Claves de la Ley Orgánica de Protección de Datos Personales de Ecuador

La Ley Orgánica de Protección de Datos Personales (LOPDP) de Ecuador se publicó el 26 de mayo de 2021 en el Suplemento del Registro Oficial 459, tras su aprobación por la Asamblea Nacional y la sanción del Presidente de la República. Conviene deshacer un malentendido frecuente: la ley fue exigible desde el primer día, y lo que se aplazó dos años fueron las disposiciones sobre medidas correctivas y régimen sancionatorio, en vigor desde el 26 de mayo de 2023.

Cinco años después, el escenario poco tiene que ver con el del debate parlamentario. La ley cuenta con Reglamento General desde noviembre de 2023, la Superintendencia de Protección de Datos Personales (SPDP) está en funcionamiento desde 2024, ya ha impuesto sanciones económicas de seis cifras y ha desarrollado normativa propia sobre el Delegado de Protección de Datos. En 2026, además, la nueva Ley Orgánica para el Fortalecimiento de la Ciberseguridad ha reformado el régimen de notificación de brechas.

De la LOPDP cabe destacar la clara influencia de la normativa europea, así como un inequívoco espíritu garantista respecto a los titulares: aboga por la protección de los datos personales como un derecho del ciudadano y no de las empresas, y reconoce entre sus principios básicos la aplicación favorable al titular en caso de duda.

Cronología: de la publicación a las primeras multas

• 26 de mayo de 2021 — Publicación de la LOPDP (Registro Oficial, Suplemento 459).
• 26 de mayo de 2023 — Entran en vigor las medidas correctivas y el régimen sancionatorio.
• 13 de noviembre de 2023 — Se publica el Reglamento General a la LOPDP (Decreto Ejecutivo 904, de 6 de noviembre de 2023; Registro Oficial, Tercer Suplemento 435).
• 28 de marzo de 2024 — El Consejo de Participación Ciudadana y Control Social designa a Fabrizio Peralta Díaz como primer Superintendente de Protección de Datos Personales.
• 30 de julio de 2025 — Resolución SPDP-SPD-2025-0028-R, que regula la figura del Delegado de Protección de Datos y su registro.
• 1 de diciembre de 2025 — La SPDP dicta sus primeras sanciones por infracción grave.
• 22 de mayo de 2026 — Se publica la Ley Orgánica para el Fortalecimiento de la Ciberseguridad (Registro Oficial, Quinto Suplemento 290), que reforma el artículo 43 de la LOPDP.

Ámbito de aplicación. ¿A quién afecta?

En cuanto al ámbito territorial, deberá atenerse a su cumplimiento todo tratamiento de datos personales que se realice en cualquier parte del territorio nacional o cuyo responsable o encargado se encuentre domiciliado en Ecuador.

A ello se suma la extraterritorialidad: “será de aplicación la ley cuando se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las actividades del tratamiento estén relacionadas con:

1. La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o,
2. Del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador”.

En la práctica, esto alcanza a compañías españolas y latinoamericanas sin presencia en Ecuador que ofrezcan servicios a residentes ecuatorianos o monitoricen su comportamiento en línea.

Este marco normativo trae consigo, además, una serie de principios que deben imperar en todo tratamiento de datos personales: juridicidad, lealtad y transparencia, legitimidad, finalidad, pertinencia y minimización de los datos, proporcionalidad del tratamiento, consentimiento, confidencialidad, calidad, conservación y seguridad.

Responsabilidad proactiva: el eje central de la normativa

Sin lugar a dudas, es el principio de responsabilidad proactiva y demostrada el que constituye el eje central de la normativa. Este principio requiere no solo una actitud diligente por parte de las organizaciones a la hora de cumplir con lo establecido, sino también estar en todo momento en disposición de acreditar la implementación de mecanismos efectivos para la protección de los datos personales que les han sido encomendados.

Lo anterior exige una evaluación y revisión continuas de los procesos implantados, con el objetivo de mejorar su nivel de eficacia de forma permanente. Las resoluciones sancionadoras dictadas hasta la fecha por la SPDP confirman esta lectura: lo que se ha reprochado no es únicamente el daño causado, sino la ausencia de medidas suficientes y de evidencia documental que acredite su implantación.

Derechos de los titulares

Para garantizar la efectiva aplicación de la ley, se dota a los titulares de una serie de derechos:

• Derecho a la información.
• Derecho de acceso.
• Derecho de rectificación y actualización.
• Derecho de eliminación.
• Derecho de oposición.
• Derecho a la portabilidad.
• Derecho a la suspensión del tratamiento.
• Derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas.
• Derecho de consulta.
• Derecho a la educación digital.

Cabe recordar que, si bien durante la tramitación se llegaron a prever un derecho de anulación y un derecho al olvido digital como categorías autónomas, no se incorporaron al texto final; el derecho de eliminación cubre buena parte de ese terreno.

Asimismo, es preciso destacar la prohibición general dirigida a los prestadores de servicios del régimen general de telecomunicaciones, que no pueden usar los datos personales de sus usuarios para la promoción comercial de servicios o productos salvo que cuenten con consentimiento expreso.

El Delegado de Protección de Datos: designación y registro

Como garante del cumplimiento de lo dispuesto en la ley entra en escena el Delegado de Protección de Datos (DPD o DPO), cuyas funciones incluyen informar y asesorar al responsable sobre los requisitos exigidos por la normativa, supervisar su correcto cumplimiento y cooperar con la Superintendencia, actuando como punto de contacto entre esta y la entidad a la que representa.

Su designación es obligatoria, entre otros supuestos, para las entidades del sector público y, en el sector privado, cuando las actividades principales impliquen una observación habitual y sistemática de titulares a gran escala o el tratamiento a gran escala de categorías especiales de datos.

La Resolución SPDP-SPD-2025-0028-R, de 30 de julio de 2025, desarrolló esta figura y añadió un requisito operativo que muchas organizaciones pasaron por alto: la designación debe registrarse ante la SPDP, a través de su sistema en línea. Para el sector privado la ventana de registro se fijó entre el 1 de noviembre y el 31 de diciembre de 2025. Las designaciones posteriores siguen admitiéndose, pero registrarlas fuera de plazo se considera un incumplimiento de las medidas de seguridad, con el riesgo sancionador que ello conlleva.

Registro de actividades de tratamiento

Los responsables y encargados deben mantener un registro de actividades de tratamiento actualizado en todo momento, que documente, entre otras cuestiones, la identificación del tratamiento o de la base de datos, la naturaleza de los datos tratados, las finalidades, los destinatarios, el tiempo de conservación, las medidas de seguridad aplicadas y la existencia de transferencias internacionales. Este inventario es la primera evidencia que la Superintendencia solicita en un procedimiento de comprobación, y su ausencia o desactualización ha estado en el origen de las medidas correctivas impuestas hasta la fecha.

Medidas de seguridad, análisis de riesgos y evaluación de impacto

Las medidas y controles de seguridad destinados a garantizar la privacidad de los datos personales han de ser necesariamente el resultado de un análisis de riesgos y, cuando proceda, de una evaluación de impacto. La metodología utilizada debe tener en consideración, entre otros factores, las particularidades del tratamiento, las de las partes involucradas y el tipo y volumen de datos personales tratados.

La evaluación de impacto relativa a la protección de datos es obligatoria, en particular, en los siguientes casos:

• Evaluación sistemática y exhaustiva de aspectos personales basada en tratamientos automatizados, incluida la elaboración de perfiles.
• Tratamiento a gran escala de categorías especiales de datos, o de datos personales relativos a condenas e infracciones penales.
• Observación sistemática a gran escala de una zona de acceso público.

A esto se añade el principio de privacidad desde el diseño y por defecto, que la SPDP ya ha invocado expresamente en sus resoluciones para sancionar soluciones tecnológicas que recogían datos biométricos sin haber incorporado esas garantías desde su concepción.

Notificación de vulneraciones: cinco días y, ahora, también al CSIRT

En caso de vulneración de la seguridad de datos personales, el responsable debe notificarla tan pronto sea posible y, a más tardar en el término de cinco días desde que tuvo constancia de ella, a la Superintendencia de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL), salvo que sea improbable que la vulneración constituya un riesgo para los derechos y libertades de las personas. Si la notificación no se produce dentro de ese término, deberá ir acompañada de una indicación de los motivos de la dilación.

La Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada el 22 de mayo de 2026, reformó el artículo 43 de la LOPDP para añadir un tercer destinatario: las vulneraciones de seguridad de datos personales deben notificarse también al CSIRT correspondiente. Cuando la vulneración entrañe un riesgo alto para sus derechos, además, debe comunicarse a los propios titulares sin dilación indebida.

Cinco días de término es un plazo corto para una organización que no tenga previamente definidos su procedimiento de gestión de incidentes, sus criterios de evaluación del riesgo y sus canales de notificación. Ese trabajo se hace antes de la brecha, no durante.

Sanciones: cuánto cuesta incumplir

Para las entidades privadas, las multas se calculan sobre el volumen de negocio correspondiente al ejercicio económico inmediatamente anterior al de su imposición:

• Infracciones leves: entre el 0,1 % y el 0,7 %.
• Infracciones graves: entre el 0,7 % y el 1 %.

En el caso de servidores y funcionarios públicos, las sanciones se fijan en salarios básicos unificados según la gravedad de la infracción. Más allá de la multa, la Superintendencia puede imponer medidas correctivas: ordenar el cese del tratamiento, la regularización de la situación o la supresión de los datos, prohibir temporal o definitivamente el tratamiento y disponer la publicación de la resolución sancionadora.

Que este régimen no es teórico quedó claro el 1 de diciembre de 2025, cuando la SPDP dictó sus primeras sanciones por infracción grave contra la Liga Profesional de Fútbol del Ecuador (LIGAPRO) y la Federación Ecuatoriana de Fútbol (FEF), por no haber implementado medidas administrativas, técnicas, físicas, organizativas y jurídicas suficientes, con multas de 259.644,01 y 194.856,16 dólares respectivamente. A LIGAPRO se le ordenó además notificar a 14.398 titulares afectados y eliminar sus datos. El 20 de enero de 2026 llegó una segunda tanda de resoluciones contra ambas entidades, relacionadas con las aplicaciones FAN ID y FAN FEF, por deficiencias en privacidad desde el diseño y en la metodología de análisis y gestión de riesgos.

Qué debería tener resuelto una organización en 2026

• Registro de actividades de tratamiento completo, actualizado y con base de licitud identificada para cada tratamiento.
• Delegado de Protección de Datos designado y registrado ante la SPDP cuando resulte obligatorio.
• Análisis de riesgos con metodología documentada y evaluaciones de impacto en los tratamientos que lo exijan.
• Procedimiento de gestión de vulneraciones capaz de cumplir el término de cinco días ante SPDP, ARCOTEL y CSIRT.
• Procedimiento de atención de derechos de los titulares con plazos y evidencia de respuesta.
• Contratos con encargados de tratamiento y control de las transferencias internacionales.
• Evidencia documental de todo lo anterior: sin trazabilidad no hay responsabilidad proactiva demostrada.

Dada la cantidad de requisitos que impone esta normativa, y con una autoridad de control ya plenamente activa, resulta fundamental abordar un proyecto que garantice el cumplimiento de la legislación y de las medidas de seguridad necesarias para asegurar la privacidad de los datos personales.

Desde GlobalSuite Solutions ayudamos a las organizaciones a dar cumplimiento a las distintas normativas de protección de datos existentes a nivel mundial con el software GlobalSuite® Data Protection. Además, contamos con más de 20 años de experiencia acompañando a las compañías en Protección de Datos Personales y Seguridad de la Información.