LOPDP Ecuador: Guía Completa de Protección de Datos

En la era digital actual, la protección de datos personales se ha convertido en un tema de creciente importancia en Ecuador. Con la promulgación de la Ley Orgánica de Protección de Datos Personales (LOPDP) en mayo de 2021 y su Reglamento General en noviembre de 2023, el país ha establecido un marco legal especializado para garantizar la privacidad y seguridad de la información personal de sus ciudadanos. Esta guía tiene como objetivo proporcionar una visión general completa y fácil de entender de los aspectos clave de la protección de datos en Ecuador, tanto para individuos como para organizaciones. Exploraremos los recientes acontecimientos, los derechos de los individuos, las obligaciones de las empresas y el marco regulatorio vigente.

Noticias Recientes: El Acuerdo Pionero entre Quito y la Superintendencia de Protección de Datos Personales

Un acontecimiento reciente que subraya la creciente importancia de la protección de datos en Ecuador es el convenio de cooperación interinstitucional firmado el 25 de marzo de 2025 entre el Municipio de Quito y la Superintendencia de Protección de Datos Personales (SPDP). El propósito fundamental de este acuerdo es asegurar el manejo adecuado de la información de los ciudadanos en el ámbito municipal, en cumplimiento de la LOPDP. Este esfuerzo se produce tras la expiración, el 26 de mayo de 2023, del plazo de dos años que se otorgó a las empresas para adaptarse a la norma sin recibir sanciones administrativas. La firma de este convenio después de la fecha límite de aplicación de la ley indica una medida concreta adoptada por una entidad pública importante para garantizar el cumplimiento y promover la protección de datos dentro de su jurisdicción.

Según el alcalde de Quito, Pabel Muñoz, la protección de datos no solo es una obligación legal, sino también un compromiso con los principios de la administración pública, especialmente en un contexto de creciente exposición de la información personal en la era digital. El esfuerzo se vincula directamente con la modernización de la ciudad, asegurando que la digitalización de los servicios municipales vaya de la mano con mecanismos efectivos para la protección de los datos, solicitando solo la información indispensable y protegiendo la información sensible de la población.

Rossman Camacho, Administrador General del DMQ, resaltó la importancia de esta iniciativa para mejorar la administración pública y la seguridad de la información de los habitantes de Quito, afirmando que este convenio marca el inicio de una alianza para fortalecer la protección de datos personales en la capital. Este convenio contempla medidas técnicas y administrativas diseñadas para reducir los riesgos y prevenir el uso indebido de los datos que se recopilan en los trámites municipales.

Fabrizio Peralta Díaz, Superintendente de Protección de Datos Personales, destacó que Quito se convierte en la primera ciudad en la construcción de una cultura de privacidad desde un gobierno autónomo descentralizado. Subrayó que la protección de los datos personales es un derecho constitucional fundamental, que aún no está plenamente arraigado en la sociedad ecuatoriana, y que iniciativas como esta permitirán avanzar en su consolidación. El Superintendente también señaló la necesidad de construir una cultura de privacidad entre todos los actores involucrados y el compromiso de la Superintendencia de proteger el derecho de los titulares a la protección de sus datos personales. El convenio firmado por el Municipio de Quito refleja un paso firme hacia un manejo ético y responsable de los datos de los ciudadanos, buscando fortalecer una gestión pública innovadora y confiable. La mención específica por parte del alcalde Muñoz del sistema de la «tercera placa», donde solo se registrará la placa y el número de chasis del vehículo sin almacenar información personal del propietario, proporciona un ejemplo concreto del compromiso del municipio con la minimización de datos y la protección de la privacidad. Además, el acuerdo incluye un enfoque en la capacitación de los servidores municipales en el manejo de datos, lo que reconoce que la tecnología por sí sola no es suficiente para garantizar la protección de datos; la conciencia y los procedimientos de manejo adecuados son igualmente cruciales.

¿Tienes Preguntas sobre la Ley? El Servicio de Atención a Consultas de la Superintendencia

Para aquellos que buscan claridad sobre la aplicación de la LOPDP, su Reglamento General y otras regulaciones emitidas, la Superintendencia de Protección de Datos Personales (SPDP) ofrece un servicio de atención a consultas. Este servicio está dirigido a una amplia gama de interesados, incluyendo a los titulares de datos personales, los responsables y encargados del tratamiento, los apoderados especiales de responsables o encargados extranjeros no domiciliados en Ecuador, los delegados de protección de datos personales y terceros definidos en el Reglamento de la Ley. Al completar satisfactoriamente el trámite, el consultante obtendrá una respuesta a su pregunta.

Para realizar una consulta, se deben cumplir ciertos requisitos obligatorios. El consultante debe presentar un documento de identidad (cédula o pasaporte) y un documento de consulta que contenga su dirección de correo electrónico y una opinión jurídica sobre la duda planteada, señalando su posición sobre el tema consultado. La exigencia de una opinión jurídica que incluya la postura del consultante sugiere que la SPDP busca fomentar un diálogo más informado y legalmente fundamentado sobre los temas de protección de datos, lo que podría optimizar su propio trabajo al recibir consultas más específicas y analizadas previamente.

El trámite se realiza de forma presencial en las oficinas de la SPDP, ubicadas en Quito, en la Plataforma Gubernamental de Gestión Financiera, Av. Amazonas y Unión Nacional de Periodistas, Bloque Amarillo – Piso #4. El horario de atención es de lunes a viernes de 08h30 a 17h00. Una vez completada la respuesta a la consulta o al término de 30 días, la SPDP notificará la absolución al correo electrónico proporcionado en el documento de consulta. Es importante destacar que este servicio es gratuito. La base legal para la atención de consultas se encuentra en el Artículo 76, numeral 9 de la LOPDP y el Artículo 83, numeral 5 del Reglamento General de la LOPDP.

Sin embargo, es crucial entender la naturaleza jurídica de las respuestas proporcionadas por la SPDP. La absolución o contestación de consultas constituye una opinión meramente referencial sobre la aplicación de las disposiciones legales en abstracto. No se considera un acto administrativo, no es vinculante, no tiene valor probatorio en procesos judiciales o administrativos, no convalida tratamientos de datos ya realizados y no impide que la SPDP ejerza sus funciones de supervisión, control, evaluación y sanción sobre el consultante. Esta naturaleza no vinculante de las respuestas subraya el papel asesor de la Superintendencia en este servicio, enfatizando que la responsabilidad legal final del cumplimiento de la normativa recae en los responsables y encargados del tratamiento de datos.

Además, existen ciertas limitaciones en cuanto a los temas sobre los que se pueden realizar consultas. No se atenderán consultas relacionadas con datos personales cuyo tratamiento no esté dentro del ámbito de aplicación material de la LOPDP, normas vigentes respecto de cuya aplicación o alcance ya exista una absolución previa, temáticas que sean objeto de procesos judiciales pendientes de resolución o que ya hayan sido decididas por una autoridad judicial, o temáticas que aún no hayan sido materia de regulación específica por parte de la SPDP.

Tus Derechos como Titular de Datos Personales en Ecuador: Una Explicación Detallada

La protección de datos personales en Ecuador tiene su fundamento en el artículo 66, numeral 19 de la Constitución de 2008, que reconoce y garantiza el derecho a la protección de datos de carácter personal, incluyendo el acceso y la decisión sobre esta información, así como su correspondiente protección. La LOPDP, promulgada en mayo de 2021, y su Reglamento, promulgado en noviembre de 2023, desarrollan este derecho constitucional estableciendo un marco regulatorio especializado. La LOPDP garantiza a los titulares una serie de derechos y mecanismos para su ejercicio, fortaleciendo la autonomía individual sobre la información personal. La amplitud y profundidad de estos derechos reflejan un fuerte énfasis en la autonomía individual y el control sobre la información personal dentro del marco legal ecuatoriano, en línea con estándares internacionales de protección de datos como el RGPD.

A continuación, se detallan los derechos de los titulares de datos personales bajo la LOPDP:

El ejercicio de estos derechos no es absoluto y la LOPDP establece excepciones en su artículo 18 para los derechos de rectificación, actualización, eliminación, oposición y portabilidad. Estas excepciones incluyen situaciones en las que el solicitante no es el titular o su representante legal, cuando los datos son necesarios para cumplir una obligación legal o una orden judicial, cuando se requieren para formular, ejercer o defender reclamaciones, cuando su ejercicio podría perjudicar a terceros, cuando podrían obstaculizar actuaciones judiciales o administrativas en curso, cuando los datos son necesarios para ejercer la libertad de expresión, cuando existe un interés público que cumpla con estándares internacionales de derechos humanos, o cuando los datos son necesarios para el archivo de información que constituya patrimonio del Estado o para investigación científica, histórica o estadística. Estas excepciones demuestran un enfoque equilibrado que busca armonizar la protección de la privacidad individual con otros valores sociales y obligaciones legales importantes.

Para facilitar el ejercicio de estos derechos, los responsables del tratamiento deben poner a disposición de los titulares herramientas o canales de fácil acceso, preferentemente informáticos simplificados, pero también físicos. Se recomienda el uso de formularios específicos para las solicitudes. Las solicitudes deben contener el nombre completo, número de identificación, dirección para notificaciones, descripción clara de los datos y el derecho a ejercer, y documentación que acredite la identidad o representación legal del titular. El responsable debe atender las solicitudes de acceso, rectificación, actualización, eliminación y oposición en un plazo de 15 días. Puede solicitar aclaración o complementación en 5 días (una sola vez), y el titular tiene 10 días para responder. Si no se aclara, la solicitud se archiva, notificándose al titular. Los responsables deben llevar un registro de todas las solicitudes y su atención. Si un titular considera que sus derechos han sido vulnerados o no recibe respuesta, puede presentar un reclamo ante la Autoridad de Protección de Datos, cuyo procedimiento se sustanciará conforme al Código Orgánico Administrativo y la normativa complementaria de la Autoridad. La existencia de procedimientos claros y plazos definidos, junto con el derecho a presentar un reclamo ante la autoridad de control, establece un marco de rendición de cuentas para garantizar que los responsables del tratamiento respeten y respondan a las solicitudes de los titulares de datos de manera oportuna y adecuada.

¡Atención Empresas! Las Cláusulas de Protección de Datos Personales que Deben Evitarse (Resolución SPDP-SPD-2025-0006-R)

La Superintendencia de Protección de Datos Personales emitió la resolución SPDP-SPD-2025-0006-R el 1 de mayo de 2025, estableciendo el contenido obligatorio y las prohibiciones para las cláusulas de tratamiento de datos personales en los contratos celebrados dentro del territorio ecuatoriano. Esta resolución busca asegurar que las cláusulas de protección de datos sean claras, específicas y respetuosas de los derechos de los titulares, evitando ambigüedades y prácticas que puedan menoscabar la protección de la información personal.

La cláusula debe precisar la finalidad del tratamiento y si se tratarán datos sensibles. Debe indicar en detalle todos los datos personales objeto de tratamiento, sin redacciones abiertas como «entre otros datos». Además, debe informar al titular sobre la posibilidad de presentar un reclamo directamente ante la Superintendencia.

La resolución señala 12 defectos prohibidos en las cláusulas de protección de datos personales:

La minuciosidad de estas prohibiciones sugiere un esfuerzo por parte de la Superintendencia para prevenir las trampas comunes y asegurar que los principios de protección de datos se incorporen de manera efectiva en los acuerdos contractuales, que son un mecanismo primario para el procesamiento de datos en muchos contextos empresariales. La prohibición contra las exenciones excesivas de responsabilidad subraya el principio de que los responsables y encargados del tratamiento no pueden eludir sus obligaciones legales bajo la LOPDP, reforzando la naturaleza obligatoria del marco de protección de datos y evitando que las organizaciones utilicen los contratos para protegerse de la rendición de cuentas por infracciones o uso indebido de datos.

Una Guía Amigable para Entender la Ley: La Iniciativa de la Fundación Ciudadanía y Desarrollo (FCD)

Con el objetivo de facilitar la comprensión de la Ley Orgánica de Protección de Datos Personales, la Fundación Ciudadanía y Desarrollo (FCD), capítulo de Transparencia Internacional en Ecuador, ha publicado su Guía de Protección de Datos Personales. Este documento, redactado en un lenguaje amigable, busca proteger la privacidad de las personas en Ecuador, explicando los conceptos básicos de protección de datos y el marco legal vigente. La guía ofrece recomendaciones sencillas para que distintos actores cumplan con la normativa y manejen la información personal de forma responsable. Fue desarrollada con el apoyo de Internews y el proyecto DIRECT. La participación de un capítulo de Transparencia Internacional en la creación de una guía de protección de datos sugiere una conexión entre la privacidad de los datos y los principios más amplios de gobernanza, destacando la importancia de la transparencia y la rendición de cuentas en la forma en que las entidades públicas y privadas manejan la información personal. La elaboración de una guía en un «lenguaje amigable» indica un esfuerzo por hacer que el complejo marco legal de la LOPDP sea accesible a un público más amplio, más allá de los expertos legales, lo cual es crucial para promover una conciencia generalizada de los derechos y obligaciones en materia de protección de datos entre el público en general y las organizaciones más pequeñas que pueden carecer de recursos legales especializados.

El Marco Legal en Ecuador: Un Resumen de la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento

La Ley Orgánica de Protección de Datos Personales (LOPDP) fue promulgada el 26 de mayo de 2021 y publicada en el Registro Oficial Suplemento No. 459. Esta ley regula el tratamiento de datos personales contenidos en cualquier soporte, ya sea automatizado o no. Otorgó un plazo de dos años a las empresas para adecuarse a la norma sin recibir sanciones administrativas, plazo que venció el 26 de mayo de 2023. Desde entonces, las entidades públicas o privadas pueden ser multadas por infringir la norma con hasta el 1% de su facturación. Las responsabilidades civiles o penales por incumplimientos ya estaban vigentes desde la entrada en vigor de la ley. Para que el régimen sancionador fuera efectivo, se requería la constitución de la Superintendencia de Protección de Datos Personales. La Ley se aplica a todas las empresas públicas o privadas que manejen datos personales de terceros fuera del ámbito personal y familiar, es decir, para el giro del negocio. Es una ley transversal, pero sectores como salud, financiero y educación son considerados más sensibles. Los profesionales en libre ejercicio también deben cumplirla si sus bases de datos exceden el ámbito personal/familiar. El Reglamento General de la LOPDP fue publicado el 6 de noviembre de 2023 en el Registro Oficial Suplemento No. 435. Su propósito es desarrollar la normativa para la aplicación de la Ley y proteger los derechos y libertades fundamentales de los titulares de datos personales. El relativamente corto período de gracia de dos años para una ley de protección de datos tan completa sugiere una urgencia por alinear a Ecuador con los estándares internacionales de privacidad y abordar los crecientes riesgos asociados con el procesamiento digital de datos personales. Sin embargo, el posterior retraso en la plena puesta en funcionamiento de la Superintendencia debido a razones presupuestarias indica una posible brecha entre la intención legislativa y la capacidad práctica de implementación. El amplio alcance de la LOPDP, que se aplica a prácticamente todas las organizaciones que manejan datos personales, significa un enfoque integral de la protección de datos en Ecuador, con el objetivo de crear un estándar uniforme en diferentes sectores y tipos de entidades. La mención específica de sectores sensibles como la salud, las finanzas y la educación, así como la inclusión de los profesionales independientes, subraya la intención de la ley de cubrir una amplia gama de actividades de procesamiento de datos que podrían afectar la privacidad de las personas.

Para tu conveniencia, puedes descargar el texto completo de la Ley Orgánica de Protección de Datos Personales a continuación:

LEY ORGANICA DE PROTECCION DE DATOS PERSONALES

1 archivo(s) 2.39 MB

Descargar

Implementando la Ley en tu Organización: Pasos Clave para el Cumplimiento

Russell Bedford Ecuador ha identificado 10 puntos relevantes para una implementación efectiva de la LOPDP, aunque en el extracto proporcionado solo se detallan los primeros 5. Estos pasos clave proporcionan una hoja de ruta para que las organizaciones cumplan con la ley:

• Compromiso, Roles y Funciones: Es fundamental establecer un liderazgo claro, designando un Delegado de Protección de Datos (DPO), y contar con un equipo multidisciplinario que involucre a áreas como TI, legal, marketing y negocio. Definir claramente las responsabilidades, obtener el compromiso de la alta dirección e incorporar la protección de datos en la cultura organizacional son pasos esenciales.
• Inventario de Bases de Datos Personales: Se debe identificar y clasificar todos los activos de datos personales, documentar el flujo de datos dentro de la organización, evaluar la legitimidad del almacenamiento, identificar los datos sensibles y definir los ciclos de vida de los datos, incluyendo los plazos de retención y los procedimientos de eliminación.
• Finalidades de la Recogida de Datos: Es crucial documentar los propósitos legales y explícitos para la recopilación de datos, limitar el acceso a los datos según la finalidad establecida, revisar periódicamente estas finalidades, incluirlas en las políticas de privacidad, evaluar cualquier nueva propuesta de uso de datos, implementar mecanismos de consentimiento adecuados y desarrollar políticas de minimización de datos.
• Política & Procedimientos: Se deben desarrollar políticas detalladas que aborden los derechos de los titulares (acceso, rectificación, etc.), documentar los procedimientos internos para cumplir con estas políticas, incorporarlas en los contratos con empleados, clientes y proveedores, establecer procedimientos de seguridad robustos y gestionar eficazmente las solicitudes de los interesados.
• Gestión de Riesgos: Implica identificar los riesgos potenciales (amenazas a la seguridad de los datos), analizar la probabilidad e impacto de estos riesgos, desarrollar planes de mitigación, realizar pruebas de penetración y vulnerabilidad, llevar a cabo Evaluaciones de Impacto de Protección de Datos (DPIA) para nuevos proyectos o cambios en los procesos, y establecer un protocolo para reportar los riesgos identificados a la alta dirección.

Estos pasos recomendados enfatizan un enfoque holístico de la protección de datos que integra medidas legales, técnicas y organizativas, lo que sugiere que el mero cumplimiento de la letra de la ley es insuficiente; se requiere un cambio fundamental en la forma en que las organizaciones manejan los datos para un cumplimiento efectivo.

Profundizando en el Reglamento: Aspectos Importantes del Reglamento General de la LOPDP

El Reglamento General de la LOPDP desarrolla la normativa para la aplicación de la Ley y busca proteger los derechos y libertades fundamentales de los titulares de datos personales. Aplica a todas las personas naturales y jurídicas, tanto nacionales como extranjeras, del sector público y privado, que realicen tratamiento de datos personales si sus actividades tienen lugar en Ecuador. También se aplica a responsables y encargados no establecidos en Ecuador que deban cumplir la legislación nacional, quienes deben designar un apoderado especial en el país, excepto en casos excepcionales de tratamiento ocasional de bajo riesgo. El Reglamento establece definiciones clave, como actividades familiares o domésticas, datos relativos a la salud, normas corporativas vinculantes, persona identificable, representante, tercero y tratamiento a gran escala, proporcionando ejemplos para este último.

En cuanto a la recogida del consentimiento, el Reglamento exige que el responsable obtenga el consentimiento del titular según lo dispuesto en la Ley. Para el consentimiento explícito, se debe informar previa y detalladamente sobre los tipos de tratamiento, finalidades, tiempo de conservación, medidas de protección y consecuencias. El consentimiento debe reflejar la aceptación inequívoca del titular y debe ser demostrable por el responsable. Se establecen normas específicas para el consentimiento de menores de 15 años y personas incapacitadas, que debe obtenerse a través de su representante legal. El silencio o la inacción no se consideran consentimiento. El titular tiene derecho a revocar su consentimiento en cualquier momento, sin que esto afecte la licitud del tratamiento previo. El responsable debe tener un procedimiento sencillo para la revocatoria y suspender el tratamiento una vez notificado.

El Reglamento también aborda el tratamiento legítimo de datos, considerando bases como el cumplimiento de una misión en interés público, los intereses vitales del interesado, el interés legítimo del responsable o de un tercero y las fuentes accesibles al público, siempre respetando las limitaciones de finalidad y compatibilidad. Se establecen plazos de conservación de datos que no deben exceder lo estrictamente necesario para las finalidades del tratamiento, y se definen los procedimientos para la eliminación, bloqueo o anonimización de los datos una vez cumplidas las finalidades y cuando no haya obligación legal o interés legítimo para conservarlos. Se especifican los medios para que los titulares puedan ejercer sus derechos, exigiendo que el responsable habilite herramientas o canales de fácil acceso, preferentemente informáticos, pero también físicos. Se detalla el contenido que deben tener las solicitudes de ejercicio de derechos y los plazos para su atención. El Reglamento también regula el reclamo ante la Autoridad de Protección de Datos en caso de vulneración de derechos o falta de respuesta en plazo. Se incluyen disposiciones específicas para el tratamiento de datos de personas fallecidas, datos crediticios y datos de menores de edad, exigiendo el consentimiento del representante legal para menores de 15 años y consentimiento expreso para datos sensibles y decisiones automatizadas.

En relación con la transferencia o comunicación de datos a terceros, se requiere el consentimiento del titular, a menos que los datos estén disociados, cifrados o se utilicen otros mecanismos de privacidad que impidan la identificación de la persona. Se establecen supuestos en la Ley que no requieren consentimiento. El Reglamento también aborda las vulneraciones a la seguridad de los datos, exigiendo al responsable notificar a la SPDP y a la ARCOTEL si es probable que la violación constituya un riesgo para los derechos y libertades de las personas. Se detalla el contenido de la notificación y los plazos para realizarla. Se establecen los requisitos para la realización de Evaluaciones de Impacto (DPIA), que son obligatorias en ciertos casos definidos en la Ley, y se especifica su contenido. El Reglamento define las responsabilidades del responsable y del encargado del tratamiento, incluyendo la obligación de aplicar medidas apropiadas para garantizar el cumplimiento de la Ley. Se establece la obligación de llevar un registro de actividades de tratamiento para responsables con cien o más trabajadores, y también para aquellos con menos si el tratamiento implica riesgo, no es ocasional o incluye categorías especiales de datos. Se regula la figura del Delegado de Protección de Datos (DPO), definiendo sus funciones, requisitos, impedimentos y la necesidad de garantizar su independencia. Finalmente, el Reglamento fomenta la responsabilidad proactiva y la autorregulación, permitiendo el uso de mecanismos de certificación y códigos de conducta para demostrar el cumplimiento de la normativa. También se establecen las reglas para la transferencia o comunicación internacional de datos, incluyendo las condiciones para transferir datos a países con un nivel adecuado de protección y el uso de normas corporativas vinculantes o cláusulas tipo. El nivel de detalle en el Reglamento General indica un compromiso de proporcionar una guía exhaustiva y práctica para la implementación de la LOPDP, yendo más allá de los principios generales para abordar aspectos operativos específicos del procesamiento de datos. La inclusión de requisitos específicos para los DPO, el mantenimiento de registros y las DPIA resalta la importancia de la rendición de cuentas y un enfoque en la integración de las prácticas de protección de datos dentro de las organizaciones. El marco establecido para la certificación y los códigos de conducta sugiere una intención de fomentar un ecosistema de protección de datos más maduro en Ecuador, donde los estándares específicos de la industria y las certificaciones reconocidas pueden ayudar a las organizaciones a demostrar el cumplimiento y generar confianza con los titulares de los datos.

Conclusión: La Importancia de la Protección de Datos para Todos en Ecuador

La protección de datos personales es de vital importancia para salvaguardar la privacidad y la seguridad de los individuos en Ecuador. La LOPDP y su Reglamento establecen un marco legal sólido que empodera a los ciudadanos con una serie de derechos sobre su información personal y obliga a las organizaciones a manejar estos datos de manera responsable y ética. El reciente acuerdo pionero entre el Municipio de Quito y la Superintendencia de Protección de Datos Personales demuestra un compromiso creciente a nivel institucional para implementar y hacer cumplir la ley.

Tanto ciudadanos como empresas tienen un papel crucial en la construcción de una cultura de protección de datos en Ecuador. Los ciudadanos deben conocer y ejercer sus derechos, mientras que las empresas tienen la responsabilidad de garantizar el cumplimiento de la LOPDP implementando medidas técnicas y organizativas adecuadas. Entender el marco legal, como los detalles proporcionados en este blog sobre los derechos, las prohibiciones en cláusulas contractuales y los pasos para la implementación, es el primer paso hacia un manejo de datos más seguro y ético.

Si eres ciudadano y tienes dudas sobre cómo ejercer tus derechos, o si eres una empresa y necesitas asesoría para adaptarte a la LOPDP y evitar sanciones, buscar orientación legal especializada es fundamental. Un manejo adecuado de los datos personales no solo es una obligación legal, sino también una muestra de respeto por la privacidad y un factor clave para generar confianza con tus clientes y usuarios.