Leyes de Privacidad de Datos de Ecuador: Guía de Cumplimiento de la LOPDP (2026)

La protección de datos personales en Ecuador se rige por la Ley Orgánica de Protección de Datos Personales (LOPDP), sancionada en mayo de 2021 y plenamente exigible desde mayo de 2023. La SPDP supervisa su cumplimiento y anunció sus primeras sanciones el 1 de diciembre de 2025, multando a LigaPro y a la FEF conforme al artículo 68(1) de la LOPDP por no implementar medidas adecuadas en torno a aplicaciones para hinchas que no habían obtenido un consentimiento válido. Una segunda ronda de multas contra ambas entidades siguió el 20 de enero de 2026.

Ecuador ocupa un lugar distintivo en la protección de datos de América Latina. Su Ley Orgánica de Protección de Datos Personales (LOPDP) de 2021 tomó su arquitectura directamente del Reglamento General de Protección de Datos (GDPR) de la UE. Tras un período de implementación de dos años, la ley se volvió plenamente exigible en mayo de 2023. La autoridad de control, la Superintendencia de Protección de Datos Personales (SPDP), no tuvo titular alguno hasta que su primer Superintendente, Fabrizio Peralta Díaz, se posesionó ante la Asamblea Nacional el 23 de abril de 2024. Luego desarrolló una intensa agenda regulatoria en 2025 y anunció sus primeras acciones sancionatorias contra dos organizaciones futbolísticas ecuatorianas el 1 de diciembre de 2025.

Esta guía abarca todas las capas del marco de protección de datos de Ecuador: el fundamento constitucional, las disposiciones centrales de la LOPDP, los derechos de los titulares, las bases legales, los requisitos del DPO, la notificación de brechas, las reglas de transferencia transfronteriza, la estructura sancionatoria, y la ola de desarrollo regulatorio que continúa hasta 2026. Para conocer el contexto de la ley de consentimiento para grabaciones en Ecuador, consulte las leyes de grabación de Ecuador.

Respuesta Rápida

La ley de protección de datos de Ecuador es la LOPDP, publicada en el Registro Oficial el 26 de mayo de 2021. La ley se encuentra plenamente vigente desde mayo de 2023. La SPDP la aplica con multas de hasta el 1% del volumen de negocio anual, que es el techo legal para una entidad privada. Sus primeras sanciones administrativas, emitidas el 28 de noviembre de 2025 y anunciadas el 1 de diciembre de 2025, fueron de USD 259.644,01 a LigaPro y USD 194.856,16 a la FEF, por no implementar medidas adecuadas en torno a aplicaciones para hinchas construidas sobre un consentimiento inválido. Una segunda ronda anunciada el 20 de enero de 2026 agregó USD 95.502,63 contra LigaPro y USD 194.469,85 contra la FEF. Las organizaciones que traten datos personales de residentes ecuatorianos deben mantener un registro de actividades de tratamiento, designar a un DPO en los casos que enumeran la ley y el reglamento de DPO de la SPDP, realizar evaluaciones de impacto para el tratamiento de alto riesgo, notificar las brechas tanto a la SPDP como a ARCOTEL dentro de un término de cinco días hábiles, y cumplir con garantías específicas para las transferencias transfronterizas.

Fundamento Constitucional

El marco de protección de datos de Ecuador no comienza con una ley, sino con la Constitución. La Constitución de 2008 ofrece uno de los fundamentos constitucionales más sólidos en materia de protección de datos del hemisferio.

El artículo 66(19) reconoce el derecho a la protección de datos de carácter personal, que define como el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. Su segunda oración es la parte operativa: la recolección, archivo, procesamiento, distribución o difusión de esos datos requiere la autorización del titular o el mandato de la ley. Ese es el origen constitucional de la regla de la LOPDP según la cual toda actividad de tratamiento necesita consentimiento u otra base legal.

El artículo 66(21) es una garantía distinta: la inviolabilidad y el secreto de la correspondencia física y virtual, que no puede ser retenida, abierta ni examinada salvo en los casos previstos en la ley, previa intervención judicial. En Ecuador, la autodeterminación informativa se apoya en el propio artículo 66(19) y en la acción de hábeas data, no en un numeral separado.

El artículo 66(20) establece un derecho distinto a la intimidad personal y familiar. El artículo 92 crea la acción constitucional de hábeas data. Permite a cualquier persona conocer de la existencia y acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, conocer el uso que se haga de esa información, su finalidad, su origen y su destino, y el tiempo de vigencia del archivo, y solicitar a un juez el acceso, la actualización, la rectificación, la eliminación o la anulación de esos datos.

Dado que la LOPDP fue sancionada como ley orgánica (una categoría que requiere una mayoría legislativa calificada conforme al artículo 133 de la Constitución), ocupa un nivel superior en la jerarquía legal de Ecuador respecto de la legislación ordinaria. Las leyes ordinarias no pueden desplazar ni restringir sus protecciones.

La LOPDP en Resumen

La LOPDP se publicó en el Quinto Suplemento del Registro Oficial N.° 459 el 26 de mayo de 2021. Estableció una ventana de implementación de dos años que venció el 26 de mayo de 2023. El Decreto Ejecutivo N.° 904, firmado el 6 de noviembre de 2023 y publicado en el Suplemento del Registro Oficial N.° 435 del 13 de noviembre de 2023, promulgó el reglamento de implementación (Reglamento General a la LOPDP) que agregó detalle procedimental sobre la notificación de brechas, la designación del DPO, y las evaluaciones de impacto en la protección de datos.

Ámbito de Aplicación y Alcance Territorial

La ley se aplica a cualquier tratamiento de datos personales realizado en territorio ecuatoriano o dirigido a personas ubicadas en Ecuador, independientemente de dónde esté establecido el responsable o el encargado. Esto replica la lógica extraterritorial del GDPR: una empresa que opera desde fuera de Ecuador y que se dirige a residentes ecuatorianos está sujeta a la LOPDP.

La ley abarca el tratamiento tanto en el sector público como en el privado. El artículo 2 establece las exclusiones, y los tribunales que actúan en su función jurisdiccional no figuran entre ellas. La LOPDP no se aplica a las personas naturales que usan datos en actividades familiares o domésticas, a las personas fallecidas, a los datos anonimizados mientras el titular no pueda ser identificado, a la actividad periodística ni a otros contenidos editoriales, a los datos regidos por normas especializadas de igual o superior jerarquía sobre gestión de riesgos de desastres naturales y sobre seguridad y defensa del Estado, a las bases de datos de los órganos estatales competentes para prevenir, investigar, detectar o perseguir infracciones penales y ejecutar sanciones penales, ni a los datos que identifican a personas jurídicas.

Principios Fundamentales

El artículo 10 de la LOPDP enumera trece principios, de la letra (a) a la (m). Estos son los que moldean el cumplimiento cotidiano:

Juridicidad: los datos deben tratarse en estricto cumplimiento de la Constitución, los instrumentos internacionales, la LOPDP, su Reglamento y la jurisprudencia aplicable. Es un deber más amplio que el de contar simplemente con una base legal.

Lealtad y transparencia: los datos deben recopilarse por medios justos, y los titulares deben ser informados sobre cómo se utilizan sus datos.

Limitación de la finalidad: los datos solo pueden utilizarse para las finalidades específicas, explícitas y legítimas declaradas en el momento de la recolección.

Proporcionalidad y minimización de datos: solo pueden tratarse los datos adecuados, pertinentes y limitados a lo necesario.

Calidad de los datos: los datos personales deben ser exactos, completos y estar actualizados.

Limitación de la conservación: los datos no deben conservarse más allá de lo necesario para cumplir con la finalidad declarada.

Seguridad: deben implementarse medidas técnicas y organizativas adecuadas para proteger los datos frente al acceso, la pérdida o la divulgación no autorizados.

Confidencialidad: el tratamiento descansa en un deber de secreto. Los datos no pueden tratarse ni comunicarse para una finalidad distinta de aquella para la que fueron recogidos, salvo que se aplique otra condición de tratamiento lícito.

Responsabilidad demostrada y proactiva: los responsables deben poder demostrar que cumplen con estos principios, y no limitarse a afirmarlo.

Aplicación favorable al titular: cuando exista duda sobre el alcance de una disposición legal o contractual en materia de protección de datos, los funcionarios judiciales y administrativos deben interpretarla y aplicarla en el sentido más favorable al titular. Esta regla in dubio pro titular no tiene contraparte en el GDPR y puede definir un caso reñido.

Independencia del control: la autoridad de control debe ejercer un control independiente, imparcial y autónomo, que incluye la prevención, la investigación y la sanción.

Definiciones Clave

Datos personales: cualquier información relativa a una persona natural identificada o identificable.

Datos sensibles: el artículo 4 los define como los datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos y datos genéticos, además de cualquier dato cuyo tratamiento indebido pueda dar origen a discriminación o pueda afectar los derechos y libertades fundamentales. Esa cláusula abierta es la parte operativa de la definición. La afiliación sindical, que es una categoría del GDPR, no aparece en la lista ecuatoriana.

Categorías especiales: el artículo 25 define un conjunto más amplio, integrado por los datos sensibles, los datos de niñas, niños y adolescentes, los datos de salud, y los datos de las personas con discapacidad y de sus sustitutos. Los detonantes del DPO y de las evaluaciones de impacto se activan por estas categorías especiales, no solo por los datos sensibles.

Responsable del tratamiento: la persona o entidad que determina las finalidades y los medios del tratamiento.

Encargado del tratamiento: la persona o entidad que trata los datos por cuenta del responsable.

Titular: la persona natural a quien se refieren los datos.

Bases Legales para el Tratamiento

La LOPDP sigue el enfoque del GDPR de exigir una base legal válida para toda actividad de tratamiento. El artículo 7 establece ocho condiciones de tratamiento legítimo, dos de las cuales no tienen equivalente en el GDPR.

Consentimiento: el titular ha otorgado un consentimiento libre, específico, informado e inequívoco para una o más finalidades definidas. El consentimiento puede revocarse en cualquier momento sin consecuencias negativas.

Necesidad contractual: el tratamiento es necesario para ejecutar un contrato del cual el titular es parte, o para adoptar medidas precontractuales a solicitud del titular.

Obligación legal: el tratamiento es necesario para cumplir con un deber legal impuesto al responsable por la ley ecuatoriana.

Intereses vitales: el tratamiento es necesario para proteger la vida o la integridad física del titular o de otra persona, cuando el titular esté incapacitado para consentir.

Interés público o autoridad oficial: el tratamiento es necesario para una tarea realizada en interés público o en el ejercicio de una autoridad oficial.

Orden judicial: el tratamiento lo realiza el responsable en cumplimiento de una orden judicial, observando los principios de la ley. Esta condición no tiene equivalente en el GDPR.

Bases de datos de acceso público: el tratamiento recae sobre datos personales contenidos en bases de datos de acceso público, un término definido en el artículo 4. Esta condición tampoco tiene equivalente en el GDPR.

Interés legítimo: el tratamiento es necesario para los intereses legítimos del responsable o de un tercero, siempre que esos intereses no sean desplazados por los derechos y libertades del titular.

En noviembre de 2025, la SPDP emitió la Resolución N.° SPDP-SPD-2025-0041-R, que estableció requisitos detallados para las organizaciones que invocan el interés legítimo. Los responsables deben realizar y documentar una prueba de ponderación previa y por escrito que demuestre que sus intereses no desplazan los derechos fundamentales de las personas. La resolución agrega un nivel de rigor procedimental que vuelve más exigente la base del interés legítimo en Ecuador que en otros regímenes alineados con el GDPR.

Los datos sensibles son distintos. El artículo 26 prohíbe tratarlos salvo que se configure una de siete circunstancias, y esa lista es taxativa.

El tratamiento se permite cuando el titular ha otorgado su consentimiento explícito con las finalidades claramente especificadas; cuando es necesario para cumplir obligaciones y ejercer derechos específicos del responsable o del titular en materia de derecho laboral y de seguridad y protección social; cuando es necesario para proteger los intereses vitales del titular o de otra persona que no pueda consentir, física o jurídicamente; cuando el titular ha hecho manifiestamente públicos los datos; cuando se realiza por orden de autoridad judicial; cuando responde a fines de archivo en interés público, investigación científica o histórica, o fines estadísticos, de manera proporcional al objetivo, respetando la esencia del derecho y sujeto a garantías específicas; y cuando se tratan datos de salud conforme a las disposiciones de la propia LOPDP.

Ecuador no tiene una excepción para el tratamiento que una entidad sin fines de lucro realiza sobre los datos de sus propios miembros. Esa es la del artículo 9(2)(d) del GDPR, no tiene contraparte en la LOPDP, y no es una base en la que un responsable ecuatoriano pueda ampararse.

Derechos de los Titulares

La LOPDP otorga a los titulares un conjunto integral de derechos, en paralelo con el marco del GDPR.

Derecho de información: antes o en el momento de la recolección de datos, los responsables deben informar a los titulares sobre la identidad del responsable, la finalidad del tratamiento, la base legal, las categorías de datos recopilados, los posibles destinatarios, los plazos de conservación y la existencia de los derechos de los titulares.

Derecho de acceso: un titular puede solicitar confirmación sobre si sus datos están siendo tratados y, en su caso, recibir una copia. El artículo 13 concede al responsable un plazo de quince (15) días para responder, y el mismo plazo de quince días rige la rectificación y actualización (artículo 14), la eliminación (artículo 15) y la oposición (artículo 16). Un término distinto, de diez (10) días hábiles conforme al artículo 62, se aplica a los requerimientos, peticiones, quejas o reclamos generales presentados directamente ante el responsable. Si eso queda sin respuesta o se niega, el artículo 64 abre la vía del reclamo administrativo ante la SPDP.

Derecho de rectificación: las personas pueden solicitar la corrección de datos personales inexactos o incompletos.

Derecho de eliminación (supresión): los titulares pueden solicitar la eliminación cuando los datos ya no sean necesarios, se haya revocado el consentimiento, el tratamiento haya sido ilícito, o una obligación legal exija la eliminación. Existen excepciones para las obligaciones legales y los asuntos de interés público.

Derecho de oposición: los titulares pueden oponerse al tratamiento basado en el interés legítimo o en motivos de interés público. El responsable debe suspender el tratamiento, salvo que demuestre motivos legítimos imperiosos que prevalezcan sobre los intereses del titular.

Derecho a la limitación del tratamiento: las personas pueden solicitar que el tratamiento se límite en circunstancias definidas, como cuando se impugna la exactitud de los datos mientras se verifica.

Derecho a la portabilidad de los datos: los titulares pueden recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable sin obstáculos.

Derecho a no ser objeto de decisiones automatizadas: el artículo 20 otorga a las personas el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles, que produzca efectos jurídicos o menoscabe sus derechos y libertades fundamentales. Tanto el epígrafe del artículo como su oración operativa dicen única o parcialmente, de modo que una decisión que solo en parte es automatizada también queda cubierta, y el artículo 4 de la resolución de inteligencia artificial de la SPDP de febrero de 2026 reitera el derecho en los mismos términos. El artículo 21 concede el mismo derecho a niñas, niños y adolescentes.

El artículo 20 le suma cinco facultades. El titular puede pedir al responsable una explicación motivada de la decisión, presentar observaciones, solicitar los criterios de valoración utilizados por el programa automatizado, preguntar qué tipos de datos se usaron y de dónde provienen, e impugnar la decisión ante el responsable o el encargado.

El derecho no se aplica cuando la decisión es necesaria para celebrar o ejecutar un contrato entre el titular y el responsable o el encargado, cuando está autorizada por la normativa aplicable o por una orden judicial o una orden motivada de autoridad técnica competente con garantías establecidas, cuando se apoya en el consentimiento explícito del titular, o cuando la decisión no conlleva un impacto grave ni un riesgo verificable. No puede renunciarse de antemano mediante contratos de adhesión masiva, y el responsable debe informar al titular sobre este derecho a más tardar en la primera comunicación.

Derecho a ser informado de las brechas: cuando una brecha implique un riesgo para los derechos fundamentales y las libertades individuales de un titular, el artículo 46 exige notificar a esa persona sin dilación y dentro de un término de tres (3) días hábiles contados desde que el responsable conoce el riesgo.

Notificación de Brechas de Seguridad

La LOPDP y su reglamento de implementación establecen una obligación escalonada de notificación de brechas.

Cuando ocurra una brecha de seguridad de datos personales, el artículo 43 exige que el responsable notifique a dos autoridades, no a una: la SPDP y ARCOTEL, la Agencia de Regulación y Control de las Telecomunicaciones. La notificación debe salir a la brevedad posible y, a más tardar, dentro de un término de cinco (5) días hábiles contados desde que el responsable conoce la brecha, salvo que sea improbable que la brecha entrañe un riesgo para los derechos y libertades de las personas. Una notificación presentada después de ese término debe indicar los motivos de la demora. El encargado, a su vez, debe notificar a su responsable dentro de un término de dos (2) días hábiles.

El artículo 26 del Reglamento General fija lo que debe contener la notificación: la naturaleza y el tipo de la brecha; la identificación de los titulares afectados; el detalle inicial de los sistemas vulnerados; la causa presunta; el volumen y los tipos de datos expuestos o comprometidos; las medidas adoptadas y previstas para responder, remediar y mitigar sus consecuencias presuntas; una valoración del riesgo que la brecha supone para los derechos y libertades de los titulares; y todo lo demás que determine la SPDP. Conforme al artículo 27, la notificación del encargado a su responsable lleva el mismo contenido, salvo la valoración del riesgo.

Cuando la brecha implique un riesgo para los derechos fundamentales y las libertades individuales de las personas afectadas, el artículo 46 exige que el responsable notifique directamente a esas personas sin dilación y dentro de un término de tres (3) días hábiles contados desde que conoce el riesgo. El artículo 28 del Reglamento General exige que esa comunicación lleve la misma información que la notificación a las autoridades, redactada en un lenguaje claro y sencillo y respetando los derechos del titular.

El artículo 46 establece tres excepciones a la notificación individual: cuando el responsable ya había aplicado a los datos afectados medidas de protección cuya eficacia pueda demostrarse; cuando el responsable ha adoptado medidas que garantizan que el riesgo no se materializará; y cuando la notificación individual supondría un esfuerzo desproporcionado, caso en el cual el responsable debe emitir una comunicación pública. Las dos primeras excepciones deben ser calificadas por la SPDP, a la que hay que informar dentro de los plazos del artículo 43.

La ventana de cinco días hábiles hacia las autoridades en Ecuador es más flexible que el plazo de 72 horas del GDPR, pero el término de tres días hábiles hacia las personas afectadas es más estricto que el estándar abierto del GDPR. Los responsables no deberían esperar hasta el vencimiento de ninguno de los dos plazos si la información está disponible antes.

Requisitos del Delegado de Protección de Datos

La LOPDP exige que ciertas organizaciones designen a un Delegado de Protección de Datos (DPO). El artículo 48 fija cuatro supuestos legales:

• El tratamiento realizado por el sector público, tal como lo define el artículo 225 de la Constitución, sin excepción para los tribunales
• Las actividades del responsable o del encargado que requieran un control permanente y sistematizado por el volumen, la naturaleza, el alcance o las finalidades del tratamiento, valoradas frente a los criterios del artículo 53 del Reglamento General
• El tratamiento a gran escala de categorías especiales de datos, que el artículo 25 define como los datos sensibles, los datos de niñas, niños y adolescentes, los datos de salud y los datos de personas con discapacidad
• El tratamiento que no verse sobre datos reservados o secretos de seguridad y defensa nacional

En julio de 2025, la SPDP emitió la Resolución N.° SPDP-SPD-2025-0028-R, el Reglamento General sobre Delegados de Protección de Datos. El artículo 10 de esa resolución es la parte que la mayoría de las organizaciones pasa por alto. Agrega catorce categorías de responsables y encargados que deben designar un DPO por su actividad habitual, expresamente aun cuando no persigan fines de lucro, y sin ninguna prueba de escala o de monitoreo que satisfacer:

• Las instituciones de educación inicial, básica y bachillerato, y toda entidad que trate datos de menores incluso fuera del ámbito educativo
• Las instituciones de educación superior, públicas o privadas
• Toda actividad que involucre categorías especiales de datos de menores
• Las personas jurídicas que realizan actividades financieras y acceden a datos personales o los tratan
• Las aseguradoras, las compañías e intermediarias de reaseguros, y los corredores, agentes y demás proveedores del sector de seguros
• Las empresas de publicidad, prospección comercial e investigación de mercados que tratan datos basados en preferencias, intereses o comportamiento, o que elaboran perfiles
• Los actores del sistema de salud legalmente obligados a llevar historias clínicas, salvo los profesionales de la salud en consulta privada individual
• Los productores, distribuidores, laboratorios, casas de representación de medicamentos y farmacias
• Las compañías de seguridad privada y los administradores de urbanizaciones, conjuntos residenciales y propiedad horizontal que tratan datos de control de acceso
• Las federaciones y asociaciones deportivas profesionales, las corporaciones deportivas, los clubes profesionales y las academias deportivas
• Los colegios profesionales y gremios
• Los prestadores privados de servicios de telecomunicaciones
• Los proveedores de servicios masivos de videovigilancia, geolocalización o tecnologías de la información, incluido expresamente el desarrollo, la implementación o el despliegue de inteligencia artificial
• Los concesionarios públicos y privados de servicios públicos, y las alianzas público-privadas que distribuyen o suministran servicios públicos

Así, una farmacia, un corredor de seguros, una agencia de publicidad, una escuela privada o el administrador de un conjunto residencial tiene una obligación de DPO sin importar cuántos datos maneje.

Estándares de Calificación

Los requisitos de calificación provienen del artículo 55 del Reglamento General, que la Resolución N.° SPDP-SPD-2025-0028-R reitera en lugar de crear. Un DPO debe:

• Estar en goce de los derechos políticos
• Ser mayor de edad
• Contar con un título de tercer nivel en Derecho, Sistemas de Información, Comunicaciones o Tecnologías. La lista es cerrada, de modo que un título en otro campo no habilita
• Tener al menos cinco años de experiencia profesional. La norma no exige que esa experiencia sea en protección de datos

A partir del 1 de enero de 2029, los DPO también deberán completar un programa de capacitación profesional reconocido oficialmente por la SPDP, ofrecido por una institución de educación superior cuyo plan de estudios cumpla con los estándares mínimos de contenido de la Resolución N.° SPDP-SPD-2025-0004-R (el Reglamento de Profesionalización del DPO, emitido anteriormente en 2025).

Inscripción e Independencia Funcional

Las organizaciones obligadas a designar un DPO deben inscribir esa designación ante la SPDP a través de su portal web dentro de un término de quince (15) días contados desde la designación. La SPDP todavía acepta una inscripción tardía, pero la trata como una falta de implementación de una medida legal de seguridad. La ventana inicial de inscripción para las entidades obligadas se extendió del 1 de noviembre al 31 de diciembre de 2025.

El DPO debe operar con independencia funcional. El artículo 51 del Reglamento General prohíbe al responsable y al encargado sancionar al DPO por cumplir su función, y un DPO sancionado o removido por esa razón puede acudir a la SPDP. Desde la Resolución N.° SPDP-SPD-2026-0022-R del 14 de mayo de 2026 existe un procedimiento formal de denuncia para exactamente esa situación.

El artículo 15 de la Resolución N.° SPDP-SPD-2025-0028-R agrega que el DPO nunca puede recibir instrucciones del responsable, del personal del responsable o del encargado sobre el ejercicio de sus funciones, y que no puede sufrir represalias por actuar de manera técnica y autónoma. Ninguna de las dos normas fija una línea de reporte a la alta dirección. El artículo 16 va en sentido contrario en materia de jerarquía: impide que los oficiales de seguridad de la información, los oficiales de cumplimiento, los apoderados especiales de responsables y encargados extranjeros, y quienes ocupan cargos de jerarquía superior en el sector público se desempeñen como DPO.

Las funciones principales del DPO incluyen asesorar sobre las obligaciones de protección de datos, supervisar el cumplimiento interno, colaborar en las evaluaciones de impacto en la protección de datos, cooperar con la SPDP, y actuar como el principal punto de contacto para los titulares y para la autoridad de control.

El artículo 52 del Reglamento General permite que una organización que queda fuera de las categorías obligatorias designe un DPO de manera voluntaria, como buena práctica y como parte de sus medidas de responsabilidad proactiva, y permite a cualquier organización nombrar un delegado suplente que actúe cuando el DPO esté ausente o impedido.

Evaluaciones de Impacto en la Protección de Datos

La LOPDP y su reglamento exigen evaluaciones de impacto en la protección de datos (EIPD) para las actividades de tratamiento de alto riesgo. Una EIPD es obligatoria cuando el tratamiento pueda suponer un alto riesgo para los derechos y libertades de los titulares, dada la naturaleza, el contexto o las finalidades del tratamiento.

Los desencadenantes específicos incluyen:

• La evaluación sistemática y exhaustiva de aspectos personales de las personas basada en un tratamiento automatizado, incluida la elaboración de perfiles, cuando se adopten decisiones que produzcan efectos jurídicos o similarmente significativos
• El tratamiento a gran escala de datos sensibles o de datos relativos a condenas e infracciones penales
• El monitoreo sistemático y a gran escala de áreas de acceso público

En febrero de 2026, la SPDP emitió la Resolución N.° SPDP-SPD-2026-0005-R, la Norma General sobre el Tratamiento a Gran Escala de Datos Personales. Esta resolución introdujo el Modelo Técnico de Gran Escala (MTGE), que ofrece un marco de puntuación estructurado. El MTGE evalúa seis variables:

1. El número de titulares afectados
2. El volumen de datos tratados
3. Las categorías de datos involucradas (con mayor ponderación para los datos sensibles)
4. La frecuencia del tratamiento
5. La duración del tratamiento
6. El alcance geográfico del tratamiento

Un puntaje total igual o superior a seis puntos implica que el tratamiento califica como de gran escala, lo que activa los requisitos reforzados, incluida la designación obligatoria de un DPO y las obligaciones de EIPD. Esta metodología objetiva de puntuación reduce la ambigüedad y ofrece a las organizaciones una hoja de ruta de cumplimiento más clara que una prueba puramente cualitativa.

Transferencias Internacionales de Datos

La LOPDP restringe la transferencia de datos personales fuera de Ecuador, a fin de proteger los derechos de los titulares frente a su erosión por marcos extranjeros más débiles.

Determinaciones de Adecuación

El artículo 61 de la LOPDP contempla una lista publicada de países, organizaciones, empresas y grupos económicos con niveles adecuados de protección, y la Resolución N.° SPDP-SPD-2026-0004-R del 28 de enero de 2026 creó el procedimiento para otorgar ese reconocimiento. Sus artículos 11 a 17 permiten el reconocimiento a petición de parte o de oficio, mediante resolución motivada con vigencia de hasta cuatro años, sujeta a revisión anual y a revocatoria.

Al 10 de septiembre de 2026, la SPDP no ha declarado adecuado a ningún país, organización internacional, persona jurídica ni territorio económico, y no publica ninguna lista de adecuación. No planifique una transferencia contando con ella. La única excepción es regional: conforme a los artículos 59 a 63 de esa misma resolución, las transferencias hacia los Estados miembros de la Comunidad Andina cuentan como flujos transfronterizos y esos Estados están reconocidos como poseedores de un nivel adecuado de protección por mandato comunitario, sin evaluación separada de la SPDP, salvo que se verifiquen deficiencias graves en su cumplimiento de las normas comunitarias o nacionales aplicables. El artículo 63 permite entonces a la SPDP abrir una verificación de adecuación de país contra un Estado miembro que no alcance las garantías de la Decisión Andina 897, recomendar medidas correctivas al Consejo Andino de Ministros de Relaciones Exteriores, y ejercer control ex post dentro de Ecuador. Cualquier otra transferencia internacional debe apoyarse actualmente en garantías adecuadas, en una de las causales excepcionales del artículo 60 de la LOPDP, o en una autorización previa de la SPDP conforme al artículo 59.

Garantías para las Transferencias

Para las transferencias hacia países sin estatus de adecuación, un responsable o encargado debe implementar garantías adecuadas. El 28 de enero de 2026, la SPDP emitió la Resolución N.° SPDP-SPD-2026-0004-R, la Norma General sobre las Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales, que entra en vigencia con su publicación en el Registro Oficial. El artículo 20 formaliza los mecanismos de garantía disponibles:

• Las cláusulas contractuales tipo adoptadas por la SPDP o por la Red Iberoamericana de Protección de Datos (RIPD): las cláusulas modelo de la RIPD están reconocidas específicamente para las transferencias entre responsables
• Las normas corporativas vinculantes aplicables dentro de un grupo corporativo
• Los códigos de conducta con compromisos vinculantes por parte del receptor
• Los mecanismos de certificación aprobados por la SPDP

El artículo 4 de la resolución exige al responsable o al encargado conservar la documentación de respaldo durante al menos tres años y ponerla a disposición de la SPDP cuando se le solicite.

Dos rasgos de la resolución son fáciles de pasar por alto. El Título II impone condiciones autónomas a las transferencias puramente nacionales hacia un tercero: una finalidad lícita, legítima y determinada, vinculada a las funciones de las partes; una base legitimadora; el consentimiento informado salvo que aplique una excepción; medidas de seguridad que incluyen el cifrado y un compromiso escrito del destinatario; límites a las transferencias ulteriores; y la regla de que el destinatario asume la condición de responsable.

Las Disposiciones Transitorias Primera y Segunda abren luego una ventana de regularización de doce meses contada desde la entrada en vigencia de la resolución. Los responsables y encargados con transferencias internacionales preexistentes deben notificar a la SPDP el país o la entidad de destino, las categorías de datos, la finalidad y el instrumento jurídico en el que se apoyan, y deben presentar un plan de adecuación. No se imponen sanciones por no regularizar durante esa ventana siempre que la notificación y el plan se presenten y se cumplan. Una vez que se cierra, las transferencias heredadas que nunca se regularizaron quedan expuestas a sanciones y medidas correctivas.

El artículo 64 de esa misma resolución también exige que las transferencias internacionales se inscriban en el Registro Nacional de Protección de Datos Personales. Las transferencias realizadas al amparo de una autorización excepcional o del régimen de la Comunidad Andina se registran caso por caso, al menos diez días antes de la operación, mientras que las transferencias amparadas en una adecuación reconocida o en garantías adecuadas se cubren con un informe anual consolidado presentado en el primer trimestre de cada año.

Excepciones para Situaciones Específicas

El artículo 60 de la LOPDP enumera once causales excepcionales, y abre señalando que se aplican sin perjuicio de los artículos precedentes. Conviven con las vías de la adecuación y de las garantías, en lugar de quedar detrás de ellas como último recurso. Una transferencia puede realizarse cuando:

• Los datos sean requeridos para el cumplimiento de competencias institucionales conforme a la normativa aplicable
• El titular haya otorgado su consentimiento explícito después de haber sido informado de los riesgos derivados de la ausencia de una decisión de adecuación y de garantías adecuadas
• La transferencia sirva al cumplimiento de una obligación legal o reglamentaria
• La transferencia sea necesaria para la ejecución de un contrato entre el titular y el responsable, o para medidas precontractuales a solicitud del titular
• La transferencia sea necesaria por razones de interés público
• La transferencia sea necesaria para la cooperación judicial internacional
• La transferencia sea necesaria para la cooperación en la investigación de infracciones
• La transferencia sea necesaria para cumplir compromisos asumidos en la cooperación internacional entre Estados
• La transferencia se realice en operaciones bancarias y bursátiles
• La transferencia sea necesaria para formular, ejercer o defender reclamos, acciones administrativas o judiciales y recursos
• La transferencia sea necesaria para proteger los intereses vitales del titular o de otra persona, cuando esa persona esté física o jurídicamente incapacitada para consentir

Varias de estas son situaciones comerciales rutinarias, no excepcionales. Para todo lo que quede fuera de la adecuación, de los artículos de garantías y de estas causales, el artículo 59 de la LOPDP exige autorización previa de la SPDP.

El artículo 59 también establece un deber general de registrar por anticipado la información sobre transferencias internacionales en el Registro Nacional, y el artículo 64 de la Resolución N.° SPDP-SPD-2026-0004-R es el que le indica al responsable cómo opera ese deber en la práctica. Las transferencias realizadas al amparo de una autorización excepcional y los flujos intracomunitarios andinos se inscriben caso por caso, al menos diez días antes de la operación. Las transferencias hacia destinos reconocidos como adecuados, o realizadas al amparo de garantías adecuadas, expresamente no requieren inscripción individual y se cubren, en cambio, con un informe anual consolidado presentado en el primer trimestre de cada año.

Autoridad de Control: La SPDP

La LOPDP creó la Superintendencia de Protección de Datos Personales (SPDP) como la autoridad independiente de protección de datos de Ecuador. La SPDP opera con autonomía administrativa y financiera. Su sitio web oficial es spdp.gob.ec.

Facultades y Funciones

El mandato de la SPDP abarca tanto funciones regulatorias como de aplicación de la ley:

• Emitir reglamentos, lineamientos y cláusulas modelo vinculantes
• Investigar los reclamos presentados por los titulares
• Realizar inspecciones de oficio a los responsables y encargados
• Imponer sanciones administrativas por infracciones a la LOPDP
• Aprobar cláusulas contractuales tipo para las transferencias transfronterizas
• Mantener el registro de actividades de tratamiento y de las inscripciones de los DPO
• Reconocer un nivel adecuado de protección para las transferencias internacionales y publicar la lista resultante
• Promover la conciencia pública y la cultura de protección de datos

Constitución y Estado Operativo

La SPDP fue creada por la LOPDP, pero enfrentó largas demoras operativas. El Reglamento General promulgado por el Decreto Ejecutivo N.° 904 se limitó a decir que la implementación y el funcionamiento de la SPDP dependerían de la disponibilidad presupuestaria, sujeta al dictamen favorable de la autoridad de finanzas públicas. No delegó ninguna función de supervisión en otro organismo.

La autoridad no tuvo titular hasta que Fabrizio Peralta Díaz, seleccionado mediante el proceso del Consejo de Participación Ciudadana, se posesionó ante el Pleno de la Asamblea Nacional el 23 de abril de 2024 por un período de cinco años. Eso ocurrió casi once meses después de que venciera el período de gracia sancionatorio el 26 de mayo de 2023, y por eso no era posible aplicar sanciones antes de 2024.

Para 2025, la SPDP estaba plenamente operativa y había pasado de la construcción institucional a una producción regulatoria activa y a la aplicación de la ley. La autoridad publicó múltiples resoluciones vinculantes durante 2025, referidas a las calificaciones del DPO, el interés legítimo y las transferencias transfronterizas, y las complementó con resoluciones adicionales a comienzos de 2026. En diciembre de 2025, la SPDP anunció su Plan Regulatorio Institucional 2026, lo que señala una actividad normativa continua.

Sanciones y Aplicación de la Ley

La LOPDP establece una estructura sancionatoria basada en la facturación, que escala las multas según la capacidad económica del infractor.

Categorías de Infracciones y Rangos de Multas

No hay un tercer nivel ni un porcentaje superior al 1%. Los artículos 71 y 72 fijan las sanciones porcentuales para una entidad de derecho privado o empresa pública y las sanciones en múltiplos salariales para los servidores y funcionarios públicos que causaron la infracción por acción u omisión, estas últimas sin perjuicio de la responsabilidad extracontractual del Estado. El artículo 73 define el volumen de negocio como los ingresos por ventas de productos y prestación de servicios del ejercicio económico inmediatamente anterior, deducidos el IVA y los demás impuestos directamente relacionados con la operación. En el caso de LigaPro, la SPDP obtuvo esa cifra de la autoridad tributaria. La Resolución N.° SPDP-SPD-2025-0022-R fija la metodología que usa la SPDP para ubicar una multa dentro de cada banda, y su propio objeto se limita a las infracciones leves y graves.

Qué Constituye Cada Categoría

La ley maneja dos catálogos separados. Los artículos 67 y 68 tipifican las infracciones leves y graves del responsable, mientras que los artículos 69 y 70 hacen lo mismo respecto del encargado, con otra redacción.

Las infracciones leves del responsable son una lista taxativa de cinco en el artículo 67: no atender, atender fuera de término o negar injustificadamente las peticiones o los reclamos del titular; no implementar la protección de datos desde el diseño y por defecto; no mantener disponibles las políticas de protección de datos; elegir a un encargado que no ofrece garantías suficientes; e incumplir las medidas correctivas ordenadas por la SPDP.

Las infracciones graves del responsable son los catorce supuestos del artículo 68. Incluyen no implementar medidas administrativas, técnicas, físicas, organizativas y legales suficientes, que es el artículo 68(1) y el fundamento de las primeras multas a LigaPro y a la FEF; usar los datos para finalidades distintas de las declaradas; transferir o comunicar datos sin cumplir los requisitos legales; no utilizar metodologías de análisis y gestión de riesgos adaptadas a los datos y al tratamiento, que es el artículo 68(4) y el fundamento de la segunda multa a la FEF; no realizar una evaluación de impacto exigida; no implementar medidas para prevenir y mitigar los riesgos de seguridad identificados; no notificar una brecha; no mantener actualizado el Registro Nacional o no inscribir en él lo que la ley exige; y no designar un DPO cuando la obligación es aplicable.

Las infracciones del encargado están en los artículos 69 y 70. Tratar datos sin observar los principios y derechos de la ley es el artículo 70(1), que vincula al encargado y no al responsable. Entre las demás infracciones graves del encargado están no tratar los datos conforme a su contrato, no eliminar los datos transferidos una vez terminada la relación, y no notificar al responsable una brecha o hacerlo con demora injustificada.

Facultades Adicionales de Aplicación

Además de las multas, el artículo 65 de la LOPDP permite a la SPDP ordenar medidas correctivas. La lista no es taxativa y nombra tres: el cese del tratamiento bajo determinadas condiciones o plazos, la eliminación de los datos, y la imposición de medidas técnicas, jurídicas, organizativas o administrativas para garantizar un tratamiento adecuado. La eliminación es la medida que la autoridad efectivamente ha usado, al ordenar a LigaPro borrar los registros de 14.398 titulares y a la FEF borrar todo lo tratado a través de su aplicación para hinchas. El artículo 74 permite además medidas de protección provisionales y cautelares.

La secuencia del artículo 66 importa. Cuando se presume una infracción grave, la SPDP debe aplicar primero medidas correctivas, y solo puede abrir el procedimiento sancionatorio si esas medidas se cumplen tarde, de manera parcial o defectuosa. Esa es la ruta que la SPDP describe haber seguido en los casos del fútbol.

Aplicación de la Ley por la SPDP: Cuatro Resoluciones Sancionatorias

La SPDP ha publicado cuatro resoluciones sancionatorias, todas contra las mismas dos organizaciones del fútbol ecuatoriano. Los casos surgieron de dos aplicaciones móviles, la app Fan ID de LigaPro y la app Fan FEF de la FEF, que recopilaban datos personales de los hinchas con un consentimiento que no había sido válidamente obtenido.

Primera ronda, emitida el 28 de noviembre de 2025 y anunciada el 1 de diciembre de 2025

LigaPro (Liga Profesional de Fútbol del Ecuador): en la Resolución N.° RES-SPDP-ICS-2025-0002, la SPDP determinó una infracción grave conforme al artículo 68(1) de la LOPDP, la falta de implementación de medidas administrativas, técnicas, físicas, organizativas y legales suficientes. La multa fue de USD 259.644,01. También se ordenó a LigaPro notificar a 14.398 titulares afectados que su consentimiento no había sido válidamente obtenido, y eliminar esos datos personales de todas las bases de datos que administra.

FEF (Federación Ecuatoriana de Fútbol): la Resolución N.° RES-SPDP-ICS-PASN-2025-0003 realizó una determinación comparable conforme al artículo 68(1). La multa fue de USD 194.856,16. Se ordenó a la FEF eliminar los datos personales tratados a través de la aplicación Fan FEF, actualizar su Registro de Actividades de Tratamiento, implementar una Política de Protección de Datos conforme, y notificar a los titulares afectados que el consentimiento originalmente obtenido era inválido. La FEF apeló esta resolución, de modo que no ha quedado en firme, y la SPDP se abstuvo de contarla como sanción previa al fijar la multa siguiente.

Segunda ronda, anunciada el 20 de enero de 2026

LigaPro: la Resolución N.° RES-SPDP-ICS-2025-0005 del 19 de diciembre de 2025 determinó una infracción leve conforme al artículo 67(2), la falta de implementación de la protección de datos desde el diseño y por defecto en el tratamiento biométrico detrás de Fan ID. La multa fue de USD 95.502,63, ubicada dentro de la banda leve del 0,1% al 0,7%, y la SPDP ordenó rediseñar la solución Fan ID en el plazo de un mes. La SPDP publicó ese monto en su boletín del 20 de enero de 2026. La resolución misma, tal como está publicada en el sitio de la SPDP, se corta en la tabla de cálculo de la multa y no llega a su parte resolutiva.

FEF: la Resolución N.° RES-SPDP-ICS-2025-0006 del 31 de diciembre de 2025 determinó una infracción grave conforme al artículo 68(4), la falta de uso de metodologías de análisis y gestión de riesgos adaptadas a la naturaleza de los datos, a las particularidades del tratamiento y a las partes involucradas. La multa fue de USD 194.469,85, tomada también del boletín de la SPDP del 20 de enero de 2026 porque la resolución publicada igualmente se corta antes de su parte resolutiva, y la SPDP ordenó a la FEF reformular su metodología de riesgos y su evaluación de impacto, que había arrojado erróneamente un resultado de cero.

En las cuatro resoluciones, las sanciones publicadas suman aproximadamente USD 744.473. Los casos muestran que la SPDP usará sus facultades de aplicación, que la recolección mediante aplicaciones con flujos de consentimiento defectuosos es una prioridad, y que el nivel leve está en uso activo junto con el grave.

Novedades Regulatorias Recientes (2025-2026)

El ritmo de actividad regulatoria desde que la SPDP se volvió plenamente operativa ha sido considerable. A continuación se presentan las novedades más significativas.

Inteligencia artificial: Resolución N.° SPDP-SPD-2026-0009-R

Firmada el 12 de febrero de 2026, la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial obliga a todo responsable o encargado que desarrolle, entrene, implemente, despliegue o provea un sistema de inteligencia artificial que trate datos personales de titulares ecuatorianos, y lo dice expresamente sin importar dónde se encuentre el sistema o el proveedor. Define cuatro roles: desarrollador, desplegador, distribuidor e implementador, y exige medidas de seguridad proporcionales a los riesgos que produce el tratamiento. No alcanza a los sistemas de inteligencia artificial que no tratan datos personales dentro del ámbito material y territorial de la LOPDP.

Otras resoluciones que conviene conocer

La Resolución N.° SPDP-SPD-2026-0003-R, anunciada el 3 de febrero de 2026, precisa cuándo un tratamiento deja de contar como actividad familiar o doméstica, algo que importa apenas el contenido sale de un círculo cerrado. La Resolución N.° SPDP-SPD-2025-0006-R exige cláusulas de protección de datos en los contratos celebrados dentro del territorio ecuatoriano, una obligación directa de redacción. La Resolución N.° SPDP-SPD-2025-0022-R contiene la metodología de cálculo de multas utilizada para fijar ambas rondas de sanciones al fútbol, y la Resolución N.° SPDP-SPD-2025-0030-R regula la seudonimización, la anonimización, el bloqueo y la eliminación.

La producción normativa no se detuvo en febrero de 2026. El índice de resoluciones de la SPDP también incluye la Resolución N.° SPDP-SPD-2026-0007-R, la política para desarrollar y usar inteligencia artificial dentro de los procesos administrativos de la propia SPDP, las Resoluciones N.° SPDP-SPD-2026-0020-R y N.° SPDP-SPD-2026-0021-R que reforman el reglamento de consultas y el reglamento del plan anual de auditorías, y la Resolución N.° SPDP-SPD-2026-0022-R del 14 de mayo de 2026, que crea el procedimiento para que un delegado de protección de datos denuncie ante la SPDP haber sido removido, destituido o sancionado por cumplir su función.

Pendiente: un proyecto de reforma, no una ley

El 16 de julio de 2026, la asambleísta Dina Farinango presentó una Ley Orgánica Reformatoria a la LOPDP. Endurecería las condiciones del consentimiento válido, limitaría el tratamiento de fuentes de acceso público, reforzaría la protección de niñas, niños y adolescentes, haría más riguroso el procedimiento de adecuación y exigiría publicar una lista actualizada de jurisdicciones que califican, y afinaría la definición de volumen de negocio para las sanciones. Es un proyecto de ley. Nada de eso está vigente.

Lista de Verificación de Cumplimiento Empresarial

Las organizaciones que traten datos personales de personas en Ecuador deberían verificar los siguientes elementos de su programa de cumplimiento.

Documentación de la base legal: toda actividad de tratamiento en el Registro de Actividades de Tratamiento debe identificar una base legal específica conforme a la LOPDP. Para las organizaciones que se basan en el interés legítimo, ahora se exige una prueba de ponderación por escrito, conforme a la resolución de noviembre de 2025.

Registro de Actividades de Tratamiento: los responsables deben mantener un registro que documente las finalidades, las bases legales, las categorías de datos, los plazos de conservación, los destinatarios y las medidas de seguridad para cada actividad de tratamiento.

Procedimientos para los derechos de los titulares: los flujos de respuesta deben poder cumplir con el plazo de quince días para las solicitudes de acceso, rectificación, eliminación y oposición, y con el término distinto de diez días hábiles para los requerimientos, peticiones o quejas generales presentados directamente ante el responsable.

Designación e inscripción del DPO: las organizaciones que cumplan con los umbrales obligatorios deben haber designado e inscrito a un DPO calificado ante la SPDP. El DPO debe cumplir con las calificaciones profesionales establecidas en el reglamento de 2025.

Protocolo de notificación de brechas: los procedimientos internos deben permitir a la organización evaluar una brecha y notificar tanto a la SPDP como a ARCOTEL dentro de un término de cinco días hábiles. Cuando la brecha implique un riesgo para los derechos fundamentales de las personas, debe seguir la notificación directa a esas personas sin dilación y dentro de un término de tres días hábiles. El encargado tiene un término de dos días hábiles para avisar a su responsable.

Evaluaciones de Impacto en la Protección de Datos: todo tratamiento que califique como de gran escala conforme al modelo de puntuación MTGE, o que presente un alto riesgo según su naturaleza, contexto o finalidad, requiere una EIPD antes de que comience el tratamiento.

Garantías para las transferencias transfronterizas: dado que la SPDP no ha reconocido como adecuada a ninguna jurisdicción fuera de la Comunidad Andina, las transferencias deben apoyarse en cláusulas contractuales tipo aprobadas u otro mecanismo de garantía reconocido, en una causal excepcional del artículo 60, o en una autorización previa de la SPDP, y deben inscribirse en el Registro Nacional. Las transferencias preexistentes deberían notificarse a la SPDP con un plan de adecuación dentro de la ventana de regularización de doce meses de la Resolución N.° SPDP-SPD-2026-0004-R.

Mecanismos de consentimiento: para el tratamiento basado en el consentimiento, los flujos de recolección deben poder demostrar un consentimiento libre, específico, informado e inequívoco. Los casos de LigaPro y la FEF confirman que recopilar el consentimiento a través de una aplicación no satisface la LOPDP si el proceso es deficiente.

Controles para datos sensibles: deben existir controles reforzados, incluido el consentimiento explícito o una excepción legal, para cualquier tratamiento de categorías de datos sensibles.

Contratos con proveedores: deben existir acuerdos de tratamiento de datos con todos los encargados, que incluyan las cláusulas exigidas por la LOPDP. La Resolución N.° SPDP-SPD-2025-0006-R exige por separado cláusulas de protección de datos en los contratos celebrados dentro del territorio ecuatoriano.