Si su empresa controla la asistencia con huella dactilar o reconocimiento facial, necesita revisar la base jurídica del tratamiento, su necesidad, la evaluación de impacto y el contrato con el proveedor. Además, el uso de biometría puede obligarla a designar un Delegado de Protección de Datos incluso cuando tiene pocos trabajadores.
Actualizado: 19 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisión jurídica: Ab. Juan Alberto Gómez Benalcázar y Ab. Emilie Arline Donoso Ibarra, Abogada Senior.
Una empresa puede utilizar un reloj biométrico sin que la ley le ordene retirarlo automáticamente, pero no basta con comprar el equipo y pedir a los trabajadores que coloquen su huella. Debe demostrar por qué necesita ese sistema, qué datos recoge, cómo los protege y qué alternativa tiene disponible cuando corresponda.
En septiembre de 2026, la Superintendencia de Protección de Datos Personales (SPDP) publicó reglas específicas para biometría. La disposición transitoria de la Resolución SPDP-SPD-2026-0039-R establece doce meses para la adecuación de los sistemas que ya estaban en funcionamiento: hasta el 24 de septiembre de 2027. Ese plazo de adecuación no suspende las obligaciones de la LOPDP que ya eran exigibles.
¿Por qué un reloj de huellas trata datos sensibles?
Los datos biométricos usados para identificar de forma única a una persona están comprendidos entre los datos sensibles conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP). La plantilla generada por el equipo no es una fotografía de la huella, pero puede permitir identificar al trabajador y sigue siendo un dato personal.
La empresa debe establecer quién administra la información, quién tiene acceso, dónde se almacena, si el proveedor ofrece asistencia remota y cuándo se elimina. El uso para controlar asistencia no autoriza por sí solo otros fines, como vigilancia comercial o identificación de visitantes.
¿Es obligatorio que los trabajadores registren su huella?
No existe una autorización general para exigir biometría a todo trabajador. La empresa necesita identificar una condición jurídica aplicable para tratar datos sensibles, conforme al artículo 26 de la LOPDP, y acreditar la necesidad y proporcionalidad de ese tratamiento.
El consentimiento explícito requiere especial cautela en relaciones laborales: si el empleado no tiene una alternativa razonable, puede discutirse que haya consentido libremente. Otra excepción legal puede ser pertinente si el tratamiento es verdaderamente necesario para obligaciones o derechos específicos en el ámbito laboral; no basta afirmar que el control de asistencia resulta cómodo.
El artículo 13 de la Resolución SPDP-SPD-2026-0039-R exige evaluar si existen medios menos invasivos capaces de cumplir la finalidad. Según las condiciones de la norma, corresponde ofrecer mecanismos alternativos no biométricos. Antes de mantener un reloj de huella, compare su utilidad con tarjetas, PIN o aplicaciones y documente por qué las alternativas son o no suficientes.
¿Debe designar un Delegado de Protección de Datos por utilizar el reloj?
Es una de las primeras preguntas que debe revisar. El artículo 14.4 de la Resolución SPDP-SPD-2026-0005-R califica directamente como tratamiento a gran escala el tratamiento de datos biométricos, sin exigir en esos supuestos aplicar el modelo técnico de gran escala. El artículo 12 de esa resolución vincula la calificación con obligaciones reforzadas, entre ellas la designación de un Delegado de Protección de Datos (DPD) y la evaluación de impacto.
Esto significa que el uso de un reloj de huella dactilar puede activar la obligación de contar con DPD aunque el empleador tenga pocos trabajadores. No espere a superar cien empleados para evaluarlo.
Excepción importante: reconocimiento facial. La norma posterior sobre biometría, Resolución SPDP-SPD-2026-0039-R, establece en su artículo 19 que el empleo de tecnologías de reconocimiento facial no constituye por sí solo un tratamiento a gran escala. En esos casos se examinan las características efectivas del tratamiento y las demás causales legales de designación. Esta excepción no significa que el reconocimiento facial esté libre de obligaciones de protección de datos, ni excluye que una compañía deba nombrar DPD por otro supuesto de la LOPDP o de la regulación sectorial.
La SPDP ha explicado esta lectura conjunta de ambas resoluciones en sus consultas oficiales de 2026. Las contestaciones a consultas se deben utilizar con el alcance jurídico propio de cada pronunciamiento; no sustituyen la norma aplicable.
¿Necesita una evaluación de impacto?
La Resolución SPDP-SPD-2026-0039-R exige un análisis de riesgos y una evaluación de impacto para los tratamientos biométricos en los términos de sus artículos 5 y 15. La evaluación debe justificar la finalidad, la necesidad, la proporcionalidad, los riesgos para los trabajadores y las medidas que se adoptarán. La norma contempla revisión periódica, incluida la revisión cada doce meses y ante cambios relevantes del riesgo.
Si el sistema ya estaba operativo cuando entró en vigor la resolución, debe utilizarse el plazo transitorio de adecuación para revisar técnicamente el sistema y documentar el cumplimiento de las exigencias nuevas. Ello no subsana por sí mismo eventuales incumplimientos previos de la LOPDP.
¿Qué debe exigir al proveedor del reloj?
Si el proveedor accede a plantillas, registros de marcación u otros datos personales para prestar soporte, alojamiento o mantenimiento, revise si actúa como encargado del tratamiento. En ese caso, el artículo 34 de la LOPDP exige un contrato que delimite instrucciones, finalidades, confidencialidad, seguridad, conservación y devolución o eliminación de los datos.
Pida al proveedor información verificable sobre las plantillas biométricas y el almacenamiento, los accesos de soporte remoto, los respaldos, la subcontratación y el procedimiento ante incidentes. No basta con que el vendedor asegure verbalmente que el equipo es seguro.
Lista rápida para gerencia y recursos humanos
| Pregunta | Qué comprobar |
|---|---|
| ¿Es indispensable la huella o el rostro? | Compare alternativas menos invasivas y documente el resultado. |
| ¿Con qué condición jurídica se tratan los datos? | Examine la LOPDP, art. 26, y el contexto laboral. |
| ¿Existe evaluación de impacto? | Verifique que describa tratamiento, riesgos, mitigaciones y revisiones. |
| ¿El reloj usa huella o reconocimiento facial? | Analice por separado la calificación de gran escala y la obligación de DPD. |
| ¿El proveedor accede a información? | Determine si es encargado y formalice el contrato aplicable. |
| ¿Se cumple el plazo de adecuación? | Para sistemas preexistentes, revise las nuevas exigencias hasta el 24 de septiembre de 2027, sin posponer obligaciones vigentes. |
Caso práctico: empresa industrial que ya usa huellas
Una fábrica de Quito con cuarenta trabajadores utiliza un reloj de huella desde 2024 y contrata soporte remoto con el proveedor. Aunque tenga menos de cien empleados, debe analizar inmediatamente si la calificación directa de gran escala prevista para biometría le exige nombrar DPD. También debe examinar la justificación del sistema, la posibilidad de marcación por tarjeta o PIN, la evaluación de impacto, la información entregada a sus trabajadores y el contrato de encargo con el proveedor.
El hecho de que el equipo funcione desde antes de septiembre de 2026 no elimina estas preguntas. La empresa puede preparar su adecuación normativa, pero debe distinguir la transición prevista para los requisitos nuevos de las obligaciones previas de la LOPDP.
Qué debería hacer su empresa ahora
- Identifique qué equipos funcionan y si capturan huellas, rostros u otros datos biométricos.
- Examine necesidad, proporcionalidad y fundamento jurídico; ofrezca alternativas cuando corresponda.
- Revise si necesita designar DPD, aplicando las resoluciones 2026-0005-R y 2026-0039-R conjuntamente.
- Prepare o revise la evaluación de impacto, la política de conservación y las medidas de seguridad.
- Formalice el contrato con el proveedor si trata datos por cuenta de la compañía.
- Organice la adecuación al 24 de septiembre de 2027 cuando resulte aplicable, sin interpretar esa fecha como una prórroga general de la LOPDP.
TempoLegal puede revisar su reloj de asistencia, el contrato con el proveedor y el análisis de necesidad de DPD para determinar qué obligaciones corresponden a su empresa.
Solicite un diagnóstico inicial o escríbanos por WhatsApp.
Fuentes jurídicas principales
- Ley Orgánica de Protección de Datos Personales, especialmente arts. 4, 7, 10, 26, 34, 42 y 48.
- SPDP: Resolución SPDP-SPD-2026-0005-R, tratamiento a gran escala, arts. 12 y 14.4.
- SPDP: Resolución SPDP-SPD-2026-0039-R, datos biométricos, arts. 5, 13, 15 y 19, y disposición transitoria.
- SPDP: consultas oficiales de 2026, sobre la interpretación conjunta de biometría, gran escala y reconocimiento facial.
Guía informativa vigente con fecha de corte de octubre de 2026. La obligación concreta depende del tratamiento y los demás supuestos aplicables.