SPDP emite precisiones sobre biometría y videovigilancia en instituciones educativas
La Superintendencia de Protección de Datos Personales se pronunció sobre el eventual uso de sistemas de validación biométrica y de videovigilancia en centros de educación escolarizada del Sistema Nacional de Educación.
La Superintendencia de Protección de Datos Personales, mediante el Oficio Nº SPDP-SPD-2026-0223-O, de fecha 22 de mayo de 2026, dirigido a la Ministra de Educación, Deporte y Cultura, realizó precisiones sobre el uso de sistemas de validación biométrica y de videovigilancia en los centros de educación escolarizada del Sistema Nacional de Educación.
El oficio se refiere a los centros de educación escolarizada públicos, municipales, fiscomisionales y particulares, en los cuales eventualmente se pudieren o se quisieren utilizar sistemas de validación biométrica o de videovigilancia.
De acuerdo con la SPDP, para el tratamiento de este tipo de datos deben tenerse presentes varias disposiciones de la Ley Orgánica de Protección de Datos Personales, especialmente por tratarse de datos sensibles y categorías especiales de datos personales.
Datos biométricos
El oficio señala que los datos biométricos son considerados datos sensibles y, además, categorías especiales de datos personales.
Niñas, niños y adolescentes
La SPDP precisa que los datos personales correspondientes a niñas, niños y adolescentes también son categorías especiales de datos personales.
Videovigilancia
El oficio indica que los sistemas de videovigilancia pueden añadir una nueva forma de tratamiento de datos personales de categorías especiales cuando permiten identificar o hacer identificables a niñas, niños y adolescentes.
Evaluación de impacto
La SPDP señala que, antes de iniciar una operación de tratamiento que tenga por objeto datos sensibles o datos de niñas, niños y adolescentes, el responsable está legalmente obligado a realizar una evaluación de impacto.
Datos biométricos: tratamiento prohibido como regla general
El oficio recuerda que, conforme al inciso primero del artículo 26 de la Ley Orgánica de Protección de Datos Personales, por regla general, el uso de datos sensibles, como los biométricos, está legalmente prohibido.
No obstante, el mismo documento señala que el artículo 26 de la LOPDP establece los únicos casos o circunstancias en que este tipo de datos pueden ser tratados o usados. Según la SPDP, no existen más excepciones que las previstas en dicha norma.
La SPDP también aclara que, cuando al titular o a su representante legal se le impone el uso de biometría sin ofrecer alternativas reales menos invasivas de su privacidad, no podría afirmarse que el consentimiento obtenido sea válido, porque no habría existido libertad de elección.
Datos de estudiantes y tratamiento a gran escala
El oficio enfatiza que los centros de educación escolarizada públicos, municipales, fiscomisionales y particulares tratan, natural y esencialmente, categorías especiales de datos, tomando en cuenta que el estudiantado, por regla general, está integrado por personas que tienen la condición de niñas, niños o adolescentes.
Asimismo, la SPDP señala que las actividades de tratamiento de categorías especiales de datos, específicamente los que corresponden a niñas, niños y adolescentes, son consideradas siempre como tratamiento a gran escala, independientemente de su número de titulares, volumen, frecuencia, permanencia o alcance geográfico.
Videovigilancia en salones de clase u otros ambientes educativos
Respecto a los sistemas de videovigilancia, el oficio menciona expresamente los que se pudieren implementar dentro de los salones de clase o en otros ambientes de un determinado centro de educación escolarizada.
La SPDP precisa que estos sistemas pueden añadir una nueva forma de tratamiento de datos personales de categorías especiales, por cuanto es posible identificar o hacer identificables a niñas, niños y adolescentes que se desenvuelven en esos espacios de enseñanza.
Evaluación de impacto antes del tratamiento de datos
El oficio señala que, al tratarse de datos sensibles y de datos de niñas, niños y adolescentes, el responsable del tratamiento está legalmente obligado a realizar una evaluación de impacto de manera previa al inicio de una operación de tratamiento que tenga por objeto dichos datos.
Esta obligación se relaciona con la Resolución Nº SPDP-SPD-2026-0012-R, de 19 de marzo de 2026, publicada en el Primer Suplemento del Registro Oficial Nº 254, de 30 de marzo de 2026, mediante la cual se expidió la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, segunda versión V.2.
- Establecimiento del contexto.
- Identificación de riesgos.
- Análisis de riesgos.
- Evaluación de riesgos.
- Tratamiento de riesgos.
La Resolución Nº SPDP-SPD-2026-0012-R establece que el capítulo I de la guía será de obligatorio cumplimiento para los responsables y encargados del tratamiento de datos personales. El capítulo II tendrá carácter referencial, optativo u orientativo. Sin embargo, la propia resolución deja establecido que el análisis de riesgos y la evaluación de impacto son de obligatorio cumplimiento conforme a la LOPDP, el RGLOPDP y demás normativa en la materia.
Sanciones señaladas por la SPDP
Según el documento, esta infracción se sanciona con una multa que oscila entre 10 y 20 salarios básicos unificados, tratándose de servidores o funcionarios del sector público; o con una multa que fluctúa entre el 0,7% y el 1% del volumen de negocios, si quien infringe la ley es una entidad de derecho privado.
Preguntas clave sobre el pronunciamiento de la SPDP
¿A qué instituciones se refiere el oficio?
El oficio se refiere a los centros de educación escolarizada públicos, municipales, fiscomisionales y particulares del Sistema Nacional de Educación.
¿Qué señala la SPDP sobre los datos biométricos?
La SPDP señala que los datos biométricos son considerados datos sensibles y también categorías especiales de datos personales, conforme a la Ley Orgánica de Protección de Datos Personales.
¿El consentimiento siempre valida el uso de datos biométricos?
No necesariamente. El oficio indica que el consentimiento debe ser libre, específico, informado, inequívoco y explícito. Además, señala que si se impone el uso de biometría sin ofrecer alternativas reales menos invasivas, no podría afirmarse que el consentimiento obtenido sea válido.
¿Qué indica el oficio sobre los datos de niñas, niños y adolescentes?
El oficio indica que los datos personales de niñas, niños y adolescentes son categorías especiales de datos personales. Además, señala que su tratamiento en entornos institucionales, educativos, digitales o de prestación de servicios dirigidos a estos grupos constituye una forma de tratamiento de datos personales a gran escala.
¿Qué señala la SPDP sobre videovigilancia?
La SPDP señala que el uso de sistemas de videovigilancia, como los que se pudieren implementar dentro de salones de clase u otros ambientes de un centro educativo, puede añadir una nueva forma de tratamiento de datos personales de categorías especiales cuando permite identificar o hacer identificables a niñas, niños y adolescentes.
¿Cuándo se debe realizar la evaluación de impacto?
Según el oficio, de manera previa al inicio de una operación de tratamiento que tenga por objeto datos sensibles o datos de niñas, niños y adolescentes, el responsable del tratamiento está legalmente obligado a realizar una evaluación de impacto.
¿Qué expide la Resolución Nº SPDP-SPD-2026-0012-R?
La resolución expide la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, segunda versión V.2.
Aspectos destacados de los documentos
- El oficio se refiere al uso de sistemas de validación biométrica y videovigilancia en centros de educación escolarizada.
- Los datos biométricos son considerados datos sensibles y categorías especiales de datos personales.
- Los datos personales de niñas, niños y adolescentes son categorías especiales de datos personales.
- El tratamiento sistemático de datos personales de niñas, niños y adolescentes en entornos institucionales, educativos, digitales o de prestación de servicios dirigidos a estos grupos constituye tratamiento de datos personales a gran escala.
- El uso de sistemas de videovigilancia puede permitir identificar o hacer identificables a niñas, niños y adolescentes en espacios educativos.
- Antes de iniciar una operación de tratamiento que tenga por objeto datos sensibles o datos de niñas, niños y adolescentes, el responsable del tratamiento debe realizar una evaluación de impacto.
- La Resolución Nº SPDP-SPD-2026-0012-R expide la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, segunda versión V.2.
El Oficio Nº SPDP-SPD-2026-0223-O se utiliza como referencia informativa para resumir las precisiones emitidas por la SPDP sobre el eventual uso de sistemas de validación biométrica y videovigilancia en centros educativos. No se adjunta como descarga directa en esta publicación.
Documento oficial para consulta y descarga
GUÍA DE GESTIÓN DE RIESGOS Y EVALUACIÓN DE IMPACTO DEL TRATAMIENTO DE DATOS PERSONALES, SEGUNDA VERSIÓN (V.2)
Comentarios
Publicar un comentario