Mediante el Oficio No. SPDP-IGRD-2026-514-O, la Superintendencia de Protección de Datos Personales analizó el uso de datos biométricos por parte de entidades públicas para controlar la asistencia y permanencia de servidores públicos.

La consulta se enfocó en determinar si el hecho de que una entidad pública tenga una competencia legal para controlar asistencia constituye, por sí mismo, una habilitación suficiente para implementar sistemas biométricos basados en huellas, reconocimiento facial u otros mecanismos similares.

La SPDP concluyó que la existencia de una competencia legal para controlar asistencia no implica automáticamente que pueda utilizarse cualquier tecnología para alcanzar ese objetivo. Dado que los datos biométricos tienen la calidad de datos sensibles, su utilización exige cumplir requisitos adicionales de necesidad, proporcionalidad y minimización.

La autoridad recordó además que la reciente Norma General para el Tratamiento de Datos Biométricos exige demostrar que no existen mecanismos alternativos menos invasivos para lograr la misma finalidad. Esto significa que una entidad pública debe justificar específicamente por qué necesita utilizar biometría y no otras formas de verificación o control.

Asimismo, señaló que los tratamientos biométricos deben estar precedidos de análisis de riesgos, evaluaciones de impacto en protección de datos y medidas de seguridad reforzadas, especialmente cuando el sistema identifica personas de manera unívoca o utiliza reconocimiento facial.

Por lo expuesto, la SPDP concluyó lo siguiente:

• Tener competencia legal para controlar asistencia no habilita, por sí sola, el uso de biometría.
• Debe demostrarse que no existen medios menos invasivos para el mismo fin.
• El tratamiento requiere análisis de riesgos, evaluación de impacto y medidas de seguridad reforzadas.