Una guía clara para implementar biometría facial cumpliendo la Ley Orgánica de Protección de Datos Personales
1. ¿Es legal usar biometría facial en aseguradoras y prepagas?
Sí, siempre que se respeten los principios de la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador. La biometría facial, como dato personal sensible, tiene un tratamiento regulado y, en principio, está prohibida salvo que se cumplan ciertos requisitos clave.
De acuerdo con la LOPDP, los artículos más relevantes son:
Art. 4: Define los datos biométricos como sensibles
Art. 24: Prohíbe su tratamiento sin consentimiento expreso del titular
Art. 26: Detalla las excepciones legales, siendo la más aplicable el consentimiento explícito
Art. 44: Establece las medidas de seguridad para proteger estos datos
Art. 48: Obliga a designar un Delegado de Protección de Datos (DPO) si se tratan datos sensibles a gran escala
Por tanto, aseguradoras y prepagas pueden implementar sistemas de reconocimiento facial siempre y cuando:
- Obtengan consentimiento expreso, libre, informado y específico
- Apliquen medidas de seguridad avanzadas
- Limiten el uso únicamente a procesos en los que haya una justificación clara, como fraudes o suplantaciones
- Ofrezcan alternativas al usuario para no condicionar el servicio
2. Privacidad desde el diseño: cómo debe implementarse la biometría
El reconocimiento facial debe seguir el enfoque de “privacidad desde el diseño y por defecto”, establecido como principio en la LOPDP. Esto implica:
- No recolectar ni tratar datos biométricos sin una acción afirmativa previa del usuario
- Configurar los sistemas para no activar la biometría automáticamente
- Limitar la recolección a plantillas biométricas cifradas (no imágenes visibles)
- Integrar al DPO desde la etapa de diseño del sistema, garantizando una supervisión preventiva
Adicionalmente, toda institución del sector salud que implemente esta tecnología debe:
- Realizar una Evaluación de Impacto en Protección de Datos (EIPD) antes de lanzar el sistema
- Documentar la necesidad y proporcionalidad del uso biométrico, es decir, que no existen métodos menos invasivos igual de eficaces
- Evitar el “consentimiento empaquetado” y permitir al usuario revocar su aceptación en cualquier momento sin consecuencias
3. Medidas técnicas y organizativas exigidas por la ley
El tratamiento legal de datos biométricos no se limita al consentimiento. Las aseguradoras y prepagas también deben cumplir con una serie de medidas técnicas obligatorias. Estas incluyen:
- Cifrado robusto (por ejemplo, AES-256) tanto en tránsito como en almacenamiento
- Autenticación fuerte y control de accesos, limitando el manejo de datos a procesos automatizados autorizados
- Trazabilidad y auditoría: todo acceso debe quedar registrado en logs que indiquen fecha, hora, usuario y finalidad
- Periodo de conservación limitado: los datos deben ser eliminados si el cliente revoca su consentimiento o deja de usar el servicio, salvo requerimientos legales específicos
Adicionalmente, se recomienda:
- Actualizar la Política de Tratamiento de Datos Personales para incluir el uso de biometría
- Crear una Política interna de uso de datos biométricos que regule roles, derechos ARCO y flujos de autorización
- Capacitar a personal técnico y operativo sobre los riesgos y responsabilidades del tratamiento de biometría
4. ¿Por qué vale la pena implementar esta tecnología?
Las aseguradoras y empresas de salud prepagada enfrentan crecientes desafíos en seguridad de identidad, especialmente en procesos digitales sensibles. Casos de suplantación, fraude en reembolsos o acceso indebido a información médica ya no son excepcionales.
El reconocimiento facial ofrece beneficios concretos:
- Prevención de fraudes: reduce el riesgo de que terceros accedan indebidamente a servicios o datos sensibles
- Mejora de la experiencia del usuario: facilita validaciones en línea, evita desplazamientos y reduce tiempos de espera
- Protección reforzada de la información médica: evita filtraciones o accesos no autorizados a resultados clínicos
- Reputación e innovación: posiciona a la organización como una entidad tecnológica, ética y alineada con la regulación vigente
Eso sí, la biometría debe aplicarse únicamente en procesos críticos, como validación de reembolsos, entrega de medicamentos controlados o acceso a resultados médicos delicados. No debe ser usada de forma generalizada ni reutilizada con fines de marketing, publicidad o analítica. Cualquier uso adicional requeriría nuevo consentimiento informado
En Gruppo Avanti, hemos diseñado una solución de biometría facial totalmente alineada con la LOPDP, con módulos de consentimiento, cifrado, trazabilidad y una Evaluación de Impacto incluida. Si tu aseguradora o prepaga desea implementar esta tecnología para reforzar seguridad y confianza.
¡Contáctanos!
