Ecuador regula el uso de datos biométricos: prohíbe el reconocimiento facial masivo y veta su uso en niños y adolescentes
Después de alrededor de un año y medio de consultas, la Superintendencia de Protección de Datos Personales emitió una resolución con nuevas reglas para el uso de datos biométricos en Ecuador: desde reconocimiento dactilar y facial hasta iris.
Foto referencial de uso de datos biométricos. Un aficionado al fútbol se sitúan frente a un dispositivo de reconocimiento facial en la entrada del estadio Allianz Parque, en São Paulo (Brasil), el 11 de octubre de 2025.
- Foto
AFP
Autor:
Actualizada:
Compartir:
Después de alrededor de un año y medio de consultas, la Superintendencia de Protección de Datos Personales emitió una resolución que establece nuevas reglas para el tratamiento de datos biométricos en Ecuador.
Se trata de la resolución SPDP-SPD-2026-0039-R, que fue emitida el 9 de septiembre, pero difundida esta semana. La norma establece límites para la recopilación y utilización de:
- Datos faciales.
- Huellas dactilares.
- Patrones de voz.
- Escaneos de iris.
- Otros elementos que permiten identificar de manera única a una persona.
Esta norma es de cumplimiento obligatorio para responsables y encargados del sector público y privado.
La Superintendencia establece que la captura e integración de esta información en sistemas automatizados o bases estructuradas implica riesgos elevados de discriminación algorítmica, suplantación de identidad o reutilización indebida.
Prohibición de identificación masiva en espacios públicos
Entre las principales disposiciones está la prohibición de la identificación masiva e indiscriminada de personas en espacios públicos.
Es decir, en todo lugar físico de acceso general, tales como centros comerciales, estaciones de transporte, estadios, plazas o parques, independientemente de su titularidad pública o privada.
Su implementación solo se habilitará de forma excepcional por mandato expreso de una norma con rango de ley, requiriendo justificación motivada, cumplimiento estricto de los principios de la Ley Orgánica de Protección de Datos Personales y pleno apego a la Constitución de la República.
La norma establece que quienes utilicen tecnologías faciales deberán realizar tres acciones:
Evaluación de Impacto en la Protección de Datos.
Análisis de Riesgo.
Implementar medidas de seguridad reinforced que garanticen la protección de la información a lo largo de todo su ciclo de vida.
Régimen estricto para niños, niñas y adolescentes
La resolución también establece restricciones específicas para el tratamiento de datos biométricos de niños, niñas y adolescentes.
La norma prohibe el tratamiento de datos biométricos de niños, niñas y adolescentes con fines identificativos. El uso de esta información solo se admitirá cuando no existan otros medios menos invasivos o riesgosos para alcanzar la finalidad del tratamiento, y siempre que cuente con análisis de riesgo previo.
Para niños y adolescentes menores de 15 años, la legitimación exige el consentimiento explícito concedido por su representante legal, tutor o curador, salvo situaciones excepcionales para salvaguardar la vida del titular incapaz física o jurídicamente.
Los adolescentes entre 15 y 17 años podrán otorgar su consentimiento explícito por sí mismos, a condición de que la información les sea provista en un lenguaje accesible y adaptado a su edad. El representante legal podrá solicitar la revocación si demuestra motivos fundamentados de alto riesgo para los derechos del adolescente.
Uso de sistemas biométricos en empresas
El consentimiento para el uso de datos biométricos de los adultos debe ser libre, específico, informado, inequívoco y explícito. La norma señala que el responsable está obligado a ofrecer al menos una alternativa equivalente no biométrica.
La resolución exige una Evaluación de Impacto de la implementación de sistemas biométricos y su posterior evaluación cada 12 meses.
Otro de los criterios establecidos se refiere a las situaciones de asimetría o subordinación, por ejemplo, en una relación laboral (empresa-trabajador) o cuando una persona necesita acceder a un servicio esencial básico.
En estos casos, deberá garantizarse una alternativa que no implique el uso de datos biométricos, salvo que exista una imposibilidad técnica debidamente probada para ofrecerla.
Y señala que las decisiones que produjeren efectos jurídicos o que afectaren a los derechos y las libertades fundamentales del titular de datos, no podrán basarse exclusivamente en sistemas automatizados de identificación biométrica o en decisiones basadas mayoritariamente en biometría con intervención humana formal o testimonial.
Desde cuándo aplica
La Disposición Transitoria de la norma fija un plazo de 12 meses, contados a partir de su publicación en el Registro Oficial, para que todos los responsables o encargados del tratamiento que actualmente utilicen sistemas biométricos adecúen sus arquitecturas técnicas a la norma.
Además, deberán diseñar o modificar sus políticas organizativas e instrumentos legales de manera que se ajusten a lo establecido en la resolución.
Compartir: