Los datos biométricos permiten identificar de manera única a una persona y pueden ser considerados datos sensibles conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP). Por eso, su uso exige mayor cuidado que un registro convencional.

¿Está prohibido utilizar datos biométricos?

No existe una respuesta general de “sí” o “no”. Una organización puede utilizar biometría cuando demuestra que el tratamiento es necesario, proporcional y cuenta con una base de legitimación aplicable. También debe evaluar si la misma finalidad puede alcanzarse mediante una alternativa menos invasiva.

En el ámbito laboral, la Superintendencia de Protección de Datos Personales ha señalado que la biometría para registrar asistencia no debería ser la primera ni la única opción. La empresa debe valorar alternativas como tarjetas, credenciales, códigos o registros digitales.

La autorización del trabajador no basta

El consentimiento debe ser libre, específico, informado e inequívoco. En una relación laboral existe subordinación, por lo que la libertad del trabajador debe analizarse con especial cuidado.

Si una persona puede rechazar el uso de su huella, pero la empresa no ofrece otro mecanismo real para registrar su asistencia, difícilmente existe una elección efectiva. La organización debe revisar el tratamiento completo, no limitarse a conservar un formulario firmado.

Qué debe revisar una empresa que usa huella o reconocimiento facial

• Dato utilizado: identificar si el sistema conserva imágenes, plantillas biométricas, fotografías, patrones faciales u otros identificadores.
• Finalidad: documentar para qué se utiliza la biometría y evitar usos posteriores incompatibles.
• Necesidad y proporcionalidad: demostrar por qué el sistema biométrico resulta adecuado y necesario.
• Alternativas: comprobar si existe un mecanismo menos invasivo que permita alcanzar el mismo objetivo.
• Riesgos: analizar accesos no autorizados, filtraciones, suplantación, reutilización y afectaciones a los titulares.
• Evaluación de impacto: realizar una EIPD antes de implementar el tratamiento y actualizarla cuando cambie el sistema.
• Base de legitimación: determinarla para cada finalidad, considerando el régimen aplicable a datos sensibles.
• Proveedor: conocer quién administra el sistema, dónde se almacena la información, qué terceros intervienen y cómo se elimina.
• Seguridad: aplicar cifrado, controles de acceso, trazabilidad, registros de actividad y procedimientos de incidentes.
• Conservación: definir cuánto tiempo se mantienen los datos y qué ocurre cuando termina la relación con el titular.

¿Qué hacer si el sistema biométrico ya está instalado?

No es recomendable mantenerlo únicamente porque siempre se ha utilizado. La empresa debe inventariar el tratamiento, revisar contratos y proveedores, efectuar el análisis jurídico y técnico, realizar la evaluación de impacto y documentar su decisión.

El resultado puede ser mantener el sistema con controles adicionales o sustituirlo por una alternativa menos invasiva. Lo importante es poder demostrar por qué se tomó esa decisión.

Checklist rápido

• ¿La finalidad está definida y documentada?
• ¿Existe una base de legitimación aplicable?
• ¿Se realizó el test de proporcionalidad?
• ¿Se evaluaron alternativas no biométricas?
• ¿Existe un análisis de riesgos y una EIPD?
• ¿El proveedor y sus responsabilidades están documentados?
• ¿Se aplican medidas de seguridad reforzadas?
• ¿Existen reglas de conservación y eliminación?
• ¿La empresa puede demostrar todo lo anterior ante la SPDP?

Si varias respuestas son “no” o “no sabemos”, el tratamiento biométrico requiere una revisión prioritaria.

Cómo puede ayudar DPOEC

DPOEC puede evaluar el uso de huella, reconocimiento facial u otros sistemas biométricos en su organización: finalidad, base de legitimación, proporcionalidad, riesgos, evaluación de impacto, proveedores, seguridad y plan de adecuación.

Solicitar una evaluación del tratamiento biométrico

Fuentes principales

• Repositorio oficial de resoluciones de la SPDP.
• Consultas absueltas por la SPDP durante 2025.

Este contenido es informativo y no sustituye el análisis jurídico, técnico y de riesgos del caso concreto. Puede consultar también la versión ampliada publicada por el mismo autor en 593 Asesores.

La entrada Datos biométricos en Ecuador: reglas para usar huella y reconocimiento facial se publicó primero en DELEGADO PROTECCIÓN DATOS ECUADOR.

Conceptos clave LOPDP

DPO y DPD se refieren a la misma funcion?

En la practica, DPO viene del termino ingles Data Protection Officer y DPD corresponde a Delegado de Proteccion de Datos. En Ecuador, al hablar de cumplimiento de la Ley Organica de Proteccion de Datos Personales, lo mas claro para empresas y usuarios es usar la expresion Delegado de Proteccion de Datos o DPD.

Muchas empresas buscan DPO externo porque estan acostumbradas a la terminologia internacional. Por eso, desde una estrategia SEO y comercial, conviene usar ambos terminos, siempre explicando que se trata de la funcion encargada de apoyar la supervision del cumplimiento.

Que no debe confundirse

• El DPD no reemplaza al representante legal de la empresa.
• El DPD no es solo un asesor documental.
• El DPD no debe tener conflictos de interes con las decisiones sobre el tratamiento de datos.
• El DPD no elimina la responsabilidad del responsable del tratamiento.

Cuando conviene contratar un DPO externo

Un DPO externo puede ser util cuando la empresa necesita experiencia especializada, independencia, acompanamiento continuo y capacidad de documentar evidencias de cumplimiento sin crear una estructura interna completa.

Lecturas relacionadas

• Guia completa sobre Delegado de Proteccion de Datos
• Solicitar diagnostico LOPDP
• Calculadora referencial de multas

Base normativa

Contenido orientativo preparado con base en la normativa ecuatoriana de proteccion de datos personales y buenas practicas de cumplimiento organizacional.

La entrada DPO, DPD y Delegado de Protección de Datos: diferencias y uso correcto en Ecuador se publicó primero en DELEGADO PROTECCIÓN DATOS ECUADOR.

DPD obligatorio

Cuando una empresa debe revisar si necesita un DPD

En Ecuador, la necesidad de designar un Delegado de Proteccion de Datos debe analizarse segun el tipo de datos tratados, el volumen, la naturaleza del negocio, los riesgos para los titulares y las obligaciones previstas en la normativa de proteccion de datos personales.

La revision es especialmente importante para empresas que tratan datos sensibles, informacion de salud, datos de menores, historiales financieros, datos laborales, datos de clientes a gran escala o informacion usada para publicidad y prospeccion comercial.

Sectores que deben prestar atencion

• Instituciones educativas y centros de formacion.
• Clinicas, hospitales, laboratorios y profesionales de salud.
• Farmacias y cadenas con programas de fidelizacion.
• Aseguradoras, brokers y asesores de seguros.
• Empresas que realizan publicidad, prospeccion comercial o bases de leads.
• Empresas con comercio electronico, CRM o plataformas digitales.

Como saber si tu empresa esta obligada

El camino correcto es revisar procesos reales: formularios, contratos, sistemas, bases de datos, proveedores, transferencias, consentimientos y medidas de seguridad. Con esa informacion se puede determinar si corresponde designar un DPD y que alcance debe tener.

Guias por sector

• Proteccion de datos en instituciones educativas
• Proteccion de datos en salud
• Proteccion de datos para farmacias
• Proteccion de datos para aseguradoras
• Proteccion de datos en publicidad y prospeccion comercial

Base normativa

Contenido elaborado con referencia a la Ley Organica de Proteccion de Datos Personales, su Reglamento General y criterios de cumplimiento aplicables a responsables y encargados del tratamiento.

La entrada Empresas obligadas a designar Delegado de Protección de Datos en Ecuador se publicó primero en DELEGADO PROTECCIÓN DATOS ECUADOR.

Cumplimiento LOPDP Ecuador

Que significa registrar o comunicar al Delegado de Proteccion de Datos

Cuando una empresa designa un Delegado de Proteccion de Datos, debe tratar esa decision como parte formal de su sistema de cumplimiento. No basta con tener un nombre interno: se recomienda documentar la designacion, definir funciones, conservar evidencias y preparar la informacion que pueda requerir la autoridad competente.

El registro o comunicacion del DPD debe ir acompañado de una revision previa: actividades de tratamiento, riesgos, politicas, contratos, canales de atencion y responsables internos.

Informacion que conviene tener lista

• Datos de identificacion de la empresa responsable del tratamiento.
• Nombre y datos de contacto del Delegado de Proteccion de Datos.
• Alcance de las funciones del DPD dentro de la organizacion.
• Mapa basico de tratamientos de datos personales.
• Politicas y procedimientos para atender derechos de titulares.
• Evidencias de independencia y acceso del DPD a la direccion.

Errores frecuentes

Los errores mas comunes son designar a una persona sin funciones reales, no documentar su independencia, no actualizar sus datos de contacto o nombrar a alguien que tambien decide sobre las finalidades del tratamiento y puede tener conflicto de interes.

Enlaces utiles

• Delegado de Proteccion de Datos en Ecuador
• DPO externo para empresas
• Sanciones y multas LOPDP

Base normativa

Contenido preparado con base en la Ley Organica de Proteccion de Datos Personales, su Reglamento General y lineamientos aplicables de la autoridad ecuatoriana de proteccion de datos personales.

La entrada Registro del Delegado de Protección de Datos ante la autoridad: qué debe preparar una empresa se publicó primero en DELEGADO PROTECCIÓN DATOS ECUADOR.

Normativa LOPDP Ecuador

Que regula el Delegado de Proteccion de Datos en Ecuador

El Delegado de Proteccion de Datos, tambien conocido como DPD o DPO, es la figura que ayuda a una organizacion a supervisar el cumplimiento de la Ley Organica de Proteccion de Datos Personales, su reglamento y las disposiciones emitidas por la autoridad de control.

Para una empresa, el punto clave no es solo nombrar a una persona. Lo importante es demostrar que existe una funcion independiente, documentada y con capacidad real para orientar, revisar riesgos, atender consultas y coordinar la relacion con la autoridad cuando corresponda.

Obligaciones que debe revisar la empresa

• Identificar las actividades de tratamiento de datos personales.
• Determinar si existen datos sensibles, tratamientos masivos o perfiles de riesgo.
• Documentar politicas, avisos de privacidad, contratos y encargados del tratamiento.
• Evaluar si corresponde designar un DPD interno o contratar un DPO externo.
• Mantener canales para atender derechos de los titulares de datos.
• Contar con evidencias de cumplimiento ante una posible revision o requerimiento.

Por que este tema ayuda a prevenir sanciones

La falta de gestion preventiva puede terminar en incumplimientos acumulados: ausencia de politicas, consentimiento mal documentado, contratos incompletos, bases de datos sin control o falta de respuesta frente a solicitudes de titulares. Por eso el DPD debe funcionar como un punto de control permanente.

Lecturas recomendadas en DPOEC

• Guia completa sobre Delegado de Proteccion de Datos en Ecuador
• Servicio de DPO externo en Ecuador
• Multas y sanciones por incumplir la LOPDP
• Calculadora referencial de multas LOPDP

Base normativa

Este contenido se basa en la Ley Organica de Proteccion de Datos Personales, el Reglamento General a la Ley Organica de Proteccion de Datos Personales y las disposiciones emitidas por la autoridad ecuatoriana de proteccion de datos personales.

La entrada Reglamento del Delegado de Protección de Datos en Ecuador: obligaciones para empresas se publicó primero en DELEGADO PROTECCIÓN DATOS ECUADOR.