Biometría y brechas de datos en Ecuador: lo que las resoluciones 0039-R y 0040-R de la SPDP le exigen a una funeraria

El 24 de septiembre de 2026 el Registro Oficial N.º 376 de Ecuador publicó la Resolución SPDP-SPD-2026-0039-R, que expide la Norma General para el Tratamiento de Datos Biométricos, y su suplemento publicó la Resolución SPDP-SPD-2026-0040-R, que expide la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales. Las dos las firmó el superintendente de Protección de Datos Personales el 9 de septiembre, y las dos dicen lo mismo en su disposición final: rigen «a partir de su publicación en el Registro Oficial». No hay período de gracia para la norma de brechas. Para la de biometría hay uno, pero solo para quien ya tenía sistemas biométricos funcionando, y es de doce meses.

La mayoría de las notas que circularon en Ecuador sobre estas resoluciones hablan de reconocimiento facial en centros comerciales, de biometría bancaria y de la prohibición para menores. Es lo más llamativo, pero no es lo que le pasa a una funeraria. En una funeraria ecuatoriana la biometría está en sitios más discretos: el reloj de huella o de rostro con el que marca el personal de turno en salas de velación, traslados, laboratorio de tanatopraxia y cementerio; el control de acceso a la cámara fría o a la sala de cremación; y la foto del rostro del titular que se pide al firmar un contrato de previsión exequial o al retirar cenizas. Y las brechas están donde está el dato más delicado de la región: expedientes con causa de muerte, bases de afiliados y conversaciones con familias en duelo.

Este artículo recorre el texto de las dos resoluciones —leído completo, no el resumen de prensa— y lo cruza con los artículos 43 y 46 de la Ley Orgánica de Protección de Datos Personales (LOPDP), que son los que fijan los plazos. Al final hay una hoja de ruta para la dirección de una funeraria o un grupo funerario en Ecuador y un inventario honesto de lo que un ERP funerario resuelve hoy y lo que no.

Qué publicó la SPDP de Ecuador y desde cuándo rige

La Superintendencia de Protección de Datos Personales (SPDP) expidió el 9 de septiembre de 2026 cuatro resoluciones. Dos de ellas son las que cambian la operación de una funeraria en Ecuador:

Conviene leer las dos normas como un par. La 0039-R dice cómo se tiene que tratar un dato biométrico; la 0040-R dice qué pasa cuando cualquier dato personal —biométrico o no— se filtra, se corrompe o se pierde. Y la propia 0040-R explica por qué el par importa: una filtración de un dato que el titular no puede cambiar es, en su lenguaje, irreversible. Una contraseña se cambia. Una huella dactilar, no.

Dónde hay biometría en una funeraria ecuatoriana (y dónde no)

La primera tarea no es jurídica: es hacer inventario. La norma se aplica al tratamiento de datos biométricos «con fines identificativos» (art. 2), y su artículo 3 agrega un matiz que ahorra trabajo: si el tratamiento no tiene por finalidad ni por resultado identificar de manera unívoca a una persona, no entra en el régimen especial y se rige por la LOPDP general. Con esa regla, el mapa de una funeraria en Ecuador queda así:

Dos observaciones sobre esta tabla. La primera: la definición de «espacio público» de la norma (art. 4.4) incluye cualquier lugar físico al que el público tiene acceso general, sin importar si es de dominio público o privado. Una sala de velación abierta a los asistentes de un servicio encaja con bastante naturalidad en esa definición, y el artículo 20 prohíbe la identificación biométrica masiva e indiscriminada en espacios públicos salvo mandato de una ley. La segunda: la frontera entre «foto como evidencia» y «biometría» la cruza la tecnología, no el papel. El día que alguien conecte un servicio de cotejo facial al flujo de firma, el tratamiento cambia de régimen aunque el formulario sea el mismo.

El reloj biométrico del personal: asimetría significativa y alternativa obligatoria

El caso más común en una funeraria de Ecuador es el reloj de huella. Y es justo el caso donde la norma es más exigente, por una definición que conviene leer entera. El artículo 4.1 define la asimetría significativa como el desequilibrio de poder, autoridad, dependencia o subordinación entre el responsable y el titular que puede afectar su capacidad de consentir libremente. El artículo 8 enumera cuándo existe, y el primer supuesto es literal:

La existencia de una relación de subordinación jurídica o dependencia económica directa;— Resolución SPDP-SPD-2026-0039-R, artículo 8.1

Un contrato de trabajo es subordinación jurídica. Por eso, cuando el reloj biométrico de una funeraria se apoya en el consentimiento de los trabajadores, el artículo 8 obliga a que ese consentimiento sea explícito y, como regla general, a ofrecer una alternativa razonable no biométrica. Las únicas salidas son tres: imposibilidad técnica o fáctica debidamente justificada, una obligación derivada de una norma con rango de ley, o una disposición de autoridad pública competente. La imposibilidad técnica, además, no se declara: se acredita «mediante análisis técnico previo y documentado» (art. 4.7) dentro de la evaluación de impacto (art. 7), y el artículo 9 la limita a dos casos: que no existan alternativas con un nivel equivalente de seguridad y eficacia, o que las disponibles sean manifiestamente insuficientes para prevenir suplantación, accesos no autorizados o fraude.

Aquí es donde muchas funerarias se van a equivocar. El argumento de siempre para el reloj de huella es que evita que un compañero marque por otro. Es un argumento razonable, pero la norma pide demostrar que ninguna alternativa lo resuelve con seguridad equivalente, y hoy existen varias: tarjeta o llavero de proximidad, código personal con supervisión, marcación desde una aplicación móvil con geolocalización de la sede, o marcación en un dispositivo asignado al turno. Para un grupo con personal distribuido entre salas de velación, flota de traslados y parque cementerio, la marcación geolocalizada suele ser incluso más útil que la huella, porque registra dónde estaba el trabajador y no solo que pasó por un reloj.

Tres reglas más de la norma ecuatoriana que afectan al reloj y que conviene dejar por escrito en la política interna:

• Revocatoria expedita (art. 10). El trabajador puede revocar su consentimiento en cualquier momento, y la funeraria tiene que tener lista la vía para que esa revocatoria se haga efectiva «de manera expedita y célere». En la práctica: el día que alguien revoca, se da de baja su plantilla y pasa a la alternativa, sin trámite de semanas.
• Prohibición de reutilizar (art. 12). La plantilla enrolada para marcar asistencia no se puede usar para abrir la cámara fría o la sala de cremación sin un nuevo consentimiento o sin volver a verificar los requisitos del tratamiento de datos sensibles. Es un error típico cuando se compra un equipo que hace las dos cosas.
• Plantilla, no dato bruto (art. 4.8). El responsable debe «privilegiar, en todo momento, el uso de plantillas biométricas y evitar, salvo estricta necesidad técnica, el almacenamiento de datos biométricos brutos». Pregúntale a tu proveedor del reloj si guarda la imagen de la huella o solo la plantilla, y dónde.

La identidad del titular y de la familia: firma de contratos y retiro de cenizas

El segundo frente es comercial. Las funerarias de Ecuador que venden previsión exequial firman contratos a distancia, y algunas piden una foto del titular y de su cédula para dejar evidencia de quién firmó. Otras validan la identidad de quien retira cenizas o recibe un cuerpo. Lo que decide el régimen, otra vez, es si hay comparación automática del rostro contra una plantilla o una base.

• Si hay cotejo facial automático, es identificación o verificación biométrica (arts. 4.5 y 4.10) y la norma lo trata como alto riesgo cuando resulta en identificación unívoca (art. 5.1). Si la base es el consentimiento, el artículo 7 exige ofrecer al titular al menos un mecanismo alternativo equivalente que no requiera biometría: por ejemplo, un código de un solo uso enviado al celular o al correo registrados.
• Si la foto solo se guarda como evidencia y la revisa una persona cuando hay disputa, el tratamiento queda en la LOPDP general. Pero sigue siendo una imagen facial asociada a una cédula, es decir, un dato de alto valor para un suplantador si se filtra. Minimízalo: pídela solo en los contratos donde la aporta, y define cuánto tiempo se conserva.
• Menores de edad (arts. 21 y 22). El tratamiento biométrico de niños, niñas y adolescentes con fines identificativos está prohibido salvo que no haya un medio menos invasivo, y requiere el consentimiento explícito del representante legal; entre 15 y 17 años el adolescente puede consentir por sí mismo si se le informa en lenguaje sencillo. En una funeraria esto aparece con los beneficiarios menores de un plan de previsión: no hay ninguna razón operativa para enrolar su biometría.

El artículo 11 trae una excepción que conviene conocer para no aplicarla mal: no se considera que exista asimetría significativa cuando la biometría se usa para autenticar operaciones sujetas a debida diligencia reforzada por normas de prevención de fraude, lavado de activos y financiamiento del terrorismo. Eso cubre a los sujetos obligados de esas normas en esas operaciones. No convierte en «debida diligencia reforzada» la firma de un contrato de previsión común.

La evaluación de impacto: antes de instalar, y cada doce meses

La obligación más concreta de la Res. 0039-R está en su artículo 15: la evaluación de impacto del tratamiento de datos personales (EIPD) se hace «en forma obligatoria» antes de implementar cualquier sistema biométrico, se revisa y actualiza cada doce meses y, además, cada vez que cambia el nivel de riesgo. El artículo 5 exige que esté precedida por un análisis de riesgos que justifique «suficientemente» el uso de biometría para la finalidad, y el artículo 13 le agrega una pregunta previa que la evaluación tiene que contestar por escrito: si el objetivo se puede alcanzar con mecanismos menos invasivos. El artículo 16 remite, para las medidas de seguridad reforzadas, a la versión vigente de la Guía de Gestión de Riesgos y Evaluación de Impacto de la SPDP.

Para una funeraria o un grupo funerario en Ecuador, una evaluación útil —no un formulario— contesta estas preguntas por cada tratamiento biométrico del inventario:

1. ¿Cuál es la finalidad exacta y por qué no basta una alternativa no biométrica? (arts. 7, 9 y 13).
2. ¿Cuál es la base de legitimación para tratar un dato sensible? (art. 6, que remite al régimen de datos sensibles de la LOPDP).
3. ¿Dónde vive la plantilla: en el reloj, en la nube del fabricante, en un servidor propio? ¿Se guarda el dato bruto? (art. 4.8).
4. ¿Quién es el encargado del tratamiento —el proveedor del equipo o del servicio de cotejo— y qué dice su contrato sobre seguridad, subencargados y aviso de brechas?
5. ¿Qué alternativa se ofrece, cómo se informa y cómo se revoca el consentimiento? (arts. 7, 10 y 17).
6. ¿Qué decisiones se toman con el resultado y dónde está la revisión humana efectiva? (art. 18).
7. ¿Qué pasa si la base de plantillas se filtra, y cómo se notifica? (Res. 0040-R).

La transparencia es parte de la evaluación. El artículo 17 exige informar al titular, conforme al artículo 12 de la LOPDP, de forma «expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnicas», y transmitirle esa información por cualquier medio comprobable. Un aviso pegado junto al reloj no alcanza para probar que cada trabajador lo recibió; una comunicación individual con acuse, sí.

Brechas de seguridad en Ecuador: cinco días a la SPDP, dos al proveedor, tres a las familias

La Res. 0040-R no crea los plazos: los toma de la LOPDP y regula cómo se cumplen. Los plazos están en la ley, y conviene tenerlos con su redacción exacta porque en Ecuador son términos, es decir, se cuentan en días hábiles según la regla general del Código Orgánico Administrativo:

La obligación de notificar a la autoridad tiene una salida en la ley: no aplica cuando sea improbable que la vulneración constituya un riesgo para los derechos y libertades de las personas (art. 43). Y la notificación a los titulares tiene excepciones en el artículo 46, entre ellas que el responsable haya aplicado medidas técnicas u organizativas que se pueda demostrar que son efectivas sobre los datos afectados. Las dos salidas exigen lo mismo: poder demostrarlo después. Si decides no notificar, documenta por qué el mismo día.

Lo nuevo de la Res. 0040-R es el cómo:

• Canal único (arts. 8 y 12). La notificación a la SPDP se hace a través del SISPDP, el Sistema Nacional de Registro de Datos Personales, en servicios.spdp.gob.ec. Solo si el sistema de la SPDP no está disponible se admite otro canal oficial, y la SPDP verifica después que así fue.
• Infracción grave por omisión (arts. 8 y 9.4). No notificar a la SPDP es infracción grave; no notificar a los titulares, también.
• Constancia automática (art. 13). Al enviar el formulario, el SISPDP genera una constancia de recepción y la remite al correo desde el que se notificó. Esa constancia es la prueba de que cumpliste en término: guárdala en el expediente del incidente.
• Análisis asistido y revisión humana (arts. 14 y 15). La SPDP filtra y analiza las notificaciones con un sistema propio de inteligencia artificial (AIxSPDP) con intervención humana, y la Intendencia de Innovación Tecnológica decide si remite el caso a la Intendencia de Control y Sanción para iniciar un proceso de control.
• Monitoreo posterior (art. 16). Lo que no se remite a control queda en estado de monitoreo, en especial las vulneraciones de confidencialidad, «cuyo impacto […] podría materializarse en el futuro». Una brecha notificada no se cierra por haberla notificado.
• Vía del encargado (art. 11). El proveedor avisa a la funeraria por correo electrónico, salvo que el contrato de encargo haya designado otro medio electrónico. Si tu contrato no dice nada, el canal es el correo: asegúrate de que sea un buzón que alguien lea un sábado.

Por qué una brecha en una funeraria casi siempre es «irreversible»

La Res. 0040-R clasifica las vulneraciones en tres tipos —confidencialidad, integridad y disponibilidad (art. 4)— y les asigna dimensiones (art. 5). Las de integridad y disponibilidad pueden ser temporales si se restauran desde respaldos. Las de confidencialidad no: la norma dice que son «esencialmente permanentes», porque un dato que ya salió se puede usar o publicar en cualquier momento, y que son irreversibles cuando el titular no puede cambiar el dato, «especialmente cuando se tratare de datos sensibles».

Aplicado al expediente de una funeraria en Ecuador, casi todo lo que importa cae en esa última categoría:

La consecuencia práctica es que el esfuerzo de una funeraria no debería ir a mejorar su capacidad de notificar, sino a reducir lo que hay para filtrar: no guardar datos biométricos brutos, no pedir fotos que no se usan, dar de baja plantillas de ex trabajadores y aplicar plazos de conservación. Es la misma lógica de la supresión de datos cuando el ERP los sigue teniendo en copias y registros: el dato que ya no existe no se puede filtrar.

Qué decirle a las familias: contenido y canal de la notificación

El artículo 10 de la Res. 0040-R fija el contenido mínimo de la notificación a los titulares: la naturaleza de la vulneración, la fecha de detección o el período estimado del evento cuando sea posible, las medidas adoptadas y las recomendaciones para los titulares, en lenguaje claro y sencillo. Y fija el canal: los canales habituales de comunicación con el titular, anuncios en la página web, correo electrónico o cualquier medio de comunicación directa. La publicación en un medio masivo queda solo para quien no tenga un canal oficial con sus titulares, y aun así con minimización.

Para una funeraria esto tiene una consecuencia de diseño. Si el canal habitual con los afiliados de un plan es WhatsApp, el aviso de una brecha va a llegar por WhatsApp a personas que en muchos casos están en duelo. Conviene tener redactada la plantilla antes del incidente, revisada por el área legal y por quien conoce el tono con que la funeraria le habla a una familia, y con los datos de contacto actualizados: una notificación que rebota no cuenta como notificación. Para quien atiende con agentes de IA por WhatsApp, esto se suma a lo que ya contamos sobre validar la identidad antes de que un agente revele datos de un cliente.

Los contratos con proveedores que hay que revisar este trimestre

La cadena de plazos solo funciona si el proveedor cumple sus dos días. Y el artículo 11 de la Res. 0040-R dice que el aviso llega por correo salvo que el contrato de encargo diga otra cosa. Eso convierte al contrato en la pieza central. Para una funeraria en Ecuador, la lista mínima de contratos a revisar es:

• Fabricante o integrador del reloj biométrico y del control de acceso: dónde se guardan las plantillas, si hay dato bruto, quién accede en mantenimiento, cómo se borran las de ex trabajadores y cómo avisa una brecha.
• Proveedor del ERP funerario: canal de aviso de incidentes, registros disponibles para reconstruir qué se accedió, respaldos y tiempos de restauración.
• Proveedor de mensajería (WhatsApp Business), call center y correo: retención de conversaciones y grabaciones, y aviso de incidentes.
• Servicio de firma electrónica o de validación de identidad: si hace cotejo facial automático o no, y qué guarda.
• Gestoría de nómina externa y asesor contable: tratan datos del personal y, a veces, de la marcación.

En cada uno, cuatro cláusulas: plazo de aviso no mayor al de la ley, canal electrónico designado con un buzón y un teléfono de guardia, contenido mínimo del aviso (qué pasó, cuándo, qué datos, qué medidas) y obligación de colaborar en la notificación a la SPDP y a los titulares.

Qué resuelve hoy un ERP funerario y qué no

Revisamos el código de SFUN a la fecha de publicación para separar lo que existe de lo que no. Esto es lo que hay hoy y cómo se usa frente a las dos resoluciones:

• El ERP no guarda plantillas biométricas del personal. En el módulo de recursos humanos, la ficha del empleado lleva un identificador de dispositivo de asistencia —que sirve igual para un ID biométrico que para una tarjeta de proximidad— y cada marcación queda como un registro con hora, tipo de marca (entrada o salida), dispositivo y turno. La plantilla vive en el reloj, no en el ERP. Eso reduce la superficie de una brecha en el ERP, pero deja el reloj y su fabricante dentro del alcance de la evaluación de impacto.
• La alternativa no biométrica ya existe en el sistema. Las marcaciones pueden registrar la geolocalización de quien marca desde la aplicación, y el mismo identificador de dispositivo admite tarjeta en lugar de huella. Ofrecer la alternativa que exige el artículo 8 no requiere un segundo sistema de asistencia.
• Validación de identidad configurable en la firma. En Zigna, la firma digital de SFUN, cada solicitud de firma define qué métodos se exigen: código de un solo uso por SMS, código por correo, foto del titular y foto de la cédula. Se puede ofrecer la vía por código como alternativa equivalente y pedir la foto solo donde aporta. A la fecha de publicación, Zigna guarda la foto como evidencia y no hace cotejo facial automático; si algún día se añadiera, ese flujo pasaría al régimen de alto riesgo de la 0039-R y habría que evaluarlo antes.
• Registros para reconstruir un incidente. El ERP conserva el historial de cambios de cada documento y registros de actividad y de acceso del sistema, que son la base para responder las preguntas de una notificación: qué datos, de quiénes, desde cuándo.

Lo que no resuelve el ERP, y hay que construir por fuera: la evaluación de impacto misma (es un análisis, no un reporte), el registro formal de incidentes con su decisión de notificar o no, la plantilla de notificación a titulares y la notificación en el SISPDP, que se hace en el portal de la SPDP. Tampoco resuelve la política de conservación de plantillas en el reloj: eso depende del fabricante.

KPIs para saber si la funeraria está lista

Hoja de ruta para una funeraria en Ecuador

Esta semana. Nombra un responsable del incidente y un suplente, con acceso al SISPDP. Crea un buzón de incidentes que alguien revise todos los días, incluidos fines de semana. Congela cualquier compra o instalación de equipos biométricos hasta tener la evaluación de impacto.

Primer mes. Inventario de tratamientos biométricos por sede (reloj, accesos, validación de identidad). Evaluación de impacto del reloj de asistencia con la pregunta del artículo 13 contestada por escrito. Alternativa no biométrica disponible y comunicada individualmente, con acuse. Plantilla de notificación a titulares redactada y un procedimiento de cinco pasos: detectar, contener, evaluar el riesgo, decidir y notificar.

Primer trimestre. Revisión de contratos con los encargados críticos. Baja de plantillas de ex trabajadores y de fotos que no se usan. Separación de la plantilla de asistencia y la de control de acceso si hoy es la misma. Primer simulacro de brecha con cronómetro contra los términos de dos, tres y cinco días.

Antes del 24 de septiembre de 2027. Todos los sistemas biométricos que ya existían adecuados, con su evaluación de impacto vigente y la primera revisión anual calendarizada.

Errores comunes que vamos a ver en el sector

1. Leer los doce meses como si aplicaran a todo. La transición es solo para sistemas biométricos que ya existían. Un reloj nuevo instalado en octubre necesita la evaluación de impacto antes de encenderse, y la norma de brechas no tiene transición.
2. Poner un consentimiento en el contrato de trabajo y darlo por resuelto. Con subordinación jurídica hay asimetría significativa, y por regla general hace falta una alternativa no biométrica real.
3. Usar el mismo enrolamiento para asistencia y para abrir la cámara fría. Es reutilización para una finalidad distinta (art. 12).
4. Contar los plazos en días corridos o en horas. Son términos: días hábiles. Y el reloj de los cinco días corre desde que el responsable tiene constancia, no desde que termina la investigación.
5. Notificar a la SPDP por correo o por oficio. El canal es el SISPDP; otro canal solo si el sistema de la SPDP no funciona.
6. Olvidar a las familias. Notificar a la autoridad no reemplaza el aviso a los titulares en el término de tres días cuando hay riesgo.

Preguntas frecuentes sobre biometría y brechas en funerarias de Ecuador

¿Desde cuándo rigen las resoluciones 0039-R y 0040-R de la SPDP?

Desde su publicación en el Registro Oficial N.º 376 y su suplemento, el 24 de septiembre de 2026. La norma de biometría da doce meses para adecuarse solo a quien ya usaba sistemas biométricos; por cómputo, hasta el 24 de septiembre de 2027.

¿Una funeraria en Ecuador puede seguir usando reloj de huella para el personal?

Sí, pero con evaluación de impacto previa y actualizada cada doce meses, medidas de seguridad reforzadas, información clara al trabajador y, como regla general, una alternativa no biométrica para marcar, porque la relación laboral es una asimetría significativa según el artículo 8.1 de la Res. 0039-R.

¿Pedir una foto del titular al firmar un contrato de previsión es tratar datos biométricos?

Depende del uso. Si un sistema compara automáticamente el rostro contra la cédula o una base, es verificación biométrica y aplica la norma completa. Si la foto solo se guarda como evidencia, el tratamiento se rige por la LOPDP general, aunque la foto sigue siendo un dato de alto valor que conviene minimizar.

¿Cuánto tiempo tiene una funeraria para notificar una brecha de datos en Ecuador?

El término de cinco días desde que tiene constancia, a la SPDP y a la ARCOTEL (LOPDP art. 43), a través del SISPDP. A los titulares, el término de tres días desde que conoce el riesgo (LOPDP art. 46). Su proveedor tiene dos días para avisarle.

¿Qué pasa si no se notifica una brecha?

La Res. 0040-R califica como infracción grave, conforme a la LOPDP, tanto la falta de notificación a la SPDP (art. 8) como la falta de notificación a los titulares (art. 9.4).

¿Las cámaras de seguridad de las salas de velación son un problema?

Las cámaras que solo graban no son identificación biométrica. El riesgo aparece si se activa el reconocimiento facial: la norma prohíbe la identificación biométrica masiva e indiscriminada en espacios públicos, y define espacio público como cualquier lugar de acceso general, sea de dominio público o privado.

¿El proveedor del software funerario tiene obligaciones?

Sí. Como encargado del tratamiento debe avisar a la funeraria de cualquier vulneración en el término de dos días, por correo electrónico o por el medio que fije el contrato de encargo (Res. 0040-R art. 11). La norma de biometría también alcanza a los encargados que usen sistemas biométricos.

Fuentes

• Superintendencia de Protección de Datos Personales, Resolución N.º SPDP-SPD-2026-0039-R, Norma General para el Tratamiento de Datos Biométricos, firmada el 9 de septiembre de 2026. Texto íntegro leído para este artículo.
• Superintendencia de Protección de Datos Personales, Resolución N.º SPDP-SPD-2026-0040-R, Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales, firmada el 9 de septiembre de 2026. Texto íntegro leído para este artículo.
• Registro Oficial del Ecuador, Registro Oficial N.º 376 (índice con las resoluciones 0038-R y 0039-R) y Suplemento N.º 376 (índice con la resolución 0040-R).
• Ley Orgánica de Protección de Datos Personales, artículos 43 (notificación de vulneración a la autoridad y del encargado al responsable) y 46 (notificación al titular).
• Portal de servicios de la SPDP (SISPDP): servicios.spdp.gob.ec, citado en los artículos 3.3 y 12 de la Res. 0040-R.