Mediante la Resolución No. SPDP-SPD-2026-0039-R, la Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma General para el Tratamiento de Datos Biométricos. La norma fija las condiciones, garantías y límites aplicables al uso de huella dactilar, reconocimiento facial, iris, voz y otros rasgos biométricos, en el sector público y en el privado.

Sus tres exigencias centrales son la evaluación de impacto previa a implementar cualquier sistema biométrico, la obligación de ofrecer al titular una alternativa que no requiera biometría, y un plazo de doce meses para que quienes ya usan estos sistemas adecúen sus procesos. Entrará en vigencia con su publicación en el Registro Oficial.

Ámbito de aplicación

Los datos biométricos constituyen una categoría especial de datos personales cuando su tratamiento se realiza por medios que permiten o tienen por finalidad identificar de manera unívoca a una persona natural. En ese supuesto se aplican las reglas de la Ley Orgánica de Protección de Datos Personales (LOPDP) sobre datos sensibles.

Cuando el tratamiento no tiene por finalidad ni por resultado la identificación unívoca, se rige por las disposiciones generales de la LOPDP y su Reglamento General, sin perjuicio de las medidas de seguridad que correspondan.

La norma alcanza al tratamiento automatizado o parcialmente automatizado, y también al no automatizado cuando los datos formen parte de sistemas, soportes informáticos o bases estructuradas. Dispone, además, que el responsable privilegie el uso de plantillas biométricas (la representación matemática derivada del rasgo) y evite almacenar el dato biométrico bruto, salvo estricta necesidad técnica.

Tratamientos de alto riesgo

La SPDP considera de alto riesgo los tratamientos biométricos que:

• Tengan como resultado la identificación unívoca de personas naturales.
• Impliquen la evaluación sistemática o exhaustiva de aspectos personales mediante tratamientos automatizados, sobre cuya base se adopten decisiones que afecten derechos y libertades fundamentales.
• Conlleven la observación sistemática, a gran escala, de zonas de acceso público.

Consentimiento y alternativa no biométrica

Cuando el tratamiento se base en el consentimiento, este debe ser previo, libre, específico, informado, inequívoco y explícito.

El responsable o encargado debe ofrecer al titular al menos un mecanismo alternativo equivalente que no requiera biometría. La excepción por imposibilidad técnica solo aplica cuando se haya documentado y demostrado en la evaluación de impacto que ningún mecanismo alternativo alcanza la finalidad con niveles de seguridad equivalentes.

El titular puede revocar su consentimiento en cualquier momento, y el responsable debe implementar los medios para que la revocatoria se haga efectiva de manera expedita.

Asimetría significativa

La norma incorpora el concepto de asimetría significativa, que se configura únicamente cuando concurren elementos que afectan de manera real la libertad de decisión del titular:

• Una relación de subordinación jurídica o dependencia económica directa.
• El condicionamiento del acceso a derechos fundamentales, servicios esenciales o beneficios relevantes.
• La ausencia de alternativas reales y razonables dentro del contexto específico del tratamiento.

En esos casos, el consentimiento debe ser explícito y, como regla general, debe ofrecerse una alternativa razonable no biométrica, salvo imposibilidad técnica o fáctica justificada, obligación derivada de norma con rango de ley o disposición de autoridad competente.

La SPDP excluye expresamente de la asimetría significativa el uso de biometría para la autenticación en operaciones sujetas a debida diligencia reforzada, conforme a las normativas de prevención de fraude, lavado de activos y financiamiento del terrorismo.

Finalidad y evaluación de impacto

Queda prohibida la reutilización de datos biométricos para una finalidad distinta de la que legitimó su obtención inicial. Cualquier finalidad adicional exige un nuevo consentimiento o la verificación de los requisitos previstos para datos sensibles.

Antes de implementar un sistema biométrico, el responsable debe evaluar si el objetivo puede alcanzarse por mecanismos menos invasivos. La biometría solo es admisible cuando resulte estrictamente necesaria para la finalidad prevista.

La evaluación de impacto es obligatoria antes de implementar cualquier sistema biométrico, y debe revisarse y actualizarse cada doce meses y también cuando cambie el nivel de riesgo del tratamiento. Las medidas de seguridad reforzadas se determinan conforme a la versión vigente de la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales de la SPDP.

Prohibiciones y límites

• Las decisiones que produzcan efectos jurídicos o afecten derechos y libertades fundamentales no pueden basarse exclusivamente en sistemas automatizados de identificación biométrica, ni en decisiones mayoritariamente biométricas con intervención humana formal o testimonial. El titular tiene derecho a solicitar una explicación motivada sobre la decisión.
• Queda prohibido el uso de sistemas biométricos destinados a la identificación masiva e indiscriminada de personas en espacios públicos, salvo mandato expreso de una norma con rango de ley y con justificación motivada del tratamiento.
• El uso de tecnologías de reconocimiento facial no constituye, por sí mismo, un tratamiento de datos a gran escala, sin perjuicio de verificar lo previsto en el Reglamento General de la LOPDP.

Niños, niñas y adolescentes

El tratamiento de datos biométricos de niños, niñas y adolescentes con fines identificativos está prohibido, salvo que no existan otros medios menos invasivos y siempre que se cuente con el análisis de riesgos y la evaluación de impacto.

La legitimación se realiza mediante consentimiento explícito del representante legal, tutor o curador. Los adolescentes entre quince y diecisiete años pueden otorgar su consentimiento explícito por sí mismos, siempre que la información se les proporcione en lenguaje sencillo y adaptado a su edad. El representante legal puede solicitar la revocación de ese consentimiento cuando existan motivos fundados de alto riesgo para los derechos del adolescente.

Plazo de adecuación

Quienes estuvieren utilizando sistemas biométricos al momento de la entrada en vigencia de la norma deberán adecuar sus procesos y sistemas dentro de doce meses contados desde la publicación en el Registro Oficial.