Ecuador exige evaluación de impacto y alternativas a los sistemas biométricos

La Superintendencia de Protección de Datos Personales expidió la Resolución SPDP-SPD-2026-0039-R el 9 de septiembre de 2026. La norma se publicó en el Registro Oficial No. 376 el 24 de septiembre y entró en vigencia con esa publicación. Regula condiciones, garantías y límites para el tratamiento de datos biométricos en los sectores público y privado dentro del ámbito territorial de la Ley Orgánica de Protección de Datos Personales (LOPDP).

La norma se aplica a datos biométricos tratados para identificar personas, tanto mediante procesos automatizados o parcialmente automatizados como cuando los datos forman parte de sistemas o bases estructuradas. La resolución considera sensibles los datos biométricos cuando su uso permite o busca identificar de forma unívoca a una persona. Otros tratamientos biométricos no identificativos siguen sujetos a la LOPDP y las demás reglas de seguridad aplicables.

Antes de implementar un sistema biométrico, responsable o encargado debe evaluar si el objetivo puede lograrse con mecanismos menos invasivos o riesgosos para la privacidad. El uso de biometría solo se admite cuando sea estrictamente necesario para la finalidad y no existan otros medios que permitan cumplirla. La norma exige que esta decisión se valore para el tratamiento concreto, no solo con base en una justificación general de conveniencia.

Si el tratamiento se apoya en consentimiento, este debe ser previo, libre, específico, informado, inequívoco y explícito. La organización debe ofrecer al menos una alternativa equivalente que no requiera biometría. La excepción por imposibilidad técnica debe sustentarse en la evaluación de impacto: el responsable debe acreditar por qué las alternativas razonables no logran la finalidad con niveles equivalentes de seguridad o eficacia.

La resolución exige que todo tratamiento biométrico esté precedido por un análisis de riesgos y una evaluación de impacto que justifique suficientemente el uso de estos sistemas. La evaluación debe identificar y valorar riesgos para derechos y libertades, y definir medidas de mitigación. Debe actualizarse cada 12 meses y también cuando cambie el nivel de riesgo.

Los controles deben proteger el ciclo de vida de los datos, limitar accesos y reducir recolección y almacenamiento innecesarios. La norma dice que se debe privilegiar el uso de plantillas biométricas y evitar conservar datos biométricos brutos salvo estricta necesidad técnica. Exige información clara y accesible a las personas y prohíbe tomar decisiones con efectos jurídicos o impacto fundamental exclusivamente mediante identificación biométrica automatizada o con una intervención humana meramente formal.

La norma prohíbe sistemas biométricos destinados a identificación masiva e indiscriminada de personas en espacios públicos. Solo contempla una excepción cuando exista mandato expreso de una norma con rango de ley, y exige que se justifique el tratamiento y se respeten los principios de la LOPDP y la Constitución.

El tratamiento de datos biométricos de niños, niñas y adolescentes con fines identificativos está prohibido salvo que no existan medios menos invasivos y se realicen análisis de riesgos y evaluación de impacto. La norma contempla consentimiento explícito de representante legal o supuestos específicos previstos en la ley. También aclara que el reconocimiento facial no constituye automáticamente tratamiento de datos a gran escala; deben analizarse los criterios aplicables del Reglamento General y la normativa secundaria.

La disposición transitoria otorga 12 meses desde la publicación en Registro Oficial para que responsables y encargados que ya utilizaban sistemas biométricos adecuen procesos y sistemas. Computado desde el 24 de septiembre de 2026, el plazo llega al 24 de septiembre de 2027. La fecha resulta del periodo establecido por la resolución; no debe confundirse con la fecha de firma del 9 de septiembre.

Las organizaciones deberían inventariar accesos físicos, asistencia laboral, autenticación financiera, reconocimiento facial y otros flujos de identificación; documentar finalidad, base de legitimación, volumen y alternativas; y asignar responsables para actualizar la evaluación de impacto. La transición no elimina obligaciones vigentes de protección de datos mientras se realiza la adecuación.

La regla se aplica a responsables y encargados bajo el alcance de la LOPDP y, por tanto, puede ser relevante para entidades financieras que usan huella, rostro u otros rasgos para autenticación o prevención del fraude. Sin embargo, la resolución incluye una precisión: usar biometría para autenticación en operaciones sometidas a debida diligencia reforzada bajo reglas contra fraude o lavado no se considera por sí solo una relación de asimetría significativa. Esta excepción puntual no elimina el análisis de riesgos, la evaluación de impacto, la necesidad, la seguridad ni las demás obligaciones.

Bancos y cooperativas deben revisar además normas sectoriales aplicables a su clase institucional y no asumir que una resolución de la SPDP sustituye requisitos de la Superintendencia de Bancos o la SEPS. Los contratos con proveedores biométricos deben permitir evaluar acceso y responsabilidad, mientras que cada sistema debe conservar evidencia de la decisión de necesidad y de las medidas adoptadas.

La fuente primaria es el texto íntegro de la resolución y su publicación oficial. El resumen recoge obligaciones expresas y el plazo de transición, sin afirmar que una tecnología concreta esté prohibida en todo contexto ni que toda huella o rostro tenga idéntico tratamiento jurídico.

Las organizaciones deben revisar la resolución completa, la LOPDP, su Reglamento General y las reglas sectoriales pertinentes. La fecha verificable de vigencia es el 24 de septiembre de 2026; para sistemas ya desplegados, la adecuación debe completarse dentro de los 12 meses siguientes a esa fecha. La aplicación a cada caso depende de finalidad, configuración, base de legitimación y presencia de alternativas menos invasivas.