Se planteó a la Superintendencia de Protección de Datos Personales (SPDP) si la competencia legal de una entidad pública para controlar la asistencia y permanencia de sus servidores constituye, por sí misma, habilitación suficiente para tratar datos biométricos con ese fin (artículo 7.4 – Ley Orgánica de Protección de Datos Personales -LOPDP); cuál es el alcance del artículo 26.2 de la LOPDP como base para ese tratamiento en el ámbito laboral público; y si los principios de juridicidad, necesidad, proporcionalidad y minimización (artículo 10 LOPDP) exigen una habilitación jurídica suficiente antes de tratar datos biométricos.
Lo que dice la Superintendencia:
Pregunta 1: Competencia legal no es igual a habilitación biométrica. Que una norma con rango de ley atribuya a una entidad la competencia de controlar asistencia no equivale automáticamente a la base legitimadora del artículo 7.4 LOPDP para tratar datos biométricos. Hay que distinguir entre la competencia para controlar asistencia y la decisión de usar biometría como medio para hacerlo esta última exige justificación propia.
- La norma habilitante no necesita nombrar la tecnología, pero la existencia de una competencia general tampoco convierte automáticamente cualquier medio tecnológico en necesario y proporcional.
Pregunta 2: El artículo 26.b) LOPDP tampoco es una autorización automática. El literal b) (tratamiento necesario para obligaciones/derechos en el ámbito laboral) no legitima por sí solo el uso de biometría en el trabajo. Debe justificarse específicamente por qué el dato sensible biométrico, y no otro medio, es necesario para esa obligación laboral concreta.
- La Resolución de Datos Biométricos (SPDP-SPD-2026-0039-R) exige, antes de implementar cualquier sistema biométrico, evaluar si el objetivo puede alcanzarse con mecanismos menos invasivos; la biometría solo es admisible si es estrictamente necesaria y no existen otros medios.
Pregunta 3: Sí, se requiere fundamento jurídico previo, pero eso no agota el examen de licitud. La secuencia completa exige verificar, de forma articulada: (i) condición de legitimación (art. 7 LOPDP); (ii) supuesto que habilite tratar datos sensibles (art. 26); (iii) necesidad estricta, pertinencia, minimización y proporcionalidad del mecanismo biométrico en concreto; y (iv) obligaciones específicas de análisis de riesgos, evaluación de impacto previa (EIPD), protección desde el diseño y seguridad reforzada.
- La EIPD es obligatoria antes de implementar cualquier sistema biométrico y debe actualizarse cada 12 meses o cuando cambie el nivel de riesgo. El reconocimiento facial, puntualmente, no se considera tratamiento a gran escala por sí solo (a diferencia del resto de datos biométricos), pero igual exige análisis de riesgos y EIPD.
- La SPDP reafirma su línea de precedentes (Oficios 2025-0031-O, 2025-0065-O y 2025-0108-O): el control biométrico de asistencia debe superar un examen real de proporcionalidad, contar con EIPD y garantizar alternativas reales y no invasivas para los titulares incluso si se basa en consentimiento.
- Carácter del pronunciamiento: opinión técnica no vinculante, aplicable solo al caso consultado, sin efectos jurídicos generales ni límite a las facultades de supervisión, control y sanción de la SPDP.
Ninguna entidad pública debería implementar o mantener un sistema biométrico de control de asistencia únicamente porque tiene la competencia legal para controlar la asistencia, antes debe documentar, con análisis de riesgos y evaluación de impacto en mano, por qué la biometría específicamente es estrictamente necesaria y por qué no bastan alternativas menos invasivas, como tarjeta, PIN, registro manual, ofreciendo además una alternativa real para las personas que no quieran dar su consentimiento.
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL.