Ecuador regula biometría: prohíbe reconocimiento facial masivo

Ecuador reguló el tratamiento de datos biométricos con una resolución de la Superintendencia de Protección de Datos Personales que fija límites para datos faciales, huellas dactilares, patrones de voz y escaneos de iris. La norma, identificada como resolución SPDP-SPD-2026-0039-R, fue emitida el 9 de septiembre y difundida esta semana.

El documento, de cumplimiento obligatorio para responsables y encargados del sector público y privado, establece que la captura e integración de biometría en sistemas automatizados eleva riesgos de discriminación algorítmica, suplantación de identidad o reutilización indebida. La Superintendencia enmarca la regulación en los principios de la Ley Orgánica de Protección de Datos Personales y en la Constitución.

Prohibición de identificación masiva

La resolución prohíbe la identificación masiva e indiscriminada de personas en espacios públicos. Incluye lugares de acceso general como centros comerciales, estaciones de transporte, estadios, plazas o parques, sin importar si son de titularidad pública o privada.

La implementación excepcional solo se habilitará por mandato expreso de una norma con rango de ley, con justificación motivada y cumplimiento estricto de los principios legales. Además, exige pleno apego a la Constitución de la República, con el efecto directo de limitar el uso de tecnologías biométricas para identificar a grandes grupos en entornos cotidianos.

Evaluaciones y límites para menores

Para quienes utilicen tecnologías faciales, la norma exige tres acciones: Evaluación de Impacto en la Protección de Datos, análisis de riesgo y medidas de seguridad reforzadas que protejan la información durante todo su ciclo de vida. En paralelo, establece un régimen más estricto para niños, niñas y adolescentes.

La resolución prohíbe el tratamiento de datos biométricos de niños, niñas y adolescentes con fines identificativos. El uso solo se admite cuando no existan otros medios menos invasivos o riesgosos, y siempre con análisis de riesgo previo; para menores de 15 años se requiere consentimiento explícito del representante legal, tutor o curador, salvo situaciones excepcionales para salvaguardar la vida del titular incapaz física o jurídicamente.

Empresas, plazos y adecuaciones

En empresas, el consentimiento de adultos debe ser libre, específico, informado, inequívoco y explícito, y el responsable debe ofrecer al menos una alternativa equivalente no biométrica. La resolución también obliga a realizar Evaluación de Impacto y luego evaluaciones cada 12 meses, y señala que decisiones con efectos jurídicos o que afecten derechos y libertades no podrán basarse exclusivamente en identificación biométrica automatizada, aun con intervención humana formal o testimonial.

Lo que se sabe hasta ahora es que la Disposición Transitoria fija un plazo de 12 meses desde la publicación en el Registro Oficial para que responsables o encargados que ya usen sistemas biométricos adecúen sus arquitecturas técnicas, políticas organizativas e instrumentos legales. Lo que falta por confirmar es el calendario de aplicación caso por caso y cómo se verificarán las adecuaciones, por lo que las organizaciones deben revisar de inmediato sus flujos de captura, almacenamiento y uso de biometría para cumplir con la prohibición del reconocimiento masivo y los requisitos de evaluación y consentimiento.