La Superintendencia de Protección de Datos Personales cuestiona el uso de datos biométricos en el trabajo.
En el contexto actual de transformación digital y automatización de procesos internos, muchas empresas en Ecuador han optado por el uso de biometría (huellas dactilares, reconocimiento facial, iris, etc.) para controlar el ingreso y salida de sus colaboradores. Pero ¿sabías que esto puede representar un riesgo legal si no se realiza de forma adecuada?
Con la emisión de la Consulta 002-2025, la Superintendencia de Protección de Datos Personales (SPDP) ha dejado clara su postura: el uso de datos biométricos en entornos laborales, especialmente para el control de asistencia, no cumple con los principios de proporcionalidad y necesidad establecidos en la Ley Orgánica de Protección de Datos Personales (LOPDP). Al respecto, ha señalado:
“El uso de estos datos infringe principios clave como los de pertinencia, minimización y proporcionalidad de datos, puesto que no es imprescindible para el registro de asistencia de colaboradores tener sistemas biométricos, cuando existen opciones menos nocivas e igualmente eficaces que cumplen con el mismo propósito.”
El consentimiento en el trabajo: ¿realmente es libre?
Uno de los puntos más contundentes del pronunciamiento es la insuficiencia del consentimiento en relaciones laborales. La SPDP sostiene que un trabajador no puede otorgar un consentimiento “libre” cuando existe una relación de dependencia y subordinación con su empleador. Esto implica que, incluso si el trabajador firma un documento aceptando el uso de su huella, dicho consentimiento podría no ser considerado válido si no fue otorgado de manera libre, específica, informada e inequívoca.
¿Qué deben hacer las empresas?
El tratamiento de datos biométricos para el control de asistencia aún no cuenta con una regulación específica en Ecuador. Esto significa que las empresas que actualmente utilizan estos mecanismos podrían estar incurriendo en una infracción a la LOPDP si no toman precauciones adecuadas.
Desde HAYU, identificamos tres claves fundamentales para que las organizaciones evalúen y ajusten sus políticas de tratamiento de datos personales sensibles:
Evita el uso innecesario de datos biométricos y analiza otras opciones
La SPDP considera desproporcionado el uso de biometría para control de asistencia, dado que existen alternativas menos intrusivas. Recomendamos evaluar el uso de tarjetas, PINs o aplicaciones móviles.
Realiza una Evaluación de Impacto (EIPD)
Este documento es obligatorio cuando se tratan datos personales sensibles. La EIPD permite anticipar riesgos, documentar medidas de mitigación y demostrar que tu empresa actúa con responsabilidad y cumplimiento.
Actualiza tus políticas y documentos de privacidad
Todo tratamiento de datos debe estar respaldado por una política de privacidad actualizada, un aviso de tratamiento específico y protocolos claros de seguridad y confidencialidad.
¿Qué riesgos existen?
Si bien el criterio de la SPDP no es vinculante, las consecuencias de un tratamiento indebido de datos sensibles —como los biométricos— van desde multas administrativas hasta acciones judiciales por parte de los titulares de los datos. Además, el uso inapropiado puede generar un serio daño reputacional para la empresa, especialmente si los colaboradores se sienten vigilados o vulnerados.
¿Necesitas ayuda para revisar tus políticas de protección de datos?
En HAYU, diseñamos políticas personalizadas de protección de datos, evaluaciones de impacto, capacitaciones internas y auditorías de cumplimiento con la LOPDP.
📩 Escríbenos a info@hayuec.com o visita www.hayu.ec para conocer nuestros servicios de cumplimiento corporativo.
