Consultas
1. ¿Debe interpretarse que la competencia atribuida por una norma con rango de ley para controlar la asistencia y permanencia de los servidores públicos constituye, por sí misma, la habilitación jurídica prevista en el artículo 7 numeral 4 de la LOPDP para tratar datos biométricos destinados al control de asistencia?
2. ¿Cuál es el alcance jurídico del artículo 26 numeral 2 de la Ley Orgánica de Protección de Datos Personales respecto del tratamiento de datos biométricos por entidades públicas en el ámbito laboral, particularmente en cuanto a si dicha disposición constituye una base jurídica suficiente para dicho tratamiento?
3. ¿Debe interpretarse que los principios de juridicidad, necesidad, proporcionalidad y minimización previstos en el artículo 10 de la LOPDP exigen que exista una habilitación jurídica suficiente antes del tratamiento de datos biométricos por parte de una entidad pública?
Análisis
En atención con lo dispuesto en el numeral 11.3.9 del artículo 11 de la Resolución N° SPDP-SPD-2026-0030-R, mediante la cual se aprobó y expidió la Codificación del Estatuto Orgánico de Gestión Organizacional por Procesos de Arranque de la Superintendencia de Protección de Datos Personales, y en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales mediante el literal c) del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir, como en efecto se emite, la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP establece las siguientes definiciones:
“Art.4.- Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones: (…)Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
Datos biométricos: Datos personales únicos, relativos a las características físicas o fisiológicas, o conductas de una persona natural que permiten o confirman la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros.
Datos sensibles: Datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.”
(…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización,
posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.” (énfasis agregado).
El numeral 4 del artículo 7 de la LOPDP establece lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personales.- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones: (…) 4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad; (…)”.
El artículo 7 del RGLOPDP dispone, en lo pertinente:
Tratamiento legítimo.- Para efectos del correcto tratamiento de datos personales, se considerará lo siguiente: (…)
1. Cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos: Se entenderá que el tratamiento de datos personales está basado en el cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos, debidamente motivado y de acuerdo con los principios establecidos en la Ley, cuando la competencia correspondiente esté atribuida en una norma con rango de ley.
El tratamiento de datos personales realizado sobre esta base legitimadora deberá observar lo siguiente:
a. Los tipos de datos objeto del tratamiento;
b. Los titulares o interesados afectados;
c. Las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación;
d. La limitación de la finalidad;
e. Los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo.
El tratamiento de datos personales bajo esta base legitimadora deberá cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido
El artículo 10 de la LOPDP dispone, en lo pertinente:
“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de:
Juridicidad.- Los datos personales deben tratarse con estricto apego y cumplimiento a los principios, derechos y obligaciones establecidas en la Constitución, los instrumentos internacionales, la presente Ley, su Reglamento y la demás normativa y jurisprudencia aplicable. (…)
d) Finalidad.- Las finalidades del tratamiento deberán ser determinadas, explícitas, legítimas y comunicadas al titular; no podrán tratarse datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta ley. (…)
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos.
g) Confidencialidad.- El tratamiento de datos personales debe concebirse sobre la base del debido sigilo y secreto, es decir, no debe tratarse o comunicarse para un fin distinto para el cual fueron recogidos, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta ley.
Para tal efecto, el responsable del tratamiento deberá adecuar las medidas técnicas organizativas para cumplir con este principio. (…)”.
k) Responsabilidad proactiva y demostrada.- El responsable del tratamiento de datos personales deberá acreditar el haber implementado mecanismos para la protección de datos personales (…)”.
En este sentido el artículo 25 de la LOPDP dispone:
“Art. 25.- Categorías especiales de datos personales.- Se considerarán categorías especiales de datos personales, los siguientes:
Datos sensibles;
Datos de niñas, niños y adolescentes;
Datos de salud; y,
Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.” (énfasis agregado).
El artículo 26 del mismo cuerpo legal establece:
“Art. 26.- Tratamiento de datos sensibles.- Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias: (…)
a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
e) El tratamiento se lo realiza por orden de autoridad judicial.
f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente ley.” (énfasis añadido)
El artículo 40 de la LOPDP establece:
“Art. 40.- Análisis de riesgo, amenazas y vulnerabilidades.- Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
1) Las particularidades del tratamiento;
2)Las particularidades de las partes involucradas; y,
3) Las categorías y el volumen de datos personales objeto de tratamiento.” (énfasis agregado).
El artículo 41 de la LOPDP menciona que:
Art. 41.- Determinación de medidas de seguridad aplicables.- Para determinar las medidas de seguridad, aceptadas por el estado de la técnica, a las que están obligadas el responsable y el encargado del tratamiento de los datos personales, se deberán tomar en consideración, entre otros:
Los resultados del análisis de riesgos, amenazas y vulnerabilidades;
La naturaleza de los datos personales;
Las características de las partes involucradas; y,
Los antecedentes de destrucción de datos personales, la pérdida, alteración, divulgación o impedimento de acceso a los mismos por parte del titular, sean accidentales e intencionales, por acción u omisión, así como los antecedentes de transferencia, comunicación o de acceso no autorizado o exceso de autorización de tales datos.
El responsable y el encargado del tratamiento de datos personales deberán tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar, prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del titular, de conformidad con la normativa que emita la Autoridad de Protección de Datos Personales.” (énfasis agregado).
El artículo 42 de la LOPDP dispone:
“Art. 42.- Evaluación de impacto del tratamiento de datos personales.- El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera.
La evaluación de impacto relativa a la protección de los datos será de carácter obligatoria en caso de: (…)
b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos personales relativos a condenas e infracciones penales; (…)” (énfasis agregado).
El artículo 29 del RGLOPDP establece:
Art. 29.- Evaluación de impacto.- La evaluación de impacto consiste en un análisis preventivo, de naturaleza técnica, mediante el cual el responsable valora los impactos reales del tratamiento de datos personales, a efecto de identificar y mitigar posibles riesgos relacionados con el cumplimiento de los principios y el respeto de los derechos y de las obligaciones establecidas en la Ley Orgánica de Protección de Datos Personales, este Reglamento y demás normativa aplicable.
El artículo 31 del RGLOPDP dispone:
Art. 31.- Obligatoriedad de la evaluación de impacto.- Las evaluaciones de impacto del tratamiento de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse de forma previa al inicio del tratamiento de datos personales (…).
El artículo 32 del RGLOPDP establece, en lo pertinente:
Art. 32.- Contenido de la evaluación de impacto.- En los casos en que sea obligatoria, la evaluación de impacto será presentada ante la Autoridad de Protección de Datos Personales y contendrá, al menos, lo siguiente:
La descripción sistemática de las operaciones de tratamiento y las finalidades de ese tratamiento;
La justificación de la necesidad de llevar a cabo esas operaciones de tratamiento, así como su proporcionalidad con respecto de la finalidad;
La evaluación de riesgos a los derechos y libertades de los titulares; y,
Las medidas previstas para hacer frente a los riesgos, las garantías, medidas de seguridad y mecanismos destinados a salvaguardar y demostrar el respeto al derecho de los titulares a la protección de sus datos personales. (…).
Mediante Resolución N° SPDP-SPD-2026-0005-R se expidió la Norma General sobre el Tratamiento de Datos Personales a Gran Escala. Su artículo 14 dispone:
Art. 14.- Constituirá tratamiento de datos personales a gran escala —de manera directa y obligatoria, sin necesidad de aplicar el MTGE—, a más de los establecidos en el RGLOPDP, cuando el responsable o, en su caso, el encargado con acceso, visibilidad o control efectivo de los datos objeto de tratamiento, realizara en las siguientes actividades: (…)
14.4. Todo tratamiento de datos biométricos, así como todo tratamiento que ejecutare actividades de geolocalización a los titulares de datos personales;
Asimismo, el artículo 12 de la referida Resolución establece como efectos jurídicos de la calificación de un tratamiento como de gran escala:
12.1. Determinar la obligación de realizar una evaluación de impacto del tratamiento de datos personales previa;
12.2. Exigir la designación obligatoria de un delegado de protección de datos personales;
12.3. Incorporar el tratamiento de datos personales en el RAT; y,
12.4. Activar las medidas reforzadas de responsabilidad proactiva, seguridad y supervisión establecidas en esta norma general.
Mediante Resolución N° SPDP-SPD-2026-0039-R se expidió la Norma General para el Tratamiento de Datos Biométricos. Su artículo 5 establece:
Art. 5.- El tratamiento de datos biométricos deberá, en todo momento, estar precedido de un análisis de riesgos y su correspondiente evaluación de impacto, que justifique suficientemente la utilización de sistemas biométricos para la finalidad perseguida; todo ello de acuerdo con la LOPDP, el RGLOPDP y la normativa secundaria aplicable.
La determinación del nivel de riesgo deberá realizarse en cada caso, considerando, entre otros factores, la finalidad, el alcance y el contexto del tratamiento, así como el tipo y el volumen de los datos biométricos objeto de tratamiento. Para ello, se deberán aplicar las medidas de seguridad correspondientes que estuvieren determinadas a partir del análisis de riesgos y su evaluación de impacto, de conformidad con lo previsto en la normativa aplicable de protección de datos.
El artículo 6 de la misma Norma General para el Tratamiento de Datos Biométricos dispone:
Art. 6.- El tratamiento de datos biométricos será lícito únicamente cuando exista una base de legitimación válida de conformidad con el tratamiento de datos sensibles contemplado en la LOPDP.
Siempre que, de manera técnica y cabalmente demostrada, los tratamientos de datos biométricos no incluyeren identificación unívoca o verificación biométrica, se los podrá realizar al amparo de las bases de legitimación de la LOPDP.
Asimismo, el artículo 13 de la misma Norma General:
Art. 13.- Antes de implementar un sistema biométrico, el responsable o encargado, según corresponda, deberá evaluar si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad de las personas.
El uso de biometría solo será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y cuando no existieren otros medios que permitan cumplirla.
El artículo 14 de la Norma General dispone:
Art. 14.- Los sistemas biométricos deberán diseñarse e implementarse de conformidad con los principios de protección de datos desde el diseño y por defecto, además de garantizar que el tratamiento de datos biométricos incorpore salvaguardas técnicas y organizativas desde las fases iniciales de concepción del sistema. Para ello, el responsable o encargado, según corresponda, deberá asegurar la minimización de los datos tratados, la limitación estricta de accesos, la seguridad reforzada y la adopción de arquitecturas tecnológicas que reduzcan estructuralmente el riesgo de identificación indebida, reutilización no autorizada o filtración de datos biométricos.
Por otro lado, el artículo 15 de la Norma General regula:
Art. 15.- El responsable o encargado, según corresponda, deberá realizar en forma obligatoria la EIPD antes de implementar cualquier sistema biométrico.
La EIPD deberá identificar, analizar, y evaluar los riesgos para los derechos y libertades de las personas, así como establecer las medidas necesarias para mitigarlos siguiendo los lineamientos del marco normativo aplicable.
La EIPD deberá ser revisada y actualizada cada doce (12) meses y también cuando cambie el nivel de riesgo del tratamiento.
El artículo 16 de la Norma General prevé lo siguiente:
Art. 16.- El tratamiento de datos biométricos requerirá la implementación de medidas de seguridad reforzadas, acordes con los resultados de su análisis de riesgos y la EIPD realizada para cada uno de los tratamientos; ello de acuerdo con la versión que estuviere vigente de la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales de la SPDP.
Finalmente, el artículo 19 de la Norma General establece:
Art. 19.- El responsable o encargado, según corresponda, que use tecnologías de reconocimiento facial deberá cumplir con lo establecido en el artículo 26 de la LOPDP, así como realizar el análisis de riesgos, la EIPD e implementar medidas de seguridad reforzadas considerando la naturaleza, las finalidades y los medios utilizados en el tratamiento de datos biométricos.
Además, el responsable o encargado, según corresponda, deberá asegurarse de que estas medidas de seguridad garanticen la protección de los datos biométricos en su ciclo de vida, pero también deberá revisar y actualizar el análisis de riesgos y la EIPD de forma periódica o cuando se actualizare la tecnología empleada. El uso de tecnologías de reconocimiento facial no constituye, por sí mismo, un tratamiento de datos a gran escala; sin embargo, será obligación del responsable o encargado, según corresponda, verificar lo establecido en el RGLOPDP y en la normativa secundaria específica aplicable.
Pronunciamiento
En atención a los términos de la consulta realizada el 20 de julio de 2026 y debidamente subsanada el 05 de agosto del 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
“¿Debe interpretarse que la competencia atribuida por una norma con rango de ley para controlar la asistencia y permanencia de los servidores públicos constituye, por sí misma, la habilitación jurídica prevista en el artículo 7 numeral 4 de la LOPDP para tratar datos biométricos destinados al control de asistencia?”
El numeral 4 del artículo 7 de la LOPDP establece, con carácter general, una de las condiciones de legitimación del tratamiento de datos personales cuando este se sustenta en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley. La identificación de una competencia de esta naturaleza no determina, por sí misma, que dicha base resulte suficiente para legitimar toda operación de tratamiento que pueda efectuarse en ejercicio de aquella.
El artículo 7 del RGLOPDP desarrolla esta disposición y exige que la competencia correspondiente se encuentre atribuida por una norma con rango de ley, que el tratamiento se encuentre debidamente motivado y que sea proporcional al fin legítimo perseguido. También dispone que deben considerarse los tipos de datos tratados, los titulares afectados, la finalidad, los plazos de conservación y las operaciones y procedimientos asociados al tratamiento.
Por tanto, para determinar la legitimidad del tratamiento no es suficiente que el responsable pertenezca al sector público ni que persiga una finalidad institucional legítima. Debe existir una competencia legalmente atribuida que guarde relación con la actividad dentro de la cual se produce el tratamiento y, adicionalmente, deben cumplirse las restantes condiciones previstas en la normativa. En el supuesto consultado debe distinguirse entre la competencia para controlar la asistencia y permanencia de los servidores públicos y la decisión de utilizar datos biométricos como mecanismo para ejecutar ese control.
La existencia de una competencia u obligación relacionada con el control de asistencia permite identificar la finalidad institucional dentro de la cual se desarrolla la actividad administrativa. Sin embargo, no se desprende de ello que cualquier medio técnico que permita alcanzar esa finalidad resulte automáticamente necesario o proporcional desde la perspectiva de la protección de datos personales.
En consecuencia, no corresponde equiparar la facultad u obligación de una entidad de controlar la asistencia con una habilitación automática para realizar dicho control mediante datos biométricos. Esto por cuanto el tratamiento biométrico recae sobre datos sensibles, respecto de los cuales la LOPDP establece un régimen específico.
El numeral 4 del artículo 7 de la LOPDP tampoco establece que la norma con rango de ley deba mencionar nominativamente la tecnología concreta que se utilice. Por ello, no corresponde interpretar que todo tratamiento biométrico requiera necesariamente una ley que emplee expresiones tales como “biometría”, “huella dactilar” o “reconocimiento facial”. Sin embargo, la existencia de una competencia general no convierte automáticamente cualquier medio tecnológico en necesario y proporcional. El análisis debe considerar la relación existente entre la competencia, la finalidad institucional y la concreta operación de tratamiento que se pretende ejecutar.
La Resolución N° SPDP-SPD-2026-0039-R concreta esta exigencia. Su artículo 13 dispone que, antes de implementar un sistema biométrico, el responsable o encargado deberá evaluar si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad y establece que el uso de biometría únicamente será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y cuando no existieren otros medios que permitan cumplirla.
Este criterio guarda coherencia con los pronunciamientos previamente emitidos por esta Superintendencia. Mediante Oficio N° SPDP-IRD-2025-0031-O se analizó el uso de datos biométricos para el registro de asistencia laboral y se concluyó, respecto de las circunstancias sometidas a dicho pronunciamiento, que su utilización resultaba desproporcionada e impertinente y que la sola finalidad de registro de asistencia no justificaba el tratamiento analizado.
Posteriormente, mediante Oficio N° SPDP-IRD-2025-0065-O se examinó específicamente el control biométrico de asistencia de servidores públicos y se determinó que dicho tratamiento debía superar un examen de proporcionalidad, contar con la evaluación de impacto correspondiente y garantizar las condiciones aplicables conforme a las circunstancias entonces analizadas. Estos pronunciamientos evidencian un criterio institucional consistente en cuanto a que la finalidad de controlar la asistencia no determina, por sí misma, la procedencia del mecanismo biométrico.
En consecuencia, respecto de la primera pregunta, la competencia atribuida mediante una norma con rango de ley para controlar la asistencia y permanencia de los servidores públicos permite identificar el marco competencial y la finalidad institucional dentro de los cuales actúa la entidad, pero no constituye, por sí sola, habilitación jurídica suficiente para tratar datos biométricos destinados a dicha finalidad.
La procedencia del tratamiento deberá determinarse mediante la verificación conjunta de la condición de legitimación aplicable, el régimen correspondiente a los datos sensibles, los principios previstos en la LOPDP y las obligaciones específicas establecidas para el tratamiento de datos biométricos. En particular, deberá justificarse que el uso de biometría resulte estrictamente necesario para alcanzar la finalidad prevista y que no existan otros medios que permitan cumplirla.
¿Cuál es el alcance jurídico del artículo 26 numeral 2 de la Ley Orgánica de Protección de Datos Personales respecto del tratamiento de datos biométricos por entidades públicas en el ámbito laboral, particularmente en cuanto a si dicha disposición constituye una base jurídica suficiente para dicho tratamiento?
El artículo 26 de la LOPDP parte de una prohibición general respecto del tratamiento de datos sensibles y establece las circunstancias excepcionales en las cuales dicho tratamiento puede efectuarse. La referencia efectuada por la Consultante al “numeral 2” del artículo 26 corresponde materialmente al supuesto previsto en su literal b), relativo al tratamiento necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
Esta disposición cumple una función diferente de aquella que corresponde al artículo 7 de la LOPDP. El artículo 7 determina las condiciones generales bajo las cuales un tratamiento de datos personales puede considerarse legítimo y lícito. El artículo 26, por su parte, establece las circunstancias que permiten realizar un tratamiento que recae sobre datos sensibles, pese a la prohibición general que pesa sobre esta categoría de información. En consecuencia, cuando el tratamiento recae sobre datos biométricos, ambas dimensiones deben ser examinadas.
Esta interpretación se encuentra además respaldada por el artículo 6 de la Resolución N° SPDP-SPD-2026-0039-R, que condiciona expresamente la licitud del tratamiento biométrico a la existencia de una base de legitimación válida conforme al régimen previsto para el tratamiento de datos sensibles.
El supuesto previsto en el literal b) del artículo 26 no convierte automáticamente en lícito cualquier tratamiento de datos sensibles que tenga lugar dentro de una relación laboral. La propia disposición incorpora un elemento que delimita su alcance: el tratamiento debe ser necesario para el cumplimiento de obligaciones o para el ejercicio de derechos específicos. Por tanto, la sola existencia de una relación laboral no resulta suficiente.
Tampoco basta con identificar una obligación general cuyo cumplimiento requiera efectuar alguna forma de tratamiento de datos personales. Debe justificarse porqué el tratamiento de la categoría sensible seleccionada resulta necesario en relación con la obligación o derecho específico de que se trate. En el supuesto consultado, ello exige distinguir entre la necesidad de controlar la asistencia y la necesidad de utilizar datos biométricos para efectuar dicho control. La primera puede derivar del marco jurídico que regula las obligaciones de la entidad y de sus servidores. La segunda requiere una justificación adicional conforme al régimen de protección de datos personales.
En este punto, la Resolución N° SPDP-SPD-2026-0039-R incorpora una regla específica de necesidad. Antes de implementar un sistema biométrico deberá evaluarse si la finalidad puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad. El uso de biometría será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y no existan otros medios que permitan cumplirla. En otras palabras, que resulte jurídicamente necesario contar con mecanismos de control de asistencia no permite concluir automáticamente que resulte también necesario estructurar dichos mecanismos sobre datos biométricos.
El concepto de necesidad debe proyectarse sobre la operación concreta de tratamiento y no exclusivamente sobre la finalidad institucional considerada en abstracto. Conforme al artículo 13 de la Resolución N° SPDP-SPD-2026-0039-R, antes de implementar un sistema biométrico deberá evaluarse si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad. En consecuencia, el uso de biometría será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y no existan otros medios que permitan cumplirla.
En este sentido, mediante Oficio N° SPDP-IRD-2025-0065-O, esta Superintendencia determinó que el tratamiento biométrico para el control de asistencia de servidores públicos debía superar un examen de proporcionalidad y contar, de acuerdo con las circunstancias analizadas, con la correspondiente evaluación de impacto y con alternativas reales para los titulares. Posteriormente, mediante Oficio N° SPDP-IRD-2025-0108-O se precisó que el consentimiento explícito para el control biométrico de asistencia laboral podía resultar jurídicamente viable únicamente cuando previamente se hubiese superado un examen de proporcionalidad, se hubiesen realizado el análisis de riesgos y la evaluación de impacto correspondientes y el trabajador contara con alternativas reales y no invasivas, de modo que su decisión pudiera considerarse libre.
Estos pronunciamientos deben entenderse actualmente de manera conjunta con la Resolución N° SPDP-SPD-2026-0039-R, que establece condiciones específicas aplicables al tratamiento biométrico y convierte en obligaciones expresas varios de los criterios que previamente habían sido desarrollados a través de la interpretación de los principios de la LOPDP.
Adicionalmente, deberá considerarse lo previsto en la Resolución N° SPDP-SPD-2026-0005-R respecto de la calificación de los tratamientos de datos biométricos como tratamientos a gran escala y los efectos jurídicos derivados de dicha condición. Sin perjuicio de ello, cuando el tratamiento se realice específicamente mediante tecnologías de reconocimiento facial, deberá atenderse a la regla particular prevista en el artículo 19 de la Resolución N° SPDP-SPD-2026-0039-R, conforme a la cual el uso de dicha tecnología no constituye, por sí mismo, un tratamiento de datos a gran escala, correspondiendo verificar lo establecido en el RGLOPDP y en la normativa secundaria específica aplicable.
Por ello, respecto de la segunda pregunta, el literal b) del artículo 26 de la LOPDP no constituye, por sí solo, una habilitación general o automática para el tratamiento de datos biométricos por entidades públicas en el ámbito laboral.
Su aplicación exige identificar la obligación o el derecho específico involucrado y justificar que el tratamiento del dato sensible resulte necesario para su cumplimiento o ejercicio. Adicionalmente, deberá verificarse que se cumpla la condición de legitimación que corresponda de conformidad con el artículo 7 de la LOPDP y, de acuerdo con el artículo 13 de la Resolución N° SPDP-SPD-2026-0039-R, que el uso de biometría resulte estrictamente necesario para alcanzar la finalidad prevista y que no existan otros medios que permitan cumplirla.
“¿Debe interpretarse que los principios de juridicidad, necesidad, proporcionalidad y minimización previstos en el artículo 10 de la LOPDP exigen que exista una habilitación jurídica suficiente antes del tratamiento de datos biométricos por parte de una entidad pública?”
Como cuestión previa, debe precisarse que el artículo 10 de la LOPDP contempla expresamente los principios de juridicidad, pertinencia y minimización de datos personales y proporcionalidad del tratamiento, entre otros. Si bien la necesidad no se encuentra denominada como un principio autónomo en dicha disposición, constituye un criterio expresamente integrado en la pertinencia, minimización y proporcionalidad del tratamiento y, además, se encuentra recogida de manera expresa en el numeral 4 del artículo 7 de la LOPDP.
El principio de juridicidad exige que cualquier tratamiento se realice con estricto apego al ordenamiento jurídico aplicable. La determinación del fundamento jurídico correspondiente constituye, por tanto, una condición previa de licitud del tratamiento. No se trata de una circunstancia que pueda ser determinada únicamente después de implementado el mecanismo.
Esta exigencia adquiere especial relevancia cuando el responsable es una entidad pública, puesto que el tratamiento debe guardar relación con el marco jurídico dentro del cual dicha entidad ejerce sus competencias y, además, sujetarse a la normativa específica en materia de protección de datos personales. Cuando el tratamiento recae sobre datos biométricos, este examen debe incorporar también las disposiciones específicas contenidas en la Resolución N° SPDP-SPD-2026-0039-R. El artículo 6 de dicha Resolución confirma que el tratamiento biométrico será lícito únicamente cuando exista una base de legitimación válida conforme al tratamiento de datos sensibles previsto en la LOPDP. Por ello, la existencia de fundamento jurídico debe verificarse con carácter previo al inicio del tratamiento. Sin embargo, la identificación de un fundamento jurídico no agota el examen de licitud.
El principio de pertinencia y minimización exige que los datos tratados sean acotados y estén limitados a lo estrictamente necesario para cumplir la finalidad determinada. Esta exigencia se aplica tanto a la decisión inicial de utilizar biometría como a la configuración concreta del tratamiento. Por ello, aun cuando el tratamiento biométrico llegare a resultar jurídicamente procedente, deberá determinarse qué información biométrica resulta necesaria, qué operaciones deben efectuarse sobre ella, durante cuánto tiempo debe conservarse, quién puede acceder a la información y cuáles operaciones posteriores se encuentran realmente vinculadas con la finalidad.
No toda operación técnicamente posible resulta jurídicamente necesaria. La necesidad de efectuar una comparación biométrica para verificar la identidad no determina, por sí misma, la necesidad de conservar las imágenes, patrones o plantillas biométricas utilizadas en dicha operación durante un período adicional. La conservación, al igual que las restantes operaciones de tratamiento, deberá encontrarse justificada por la finalidad y sujetarse a los principios y obligaciones aplicables.
Esta obligación se encuentra concretada por el artículo 14 de la Resolución N° SPDP-SPD-2026-0039-R, que exige que los sistemas biométricos sean diseñados e implementados conforme a los principios de protección de datos desde el diseño y por defecto y que incorporen salvaguardas técnicas y organizativas desde sus fases iniciales. Entre ellas se encuentran la minimización de los datos tratados, la limitación estricta de accesos, la seguridad reforzada y la adopción de arquitecturas tecnológicas que reduzcan estructuralmente los riesgos de identificación indebida, reutilización no autorizada o filtración de datos biométricos.
El principio de proporcionalidad exige, asimismo, que el tratamiento sea adecuado, necesario, oportuno, relevante y no excesivo respecto de la finalidad y de la naturaleza de los datos involucrados. En este contexto, resulta necesario examinar la idoneidad del mecanismo, esto es, si permite efectivamente alcanzar la finalidad de control de asistencia; su necesidad, en el sentido de determinar si la finalidad puede alcanzarse mediante mecanismos razonablemente disponibles que impliquen una menor afectación al derecho a la protección de datos personales; y su proporcionalidad, considerando la intensidad del tratamiento frente al objetivo perseguido. Al tratarse de datos biométricos, la valoración de necesidad debe efectuarse además conforme al artículo 13 de la Resolución N° SPDP-SPD-2026-0039-R. Antes de implementar el sistema, deberá evaluarse si el objetivo perseguido puede alcanzarse mediante mecanismos menos invasivos o riesgosos para la privacidad. El uso de biometría será admisible cuando resulte estrictamente necesario para alcanzar la finalidad prevista y no existan otros medios que permitan cumplirla.
Mediante Oficio N° SPDP-IRD-2025-0031-O, se concluyó, respecto de las circunstancias entonces analizadas, que el tratamiento biométrico para registro de asistencia resultaba desproporcionado e impertinente. Mediante Oficio N° SPDP-IRD-2025-0065-O, se vinculó la procedencia del tratamiento biométrico de servidores públicos a un examen específico de proporcionalidad, riesgos y garantías. Finalmente, mediante Oficio N° SPDP-IRD-2025-0108-O, se ratificó la necesidad de alternativas reales y no invasivas cuando el tratamiento pretenda sustentarse en el consentimiento explícito.
La responsabilidad proactiva implica, además, que dichas valoraciones deben ser documentadas y susceptibles de demostración. No es suficiente afirmar que un mecanismo resulta más eficiente, moderno, preciso o conveniente. La decisión de tratar una categoría especial de datos debe poder justificarse conforme a la finalidad, la necesidad del tratamiento y sus riesgos.
En este punto, la Resolución N° SPDP-SPD-2026-0039-R establece obligaciones preventivas específicas. Su artículo 5 dispone que todo tratamiento biométrico deberá estar precedido de un análisis de riesgos y de la correspondiente evaluación de impacto que justifique suficientemente la utilización del sistema biométrico para la finalidad perseguida.
De forma concordante, el artículo 15 establece que el responsable o encargado deberá realizar obligatoriamente la evaluación de impacto antes de implementar cualquier sistema biométrico. Esta evaluación deberá identificar, analizar y valorar los riesgos para los derechos y libertades de las personas, establecer las medidas necesarias para mitigarlos y ser revisada y actualizada cada doce meses, así como cuando cambie el nivel de riesgo del tratamiento.
Asimismo, el artículo 16 dispone que el tratamiento de datos biométricos requiere medidas de seguridad reforzadas acordes con los resultados del análisis de riesgos y de la evaluación de impacto realizada para cada tratamiento.
Estos instrumentos no sustituyen la determinación previa de la licitud del tratamiento. La realización de un análisis de riesgos o de una evaluación de impacto no convierte en procedente un tratamiento que carezca de fundamento jurídico suficiente o que no cumpla con las exigencias de necesidad y proporcionalidad.
En cuanto a la calificación del tratamiento como de gran escala, debe considerarse de manera articulada la normativa secundaria aplicable. La Resolución N° SPDP-SPD-2026-0005-R establece, con carácter general, la calificación directa de los tratamientos de datos biométricos como tratamientos a gran escala. Sin embargo, la posterior Resolución N° SPDP-SPD-2026-0039-R dispone específicamente que el uso de tecnologías de reconocimiento facial no constituye, por sí mismo, un tratamiento de datos a gran escala y exige verificar, para este supuesto, lo previsto en el RGLOPDP y en la normativa secundaria específica aplicable.
Por tanto, cuando el mecanismo utilizado corresponda específicamente a una tecnología de reconocimiento facial, su calificación como tratamiento a gran escala no podrá derivarse únicamente de la utilización de dicha tecnología, sino que deberá verificarse conforme a las reglas específicas aplicables. Esta circunstancia no modifica, en ningún caso, la obligatoriedad del análisis de riesgos y de la evaluación de impacto previa, que deriva directamente de los artículos 5 y 15 de la Resolución N° SPDP-SPD-2026-0039-R.
El análisis debe seguir, en consecuencia, una secuencia coherente. En primer lugar, deberá verificarse la existencia de fundamento jurídico suficiente para el tratamiento. A continuación, deberá determinarse la concurrencia del supuesto aplicable para tratar datos sensibles. Posteriormente deberán examinarse la necesidad estricta del mecanismo biométrico, su pertinencia, minimización y proporcionalidad. Finalmente, deberán aplicarse las obligaciones preventivas, de diseño, seguridad y gestión de riesgos previstas en la normativa específica.
En este sentido, el concepto de “habilitación jurídica suficiente” planteado por la Consultante no debe reducirse a la identificación de una norma aislada que mencione o autorice expresamente una determinada tecnología. Su suficiencia deberá apreciarse a partir del conjunto de disposiciones aplicables al tratamiento: la competencia que delimita la actuación de la entidad pública, la condición de legitimación correspondiente, el supuesto que permita tratar datos sensibles, los principios aplicables y las condiciones específicas establecidas para el tratamiento de datos biométricos.
En consecuencia, respecto de la tercera pregunta, debe existir un fundamento jurídico suficiente antes de iniciar el tratamiento de datos biométricos. No obstante, la existencia de dicho fundamento no agota el examen de licitud. Será necesario verificar, adicionalmente, que el uso de biometría resulte estrictamente necesario para alcanzar la finalidad prevista, que no existan otros medios que permitan cumplirla, que el tratamiento se limite a los datos y operaciones estrictamente necesarios y que se observen las obligaciones de análisis de riesgos, evaluación de impacto previa, protección de datos desde el diseño y por defecto y seguridad reforzada previstas en la normativa específica.
De lo expuesto se desprende que la competencia para controlar la asistencia, la condición de legitimación del tratamiento, el supuesto que permite tratar datos sensibles y el cumplimiento de los principios y obligaciones aplicables al tratamiento biométrico constituyen elementos jurídicamente diferenciados que deben verificarse de manera articulada. La concurrencia de uno de ellos no sustituye el cumplimiento de los demás.
Por tanto, no corresponde entender que la existencia de una competencia institucional para controlar la asistencia habilite, por sí misma, el tratamiento de datos biométricos, ni que el supuesto previsto en el literal b) del artículo 26 constituya una autorización automática para su utilización. Tampoco se desprende de la normativa una prohibición abstracta de todo tratamiento biométrico para esta finalidad.
Corresponde al responsable verificar y poder demostrar, de manera previa al tratamiento, el cumplimiento concurrente de la condición de legitimación aplicable, del régimen previsto para los datos sensibles, de los principios de juridicidad, pertinencia, minimización y proporcionalidad, así como de las obligaciones específicas previstas en la normativa aplicable al tratamiento de datos biométricos. En particular, deberá justificarse que el uso de biometría resulte estrictamente necesario para alcanzar la finalidad prevista y que no existan otros medios que permitan cumplirla, así como realizar previamente el análisis de riesgos y la evaluación de impacto correspondientes.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.