La Superintendencia de Protección de Datos Personales (SPDP) emitió nuevas reglas para el uso de datos biométricos en entidades públicas y privadas.
La medida consta en la Resolución No. SPDP-SPD-2026-0039-R, mediante la cual se expidió la Norma General para el Tratamiento de Datos Biométricos. Esta regulación establece condiciones para el uso de huellas dactilares, reconocimiento facial, iris, voz y otros rasgos que permitan identificar a una persona.
Entre las principales obligaciones están realizar una evaluación de impacto antes de implementar cualquier sistema biométrico, ofrecer al titular una alternativa que no requiera biometría y adecuar los sistemas que ya se encuentren operativos dentro de un plazo de 12 meses desde la publicación de la norma en el Registro Oficial.
Principales disposiciones
Cuando los datos biométricos permitan identificar de manera unívoca a una persona, serán considerados una categoría especial de datos personales y estarán sujetos a las reglas aplicables a los datos sensibles establecidas en la Ley Orgánica de Protección de Datos Personales (LOPDP).
La norma considera de alto riesgo determinados tratamientos, especialmente aquellos destinados a la identificación unívoca, la toma automatizada de decisiones que pueda afectar derechos fundamentales o la vigilancia sistemática y a gran escala de espacios públicos.
Cuando el tratamiento se base en el consentimiento, este deberá ser previo, libre, específico, informado, inequívoco y explícito. Además, deberá existir una alternativa equivalente que no utilice biometría, salvo que se demuestre una imposibilidad técnica debidamente justificada.
La regulación también limita la reutilización de los datos biométricos para fines diferentes de aquellos que justificaron su recopilación. Antes de implementar estos sistemas, deberá comprobarse que la finalidad no pueda alcanzarse mediante mecanismos menos invasivos.
Límites y protección de menores
Las decisiones con efectos jurídicos o que afecten derechos fundamentales no podrán basarse exclusivamente en sistemas automatizados de identificación biométrica.
También se prohíbe la identificación masiva e indiscriminada mediante biometría en espacios públicos, salvo que exista un mandato legal expreso y una justificación motivada.
En el caso de niños, niñas y adolescentes, el tratamiento de datos biométricos con fines identificativos estará prohibido, excepto cuando no existan alternativas menos invasivas y se cumplan los requisitos de evaluación de riesgos e impacto. Los adolescentes de 15 a 17 años podrán otorgar directamente su consentimiento explícito bajo las condiciones establecidas por la norma.
Plazo de adecuación
La norma entrará en vigencia con su publicación en el Registro Oficial. Desde ese momento, quienes ya utilicen sistemas biométricos tendrán 12 meses para adaptar sus procesos y sistemas a las nuevas disposiciones de la SPDP.