Biometría y LOPDP: datos faciales en el control de asistencia en Ecuador

Muchas empresas ecuatorianas pasaron del registro en papel al control de asistencia con foto o reconocimiento facial para evitar que un compañero marque por otro. Ese cambio tiene una consecuencia legal: la cara del trabajador pasa a ser un dato biométrico, y la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Registro Oficial 459 del 26 de mayo de 2021, lo trata como dato sensible. Esta guía explica qué pide la ley y cómo aplicarlo a un sistema de asistencia.

Por qué la imagen facial es un dato sensible

El artículo 4 de la LOPDP define el dato biométrico como un dato personal único relativo a las características físicas, fisiológicas o conductas de una persona que permita o confirme su identificación única, «como imágenes faciales o datos dactiloscópicos». En el mismo artículo, los datos sensibles incluyen expresamente los datos biométricos, junto con los de salud, etnia o religión.

La consecuencia está en el artículo 26: el tratamiento de datos sensibles está prohibido, salvo que concurra alguna de estas circunstancias, entre otras:

• El titular dio su consentimiento explícito, con los fines especificados.
• El tratamiento es necesario para cumplir obligaciones y ejercer derechos en el ámbito del Derecho laboral y de la seguridad social.
• Es necesario para proteger intereses vitales cuando el titular no puede consentir.

Además, el artículo 25 incluye los datos sensibles en las «categorías especiales», lo que eleva el estándar de cuidado.

Cotejo 1:1 frente a identificación 1:N

No todo «reconocimiento facial» funciona igual, y la diferencia importa para medir el riesgo:

Time Dalton usa cotejo 1:1 y no hace identificación 1:N: primero la persona marca con su número de colaborador o su QR y luego el servidor compara la foto con la de referencia. Eso no exime de cumplir la LOPDP, pero reduce lo que se trata. La nota sobre prueba de vida y reconocimiento facial explica la técnica con más detalle.

Las bases del tratamiento y el consentimiento

El artículo 7 lista cuándo un tratamiento es legítimo: por consentimiento, por obligación legal, para ejecutar un contrato, por interés legítimo, entre otros. Para datos sensibles manda el artículo 26, más estricto.

Si eliges el consentimiento, el artículo 8 exige que sea:

1. Libre, sin vicios.
2. Específico, con los medios y fines concretos.
3. Informado, con transparencia.
4. Inequívoco, sin dudas sobre lo autorizado.

Y puede revocarse en cualquier momento, sin justificación y con un mecanismo tan sencillo como el que se usó para obtenerlo. En una relación laboral, la libertad del consentimiento es discutible, porque el trabajador depende del empleador. Por eso conviene tener una alternativa para quien no acepta la biometría: por ejemplo, marcar con número o QR y foto, revisada por un supervisor, sin cotejo automático. La comparación con otros países está en la guía sobre datos biométricos de trabajadores en Latinoamérica.

Qué decirle al trabajador: el aviso del artículo 12

El artículo 12 da al titular derecho a ser informado, entre otros puntos, sobre:

• Los fines y la base legal del tratamiento.
• El tiempo de conservación de los datos.
• La identidad y el contacto del responsable y, si existe, del delegado de protección de datos.
• Las transferencias a terceros, como el proveedor del sistema.
• Las consecuencias de entregar o negar los datos.
• Cómo revocar el consentimiento y ejercer los derechos de acceso, rectificación, eliminación y oposición.

Un aviso de privacidad de una página, firmado al ingresar o al activar el sistema, cubre estos puntos. Conviene fijar un plazo de conservación concreto, por ejemplo la duración de la relación laboral más el tiempo que tu asesor indique para reclamos.

Evaluación de impacto, delegado y multas

Evaluación de impacto (artículo 42). Es obligatoria, entre otros casos, en el tratamiento a gran escala de categorías especiales de datos, y debe hacerse antes de empezar. Si una empresa con varias sedes y cientos de trabajadores coteja rostros a diario está o no en «gran escala» depende de la normativa de la Superintendencia; consulta con tu asesor laboral o de datos.

Delegado de protección de datos (artículo 48). Se designa, entre otros supuestos, cuando las actividades requieren un control permanente y sistematizado por su volumen o finalidad, o en el tratamiento a gran escala de categorías especiales. El mismo criterio de escala decide si aplica a tu caso.

Multas. Para entidades privadas, el artículo 71 fija entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior por infracciones leves, y el artículo 72 entre el 0,7 % y el 1 % por graves. Para una empresa que facturó USD 2.000.000 el año anterior:

La disposición transitoria primera dejó en suspenso el régimen sancionatorio durante dos años desde la publicación, así que rige desde mayo de 2023. La autoridad de control es la Superintendencia de Protección de Datos Personales, que publica guías en su sitio.

Lista de control para un sistema de asistencia con biometría

1. Define la base legal del artículo 26 y documéntala.
2. Entrega el aviso del artículo 12 y guarda la constancia.
3. Si usas consentimiento, que sea por escrito, específico y revocable, con alternativa.
4. Limita el acceso a las fotos a quien revisa marcaciones.
5. Fija y aplica un plazo de conservación.
6. Evalúa con tu asesor si necesitas evaluación de impacto o delegado.
7. Revisa el contrato con el proveedor como encargado del tratamiento.

Cómo ayuda Time Dalton

En Time Dalton la persona marca en el kiosko web o en la app con su número o QR; el sistema toma la foto, pide una prueba de vida en el dispositivo y hace el cotejo 1:1 en el servidor contra su foto de referencia, con umbrales configurables y una bandeja para que una persona revise los casos dudosos. Los supervisores quedan limitados a sus sedes y la bitácora no se edita, lo que ayuda a limitar el acceso que pide la lista de arriba.

Mira la página de control de asistencia en Ecuador o prueba la demo para ver la bandeja de revisión.