En diciembre de 2025 la Superintendencia de Protección de Datos Personales impuso sus primeras multas por infracciones graves. Las recibieron LigaPro y la Federación Ecuatoriana de Fútbol, por sus aplicaciones de identificación de hinchas: USD 259.644,01 y USD 194.856,16. Desde entonces la Ley de Protección de Datos Personales dejó de ser solo un texto del Registro Oficial.
La resolución también ordenó informar a 14.398 titulares de que el consentimiento que habían dado no era válido y eliminar los datos recabados. Esa segunda parte suele doler más que la multa: obliga a rehacer procesos, perder información comercial y explicar públicamente el error. Para una pyme, una orden así puede pesar más que cualquier porcentaje de facturación.
Qué es la Ley de Protección de Datos Personales y desde cuándo rige
La norma completa se llama Ley Orgánica de Protección de Datos Personales, abreviada LOPDP. La Asamblea Nacional la aprobó en segundo debate el 10 de mayo de 2021, el Presidente la sancionó el 21 de mayo y se publicó en el Quinto Suplemento del Registro Oficial 459 el 26 de mayo de 2021, fecha en que entró en vigencia.
Su artículo 1 define el objeto: garantizar el derecho a la protección de datos personales, que incluye el acceso y la decisión sobre esa información. Para lograrlo, el texto regula principios, derechos, obligaciones y mecanismos de tutela, y crea una autoridad de control con poder sancionador. Es la base de toda la protección de datos personales en Ecuador.
La Disposición Transitoria Primera aplazó dos años las medidas correctivas y el régimen sancionatorio, de modo que las multas solo pueden aplicarse desde el 26 de mayo de 2023. Durante ese plazo, empresas e instituciones debían adecuar sus tratamientos. Los derechos de los titulares no esperaron: la Disposición General Séptima permite exigirlos con independencia del régimen sancionatorio.
El Reglamento General a la Ley Orgánica de Protección de Datos Personales llegó con el Decreto Ejecutivo 904, suscrito el 6 de noviembre de 2023 y publicado en el Registro Oficial 435 el 13 de noviembre. Detalla al delegado de protección de datos, la figura del apoderado especial, la corresponsabilidad, los criterios de transferencia internacional y el registro de actividades.
A quién se aplica la LOPDP
El artículo 2 la aplica a datos en cualquier soporte, automatizado o no. Quedan fuera los usos familiares o domésticos, los datos de personas fallecidas salvo lo previsto en el artículo 28, los datos anonimizados, las actividades periodísticas, ciertos tratamientos de seguridad del Estado y de investigación penal, y los datos que identifican a personas jurídicas, no a personas naturales.
El artículo 3 amplía el alcance territorial. La ley rige cuando el tratamiento ocurre en Ecuador, cuando el responsable o el encargado está domiciliado en el país y cuando una empresa extranjera ofrece bienes o servicios a residentes en Ecuador o controla su comportamiento aquí. Una tienda en línea de otro país que vende a Guayaquil queda incluida.
Dos figuras ordenan todo el resto. El responsable es quien decide sobre la finalidad y el tratamiento de los datos; el encargado los trata a nombre y por cuenta de ese responsable. Una clínica que guarda historias clínicas es responsable; la empresa que le aloja el sistema en la nube es encargada, con obligaciones propias que la ley también sanciona.
Principios y bases legales del tratamiento
El artículo 10 enumera los principios: juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización, proporcionalidad, confidencialidad, calidad y exactitud, conservación, seguridad, responsabilidad proactiva y demostrada, aplicación favorable al titular e independencia del control. El de responsabilidad proactiva es el más exigente en la práctica, porque obliga al responsable a poder demostrar que cumple.
Ningún tratamiento es lícito sin una base del artículo 7. Son ocho: consentimiento del titular para fines concretos, obligación legal, orden judicial, misión de interés público, medidas precontractuales o ejecución de un contrato, intereses vitales, datos en bases de acceso público e interés legítimo del responsable o de un tercero, siempre que no prevalezcan los derechos del titular.
El consentimiento, según el artículo 8, debe ser libre, específico, informado e inequívoco, y puede revocarse en cualquier momento sin justificación, por un procedimiento tan sencillo como el usado para obtenerlo. Una casilla premarcada en un formulario web no cumple esa definición, y el caso de las aplicaciones de hinchas mostró que la Superintendencia sí revisa cómo se obtuvo.
El interés legítimo, regulado en el artículo 9, es la base más tentadora. Solo permite tratar los datos estrictamente necesarios, obliga a que el tratamiento sea transparente para el titular y autoriza a la Superintendencia a pedir un informe de riesgo. Enviar publicidad a toda la base de clientes con ese argumento rara vez resiste una revisión.
Datos sensibles, menores y categorías especiales
El artículo 25 agrupa como categorías especiales los datos sensibles, los de niñas, niños y adolescentes, los de salud y los de personas con discapacidad. Los datos sensibles incluyen etnia, identidad de género, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos y genéticos, entre otros que puedan dar lugar a discriminación.
El artículo 26 prohíbe tratar datos sensibles salvo excepciones: consentimiento explícito con fines claros, obligaciones del derecho laboral o de la seguridad social, intereses vitales, datos que el titular hizo manifiestamente públicos, orden judicial, fines de archivo o investigación con garantías, y las reglas propias de la salud. Un control de acceso con huella dactilar ya cae aquí.
Con los menores la ley fija edades concretas. El artículo 21 permite a los adolescentes desde los 15 años dar su consentimiento explícito si se les explican los fines con claridad. El artículo 24 añade que entre los 12 y los 15 años, y antes, los derechos se ejercen por medio del representante legal.
Derechos de los titulares en la Ley de Protección de Datos Personales
Cualquier persona cuyos datos se tratan puede ejercer estos derechos ante el responsable, y si no obtiene respuesta, ante la Superintendencia. La Ley de Protección de Datos Personales los recoge en su Capítulo III, con plazos concretos para varios de ellos, y el artículo 24 declara que son irrenunciables, de modo que una cláusula contractual en contrario es nula.
- Información (art. 12): fines, base legal, tiempo de conservación, transferencias y datos de contacto del responsable y del delegado.
- Acceso (art. 13): gratuito, sin justificar el pedido, atendido en 15 días.
- Rectificación y actualización (art. 14): 15 días, con aviso al destinatario que recibió los datos.
- Eliminación (art. 15): por ejemplo al revocar el consentimiento o vencer el plazo de conservación; 15 días y gratis.
- Oposición (art. 16): siempre frente a la mercadotecnia directa y la elaboración de perfiles; 15 días.
- Portabilidad (art. 17): recibir los datos en formato estructurado o pedir que pasen a otro responsable.
- Suspensión del tratamiento (art. 19): mientras se discute la exactitud o la licitud.
- Decisiones automatizadas (arts. 20 y 21): pedir explicación, presentar observaciones e impugnar.
- Consulta (art. 22) ante el Registro Nacional y educación digital (art. 23).
El artículo 18 enumera excepciones: no proceden la rectificación, eliminación, oposición o portabilidad cuando quien pide no es el titular, cuando los datos son necesarios para cumplir una obligación legal o contractual, una orden judicial o la defensa de reclamos, entre otros casos. Negar un pedido exige invocar una de esas causales concretas, no una política interna.
Obligaciones de responsables y encargados del tratamiento
El artículo 47 enumera quince obligaciones del responsable, y el encargado tiene las mismas en lo que le sea aplicable. Entre ellas están aplicar metodologías de análisis de riesgos, evaluar la seguridad antes de tratar datos, aplicar la protección desde el diseño, firmar contratos de confidencialidad, mantener el Registro Nacional y designar al delegado cuando corresponda.
Inventario de tratamientos y Registro Nacional
El artículo 51 obliga al responsable a reportar ante la Superintendencia y mantener actualizados nueve datos de cada base: identificación, responsable y encargado, finalidad, naturaleza de los datos, destinatarios, forma de interrelación, medios para cumplir la ley, medidas de seguridad y tiempo de conservación. Sin un inventario interno previo, ese registro resulta imposible de completar con honestidad.
El Reglamento exime del registro de actividades de tratamiento a responsables con menos de cien trabajadores, siempre que el tratamiento sea ocasional, de bajo riesgo y sin categorías especiales. La exención es estrecha: una empresa pequeña que lleva la nómina de forma permanente o maneja datos de salud de sus clientes ya no encaja en ella.
Medidas de seguridad y evaluación de impacto
El artículo 37 exige medidas técnicas y organizativas acordes con las categorías y el volumen de datos, el estado de la técnica y los costos, y un proceso de verificación continua de su eficacia. Menciona expresamente el cifrado, la seudonimización y la recuperación rápida tras incidentes, y permite apoyarse en estándares internacionales como ISO/IEC 27001.
Ese último punto conecta la ley con la práctica diaria de seguridad informática. Un ataque de ransomware que cifra los servidores de una empresa es, casi siempre, una vulneración de datos personales con plazo de notificación. Y una auditoría de seguridad informática con fases definidas es la forma más directa de evidenciar la verificación continua.
El artículo 42 exige evaluar el impacto antes de tratar datos de alto riesgo, y siempre en tres casos: perfiles automatizados con efectos jurídicos, tratamiento a gran escala de categorías especiales o datos penales, y observación sistemática a gran escala de una zona pública. En 2025 la Superintendencia publicó una guía obligatoria sobre riesgos e impacto.
Delegado de protección de datos
El artículo 48 obliga a designar un delegado en el sector público, cuando las actividades requieren control permanente y sistematizado por su volumen, naturaleza o fines, y cuando hay tratamiento a gran escala de categorías especiales. La Superintendencia puede fijar nuevos supuestos, y en febrero de 2026 expidió una norma general sobre tratamiento de datos a gran escala.
Según el Reglamento, el delegado debe ser mayor de edad, tener título de tercer nivel en Derecho, sistemas de información, comunicación o tecnología, y acreditar cinco años de experiencia. Un grupo empresarial puede compartir uno solo. El registro se hace en el sistema de la Superintendencia, y a enero de 2025 constaban 260 delegados del sector público.
Notificación de vulneraciones
El artículo 43 fija el plazo central de la ley: el responsable notifica la vulneración a la Superintendencia y a ARCOTEL tan pronto sea posible y a más tardar en el término de cinco días desde que tuvo constancia. Al tratarse de término, se cuentan días hábiles. Si llega tarde, la notificación debe explicar los motivos del retraso.
El encargado tiene un plazo más corto: debe avisar al responsable en el término de dos días. Ese detalle conviene escribirlo en cada contrato con proveedores de nube, nómina o soporte, porque los cinco días del responsable empiezan a correr cuando se entera, y un proveedor que calla una semana deja al cliente fuera de plazo sin saberlo.
Cuando la vulneración supone un riesgo para los derechos de los titulares, el artículo 46 manda informarles en el término de tres días. La excepción por esfuerzo desproporcionado no elimina el deber: obliga a una comunicación pública. Y la propia ley considera atenuante la notificación oportuna, que es el mejor argumento para no esconder un incidente.
La Resolución SPDP-SPD-2026-0040-R, suscrita el 9 de septiembre de 2026 y publicada en el Primer Suplemento del Registro Oficial 376 el 24 de septiembre, es la norma técnica de notificación. Mantiene los plazos de dos y cinco días, canaliza el reporte por el sistema de registro de la Superintendencia y califica la omisión del reporte como infracción grave.
Reloj de una vulneración: hasta cuándo hay que avisar
Fuentes: LOPDP, arts. 43 y 46 · Resolución SPDP-SPD-2026-0040-R (RO 376, 24 sep. 2026) · Ley de Ciberseguridad, art. 20-G (RO 290) · Viceministerio de Turismo, calendario de feriados 2025-2030
Datos verificados al por la redacción de dds.ec · Método editorial
Cómo se calcula
La LOPDP fija sus plazos como término, es decir, en días hábiles. Se cuentan a partir del día siguiente a la constancia de la vulneración y se excluyen sábados, domingos y los feriados nacionales del calendario oficial en su fecha de descanso; los feriados locales, como el de una fundación cantonal, no se descuentan, así que en esas ciudades el plazo real puede ser un día más largo. El aviso al CSIRT Nacional se cuenta en horas corridas desde la detección. El resultado es orientativo y no sustituye la revisión de un abogado.
Transferencias internacionales
Los artículos 55 a 61 regulan el envío de datos fuera del país. Se permite hacia países que la Superintendencia declare con nivel adecuado, con garantías adecuadas, mediante normas corporativas vinculantes o con autorización previa. Usar correo, nómina o almacenamiento en servidores de otro país es una transferencia, y el contrato con el proveedor debe reflejarlo.
| Obligación | Artículo | Qué hacer en la práctica |
|---|---|---|
| Tener base legal para cada tratamiento | Art. 7 | Anotar en el inventario la base de cada finalidad |
| Informar al titular | Art. 12 | Publicar un aviso de privacidad claro y completo |
| Atender derechos en 15 días | Arts. 13–16 | Crear un buzón y un registro de solicitudes |
| Medidas de seguridad | Art. 37 | Cifrado, control de accesos, copias y pruebas periódicas |
| Evaluación de impacto | Art. 42 | Hacerla antes de tratamientos de alto riesgo |
| Notificar vulneraciones | Arts. 43 y 46 | Procedimiento escrito: 5 días a SPDP y ARCOTEL, 3 a titulares |
| Contratos con encargados | Art. 47 | Cláusulas de confidencialidad y aviso de incidentes en 2 días |
| Delegado de protección de datos | Art. 48 | Designarlo y registrarlo si aplica algún supuesto |
| Registro Nacional | Art. 51 | Reportar las bases y mantenerlas actualizadas |
| Transferencias internacionales | Arts. 55–61 | Verificar destino, garantías o autorización |
La Superintendencia de Protección de Datos Personales y sus servicios en línea
La ley creó la Superintendencia de Protección de Datos Personales como órgano técnico de control con potestad sancionatoria y autonomía administrativa, técnica, operativa y financiera. Su primer titular, Fabrizio Peralta Díaz, fue designado por unanimidad por el Consejo de Participación Ciudadana el 28 de marzo de 2024 y se posesionó ante la Asamblea en abril de ese año.
El portal gob.ec registra seis trámites de la Superintendencia: solicitudes de titulares, consultas sobre la ley, denuncias por incumplimiento de la LOPDP, notificación de vulneraciones, registro de apoderados especiales y registro del delegado. La notificación se hace en línea, en el sistema nacional de registros de la entidad, y el trámite no tiene costo.
Para los titulares, el canal más útil es el de denuncias de la Superintendencia, regulado por la Resolución SPDP-SPDP-2024-0013-R de octubre de 2024. Para las empresas, el de notificación de vulneraciones. Conviene registrarse antes de necesitarlo y guardar captura de cada envío, porque crear la cuenta en pleno incidente consume horas de un plazo corto.
La capacidad de la entidad sigue siendo limitada. Tras la presunta filtración del Registro Civil, la Superintendencia inspeccionó la institución el 8 de mayo de 2026, cuando su estructura sustantiva de arranque contaba con nueve personas. Eso no rebaja el riesgo: un solo expediente bien documentado basta para una multa calculada sobre la facturación.
Sanciones de la Ley de Protección de Datos Personales
El artículo 67 fija las infracciones leves del responsable: no tramitar o negar sin justificación las peticiones del titular, no aplicar la protección desde el diseño, no tener políticas de privacidad disponibles, elegir un encargado sin garantías suficientes e incumplir medidas correctivas. Los artículos 69 y 70 recogen las infracciones propias del encargado.
El artículo 68 enumera catorce infracciones graves. Entre ellas figuran no implementar medidas técnicas y organizativas, usar datos para fines distintos de los declarados, ceder datos sin cumplir requisitos, no hacer evaluaciones de impacto obligatorias, no notificar vulneraciones, no firmar contratos de confidencialidad, no mantener el Registro Nacional y no designar al delegado.
Calculadora de multas: LOPDP y Ley de Ciberseguridad
Fuentes: LOPDP, arts. 71 a 73 · Ley de Ciberseguridad, arts. 20-S a 20-V (RO 290) · SBU 2026: USD 482 (Acuerdo MDT-2025-195)
Datos verificados al por la redacción de dds.ec · Método editorial
Cómo se calcula
Las entidades privadas y las empresas públicas se multan con un porcentaje del volumen de negocio del ejercicio anterior: ventas y servicios sin IVA (LOPDP art. 73, Ley de Ciberseguridad art. 20-V). Los servidores públicos, con salarios básicos unificados; se usa el de 2026, USD 482. La herramienta muestra los límites de cada escala; dentro de ellos, la autoridad gradúa la multa según la intención, la reiteración, el daño y la reincidencia.
Para entidades de derecho privado y empresas públicas, una infracción leve se sanciona con entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior, y una grave con entre el 0,7 % y el 1 %. El artículo 73 define el volumen de negocio como el importe de las ventas netas de IVA.
Para servidores y funcionarios públicos, el artículo 71 prevé de 1 a 10 salarios básicos unificados por infracción leve, y el artículo 72 de 10 a 20 por infracción grave. Para graduar la multa, la Superintendencia valora la intencionalidad, la reiteración, la naturaleza del perjuicio y la reincidencia, según los criterios que la ley detalla en esos mismos artículos.
Las sanciones de la Ley de Protección de Datos Personales no excluyen la vía penal. El Código Orgánico Integral Penal castiga por separado conductas como la revelación ilegal de bases de datos o el acceso no consentido a sistemas, y la multa administrativa a la empresa no protege al empleado que vendió una base de clientes.
La ley añade una consecuencia que no es económica. Su Disposición General Sexta crea el Registro Único de Responsables y Encargados Incumplidos, donde constan quienes cometieron alguna de las infracciones, con fines estadísticos, preventivos y de capacitación. Para un proveedor que trabaja con bancos o con el Estado, figurar ahí es un costo reputacional difícil de explicar en una licitación.
Cómo cumplir la Ley Orgánica de Protección de Datos Personales en una pyme
La lista siguiente ordena el trabajo de una empresa pequeña o mediana que parte casi de cero. No sustituye el asesoramiento jurídico, pero cubre las obligaciones que más se revisan. Antes de empezar, la autoevaluación de protección de datos para empresas indica qué artículos aplican según el tipo de datos y la escala.
- Inventariar cada base de datos: qué datos, de quién, para qué, dónde se guardan, quién accede y cuánto tiempo.
- Asignar una base legal del artículo 7 a cada finalidad y eliminar lo que no tenga ninguna.
- Redactar el aviso de privacidad con los doce puntos del artículo 12 y publicarlo donde se recogen datos.
- Habilitar un canal de derechos con registro de fecha de entrada y respuesta en 15 días.
- Revisar contratos con proveedores que tratan datos: confidencialidad, medidas de seguridad, aviso de incidentes en 2 días y devolución o borrado al terminar.
- Aplicar medidas de seguridad básicas: autenticación multifactor, cifrado de equipos, copias de seguridad probadas y permisos mínimos.
- Escribir el procedimiento de vulneraciones con responsables, plantilla de notificación y cuenta creada en el sistema de la Superintendencia.
- Evaluar si hace falta delegado y evaluación de impacto según los artículos 42 y 48.
- Reportar las bases al Registro Nacional y revisar todo al menos una vez al año.
Relación con la Ley de Ciberseguridad de Ecuador de 2026
El 22 de mayo de 2026 se publicó en el Registro Oficial 290 la Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Afecta sobre todo a operadores de servicios esenciales e infraestructura crítica digital y a prestadores de servicios digitales, y crea un CSIRT Nacional que recibe reportes de incidentes en un plazo propio de 72 horas.
Un mismo incidente puede activar las dos leyes: si un ataque compromete datos de clientes de un proveedor de servicios digitales, corren los cinco días de la LOPDP y las 72 horas de la nueva norma. La guía de la Ley de Ciberseguridad de Ecuador explica a quién alcanza y qué sanciones prevé.
El primer paso concreto, para cualquier organización, es abrir hoy una hoja de cálculo con cinco columnas: nombre de la base, datos que contiene, finalidad, base legal y proveedor que la aloja. Esa hoja es el inventario que piden el artículo 51 y la evaluación de riesgos, y es lo primero que solicitará un auditor o la Superintendencia.