La Superintendencia de Protección de Datos Personales (SPDP) absolvió una consulta sobre la aplicación de los artículos 7, numeral 2, y 26, literal b), de la Ley Orgánica de Protección de Datos Personales (LOPDP) al tratamiento de datos biométricos por entidades públicas para fines de autenticación o validación de identidad.
Criterio de la Superintendencia:
- Pregunta 1: El artículo 7.2 y el 26.b) deben aplicarse de forma articulada, pero su concurrencia NO habilita automáticamente el tratamiento biométrico. Hay que identificar puntualmente la obligación legal concreta que sustenta el tratamiento (art. 7.2) y verificar por separado que se cumplan los presupuestos del art. 26.b).
- Debe distinguirse entre la necesidad de autenticar/validar identidad y la necesidad de usar biometría específicamente para hacerlo. La primera puede derivar de las competencias de la entidad; la segunda exige una justificación adicional y propia.
- La sola naturaleza pública de la entidad, sus competencias generales o la finalidad de autenticación no determinan por sí mismas que el uso de biometría sea procedente o pertinente.
- La Resolución de Biometría (SPDP-SPD-2026-0039-R) la define como una situación acreditada mediante análisis técnico previo y documentado que demuestre que las alternativas no biométricas son insuficientes, inviables o incapaces de cumplir la finalidad con un nivel equivalente de seguridad, confiabilidad o eficiencia. No basta una afirmación genérica de que la biometría es «más eficiente, moderna o segura» se debe sustentar técnica y jurídicamente frente a la operación real.
- Pregunta 2: Los principios de minimización, proporcionalidad y confidencialidad se traducen en exigencias concretas:
- Minimización: limitar no solo los datos, sino también los accesos habilitados, plazos de conservación y cualquier información adicional generada en la verificación.
- Proporcionalidad: antes de implementar, evaluar si el objetivo se logra con mecanismos menos invasivos; la biometría solo procede si es estrictamente necesaria y no hay otros medios disponibles.
- Confidencialidad: los datos biométricos no pueden usarse ni comunicarse para fines distintos de los que justificaron el tratamiento, salvo nueva base de legitimación; se exigen medidas técnicas/organizativas para restringir accesos.
- Sobre interoperabilidad en tiempo real: el tratamiento de datos biométricos se califica directa y obligatoriamente como tratamiento a gran escala (con las obligaciones reforzadas que eso implica: evaluación de impacto previa (EIPD), Delegado de Protección de Datos (DPD) obligatorio, incorporación al Registro de Actividades de Tratamiento (RAT), medidas reforzadas. La excepción es el reconocimiento facial, que no se considera a gran escala por sí solo, pero de todos modos exige verificar la normativa secundaria específica aplicable.
- Carácter del pronunciamiento: opinión técnica no vinculante, aplicable solo al caso consultado, sin efectos jurídicos generales ni limitación a las facultades de supervisión, control y sanción de la SPDP.
Antes de implementar, o de seguir operando, un sistema de autenticación biométrica interoperable entre entidades públicas, hay que tener listo un análisis técnico documentado de «imposibilidad técnica» que demuestre por qué ninguna alternativa no biométrica cumple la finalidad con un nivel equivalente de seguridad; sin ese respaldo, y sin la EIPD correspondiente, el sistema queda expuesto a un cuestionamiento de proporcionalidad en cualquier fiscalización futura.
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL.