y también cuando cambie el nivel de riesgo del tratamiento.
Finalmente, el artículo 16 de la Norma General prevé lo siguiente:
Art. 16.- El tratamiento de datos biométricos requerirá la implementación de medidas de seguridad reforzadas, acordes con los resultados de su análisis de riesgos y la EIPD realizada para cada uno de los tratamientos; ello de acuerdo con la versión que estuviere vigente de la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales de la SPDP.
Pronunciamiento
En atención a los términos de la consulta realizada, el análisis expuesto y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
“1.- ¿Se debe interpretar que los artículos 7 numeral 2) y artículo 26 literal b) de la Ley Orgánica de Protección de Datos Personales, permiten a las entidades públicas tratar datos biométricos para fines exclusivos de autenticación o validación de identidad, cuando dicho tratamiento resulte necesario para cumplir su naturaleza jurídica y el ejercicio de sus competencias legalmente atribuidas?”
Para responder a la primera pregunta debe partirse de la premisa de que los datos biométricos constituyen datos sensibles y, por tanto, su tratamiento se encuentra sujeto a un régimen específico. En consecuencia, la determinación de la licitud del tratamiento requiere distinguir entre la competencia institucional dentro de la cual actúa la entidad pública, la condición de legitimación aplicable conforme al artículo 7 de la LOPDP, la concurrencia de alguno de los supuestos previstos en el artículo 26 para el tratamiento de datos sensibles y el cumplimiento de los principios y demás obligaciones previstas en la normativa.
En el supuesto planteado por la Consultante, el numeral 2 del artículo 7 establece una condición de legitimación cuando el tratamiento es realizado por el responsable en cumplimiento de una obligación legal. El literal b) del artículo 26, por su parte, permite exceptuar la prohibición general de tratamiento de datos sensibles cuando dicho tratamiento resulte necesario para el cumplimiento de obligaciones o el ejercicio de derechos específicos del responsable o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
Ambas disposiciones cumplen funciones jurídicas distintas y deben ser examinadas de manera concurrente cuando el tratamiento recaiga sobre datos biométricos. La concurrencia del supuesto previsto en el literal b) del artículo 26 no sustituye la necesidad de identificar la condición de legitimación correspondiente conforme al artículo 7 de la LOPDP. Esta interpretación se encuentra reforzada por el artículo 6 de la Resolución N° SPDP-SPD-2026-0039-R, que dispone que el tratamiento de datos biométricos será lícito únicamente cuando exista una base de legitimación válida de conformidad con el tratamiento de datos sensibles contemplado en la LOPDP.
En consecuencia, la sola naturaleza pública de la entidad, la existencia general de competencias legalmente atribuidas o la finalidad de autenticar o validar la identidad no determinan, por sí mismas, la procedencia ni la pertinencia del tratamiento biométrico. Cuando se pretenda sustentar el tratamiento en el numeral 2 del artículo 7, deberá identificarse la obligación legal concreta cuyo cumplimiento requiere el tratamiento y, adicionalmente, justificarse que el tratamiento de datos biométricos resulte necesario para cumplir dicha obligación o para el ejercicio de un derecho específico comprendido en el ámbito de la seguridad y protección social.
Debe distinguirse, además, entre la necesidad de autenticar o validar la identidad de una persona y la necesidad de utilizar datos biométricos para realizar dicha autenticación o validación. La primera puede derivar de las competencias y obligaciones que el ordenamiento jurídico atribuya a la entidad. La segunda requiere una justificación adicional conforme al régimen específico aplicable al tratamiento biométrico.
Esta distinción se encuentra expresamente desarrollada en la Resolución N° SPDP-SPD-2026-0039-R. Su artículo 13 exige que, antes de implementar un sistema biométrico, el responsable evalúe si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad y determina que el uso de biometría será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y no existan otros medios que permitan cumplirla.
Por tanto, la finalidad de autenticación o validación de identidad no determina, por sí misma, que el tratamiento biométrico resulte necesario. El responsable deberá justificar que, respecto de la operación concreta, el empleo de biometría resulta estrictamente necesario y que no existen otros medios que permitan alcanzar la finalidad prevista.
Este entendimiento guarda coherencia con los criterios previamente emitidos por esta Superintendencia en materia de datos biométricos. Mediante Oficio N° SPDP-IRD-2025-0031-O se determinó, respecto de las circunstancias entonces analizadas, que la sola finalidad de control de asistencia no justificaba el tratamiento biométrico cuando este resultaba desproporcionado e impertinente. Posteriormente, mediante los Oficios N° SPDP-IRD-2025-0065-O y N° SPDP-IRD-2025-0108-O se desarrollaron criterios relacionados con proporcionalidad, evaluación de riesgos y existencia de alternativas en el contexto del control biométrico de asistencia.
Aquellos pronunciamientos fueron emitidos respecto de tratamientos vinculados principalmente con el control de asistencia laboral, mientras que la presente consulta se refiere a la autenticación o validación de identidad en el ámbito de la seguridad y protección social. Por ello, las conclusiones vinculadas específicamente con las circunstancias y condiciones de legitimación examinadas en aquellos casos deben atender a su propio contexto. Sin embargo, se mantiene el criterio institucional transversal conforme al cual la existencia de una finalidad lícita no determina, por sí misma, la procedencia del tratamiento biométrico y corresponde justificar la necesidad y proporcionalidad del mecanismo concreto seleccionado.
Asimismo, mediante Oficio N° SPDP-IRD-2025-0246-O esta Superintendencia señaló que el tratamiento de datos biométricos y sensibles debe sujetarse a los principios de la LOPDP, contar con el fundamento jurídico correspondiente, realizar los análisis de riesgos y evaluaciones de impacto aplicables e implementar las medidas de seguridad necesarias.
La Resolución N° SPDP-SPD-2026-0039-R refuerza y desarrolla actualmente estas exigencias. Conforme a su artículo 5, el tratamiento biométrico deberá estar precedido, en todo momento, de un análisis de riesgos y de la correspondiente evaluación de impacto que justifique suficientemente la utilización del sistema biométrico para la finalidad perseguida.
En consecuencia, respecto de la primera pregunta, el numeral 2 del artículo 7 y literal b) del artículo 26 de la LOPDP deben aplicarse de manera articulada, pero su concurrencia no determina automáticamente la procedencia de cualquier tratamiento biométrico efectuado por una entidad pública en el ámbito de la seguridad y protección social.
Corresponderá verificar, respecto de la operación concreta, la obligación legal que sustente el tratamiento conforme al numeral 2 del artículo 7, la concurrencia de los presupuestos previstos en el literal b) del artículo 26 y las demás condiciones establecidas en la normativa. Adicionalmente, conforme a la Resolución N° SPDP-SPD-2026-0039-R, deberá justificarse que la utilización de biometría resulte estrictamente necesaria para alcanzar la finalidad prevista y que no existan otros medios que permitan cumplirla.
“2.- ¿Cómo deben interpretarse y aplicarse los principios de proporcionalidad, minimización y confidencialidad previstos en el artículo 10, literales e), f) y g), de la Ley Orgánica de Protección de Datos Personales, en concordancia con el artículo 26, literal b), del mismo cuerpo legal, para determinar las condiciones, parámetros y garantías mínimas que deben observar las entidades públicas en el tratamiento de datos biométricos destinado exclusivamente a la autenticación o validación de identidad, incluyendo aquellos tratamientos que impliquen la interoperabilidad en tiempo real con los registros biométricos de otra entidad pública?”
Como cuestión previa, el numeral 4.10 del artículo 4 de la Resolución N° SPDP-SPD-2026-0039-R define a la verificación biométrica como la comparación de una muestra biométrica con una plantilla previamente asociada a una identidad declarada, con el fin de confirmar dicha identidad. Esta definición guarda relación directa con la finalidad de autenticación o validación de identidad planteada por el Consultante.
El principio de pertinencia y minimización exige que el tratamiento se limite a los datos biométricos y a las operaciones estrictamente necesarias para cumplir la finalidad de autenticación o validación de identidad. Esta exigencia comprende no solo la cantidad de datos tratados, sino también los accesos habilitados, los plazos de conservación y cualquier información adicional generada durante el proceso de verificación.
Por su parte, el principio de proporcionalidad exige que el tratamiento biométrico sea adecuado, necesario y no excesivo frente a la finalidad perseguida. Respecto de los tratamientos biométricos específicamente, el artículo 13 de la Resolución N° SPDP-SPD-2026-0039-R establece una exigencia específica de necesidad, al disponer que, antes de implementar un sistema biométrico, deberá evaluarse si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad y que el uso de biometría solo será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y no existan otros medios que permitan cumplirla.
La propia Resolución N° SPDP-SPD-2026-0039-R define la imposibilidad técnica como aquella situación acreditada mediante un análisis técnico previo y documentado que demuestre que las alternativas razonablemente disponibles de carácter no biométrico resultan insuficientes, inviables o incapaces de cumplir la finalidad perseguida con un nivel equivalente de seguridad, confiabilidad o eficiencia operativa. Por tanto, la valoración de alternativas no puede limitarse a una afirmación genérica de conveniencia, eficiencia o mayor seguridad del sistema biométrico. La decisión deberá encontrarse sustentada técnica y jurídicamente en función de las características reales de la operación que pretenda implementarse.
El principio de confidencialidad exige que los datos biométricos no sean utilizados o comunicados para finalidades distintas de aquellas que justificaron su tratamiento, salvo que concurra una nueva condición de legitimación. Asimismo, obliga al responsable a implementar medidas técnicas y organizativas adecuadas para restringir el acceso y uso de la información a quienes se encuentren autorizados y únicamente en la medida necesaria para cumplir la finalidad determinada.
Estos principios deben aplicarse conjuntamente con las obligaciones derivadas de la naturaleza del tratamiento. Conforme al numeral 14.4 del artículo 14 de la Resolución N° SPDP-SPD-2026-0005-R, el tratamiento de datos biométricos se encuentra previsto como un supuesto de calificación directa y obligatoria de tratamiento a gran escala. En consecuencia, deberán observarse los efectos jurídicos previstos para esta clase de tratamientos. Sin perjuicio de ello, cuando el tratamiento se realice específicamente mediante tecnologías de reconocimiento facial, deberá atenderse a la regla especial prevista en el artículo 19 de la Resolución N° SPDP-SPD-2026-0039-R, conforme a la cual el uso de dicha tecnología no constituye, por sí mismo, un tratamiento de datos a gran escala, correspondiendo verificar lo establecido en el RGLOPDP y en la normativa secundaria específica aplicable para determinar dicha condición.
Independientemente de la determinación que corresponda respecto de su calificación como tratamiento a gran escala, los artículos 5 y 15 de la Resolución N° SPDP-SPD-2026-0039-R exigen que todo tratamiento mediante sistemas biométricos se encuentre precedido de un análisis de riesgos y de la correspondiente evaluación de impacto, la cual deberá realizarse obligatoriamente antes de la implementación del sistema.
El análisis de riesgos y la evaluación de impacto permiten identificar amenazas, valorar consecuencias y establecer medidas de mitigación, pero no sustituyen la obligación previa de justificar la licitud, necesidad y proporcionalidad del tratamiento.
Los criterios previamente emitidos por esta Superintendencia muestran que el tratamiento de datos biométricos requiere un examen reforzado de necesidad y proporcionalidad. Así se desprende de los Oficios N° SPDP-IRD-2025-0031-O, N° SPDP-IRD-2025-0065-O y N° SPDP-IRD-2025-0108-O, en los cuales se vinculó la procedencia del tratamiento biométrico con la superación de un examen de proporcionalidad, la valoración de riesgos y la consideración de alternativas menos invasivas.
Cuando la autenticación o validación implique interoperabilidad en tiempo real con registros biométricos administrados por otra entidad pública, la consulta, cotejo, interconexión, comunicación o habilitación de acceso constituyen operaciones de tratamiento y se encuentran sujetas a las mismas exigencias. En este punto resulta pertinente el criterio recogido en el Oficio N° SPDP-IRD-2026-0242-O, conforme al cual la sola relación institucional entre entidades públicas no habilita el intercambio irrestricto de datos personales.
En consecuencia, la interoperabilidad no constituye, por sí misma, fundamento jurídico para acceder, copiar, conservar o reutilizar registros biométricos administrados por otra entidad. Cada operación deberá encontrarse sustentada jurídicamente, responder a la finalidad determinada y limitarse a la información y al nivel de acceso estrictamente necesarios para la verificación concreta de identidad.
En aplicación conjunta de los principios consultados, las garantías deberán orientarse, entre otros aspectos, a delimitar la finalidad del tratamiento; limitar los datos y las operaciones a lo estrictamente necesario; restringir y controlar los accesos; impedir usos posteriores incompatibles; definir plazos de conservación y supresión; mantener trazabilidad de las consultas; y adoptar medidas técnicas y organizativas adecuadas a la sensibilidad de la información y a los riesgos derivados del tratamiento.
En aplicación conjunta de los principios consultados y de las obligaciones específicas previstas en la Resolución N° SPDP-SPD-2026-0039-R, las garantías deberán orientarse, entre otros aspectos, a delimitar la finalidad del tratamiento; limitar los datos y las operaciones a lo estrictamente necesario; restringir y controlar los accesos; impedir usos posteriores incompatibles; definir plazos de conservación y supresión; mantener trazabilidad de las consultas; aplicar protección de datos desde el diseño y por defecto; y adoptar medidas técnicas y organizativas adecuadas a la sensibilidad de la información y a los riesgos derivados del tratamiento.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.