COMUNICADO IMPORTANTE USO DEL SISTEMA BIOMÉTRICO LINCE CLOUD Y LA PROTECCIÓN DE DATOS PERSONALES
Estimado cliente:
El presente análisis técnico-legal tiene por objeto analizar la legalidad y legitimidad del uso de sistemas biométricos para el registro de asistencia laboral, conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), su reglamento general y los criterios emitidos por la Superintendencia de Protección de Datos Personales del Ecuador (SPDP). Este informe se estructura en razón de una respuesta a una consulta no vinculante emitida por la autoridad de control, en la que se sostiene que la recolección de datos biométricos podría considerarse desproporcionada para la finalidad de control de asistencia.
En primer lugar, es necesario destacar que los datos biométricos, por su naturaleza, se encuentran catalogados como datos personales de nivel reforzado (sensibles), conforme al artículo 26 de la LOPDP. Su tratamiento está sujeto a condiciones más estrictas, que implican el cumplimiento de principios como el de proporcionalidad, necesidad, minimización de datos, finalidad y seguridad.
En tal virtud, la posibilidad de usar datos biométricos en el ámbito laboral no está prohibida pero si debe analizarse bajo un enfoque de riesgo y responsabilidad proactiva por parte del responsable del tratamiento. Esto implica que debe justificarse la necesidad y proporcionalidad de su uso mediante una evaluación técnica y jurídica del contexto.
El sistema ofrecido por LA COMPETENCIA S.A. para registro de asistencia cumple con estándares técnicos y legales adecuados para garantizar los derechos de los titulares de los datos. En primer lugar, el sistema no almacena directamente los datos biométricos crudos, sino que utiliza mecanismos de encriptación robusta y procesos de codificación que impiden la identificación directa del titular.[1] Es decir, se conserva una huella digital transformada en un vector cifrado, no la imagen de la huella ni del rostro del trabajador.
En segundo lugar, el sistema cuenta con alternativas adicionales al uso de biometría. La verificación de asistencia puede realizarse mediante tarjetas de acceso, clave o aplicaciones móviles. Esto demuestra que no existe una imposición forzada al tratamiento de datos sensibles, sino una oferta de mecanismos diversos, dejando al empleador la posibilidad de escoger el método más adecuado según su contexto operativo.
[1] Encriptación de datos:
En reposo: Se utiliza cifrado AES-256 en el almacenamiento de datos personales.
En tránsito: Uso exclusivo de TLS 1.2+ para todas las comunicaciones, con certificados SSL/TLS gestionados y renovados automáticamente.
Campo a campo: Encriptación adicional para datos especialmente sensibles como credenciales e información personal.
Asimismo, se debe resaltar que el sistema biométrico está diseñado bajo principios de privacidad desde el diseño y por defecto, asegurando que solo se recopile la información estrictamente necesaria para cumplir con la finalidad de control de asistencia, sin usar esos datos para otros fines ni realizar perfiles ni segmentaciones indebidas.
En cuanto a la infraestructura de soporte, la empresa utiliza la nube de Microsoft Azure, proveedor que cumple con certificaciones internacionales en seguridad de la información (ISO/IEC 27001, 27701, entre otras).[1] Esto garantiza que los datos tratados estén alojados en entornos seguros, bajo altos estándares de disponibilidad, integridad y confidencialidad.
Desde la perspectiva legal, es importante aclarar que el pronunciamiento emitido por la Superintendencia es una consulta no vinculante. Por tanto, carece de fuerza normativa o efecto sancionatorio, y no configura por sí misma una prohibición general sobre el uso de tecnologías biométricas en el contexto laboral.
No obstante, la legitimidad del tratamiento biométrico debe ser acompañada por una evaluación de impacto en protección de datos personales. Esta evaluación permite analizar los riesgos específicos asociados al uso de estos datos y establecer medidas de mitigación adecuadas, como lo establece el artículo 40 de la LOPDP y la Guía de gestión de riesgos de la SPDP.
Desde la óptica del principio de responsabilidad proactiva, es el empleador quien, como responsable del tratamiento, debe justificar por qué escoge el sistema biométrico frente a otras alternativas, documentar esta decisión mediante una Evaluación de Impacto, y establecer garantías adecuadas, incluyendo el consentimiento informado y la posibilidad de mecanismos alternativos.
LA COMPETENCIA S.A., por su parte, ha diseñado el sistema con la flexibilidad necesaria para adaptarse a los requerimientos de sus clientes, incorporando buenas prácticas de seguridad de la información, privacidad desde el diseño y cumplimiento normativo, todo lo cual refuerza su compromiso con la protección de los datos personales.
[2] Nuestra infraestructura se encuentra desplegada en Microsoft Azure utilizando componentes de servicios dedicados con una disponibilidad garantizada, bajo el modelo de servicios PaaS (Platform as a Service) y SaaS (Software as a Service).
Control de Acceso y Restricciones de Red
- Accesos Diferenciados: Implementamos controles de acceso basados en roles (RBAC) con privilegios mínimos necesarios y autenticación multifactor (MFA) para roles administrativos.
- Restricciones a Nivel de Red: Uso de Azure Virtual Network con subredes segregadas y Network Security Groups (NSG) configurados con reglas específicas para controlar el tráfico y restringir accesos por IP y protocolo.
Recomendamos a nuestros clientes que, al implementar este sistema, realicen su propia evaluación de impacto, ajusten sus cláusulas contractuales, capaciten a su personal y mantengan evidencia documental del cumplimiento de la LOPDP, contando con el soporte legal y técnico que LA COMPETENCIA S.A. está en capacidad de brindar.
En conclusión, el uso de sistemas biométricos para el control de asistencia laboral es legalmente viable siempre que se implementen bajo un estricto marco de cumplimiento normativo, respetando los principios de proporcionalidad, necesidad, minimización y seguridad establecidos en la LOPDP. LA COMPETENCIA S.A. reafirma su compromiso con la protección de datos personales, ofreciendo soluciones tecnológicas que equilibran la eficiencia operativa con el respeto a los derechos fundamentales de los titulares. Invitamos a nuestros clientes a trabajar conjuntamente en la implementación responsable de estas tecnologías, garantizando siempre la dignidad y privacidad de sus colaboradores.
Oficinas: +593 (2) 382 7390
WhatsApp: 096 972 9361
Medios digitales:
Correo ventas: ventas@competencia.com.ec
Servicio técnico: serviciotecnico@competencia.com.ec
