La Superintendencia de Protección de Datos Personales resolvió consulta sobre el uso de biométricos para el control de asistencia
Mediante el Oficio No. SPDP-IRD-2025-0108-O, la Superintendencia de Protección de Datos Personales ha emitido un pronunciamiento clave sobre la validez jurídica del consentimiento explícito como base legal para el uso de datos biométricos en el control de asistencia de los trabajadores.
El debate surge porque los datos biométricos (huellas dactilares, reconocimiento facial, iris, entre otros) son considerados datos sensibles de acuerdo con la Ley Orgánica de Protección de Datos Personales. Esto significa que su tratamiento debe ser excepcional, justificado y rodeado de garantías reforzadas.
Marco constitucional y legal
La Constitución del Ecuador reconoce el derecho al trabajo en condiciones dignas y libres (artículos 33 y 66.17) y el derecho a la protección de datos personales (artículo 66.19), que involucra decidir sobre el uso de información sensible como los datos biométricos.
La Ley Orgánica de Protección de Datos Personales, en sus artículos 7, 8 y 26, refuerza dichos principios, estableciendo que el consentimiento para el tratamiento de datos debe ser libre, informado, específico e inequívoco; y que el tratamiento de datos sensibles solo es válido si el titular da su consentimiento explícito y se realiza un análisis de proporcionalidad y necesidad. De esta forma, se exige que se realice un análisis de riesgos en el caso del tratamiento de datos sensibles y una evaluación de impacto cuando corresponda.
Criterio de la Superintendencia
En su absolución de la consulta, la Superintendencia estableció que:
El consentimiento por sí solo no es suficiente: para que sea válido, debe estar respaldado por un test de proporcionalidad, un análisis de riesgos y, cuando aplique, una evaluación de impacto. El análisis no debe arrojar un riesgo alto o crítico para los derechos del trabajador.
Alternativas reales para los trabajadores: el consentimiento solo se considerará libre si el empleado tiene la posibilidad efectiva de escoger entre distintas opciones de control de asistencia. No se puede imponer la bromearía como única vía, ya que el consentimiento podría viciarse por un temor referencial hacia el empleador (miedo a perder su trabajo en caso de negación).
La biometría debe ser considerada como última opción, no como la opción predeterminada.
Implicaciones prácticas para los empleadores
En este sentido, las empresas que deseen implementar sistemas biométricos para el control de asistencia deben:
Justificar su uso mediante un análisis de proporcionalidad.
Realizar un análisis integral de riesgos y documentar las medidas de mitigación.
Elaborar, si es necesario, una evaluación de impacto.
Ofrecer opciones alternativas, no invadidas (como tarjetas, contraseñas, firmas, etc.).
Documentar el proceso y estar en condiciones de demostrar a la Superintendencia que el consentimiento fue libre y válido.
Revisado por Belén Noboa y Verónica Benalcázar.
