El rostro, la huella, la voz y el iris pueden hacer muchos procesos más simples y seguros. Pero también convierten características permanentes de una persona en infraestructura de identificación. Ecuador cuenta ahora con nuevas reglas para decidir cuándo ese intercambio realmente se justifica.
Desbloqueamos el teléfono con la mirada. Registramos la entrada al trabajo con un dedo. Abrimos una cuenta bancaria con una selfie. Confirmamos nuestra identidad con la voz.
La biometría se ha integrado tan rápido a la vida cotidiana que ya casi no percibimos lo extraordinario de lo que ocurre detrás: una parte de nuestro cuerpo se convierte en credencial.
Y esa credencial tiene una diferencia fundamental con casi todas las demás. Una contraseña comprometida se reemplaza, una tarjeta se cancela y un código se regenera. Tu rostro, tu huella o tu iris, no.
Por eso, la discusión sobre biometría ya no puede limitarse a si la tecnología funciona o si agiliza un proceso. También hay que preguntarse: ¿es realmente necesario usar el cuerpo de una persona para resolver este problema?
Esa pregunta está en el centro de la nueva Norma General para el Tratamiento de Datos Biométricos, expedida en septiembre de 2026 por la Superintendencia de Protección de Datos Personales (SPDP) mediante la Resolución N.º SPDP-SPD-2026-0039-R. La norma establece condiciones, garantías y límites específicos para estos tratamientos y, con ella, cambia la lógica para las organizaciones que usan biometría en Ecuador.
No toda la información biométrica funciona igual
Hablar de biometría parece sencillo, pero técnicamente hay diferencias relevantes. Un sistema puede trabajar con rostros, huellas, voz, iris, patrones físicos o de comportamiento, o con representaciones matemáticas generadas a partir de esas características.
Desde la perspectiva de la protección de datos, lo determinante es si esas características se procesan para identificar de manera unívoca a una persona. En ese caso estamos ante datos sensibles, que exigen una protección reforzada.
La norma también obliga a pensar en cómo se almacena la información. No es lo mismo conservar la imagen completa de una huella que usar una plantilla biométrica: una representación matemática que permite hacer comparaciones sin necesidad de mantener el dato original.
La regulación privilegia la minimización y las arquitecturas que reducen el riesgo de forma estructural, junto con controles estrictos de acceso y seguridad reforzada. La SPDP ha insistido en que, incluso cuando el tratamiento es procedente, la organización debe justificar qué información necesita conservar y durante cuánto tiempo.
De ahí surge una primera regla estratégica: poder almacenar un dato no significa necesitar almacenarlo.
Antes de preguntar cómo implementar biometría, hay que preguntar si se necesita
Este es probablemente uno de los cambios más importantes. Hasta ahora, una organización podía razonar así:
“Necesitamos controlar la asistencia: instalemos lectores de huella”.
“Necesitamos verificar la identidad: usemos reconocimiento facial”.
“Queremos agilizar el acceso: implementemos biometría”.
La nueva lógica exige una pregunta previa: ¿podemos alcanzar el mismo objetivo con un mecanismo menos invasivo?
El artículo 13 de la norma obliga a evaluar alternativas antes de implementar un sistema biométrico. Según la SPDP, su uso debe justificarse como estrictamente necesario, es decir, cuando no existan otros medios adecuados para lograr la finalidad.
Eficiencia y necesidad no son sinónimos. Un sistema biométrico puede ser más rápido, más moderno, más cómodo e incluso más barato, pero ninguna de esas ventajas demuestra, por sí sola, que sea necesario.
La SPDP ya había aplicado este criterio al control laboral de asistencia: la necesidad de registrar a qué hora entra un trabajador no implica que haya que usar sus datos biométricos para hacerlo. La finalidad puede ser legítima y, aun así, el mecanismo elegido puede resultar desproporcionado.
El consentimiento necesita una alternativa real
Este punto es especialmente relevante cuando existe una relación desigual entre las partes. Pensemos en un trabajador a quien su empresa le dice: “Para entrar, tienes que registrar tu huella”. ¿Es realmente libre su consentimiento si negarse significa no poder ingresar a su lugar de trabajo?
La norma presta especial atención a estas situaciones de asimetría: relaciones laborales, dependencia económica o acceso a determinados servicios. Cuando el tratamiento se base en el consentimiento, este deberá cumplir las condiciones de la Ley Orgánica de Protección de Datos Personales (LOPDP) y, en ciertos contextos, deberá existir una alternativa equivalente no biométrica para que la elección sea verdaderamente libre.
Esto cambia de fondo la experiencia que deben diseñar las organizaciones. La pregunta deja de ser “¿acepta usar biometría?” y pasa a ser “¿puede realmente decir que no?”. Una opción que no se puede rechazar difícilmente es una elección.
Todo sistema biométrico empieza por el riesgo, no por la implementación
La norma exige que los tratamientos biométricos estén precedidos por un análisis de riesgos y una Evaluación de Impacto del Tratamiento de Datos Personales (EIPD). Esa evaluación debe revisarse al menos cada doce meses y siempre que cambie el nivel de riesgo.
Esto supone otro cambio cultural. Muchas organizaciones evalúan tecnología con esta secuencia:
funcionalidad → precio → proveedor → implementación
La biometría obliga a incorporar nuevas etapas:
funcionalidad → necesidad → riesgo → arquitectura → implementación
Antes de comprar un sistema, la organización debería saber qué dato utilizará, dónde se almacenará, si conservará datos biométricos brutos o plantillas, quién tendrá acceso, qué proveedores intervienen, durante cuánto tiempo se guardará la información, qué pasaría ante una filtración, si el sistema puede generar falsos positivos y qué alternativa tendrá una persona que no quiera o no pueda usarlo.
La gestión de riesgos deja de ser una revisión posterior y se convierte en parte del diseño de la solución.
Primero la necesidad, después la tecnología
La nueva norma invierte el orden en que muchas organizaciones han tomado decisiones sobre biometría. Antes, la conversación solía empezar por la funcionalidad, el precio o el proveedor. Ahora empieza por otras preguntas: ¿es estrictamente necesario usar el cuerpo de una persona?, ¿puede esa persona negarse sin perder el acceso a su trabajo o a un servicio?, ¿qué riesgos se asumen si esos datos llegan a exponerse?
Solo cuando esas preguntas tienen una respuesta sólida y documentada tiene sentido hablar de implementación.
Justificar el uso de la biometría, sin embargo, es apenas el comienzo. En nuestro próximo artículo revisaremos los límites que la norma fija una vez que se decide implementarla: la seguridad reforzada, la finalidad, el reconocimiento facial y la protección de niños, niñas y adolescentes. También veremos qué deben revisar las organizaciones que ya usan biometría.
Este artículo tiene fines informativos y no constituye asesoría legal.