La Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma General para el Tratamiento de Datos Biométricos, aplicable a entidades públicas y privadas que utilicen biometría para identificar o verificar de forma única a personas naturales. La regulación comprende, entre otros, reconocimiento facial, huellas dactilares, iris y voz. Estos datos se consideran sensibles, por lo que su tratamiento exige garantías reforzadas.

Principales obligaciones para las empresas

• Realizar un análisis de riesgos y una Evaluación de Impacto en Protección de Datos Personales (EIPD) antes de implementar un sistema biométrico; la EIPD debe actualizarse cada doce meses o si cambia el nivel de riesgo.
• Justificar que la biometría es estrictamente necesaria y que no existe una alternativa menos invasiva para cumplir la finalidad.
• Cuando el tratamiento se base en consentimiento, ofrecer un mecanismo alternativo no biométrico, salvo imposibilidad técnica o fáctica debidamente acreditada en la EIPD.
• Aplicar privacidad desde el diseño, minimización, control estricto de accesos y medidas de seguridad reforzadas. Se debe privilegiar el uso de plantillas biométricas frente al almacenamiento de datos biométricos brutos.

Restricciones clave

• La norma prohíbe reutilizar datos biométricos para una finalidad distinta de la que justificó su recolección. También prohíbe la identificación masiva e indiscriminada de personas en espacios públicos, salvo habilitación expresa mediante una ley.
• Las empresas no podrán basar exclusivamente en sistemas biométricos automatizados las decisiones que produzcan efectos jurídicos o afecten derechos fundamentales. Asimismo, el uso identificativo de biometría respecto de niñas, niños y adolescentes queda restringido y sujeto a condiciones reforzadas.

Acciones recomendadas

• Las empresas que utilicen biometría para control de acceso, asistencia, autenticación, prevención de fraude o videovigilancia deberían:
• Identificar sus sistemas y flujos de datos biométricos.
• Verificar la base de legitimación y la necesidad del tratamiento.
• Elaborar o actualizar la EIPD y el análisis de riesgos.
• Implementar alternativas no biométricas cuando corresponda.
• Revisar las medidas técnicas, los controles de acceso y los avisos de privacidad.

Adecuación y vigencia

Las organizaciones que ya empleen sistemas biométricos deberán adecuar sus procesos y sistemas dentro de los doce meses contados desde la publicación de la norma en el Registro Oficial. La fecha de publicación no consta en el documento analizado, por lo que debe confirmarse para calcular el plazo exacto.

En caso de requerir asesoría sobre los datos biométricos, contacta a nuestro equipo de Protección de Datos Personales

Este documento no constituye opinión legal, es tan solo un informativo general.

En caso de requerir asesoría específica, por favor contactarnos a las siguientes direcciones: