En Ecuador, mediante Oficio No. SPDP-IRD-2026-0001-O, la Superintendencia de Protección de Datos Personales (SPDP) absolvió una consulta relacionada con la legitimación del tratamiento de datos personales mediante sistemas de videovigilancia implementados por entidades públicas, así como con la aplicación de los principios de información, proporcionalidad, minimización y conservación de datos previstos en la Ley Orgánica de Protección de Datos Personales (LOPDP).
La base de legitimación aplicable a la videovigilancia en el sector público
La Superintendencia parte de que la videovigilancia implica una injerencia en el derecho fundamental a la protección de datos personales, al suponer la captación sistemática de imágenes y, por tanto, el tratamiento de datos personales de carácter biométrico. En consecuencia, este tipo de tratamiento debe sujetarse estrictamente a alguna de las bases de legitimación previstas en el artículo 7 de la LOPDP.
En el caso de entidades del sector público, la SPDP concluye que el tratamiento derivado de la videovigilancia puede legitimarse en la base prevista en el numeral 4 del artículo 7 de la LOPDP, únicamente en el supuesto del ejercicio efectivo de poderes públicos conferidos al responsable por una norma con rango de ley. La autoridad aclara que el interés público no puede entenderse de forma genérica o abstracta, sino que debe estar directamente vinculado a competencias legales específicas.
En este marco, la SPDP identifica como sustento jurídico relevante las obligaciones de custodia, control y protección de los bienes y recursos del Estado, señalando que la videovigilancia puede constituir una medida orientada a viabilizar el cumplimiento de dichas obligaciones, siempre que el tratamiento observe los principios y garantías del régimen de protección de datos personales.
El derecho a la información y la señalética en zonas videovigiladas
En relación con el derecho a la información reconocido en el artículo 12 de la LOPDP, la Superintendencia concluye que la colocación de señalética informativa visible en zonas videovigiladas sí constituye un mecanismo válido e idóneo para garantizar dicho derecho.
La SPDP precisa que, tratándose de tratamientos automatizados como la videovigilancia, el deber de informar puede cumplirse mediante un esquema de información por capas, en el que la señalética actúe como primera capa informativa. En particular, señala que los carteles deben permitir al titular identificar, de manera razonable y accesible:
- La existencia de un tratamiento de datos personales mediante videovigilancia.
- La identidad del responsable del tratamiento y sus datos de contacto.
- Los canales habilitados para el ejercicio de los derechos de los titulares.
- El acceso a una segunda capa informativa donde se complete la información exigida por la LOPDP.
Proporcionalidad, pertinencia y minimización en la ubicación de cámaras
Respecto de la aplicación de los principios de proporcionalidad y de pertinencia y minimización de datos, la Superintendencia señala que la definición de las ubicaciones de las cámaras debe responder exclusivamente a finalidades legítimas, claras y previamente determinadas, vinculadas a la seguridad de personas, bienes e instalaciones.
La SPDP enfatiza que la videovigilancia no puede configurarse como un mecanismo de control generalizado. En consecuencia:
- Las cámaras deben instalarse únicamente en espacios donde exista un riesgo real, concreto y verificable.
- Debe evitarse su colocación en zonas con una alta expectativa de privacidad, como baños, vestidores u otros espacios similares.
- La captación de imágenes debe limitarse a lo estrictamente indispensable, lo que exige justificar el número, tipo, orientación y campo visual de las cámaras sobre la base de un análisis previo de necesidad y riesgo.
Asimismo, la autoridad recuerda que la finalidad del tratamiento es un elemento central para evaluar su licitud, incluso cuando la captación de imágenes se realice en instalaciones públicas.
El principio de conservación de datos personales
Finalmente, en relación con el principio de conservación de datos personales, la Superintendencia señala que, a la fecha, no existe una normativa específica que establezca plazos uniformes de conservación para sistemas de videovigilancia. No obstante, ello no exime a las entidades públicas del cumplimiento del marco constitucional y legal vigente.
En este sentido, las entidades públicas que implementen sistemas de videovigilancia deben definir y documentar de manera motivada sus plazos de conservación, conservando las imágenes únicamente durante el tiempo estrictamente necesario para cumplir la finalidad legítima que motivó su captación. La determinación de dichos plazos debe atender a criterios de necesidad y proporcionalidad y considerar eventuales requerimientos administrativos, judiciales o de control, resolviendo cualquier duda interpretativa de manera favorable a la protección de los derechos de los titulares de datos personales.
