Un consultorio odontológico de Cuenca con 3.000 fichas de pacientes, una tienda en línea que envía pedidos a todo el país y un municipio pequeño tienen la misma ley encima, pero no las mismas obligaciones. La autoevaluación de protección de datos de esta página separa unas de otras con diez preguntas que se responden en unos minutos.
Cada respuesta afirmativa activa una o varias obligaciones de la Ley Orgánica de Protección de Datos Personales, la LOPDP, y el resultado las muestra con el número de artículo. La herramienta no pide nombres ni datos de la organización. Su propósito es que una pyme sepa por dónde empezar antes de pagar asesoría o comprar software.
Cómo leer el resultado de la autoevaluación de protección de datos
El resultado tiene dos partes. Arriba aparecen las obligaciones que la ley impone a cualquier responsable, como informar a los titulares y proteger los datos. Debajo, las que se activan por sus respuestas concretas: delegado, evaluación de impacto, garantías para transferencias. Las segundas suelen ser las que una organización ignora sin saberlo.
Las preguntas sobre inventario, medidas de seguridad, procedimiento de filtraciones y delegado funcionan al revés que las demás. Ahí un "no" no reduce obligaciones: marca una brecha entre lo que la ley exige y lo que la organización tiene hoy. Esas brechas aparecen en el resultado como tareas pendientes, ordenadas de mayor a menor riesgo de sanción.
El método es simple y verificable: cada regla del cuestionario se apoya en un artículo leído en el texto de la ley publicada en el Quinto Suplemento del Registro Oficial 459, del 26 de mayo de 2021. Donde el detalle procede del Reglamento General o de una resolución de la Superintendencia, la fuente aparece citada al pie de la página.
Escala, datos sensibles y menores de edad
La primera pregunta es si la organización trata datos personales a gran escala o de forma permanente y sistematizada. El artículo 48 exige un delegado de protección de datos cuando la actividad requiere ese control permanente por su volumen, naturaleza o fines. En 2026 la Superintendencia expidió una norma general que precisa cuándo un tratamiento es a gran escala.
La segunda pregunta busca datos sensibles: salud, biometría, datos genéticos, religión, orientación sexual, pasado judicial o condición migratoria, entre otros del artículo 4. El artículo 26 prohíbe tratarlos salvo excepciones como el consentimiento explícito. Un lector de huella dactilar en la puerta de la oficina convierte a cualquier empresa en responsable de datos biométricos.
Si esos datos sensibles se tratan a gran escala, el artículo 42 vuelve obligatoria la evaluación de impacto antes de empezar, y el artículo 48 exige el delegado. Para clínicas, laboratorios, aseguradoras y gimnasios con control biométrico, esta combinación es la que más obligaciones suma en todo el cuestionario, y conviene no subestimarla.
La tercera pregunta trata de niñas, niños y adolescentes. Sus datos son categoría especial según el artículo 25, y el artículo 21 permite que un adolescente consienta por sí mismo solo desde los 15 años, con fines explicados con claridad. Por debajo de esa edad responde el representante legal, algo que colegios y academias deben reflejar en sus formularios.
Monitoreo, decisiones automatizadas y transferencias
La cuarta pregunta pregunta si la organización observa de forma sistemática a personas: cámaras que cubren una zona de acceso público, geolocalización de repartidores, perfiles de comportamiento de clientes. El artículo 42 hace obligatoria la evaluación de impacto para la observación sistemática a gran escala de una zona pública y para los perfiles automatizados con efectos jurídicos.
Las decisiones automatizadas merecen atención aparte. El artículo 20 permite al titular pedir una explicación motivada, presentar observaciones e impugnar una decisión basada en valoraciones automatizadas que le produzca efectos jurídicos. Un sistema que aprueba o rechaza créditos sin intervención humana necesita un procedimiento para atender esas solicitudes, no solo un buen modelo estadístico.
La quinta pregunta es sobre transferencias internacionales. Guardar archivos en una nube con servidores fuera de Ecuador, usar un sistema de nómina extranjero o enviar datos a una casa matriz son transferencias. Los artículos 55 a 61 las permiten hacia países con nivel adecuado, con garantías adecuadas, con normas corporativas vinculantes o con autorización de la Superintendencia.
En la práctica, la mayoría de empresas que usan correo y ofimática en la nube ya transfieren datos fuera del país sin haberlo documentado. Ese es probablemente el hallazgo más común de toda la autoevaluación de protección de datos, y también uno de los más fáciles de corregir: basta revisar el contrato del proveedor y anotar la garantía aplicable.
Entidades del sector público ante la LOPDP
La sexta pregunta distingue a las entidades del sector público definidas en el artículo 225 de la Constitución. Para ellas el delegado es obligatorio por el artículo 48, número 1, y el artículo 38 las incluye en el mecanismo gubernamental de seguridad de la información. Las multas también cambian: se calculan en salarios básicos unificados para el servidor responsable.
Según los artículos 71 y 72, un servidor público que comete una infracción leve puede recibir una multa de 1 a 10 salarios básicos unificados, y de 10 a 20 si es grave. Para entidades privadas y empresas públicas la multa es un porcentaje del volumen de negocio, entre el 0,1 % y el 1 % según la gravedad.
Inventario, seguridad y filtraciones en las empresas
La séptima pregunta es la más reveladora: ¿existe un inventario de las bases de datos personales? El artículo 51 obliga a reportar al Registro Nacional nueve datos de cada base, desde la finalidad hasta el tiempo de conservación, y el artículo 47 a mantener ese registro actualizado. Sin inventario, ninguna de esas obligaciones puede cumplirse de verdad.
El Reglamento General exime del registro de actividades de tratamiento a responsables con menos de cien trabajadores cuyo tratamiento sea ocasional, de bajo riesgo y sin categorías especiales. Muchas empresas pequeñas creen que esa exención las cubre. Pocas la cumplen entera, porque la nómina mensual ya es un tratamiento permanente y no ocasional.
La octava pregunta revisa las medidas de seguridad. El artículo 37 exige medidas técnicas y organizativas proporcionales al riesgo y una verificación continua de su eficacia, y menciona el cifrado y la recuperación rápida tras incidentes. Unas copias de seguridad probadas y separadas de la red son una de las medidas más baratas y más útiles de esa lista.
La novena pregunta es si hay un procedimiento escrito para vulneraciones de datos. El artículo 43 da al responsable cinco días hábiles para notificar a la Superintendencia y a ARCOTEL, y al encargado dos para avisar al responsable. El artículo 46 añade tres días para informar a los titulares si existe riesgo para sus derechos.
Un ataque de ransomware contra la red de una empresa suele ser el momento en que se descubre que nadie sabe quién notifica ni cómo. La Resolución SPDP-SPD-2026-0040-R, publicada el 24 de septiembre de 2026, canaliza el reporte por el sistema de registro de la Superintendencia y califica la omisión como infracción grave.
La décima pregunta es si la organización tiene delegado de protección de datos. Cuando la herramienta concluye que es obligatorio y la respuesta es no, el resultado lo destaca como prioridad: no designarlo cuando corresponde figura entre las infracciones graves del artículo 68, número 12, junto con no notificar vulneraciones o no hacer evaluaciones de impacto.
Qué hacer después de la autoevaluación de protección de datos
El orden recomendable es empezar por el inventario, porque todas las demás tareas de la LOPDP dependen de él. Después vienen el aviso de privacidad del artículo 12, el canal para atender derechos en quince días, los contratos con encargados y el procedimiento de filtraciones. El delegado y la evaluación de impacto llegan cuando el cuestionario los marca.
La guía completa de la Ley de Protección de Datos Personales y sus obligaciones desarrolla cada punto con una lista de pasos para pymes y una tabla de artículos. Las organizaciones que además prestan servicios digitales deben revisar la Ley de Ciberseguridad de Ecuador de 2026, que añade un aviso de incidentes en 72 horas.
Un detalle que suele pasarse por alto: la autoevaluación de protección de datos refleja el estado de un día concreto. Si la empresa abre una sucursal, contrata un nuevo sistema de facturación o instala cámaras, las respuestas cambian. Repetir el cuestionario cada seis meses, y guardar el resultado fechado, deja una traza sencilla del cumplimiento a lo largo del tiempo.