Consulta
¿Es jurídicamente procedente que el tratamiento de datos personales consistente en la captación de imágenes mediante sistemas de videovigilancia, implementados por una entidad pública como el Benemérito Cuerpo de Bomberos de Machala para fines de seguridad institucional y protección de personas, se legitime en la base prevista en el artículo 7, numeral 4 de la Ley Orgánica de Protección de Datos Personales, relativa al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable? (…)
Consulta (reformulada):
Conforme al artículo 12 de la LOPDP, ¿puede considerarse que la colocación de señalética informativa visible en zonas videovigiladas constituye un mecanismo válido para garantizar el derecho a la información de los titulares de datos personales, sin que ello implique que la Superintendencia defina contenidos específicos no regulados, sino en cuanto a la interpretación general del alcance del principio de información? (…)
Consulta:
¿Cuál es la correcta interpretación y aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos, previstos en el artículo 10, literales e y f de la LOPDP, en relación con la definición de las ubicaciones de cámaras de videovigilancia dentro de instalaciones públicas? (…)
Consulta (reformulada):
Con base en el principio de conservación de datos personales previsto en el artículo 10, literal i de la LOPDP, ¿cómo debe interpretarse el criterio de que los datos personales no sean conservados por un plazo mayor al necesario para cumplir la finalidad del tratamiento, en el contexto de sistemas de videovigilancia implementados por entidades públicas?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
Asimismo, los artículos 225 y 226 de la CRE establece:
“Art. 425.- El orden jerárquico de aplicación de las normas será el siguiente: La Constitución; los tratados y convenios internacionales; las leyes orgánicas; las leyes ordinarias; las normas regionales y las ordenanzas distritales; los decretos y reglamentos; las ordenanzas; los acuerdos y las resoluciones; y los demás actos y decisiones de los poderes públicos.
En caso de conflicto entre normas de distinta jerarquía, la Corte Constitucional, las juezas y jueces, autoridades administrativas y servidoras y servidores públicos, lo resolverán mediante la aplicación de la norma jerárquica superior.
La jerarquía normativa considerará, en lo que corresponda, el principio de competencia, en especial la titularidad de las competencias exclusivas de los gobiernos autónomos descentralizados.
Art. 226.- Las instituciones del Estado, sus organismos, dependencias, las servidoras o servidores públicos y las personas que actúen en virtud de una potestad estatal ejercerán solamente las competencias y facultades que les sean atribuidas en la Constitución y la ley.” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros. (…)
Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente. (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 7 de la LOPDP se establece lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personas (sic).- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones:
1) Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas;
2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal;
3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente Ley;
4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad;
5) Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, encargado del tratamiento de datos personales o por un tercero legalmente habilitado;
6) Para proteger intereses vitales del interesado o de otra persona natural, como su vida, salud o integridad;
7) Para tratamiento de datos personales que consten en bases de datos de acceso público; u,
8) Para satisfacer un interés legítimo del responsable de tratamiento o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma.” (énfasis agregado).
El artículo 10 de la LOPDP dispone lo siguiente:
“Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de:
a) Juridicidad.- Los datos personales deben tratarse con estricto apego y cumplimiento a los principios, derechos y obligaciones establecidas en la Constitución, los instrumentos internacionales, la presente Ley, su Reglamento y la demás normativa y jurisprudencia aplicable.
b) Lealtad.- El tratamiento de datos personales deberá ser leal, por lo que para los titulares debe quedar claro que se están recogiendo, utilizando, consultando o tratando de otra manera, datos personales que les conciernen, así como las formas en que dichos datos son o serán tratados.
En ningún caso los datos personales podrán ser tratados a través de medios o para fines, ilícitos o desleales.
c) Transparencia.- El tratamiento de datos personales deberá ser transparente, por lo que toda información o comunicación relativa a este tratamiento deberá ser fácilmente accesible y fácil de entender y se deberá utilizar un lenguaje sencillo y claro.
Las relaciones derivadas del tratamiento de datos personales deben ser transparentes y se rigen en función de las disposiciones contenidas en la presente Ley, su reglamento y demás normativa atinente a la materia.
d) Finalidad.- Las finalidades del tratamiento deberán ser determinadas, explícitas, legítimas y comunicadas al titular: no podrán tratarse datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta Ley.
El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. Para ello, habrá de considerarse el contexto en el que se recogieron los datos, la información facilitada al titular en ese proceso y, en particular, las expectativas razonables del titular basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los titulares del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista.
e) Pertinencia y minimización de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relación a las finalidades para las cuales hayan sido recogidos o a la naturaleza misma, de las categorías especiales de datos. (…)
l) Aplicación favorable al titular.- En caso de duda sobre el alcance de las disposiciones del ordenamiento jurídico o contractuales, aplicables a la protección de datos personales, los funcionarios judiciales y administrativos las interpretarán y aplicarán en el sentido más favorable al titular de dichos datos.(…)”(énfasis agregado).
El artículo 12 de la LOPDP indica:
“Art. 12.- Derecho a la información.- El titular de datos personales tiene derecho a ser informado conforme los principios de lealtad y transparente por cualquier medio sobre:
1) Los fines del tratamiento;
2) La base legal para el tratamiento;
3) Tipos de tratamiento;
4) Tiempo de conservación;
5) La existencia de una base de datos en la que constan sus datos personales;
6) El origen de los datos personales cuando no se hayan obtenido directamente del titular;
7) Otras finalidades y tratamientos ulteriores;
8) Identidad y datos de contacto del responsable del tratamiento de datos personales, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico;
9) Cuando sea del caso, identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;
10) Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
11) Las consecuencias para el titular de los datos personales de su entrega o negativa a ello;
12) El efecto de suministrar datos personales erróneos o inexactos;
13) La posibilidad de revocar el consentimiento;
14) La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
15) Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando el titular lo solicite;
16) Dónde y cómo realizar sus reclamos ante el responsable del tratamiento de datos personales y la Autoridad de Protección de Datos Personales, y;
17) La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles.
En el caso que los datos se obtengan directamente del titular, la información deberá ser comunicada de forma previa a este, es decir, en el momento mismo de la recogida del dato personal.
Cuando los datos personales no se obtuvieren de forma directa del titular o fueren obtenidos de una fuente accesible al público, el titular deberá ser informado dentro de los siguientes treinta (30) días o al momento de la primera comunicación con el titular, cualquiera de las dos circunstancias que ocurra primero. Se le deberá proporcionar información expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnicas.
La información proporcionada al titular podrá transmitirse de cualquier modo comprobable en un lenguaje claro, sencillo y de fácil comprensión, de preferencia propendiendo a que pueda ser accesible en la lengua de su elección.
En el caso de productos o servicios dirigidos, utilizados o que pudieran ser utilizados por niñas, niños y adolescentes, la información a la que hace referencia el presente artículo será proporcionada a su representante legal conforme a lo dispuesto en la presente Ley.”
El artículo 7 del Reglamento General de la Ley Orgánica de Protección de Datos Personales (“RGLOPDP”) dispone lo siguiente:
“Art. 7.-Tratamiento legítimo.- Para efectos del correcto tratamiento de datos personales, se considerará lo siguiente:
- Cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos: Se entenderá que el tratamiento de datos personales está basado en el cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos, debidamente motivado y de acuerdo con los principios establecidos en la Ley, cuando la competencia correspondiente esté atribuida en una norma con rango de ley.
El tratamiento de datos personales realizado sobre esta base legitimadora deberá observar lo siguiente:
a. Los tipos de datos objeto del tratamiento;
b. Los titulares o interesados afectados;
c. Las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación;
d. La limitación de la finalidad:
e. Los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo.
El tratamiento de datos personales bajo esta base legitimadora deberá cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. (…)”
El artículo 8 del RGLOPDP dispone lo siguiente:
“Art. 8.- Plazos de conservación de los datos personales.- Los plazos de conservación de los datos personales no deberán exceder aquéllos que sean estrictamente necesarios para el cumplimiento de las finalidades que justificaron el tratamiento.
La Autoridad de Protección de Datos regulará los plazos de conservación de datos personales atendiendo las disposiciones aplicables a la materia de que se trate.
Art. 9.- Eliminación, bloqueo o anonimización.- Una vez cumplida la o las finalidades del tratamiento y cuando no exista disposición legal o reglamentaria o no incurra la necesidad de mantener los datos en virtud del interés legítimo del responsable, o por cumplimiento de una obligación legal que establezca lo contrario, el responsable deberá proceder a la eliminación, bloqueo o anonimización de los datos en su posesión.
El responsable establecerá procedimientos para la conservación, revisión periódica, eliminación de los datos personales.(…)” (énfasis agregado).
Asimismo, el artículo 11 RGLOPDP establece lo siguiente:
“Art. 11.-Eliminación de datos.- Finalizado el plazo de conservación de los datos, el responsable del tratamiento de datos deberá proceder a la eliminación segura de los mismos.
La eliminación de datos personales no aplicará cuando el tratamiento sea necesario en los siguientes supuestos:
- Por razones de interés público en el ámbito de la salud pública y privada, así como en materia estatal, seguridad, laboral y educación:
- Para la formulación, el ejercicio o la defensa de reclamaciones.
La Autoridad de Protección de Datos Personales podrá requerir información cuando lo considere necesario. Para el efecto, ajustará los requerimientos a normas, lineamientos sobre plazo de conservación y estándares internacionales sobre la eliminación de datos.” (énfasis agregado).
La resolución Nº SPDP-SPD-2025-0041-R suscrita y vigente desde el 07 de noviembre de 2025 la cual emite la Normativa General para la Aplicación del Interés Legítimo como Base de Legitimación para el Tratamiento de Datos Personales Dentro del Territorio de la República del Ecuador, en su artículo 3.1 menciona lo siguiente:
“Art. 3.- Las palabras enlistadas a continuación tendrán los siguientes significados:
3.1. Interés legítimo: Es una base de legitimación que le permite a una persona natural, a una persona jurídica o a otro organismo de derecho privado, tratar datos personales sin necesidad de obtener previamente el consentimiento de su titular, siempre que se verifique la prevalencia de los derechos y libertades del titular. (…)” (énfasis agregado).
Adicionalmente, para poder dar una contestación correcta es menester citar los artículos 1, 3 y 5 de la Ley Orgánica de la Contraloría General del Estado, donde se menciona:
“Art. 1.- Objeto de la Ley.- La presente Ley tiene por objeto establecer y mantener, bajo la dirección de la Contraloría General del Estado, el sistema de control, fiscalización y auditoría del Estado, y regular su funcionamiento con la finalidad de examinar, verificar y evaluar el cumplimiento de la visión, misión y objetivos de las instituciones del Estado y la utilización de recursos, administración y custodia de bienes públicos. (…)
Art. 3.- Recursos Públicos.- Para efecto de esta Ley se entenderán por recursos públicos, todos los bienes, fondos, títulos, acciones, participaciones, activos, rentas, utilidades, excedentes, subvenciones y todos los derechos que pertenecen al Estado y a sus instituciones, sea cual fuere la fuente de la que procedan, inclusive los provenientes de préstamos, donaciones y entregas que, a cualquier otro título realicen a favor del Estado o de sus instituciones, personas naturales o jurídicas u organismos nacionales o internacionales. Los recursos públicos no pierden su calidad de tales al ser administrados por corporaciones, fundaciones, sociedades civiles, compañías mercantiles y otras entidades de derecho privado, cualquiera hubiere sido o fuere su origen, creación o constitución hasta tanto los títulos, acciones, participaciones o derechos que representen ese patrimonio sean transferidos a personas naturales o personas jurídicas de derecho privado, de conformidad con la ley. (…)
Art. 5.- Sistema de Control, Fiscalización y Auditoría del Estado.- Las instituciones del Estado, sus dignatarios, autoridades, funcionarios y demás servidores, actuarán dentro del Sistema de Control, Fiscalización y Auditoría del Estado, cuya aplicación propenderá a que:
1.- Los dignatarios, autoridades, funcionarios y servidores públicos, sin excepción, se responsabilicen y rindan cuenta pública sobre el ejercicio de sus atribuciones, la utilización de los recursos públicos puestos a su disposición, así como de los resultados obtenidos de su empleo;
2.- Las atribuciones y objetivos de las instituciones del Estado y los respectivos deberes y obligaciones de sus servidores, sean cumplidos a cabalidad;
3.- Cada institución del Estado asuma la responsabilidad por la existencia y mantenimiento de su propio sistema de control interno; y,
4.- Se coordine y complemente con la acción que otros órganos de control externo ejerzan sobre las operaciones y actividades del sector público y sus servidores.”
Con base en los artículos previamente citados, para poder dar contestación a las cuatro preguntas planteadas en la Consulta presentada, se procederá a realizar el análisis correspondiente de cada una de las ellas en el orden en el cual fueron planteadas. Respecto a la primera pregunta, es preciso partir de la consideración de que el tratamiento de datos personales mediante sistemas de videovigilancia implementados por entidades del sector público constituye, por su propia naturaleza, una injerencia en el derecho fundamental a la protección de datos personales. En tal virtud, dicho tratamiento debe sujetarse de manera estricta a alguna de las bases de legitimación previstas en el artículo 7 de la LOPDP, así como a los artículos concordantes de su Reglamento General.
El uso de sistemas de videovigilancia conlleva un tratamiento particularmente invasivo, en la medida en que supone la captación sistemática de imágenes de personas y, por ende, el tratamiento de datos biométricos. En este contexto, la implementación de un sistema de videovigilancia debe necesariamente sustentarse en una base de legitimación expresamente consagrada en la ley, razón por la cual el consentimiento no puede constituir ni la única ni la principal base habilitante para este tipo de tratamiento, ya que estos tratamientos involucran el procesamiento de datos personales de grandes cantidades de personas. En el caso de sistemas utilizados o implementados por entidades públicas, en el ejercicio de sus competencias legalmente atribuidas, la legitimación del tratamiento debe fundarse en una base más adecuada, que resulte coherente con el cumplimiento de una misión en interés público o el ejercicio de poderes públicos, garantizando de forma efectiva en todo momento los derechos y libertades de los titulares de datos personales.
En el caso de las entidades del sector público, el legislador ha previsto como base de legitimación específica el interés público, conforme al numeral 4 del artículo 7 de la LOPDP. Esta disposición contempla dos supuestos diferenciados, el tratamiento necesario para el cumplimiento de una misión realizada en función del interés público; y, el tratamiento efectuado en el ejercicio de poderes públicos conferidos al responsable. Si bien ambos supuestos se encuentran enunciados de forma conjunta, responden a lógicas jurídicas distintas y requieren un análisis diferenciado. Esta distinción resulta relevante, en tanto que, en el ámbito de la actuación administrativa, el interés público no puede concebirse como una noción abstracta, genérica o discrecional, por el contrario, debe responder directamente de competencias, atribuciones y deberes expresamente establecidos en normas con rango de ley, las cuales brindan directrices claras y concretas para delimitar el alcance legítimo de la actuación estatal y, en consecuencia, del tratamiento de datos personales que de ella se derive.
Bajo esta premisa, el uso de sistemas de videovigilancia por parte de una entidad pública orientado a la seguridad institucional no se legitima de manera automática por la sola invocación del interés público, dicho tratamiento encuentra su sustento jurídico en la existencia de obligaciones legales específicas que imponen a la entidad la adopción de medidas para custodia, control y protección de bienes públicos. La Ley Orgánica de la Contraloría General del Estado establece un marco transversal de obligaciones para las entidades del sector público en relación con la custodia, administración y protección de los bienes y recursos del Estado, así como la responsabilidad derivada de su adecuada conservación y uso. Estas disposiciones configuran competencias legales que obligan a las instituciones públicas a adoptar medidas destinadas a garantizar el cumplimiento efectivo de dichas obligaciones.
En este sentido, los sistemas de videovigilancia se entienden como una medida de seguridad destinada a viabilizar el cumplimiento de las obligaciones legales de custodia, control y protección de los bienes y recursos del Estado, de conformidad con lo previsto en la Ley Orgánica de la Contraloría General del Estado. No obstante, la adopción de dicha medida no habilita un tratamiento irrestricto de datos personales, por cuanto su implementación y uso deben realizarse en estricta observancia de los principios consagrados en el marco legal aplicable en materia de protección de datos personales, así como en garantía de los derechos y libertades fundamentales de los titulares de datos personales, asegurando que el tratamiento sea necesario, proporcional y acorde con la finalidad que lo justifica.
Desde esta perspectiva, el tratamiento de datos personales derivado de la captación de imágenes mediante sistemas de videovigilancia encuentra su fundamento jurídico en el ejercicio de poderes públicos conferidos por normas con rango de ley, que imponen a las entidades públicas deberes concretos de custodia, control y protección de los bienes y recursos del Estado.
En consecuencia, el tratamiento de datos personales que consiste en la captación de imágenes mediante sistemas de videovigilancia implementados por una entidad pública, resulta jurídicamente procedente y se encuentra legítimamente amparado en la base prevista en el numeral 4 del artículo 7 de la LOPDP, exclusivamente en el supuesto del ejercicio de efectivo de poderes públicos conferidos al responsable derivados de una competencia atribuida por una norma con rango de ley, el cual, en este caso, sería a través de la obligación de custodia, control y protección de los bienes y recursos del estado, condicionando su validez al cumplimiento de los principios y garantías previstas en la normativa de protección de datos personales.
Respecto a la segunda pregunta, donde se establece la pregunta de si se puede considerar la colocación de señalética informativa visible en zonas videovigiladas un mecanismo válido para garantizar el derecho a la información de los titulares de datos personales contemplado en el artículo 12 de la LOPDP.
En este sentido y conforme al artículo 12 de la LOPDP, el principio de transparencia y el derecho a la información reconocidos en el artículo 10 de la misma ley, se exige que los titulares de datos personales conozcan, de manera previa o concurrente al tratamiento, la existencia y condiciones esenciales del mismo. En el contexto del tratamiento de imágenes mediante sistemas de videovigilancia, la colocación de señalética informativa visible en todo momento en las zonas vigiladas puede considerarse un mecanismo idóneo y válido para satisfacer dicho derecho, en la medida en que permita advertir razonablemente al titular sobre la captación de sus datos personales y sobre la identidad del responsable del tratamiento, sin exigirle esfuerzos desproporcionados para acceder a la información.
En tratamientos como la videovigilancia, caracterizados por su automatismo y por la imposibilidad material de informar de forma individualizada, el derecho a la información que se le comunica al titular de datos puede darse por capas, de modo que la señalética cumpla la función de primera capa informativa, remitiendo a canales complementarios donde el titular pueda acceder a información más detallada, sin que ello suponga una restricción al ejercicio de sus derechos. Y, de dicha manera el responsable del tratamiento cumple con el deber de informar sobre el tratamiento de datos personales de una manera práctica, estableciendo una señalética con información básica necesaria y, en una segunda capa que debe ser colocada en la misma señalética, el resto de información del tratamiento de videovigilancia específico con los demás requisitos establecidos en el artículo 12 de la LOPDP.
Desde una perspectiva de derecho comparado, la Guía sobre el uso de videocámaras para seguridad y otras finalidades de la Agencia Española de Protección de Datos (AEPD) refuerza este criterio al señalar que los distintivos visibles en accesos y zonas videovigiladas constituyen un instrumento adecuado para cumplir el deber de información, siempre que incluyan los elementos esenciales del tratamiento y faciliten el acceso a información adicional. Esta guía resulta plenamente compatible con el marco ecuatoriano, en tanto se fundamenta en los mismos principios estructurantes del derecho a la protección de datos también reconocidos en la LOPDP y su Reglamento General, especialmente los principios de: transparencia, lealtad y responsabilidad proactiva.
Con base en lo previamente mencionado los carteles de videovigilancia deben cumplen con el deber de informar que tiene el responsable del tratamiento de datos personales siempre y cuando, a través de un a segunda capa se dé la facilidad al titular de datos personales de acceder al resto de la información del tratamiento de datos correspondiente. En este sentido, los datos mínimos necesarios que deben constar en un cartel de videovigilancia deberían ser los siguientes:
Tratamiento de videovigilancia;
Identidad del responsable del tratamiento y sus contactos: correo electrónico o dirección física y teléfono de contacto;
La posibilidad de ejercer los derechos para el titular esto implica que se debe colocar un correo o canal ante el cual el titular puede ejercer sus derechos;
Segunda capa, dónde ampliar la información sobre el tratamiento de los datos personales.
Respecto a la tercera pregunta, donde se pregunta sobre cuál sería la correcta aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos personales previstos en el artículo 10 de la LOPDP en relación con la ubicación de las cámaras de videovigilancia dentro de instalaciones públicas, es menester establecer que los principios de proporcionalidad y de pertinencia y minimización de datos constituyen parámetros esenciales para determinar la licitud y legitimidad del tratamiento. Su correcta interpretación exige que la definición de las ubicaciones de las cámaras responda exclusivamente a finalidades legítimas, explícitas y previamente determinadas, vinculadas a la seguridad de personas, bienes e instalaciones, descartando toda captación que resulte excesiva o innecesaria respecto de dichos fines. En consecuencia, la videovigilancia no puede concebirse como un mecanismo de control generalizado, sino como una medida puntual, idónea y estrictamente necesaria.
Desde la perspectiva del principio de proporcionalidad establecido en el literal f) del artículo 10 de la LOPDP, la instalación y orientación de las cámaras debe obedecer a una ponderación entre la finalidad perseguida y el grado de afectación a los derechos de los titulares de datos personales. Esto implica que las cámaras deben ser ubicadas únicamente en espacios donde exista un riesgo real, concreto y verificable para la seguridad institucional, y que se descarte su colocación en zonas en las que la expectativa de privacidad sea mayor o en las que la captación de imágenes resulte manifiestamente desproporcionada. Esta exigencia conlleva, además, que la autoridad o entidad pública que decida incorporarlas pueda justificar técnica y jurídicamente la necesidad de cada punto de captación, en coherencia con el principio de responsabilidad proactiva. Por ejemplo, no son aptos de videovigilancia los baños o vestidores u otros espacios físicos similares.
Por otro lado, el principio de pertinencia y minimización, reconocido en el literal e) del artículo 10 de la LOPDP, impone que las ubicaciones definidas permitan captar únicamente las imágenes estrictamente indispensables para cumplir la finalidad de seguridad, evitando espacios de circulación no relevantes o zonas ajenas al ámbito funcional de la instalación pública. En este sentido, resulta obligatorio adoptar medidas que restrinjan el campo visual de las cámaras, tales como una adecuada orientación, el uso de configuraciones técnicas limitadas o mecanismos de enmascaramiento, de forma que se reduzca al mínimo la captación de datos personales de personas que no guardan relación con el riesgo que se pretende prevenir. Así también, se entiende que la minimización no solo se hace referencia al volumen de datos tratados, sino también del número de cámaras, su tipología y su ubicación concreta. En este sentido, las ubicaciones de cámaras deben ser el resultado de un análisis previo de necesidad y riesgo, orientado a garantizar que el tratamiento de imágenes sea adecuado, pertinente y no excesivo, asegurando así una protección efectiva de los derechos de los titulares de datos personales.
Es pertinente, en la presente pregunta, hacer mención explícita al principio de finalidad reconocido en el literal d) del artículo previamente mencionado, el cual hace referencia a la finalidad que todo tratamiento de datos personales debe tener. En los tratamientos de videovigilancia es fundamental e indispensable que las finalidades para las cuales se lleva a cabo la videovigilancia sean claras, concretas y específicas, ya que son éstas las que van a ser ponderadas frente a los derechos de los titulares de datos personales, permitiendo delimitar de manera objetiva el alcance del tratamiento y justificar la eventual afectación a dichos derechos. En ausencia de una finalidad legítima y claramente determinada, la captación de imágenes deviene en un tratamiento excesivo a la LOPDP al tratarse de datos personales biométricos, incluso cuando se realice en espacios o instalaciones públicas.
Respecto a la cuarta pregunta, el Consultante establece la duda de cómo debe interpretarse el criterio de que los datos personales no sean conservados por un plazo mayor al necesario para cumplir con la finalidad del tratamiento en el contexto de videovigilancia. En este sentido, de conformidad con el principio de conservación de datos personales previsto en literal i) del artículo 10 de la LOPDP, la interpretación del criterio conforme al cual los datos no deben conservarse por un plazo mayor al necesario para cumplir la finalidad del tratamiento debe realizarse atendiendo a la naturaleza, contexto y fines específicos de cada operación de tratamiento. En el ámbito de los sistemas de videovigilancia implementados por entidades públicas, este principio exige que la conservación de imágenes se limite estrictamente al tiempo indispensable para cumplir la finalidad legítima que motivó su captación, particularmente cuando dicha finalidad se vincula al interés público, a la seguridad institucional o a la protección de recursos públicos.
Esta autoridad precisa que, a la fecha, no se ha emitido una normativa específica que establezca plazos concretos y uniformes de conservación de datos personales en ningún tipo de tratamiento. No obstante, ello no exime a los responsables del tratamiento del cumplimiento del marco constitucional y legal vigente, el cual proporciona criterios suficientes para determinar, caso a caso, plazos razonables de conservación. En este sentido, deben observarse las disposiciones contenidas en los artículos 7, 8, 9 y 11 del RGLOPDP, que desarrollan el principio de limitación del plazo de conservación y obligan a eliminar, bloquear o anonimizar los datos personales una vez cumplida la finalidad que justificó su tratamiento, salvo que concurra una obligación legal o causa legítima que justifique su conservación ulterior.
Tratándose de entidades públicas, la interpretación del plazo necesario de conservación debe además definir y documentar, de manera motivada y debidamente demostrada, los plazos de conservación de las grabaciones de videovigilancia, considerando factores como la detección o investigación de incidentes, eventuales requerimientos de órganos de control, procesos administrativos o judiciales, y las obligaciones derivadas del sistema de control y fiscalización del uso de recursos públicos, siempre bajo criterios de necesidad y proporcionalidad.
Finalmente, de conformidad con el principio de aplicación más favorable al titular de datos personales, previsto en el literal l) del artículo 10 de la LOPDP, cualquier duda respecto del alcance temporal de la conservación debe resolverse en favor de la protección reforzada de los derechos de las personas. En consecuencia, mientras esta autoridad no emita una regulación específica sobre plazos de conservación en materia de videovigilancia, las entidades públicas deberán ceñirse estrictamente a los principios constitucionales y legales citados, adoptando políticas internas claras de conservación, revisión periódica y eliminación segura de las grabaciones, de modo que el tratamiento de datos personales no se prolongue más allá de lo estrictamente necesario para cumplir la finalidad legítima que lo sustenta.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio NRO. SERCOP-CGAJ-2025-0230-OF de 7 de noviembre de 2025 y debidamente subsanada el 21 de noviembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“¿Es jurídicamente procedente que el tratamiento de datos personales consistente en la captación de imágenes mediante sistemas de videovigilancia, implementados por una entidad pública como el Benemérito Cuerpo de Bomberos de Machala para fines de seguridad institucional y protección de personas, se legitime en la base prevista en el artículo 7, numeral 4 de la Ley Orgánica de Protección de Datos Personales, relativa al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable?”
De acuerdo con el análisis previamente realizado, resulta jurídicamente procedente que una entidad pública, en términos generales, aclarando esta autoridad que no se hace referencia expresa al Benemérito Cuerpo de Bomberos de Machala, legitime el tratamiento de datos personales derivado de la captación de imágenes mediante sistemas de videovigilancia, implementados con fines de seguridad institucional y protección de personas, con base en lo dispuesto en el numeral 4 del artículo 7, de la LOPDP. Ello, en el supuesto relativo al ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, específicamente en observancia de las obligaciones de custodia, control y protección de los bienes y recursos del Estado previstas en la Ley Orgánica de la Contraloría General del Estado, siempre que dicho tratamiento garantice los derechos y libertades fundamentales de los titulares de los datos personales.
“Conforme al artículo 12 de la LOPDP, ¿puede considerarse que la colocación de señalética informativa visible en zonas videovigiladas constituye un mecanismo válido para garantizar el derecho a la información de los titulares de datos personales, sin que ello implique que la Superintendencia defina contenidos específicos no regulados, sino en cuanto a la interpretación general del alcance del principio de información?”
Con base en el análisis efectuado, se concluye que la colocación de señalética informativa visible en zonas videovigiladas constituye un mecanismo válido e idóneo para garantizar el derecho a la información de los titulares de datos personales previsto en el artículo 12 de la LOPDP, siempre que se enmarque en los principios de transparencia y lealtad, en un cumplimiento por capas, en el cual la señalética actúe como primera capa informativa, comunicando de forma clara y accesible la existencia del tratamiento, la identidad y contacto del responsable y los mecanismos para el ejercicio de derechos, y remitiendo a una segunda capa donde se complete la información exigida por el artículo previamente referido.
“¿Cuál es la correcta interpretación y aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos, previstos en el artículo 10, literales e y f de la LOPDP, en relación con la definición de las ubicaciones de cámaras de videovigilancia dentro de instalaciones públicas?”
Teniendo en cuenta el análisis realizado, la correcta interpretación y aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos, previstos en los literales e y f del artículo 10, de la LOPDP, exige que la definición de las ubicaciones de las cámaras de videovigilancia en instalaciones públicas responda exclusivamente a finalidades legítimas, claras y previamente determinadas, vinculadas a la seguridad de personas, bienes e instalaciones. Las cámaras deben instalarse únicamente en espacios donde exista un riesgo real, concreto y verificable, evitando zonas con alta expectativa de privacidad o donde la captación resulte innecesaria o desproporcionada, como baños o vestidores o espacios físicos similares. Asimismo, debe garantizarse que se capten solo las imágenes estrictamente indispensables, mediante una adecuada orientación, limitación del campo visual y un número y tipo de cámaras justificado en un análisis previo de necesidad y riesgo, de modo que el tratamiento de datos personales sea adecuado, pertinente y no excesivo, en garantía de los derechos de sus titulares.
“Con base en el principio de conservación de datos personales previsto en el artículo 10, literal i de la LOPDP, ¿cómo debe interpretarse el criterio de que los datos personales no sean conservados por un plazo mayor al necesario para cumplir la finalidad del tratamiento, en el contexto de sistemas de videovigilancia implementados por entidades públicas?”
Respecto de esta pregunta, esta Autoridad se abstiene de emitir un pronunciamiento específico, en tanto a la fecha no se ha expedido normativa que regule de manera expresa los plazos de conservación de datos personales. No obstante, se precisa que los responsables del tratamiento que implementen sistemas de videovigilancia están obligados a cumplir con el principio de conservación de datos personales previsto en el literal i) del artículo 10 de la LOPDP, conforme al cual las imágenes captadas deben conservarse únicamente durante el tiempo estrictamente necesario para cumplir la finalidad legítima que motivó su tratamiento, atendiendo a la naturaleza, contexto y fines específicos de cada operación. En consecuencia, las entidades públicas deben definir y documentar de manera motivada sus plazos de conservación, aplicando criterios de necesidad y proporcionalidad y considerando eventuales requerimientos de control, administrativos o judiciales, resolviendo cualquier duda interpretativa en favor de la protección reforzada de los derechos de los titulares de datos personales.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.