Preguntas
“¿En aplicación de los artículos 7, numeral, 1, 8 y 26 de la ley Orgánica de Protección de Datos Personales, es jurídicamente viable el uso del consentimiento explicito como base legitimadora para el control de asistencia de los trabajadores siempre y cuando exista un análisis de riesgo integral que contenga medidas organizativas y técnicas que permitan mitigar los riesgos; y, alternativas no invasivas que permitan tomar la decisión de optar por otro mecanismo de control de asistencia, reduciendo así la posibilidad de la existencia de un temor reverencial por parte del empleador?.”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la Superintendencia de Protección de Datos Personales en el siguiente sentido:
El artículo 33 de la Constitución de la República del Ecuador (“CRE”) establece lo siguiente:
“Art. 33.- El trabajo es un derecho y un deber social, y un derecho económico, fuente de realización personal y base de la economía. El Estado garantizará a las personas trabajadoras el pleno respeto a su dignidad, una vida decorosa, remuneraciones y retribuciones justas y el desempeño de un trabajo saludable y libremente escogido o aceptado.” (énfasis agregado).
En este sentido los numerales 2 y 17 del artículo 66 CRE reconocen lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas(…) 2. El derecho a una vida digna, que asegure la salud, alimentación y nutrición, agua potable, vivienda, saneamiento ambiental, educación, trabajo, empleo, descanso y ocio, cultura física, vestido, seguridad social y otros servicios sociales necesarios. (…) 17. El derecho a la libertad de trabajo. Nadie será obligado a realizar un trabajo gratuito o forzoso, salvo los casos que determine la ley (…” (énfasis agregado).
Adicionalmente, el numeral 19 del artículo 66 CRE reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
Asimismo, el artículo 92 de la CRE prevé lo siguiente:
“Art. 92.- Toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá derecho a conocer de la existencia y a acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, en soporte material o electrónico. Asimismo tendrá derecho a conocer el uso que se haga de ellos, su finalidad, el origen y destino de información personal y el tiempo de vigencia del archivo o banco de datos.
Las personas responsables de los bancos o archivos de datos personales podrán difundir la información archivada con autorización de su titular o de la ley.
La persona titular de los datos podrá solicitar al responsable el acceso sin costo al archivo, así como la actualización de los datos, su rectificación, eliminación o anulación. En el caso de datos sensibles, cuyo archivo deberá estar autorizado por la ley o por la persona titular, se exigirá la adopción de las medidas de seguridad necesarias. Si no se atendiera su solicitud, ésta podrá acudir a la jueza o juez. La persona afectada podrá demandar por los perjuicios ocasionados.” (énfasis agregado).
En concordancia con los artículos previamente citados, el artículo 4 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) define lo siguiente:
“Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.
Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros. (…)
Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.” (énfasis agregado).
El artículo 8 de la LOPDP dispone lo siguiente:
“Art. 8.- Consentimiento.- Se podrán tratar y comunicar datos personales cuando se cuente con la manifestación de la voluntad del titular para hacerlo. El consentimiento será válido, cuando la manifestación de la voluntad sea:
1) Libre, es decir, cuando se encuentre exenta de vicios del consentimiento;
2) Específica, en cuanto a la determinación concreta de los medios y fines del tratamiento;
3) Informada, de modo que cumpla con el principio de transparencia y efectivice el derecho a la transparencia,
4) Inequívoca, de manera que no presente dudas sobre el alcance de la autorización otorgada por el titular.
El consentimiento podrá revocarse en cualquier momento sin que sea necesaria una justificación, para lo cual el responsable del tratamiento de datos personales establecerá mecanismos que garanticen celeridad, eficiencia, eficacia y gratuidad, así como un procedimiento sencillo, similar al proceder con el cual recabó el consentimiento.
El tratamiento realizado antes de revocar el consentimiento es lícito, en virtud de que este no tiene efectos retroactivos.
Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste que dicho consentimiento se otorga para todas ellas.” (énfasis agregado).
Asimismo, el artículo 10 de la LOPDP determina lo siguiente:
“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…)
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos. (…)”(énfasis agregado).
En este sentido el artículo 25 de la LOPDP dispone:
“Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
a) Datos sensibles;
b) Datos de niñas, niños y adolescentes;
c) Datos de salud; y,
d) Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.” (énfasis agregado).
El artículo 26 del mismo cuerpo legal indica:
“Art. 26.- Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias:
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley.” (énfasis agregado).
El artículo 40 de la LOPDP establece:
“Análisis de riesgo, amenazas y vulnerabilidades.- Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
1) Las particularidades del tratamiento;
2) Las particularidades de las partes involucradas; y,
3) Las categorías y el volumen de datos personales objeto de tratamiento.” (énfasis agregado).
El artículo 41 de la LOPDP menciona que:
“Determinación de medidas de seguridad aplicables.- Para determinar las medidas de seguridad, aceptadas por el estado de la técnica, a las que están obligadas el responsable y el encargado del tratamiento de los datos personales, se deberán tomar en consideración, entre otros:
1) Los resultados del análisis de riesgos, amenazas y vulnerabilidades;
2) La naturaleza de los datos personales;
3) Las características de las partes involucradas; y,
4) Los antecedentes de destrucción de datos personales, la pérdida, alteración, divulgación o impedimento de acceso a los mismos por parte del titular, sean accidentales e intencionales, por acción u omisión, así como los antecedentes de transferencia, comunicación o de acceso no autorizado o exceso de autorización de tales datos.
El responsable y el encargado del tratamiento de datos personales deberán tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar, prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del titular, de conformidad con la normativa que emita la Autoridad de Protección de Datos Personales.” (énfasis agregado).
El artículo 42 de la LOPDP dispone:
“Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera (…)” (énfasis agregado).
En concordancia con lo antedicho, el artículo 1472 del Código Civil (“CC”) menciona lo siguiente:
“Art. 1472.- La fuerza no vicia el consentimiento, sino cuando es capaz de producir una impresión fuerte en una persona de sano juicio, tomando en cuenta su edad, sexo y condición. Se mira como fuerza de este género todo acto que infunde a una persona justo temor de verse expuestos ella, su cónyuge o alguno de sus ascendientes o descendientes, a un mal irreparable y grave.
El temor reverencial, esto es, el solo temor de desagradar a las personas a quienes se debe sumisión y respeto, no basta para viciar el consentimiento.” (énfasis agregado).
En concordancia con la normativa previamente referida, esta Autoridad con fecha 20 de mayo del presente año emitió el Oficio Nº SPDP-IRD-2025-0065-O en el cual se dio contestación a la consulta dentro del expediente EXP-SPDP-IRD-CNSR-2025-0014, en el cual se estableció el siguiente análisis: “[c]on base en la normativa previamente citada y en concordancia con el Oficio Nº SPDP-IRD-2025-0031-O de la consulta de expediente EXP-SPDP-IRD-CNSR-2025-0002 donde se dio contestación a la consulta respecto al uso de biométricos para el registro de asistencia, se ratifica la contestación de dicha consulta respecto a las preguntas realizadas sobre el uso de biométricos. Sin embargo, se recalca que, el uso de datos biométricos para registro de asistencia, no deben ser usados como primera ni única opción, sino como última elección, considerando lo que seguidamente se señala. En efecto, de acuerdo con el numeral 19 del artículo 66 de la CRE, en concordancia con el artículo 26 de la LOPDP, los datos personales solo podrán tratarse para tal finalidad, esto es, para el control de asistencia, siempre y cuando el tratamiento haya superado el test de proporcionalidad de acuerdo con el principio de proporcionalidad, análisis de riesgo y evaluación de impacto, bajo el consentimiento del titular de datos, tanto del sector privado como del sector público. El solo consentimiento del titular no libera al responsable del tratamiento de llevar a cabo el test de proporcionalidad (y de poder demostrar que fue superado), el análisis de riesgo y la evaluación de impacto; y para que el consentimiento se lo tenga por libre, en los términos del artículo 8 de la LOPDP, el titular deberá tener la posibilidad real de poder escoger, entre varias opciones efectivamente puestas a su disposición, cuál es la que mejor le conviene para el control de su asistencia, en cuyo caso se deberá ser capaz de probar ante la SPDP, de manera fehaciente, que efectivamente el titular de datos personales pudo y escogió el mencionado tratamiento para el registro de asistencia.”(énfasis agregado).
Pronunciamiento
“Sobre la base de lo señalado, GOLDEN solicita a la SPDP que aclare la forma de interpretación y aplicación de los artículos 34 y 35 de la LOPDP, en junto con el alcance jurídico del artículo 43 del RLOPDP.”
En atención a los términos de la consulta realizada mediante Oficio SN el 28 de mayo de 2025, y debidamente subsanada el 03 de junio de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿En aplicación de los artículos 7, numeral, 1, 8 y 26 de la ley Orgánica de Protección de Datos Personales, es jurídicamente viable el uso del consentimiento explicito como base legitimadora para el control de asistencia de los trabajadores siempre y cuando exista un análisis de riesgo integral que contenga medidas organizativas y técnicas que permitan mitigar los riesgos; y, alternativas no invasivas que permitan tomar la decisión de optar por otro mecanismo de control de asistencia, reduciendo así la posibilidad de la existencia de un temor reverencial por parte del empleador?.”
Efectivamente, se ratifica el análisis que consta en las consultas absueltas mediante el Oficio Nº SPDP-IRD-2025-0031-O y el Oficio Nº SPDP-IRD-2025-0065-O. En este sentido, el uso del consentimiento explícito como base de legitimación para el control de asistencia de trabajadores para dicho tratamiento de datos de los trabajadores, se debe utilizar siempre y cuando se haya realizado el test de proporcionalidad, el análisis de riesgo correspondiente y éste no haya considerado como resultado un riesgo alto ni crítico. Adicionalmente, también deberá contar con una evaluación de impacto que establezca las medidas de mitigación de riesgo adecuadas, pertinentes, proporcionales y necesarias al tratamiento de datos específicos. Una vez que cuente con todas las condiciones anteriores y no exista la condición de un riesgo alto ni crítico, se podrá contar con el consentimiento de los titulares; consentimiento que, para tenérselo por libre, específico, informado e inequívoco, deberá permitirle al titular disponer de la posibilidad real de escoger entre varias otras alternativas para el control de su asistencia.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad del Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.