La Superintendencia de Protección de Datos Personales (SPDP), a través del Oficio No. SPDP-2025-0031-O, emitió su respuesta a la consulta 02-2025 respecto a la procedencia del tratamiento de datos biométricos para el control de asistencia de los trabajadores y las bases legales.

Es relevante mencionar que son datos biométricos (huella dactilar, reconocimiento facial, etc.); La Ley Orgánica de Protección de Datos Personales (LOPDP) los clasifica como una categoría de datos personales sensibles, lo que implica que su tratamiento solo puede realizarse en circunstancias excepcionales, al considerarse los datos personales especiales sensibles pertenecientes a la esfera más íntima de una persona natural, estos deben ser objeto de mayor protección, por ende, la LOPDP en general prohíbe su tratamiento, sin embargo hay una excepción: por consentimiento del titular de los datos.

La SPDP, luego de un exhaustivo análisis, determinó las bases legales para el tratamiento de los datos biométricos:

• Por orden de autoridad judicial, para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en este caso no aplica, debido a que ninguna autoridad judicial podría emitir una orden en dicho sentido ya que se consideraría inconstitucional.

• No es aplicable la excepción del consentimiento, debido que, la relación laboral implica subordinación, lo que impide que el consentimiento sea libre y voluntario. Se considera que el trabajador podría sentirse presionado a otorgar su consentimiento por temor a represalias, lo que generaría un vicio del consentimiento.

La SPDP considera que el uso de datos biométricos para el control de asistencia no cumple con los principios de proporcionalidad y minimización de datos establecidos en la LOPDP, ya que
no es indispensable, existiendo métodos alternativos menos invasivos que pueden cumplir la misma finalidad sin comprometer la privacidad de los trabajadores.

La SPDP recomienda el uso de tarjetas magnéticas, registro manual de asistencia o registro en computadoras verificando el IP al momento del ingreso y salida.

Los empleadores deben ejecutar un análisis de riesgos, y una evaluación de impacto para los tratamientos de alto riesgo, previo al tratamiento de datos biométricos con la finalidad de implementar medidas de seguridad adecuadas que protejan derechos y libertades de los titulares.

De acuerdo con el análisis previo no es necesario solicitar consentimiento ya que no se considera un consentimiento libre.

Sin embargo, es importante resaltar que el criterio de la SPDP vertido en la absolución de consultas no tiene efectos vinculantes, pero nos adelanta el criterio de la máxima autoridad en dicha materia.                             

Para más información contáctenos: atrujillo@trulaw.ec, lbirkett@trulaw.ec