Cumplir la Ley Orgánica de Protección de Datos Personales (LOPDP) de Ecuador no es solo publicar una política de privacidad: exige controles técnicos verificables en tus sistemas, como inventario de datos, registro del consentimiento, cifrado, control de acceso, flujos para atender derechos en 15 días y capacidad de notificar una brecha a la Superintendencia en cinco días. Esta guía traduce cada obligación legal a lo que tu equipo de tecnología tiene que construir.
Este artículo es informativo y técnico; no constituye asesoría legal. Valida tu caso con un abogado especializado en protección de datos.
La LOPDP en 2026: qué está vigente
La LOPDP es la ley que regula cómo empresas e instituciones recogen, usan, almacenan y comparten datos personales en Ecuador. Estos son los hitos que puedes dar por confirmados:
- Ley: publicada en el Quinto Suplemento del Registro Oficial 459, el 26 de mayo de 2021.
- Régimen sancionatorio: la ley dio dos años de adecuación; las medidas correctivas y las sanciones rigen desde mayo de 2023.
- Reglamento General: publicado en el Tercer Suplemento del Registro Oficial 435, el 13 de noviembre de 2023.
- Superintendencia de Protección de Datos Personales (SPDP): su primer titular fue designado y posesionado en 2024, y la entidad ya emite resoluciones, guías y normas técnicas, con un sistema digital propio (SISPDP).
- Normas recientes de la SPDP: reglamento para el cálculo de multas (julio de 2025), reglamento del delegado de protección de datos (julio de 2025) y norma técnica de notificación de vulneraciones de seguridad (Registro Oficial del 24 de septiembre de 2026).
Además, la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada el 22 de mayo de 2026, reformó varias leyes, entre ellas la LOPDP, y creó un régimen propio de reporte de incidentes para servicios esenciales, infraestructura crítica digital y prestadores de servicios digitales.
Multas y quién puede ser sancionado
Para empresas privadas, las infracciones leves se sancionan con multas de entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior, y las graves con entre el 0,7 % y el 1 %. Para servidores públicos, las multas van de 1 a 10 salarios básicos unificados (leves) y de 10 a 20 (graves). La SPDP gradúa la multa con criterios como intencionalidad, reiteración, perjuicio y reincidencia. La ley aplica tanto al responsable (quien decide para qué se tratan los datos) como al encargado (el proveedor que los trata por cuenta de otro, por ejemplo tu empresa de software o tu nube), y también a empresas extranjeras que ofrecen bienes o servicios a personas en Ecuador.
De la ley al sistema: mapa de obligaciones y controles técnicos
Esta tabla es el núcleo de la guía: cada obligación legal y el control que la hace demostrable.
| Obligación | Control técnico | Evidencia |
|---|---|---|
| Conocer qué datos tratas | Inventario de datos por sistema, tabla y campo, con categoría (sensible, menores, financiero) | Registro de actividades de tratamiento actualizado |
| Base legal y consentimiento | Registro inmutable de consentimiento: quién, cuándo, versión del texto, canal, finalidad; revocación con un clic | Tabla de consentimientos con historial |
| Minimización | Formularios y APIs que solo piden lo necesario; respuestas de API sin campos de más | Revisión de esquemas y contratos de API |
| Conservación limitada | Políticas de retención por tipo de dato y borrado o anonimización automática | Jobs de purga y su bitácora |
| Seguridad (cifrado, seudonimización) | TLS en tránsito, cifrado en reposo con claves gestionadas (KMS), seudonimización en analítica | Configuración y rotación de claves |
| Confidencialidad | Mínimo privilegio, MFA, roles, revisión trimestral de accesos | Matriz de roles y actas de revisión |
| Responsabilidad proactiva | Logs de acceso a datos personales, centralizados y protegidos | Bitácoras consultables por usuario y registro |
| Seguridad demostrable | Pentesting periódico y gestión de vulnerabilidades | Informes y re-test |
La ley pide medidas "aceptadas por el estado de la técnica" y menciona expresamente la anonimización, la seudonimización y el cifrado, y permite apoyarse en estándares internacionales. Por eso muchas empresas usan ISO 27001 como marco para organizar estos controles. En nuestro servicio de ciberseguridad partimos de esta misma tabla para el diagnóstico de brechas frente a la LOPDP.
Derechos de los titulares dentro de tu app
La LOPDP reconoce, entre otros, los derechos de acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión del tratamiento y a no ser objeto de decisiones basadas únicamente en tratamientos automatizados. Para acceso, rectificación, eliminación y oposición la ley fija un plazo de 15 días para responder, y el ejercicio de estos derechos es gratuito. Técnicamente, eso significa:
- Un canal claro dentro de la app o la web (no solo un correo genérico) que registre la solicitud con fecha y verifique la identidad.
- Búsqueda por titular en todos los sistemas del inventario: base principal, CRM, analítica, respaldos y proveedores.
- Exportación en formato estructurado y legible por máquina (JSON o CSV) para acceso y portabilidad.
- Eliminación real: borrado o anonimización en producción y propagación a proveedores, documentando lo que debe conservarse por obligación legal.
- Un tablero de solicitudes con su vencimiento, para no incumplir los 15 días.
Notificación de brechas: cinco días a la SPDP
Según el artículo 43 de la LOPDP, el responsable debe notificar la vulneración de seguridad a la autoridad tan pronto sea posible y a más tardar en el término de cinco días (en Ecuador, un término se cuenta en días hábiles) desde que tuvo constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos de las personas. El encargado debe avisar al responsable en un máximo de dos días. El artículo 46 añade la notificación a los titulares afectados, sin dilación y dentro de tres días cuando la brecha afecte sus derechos, con excepciones. La norma técnica de la SPDP de septiembre de 2026 establece que la notificación se hace por el SISPDP y que omitirla es infracción grave.
Cinco días pasan rápido si no sabes qué datos se afectaron. Necesitas logs suficientes para reconstruir el incidente, un responsable de decidir y plantillas listas. Si tu empresa además está alcanzada por la ley de ciberseguridad, revisa con tu asesor cómo coordinar ese reporte, que tiene un plazo de 72 horas ante el CSIRT nacional. Lo desarrollamos en el plan de respuesta a incidentes.
Delegado de protección de datos: cuándo es obligatorio
El artículo 48 obliga a designar un delegado de protección de datos en el sector público, cuando la actividad exige un control permanente y sistematizado de datos y cuando se tratan a gran escala categorías especiales, como datos de salud. El reglamento del delegado emitido por la SPDP en julio de 2025 detalla actividades privadas que lo requieren, entre ellas entidades financieras, aseguradoras, instituciones educativas y quienes tratan datos de menores, y fijó el registro del delegado del sector privado entre noviembre y diciembre de 2025. Si tu empresa encaja y no lo registraste, prioriza este punto con tu abogado.
Proveedores, nube y transferencias internacionales
Casi toda pyme usa proveedores que son encargados: hosting, CRM, correo, la empresa que desarrolló tu app. Necesitas un contrato de encargo que fije finalidad, medidas de seguridad, confidencialidad, aviso de brechas en dos días y devolución o borrado al terminar. Si los datos se alojan fuera de Ecuador (AWS, Google Cloud, Azure), hay una transferencia internacional: la ley la permite hacia países declarados con nivel adecuado por la autoridad o con garantías adecuadas, y en otros casos exige autorización. Documenta la región donde se alojan los datos y las garantías contractuales de cada proveedor.
Evaluación de impacto y privacidad desde el diseño
El artículo 42 exige una evaluación de impacto antes de iniciar tratamientos de alto riesgo: perfiles con decisiones automatizadas que producen efectos jurídicos, tratamiento a gran escala de datos sensibles u observación sistemática a gran escala de zonas públicas. Si estás construyendo scoring crediticio, telemedicina o videovigilancia, la evaluación va antes del desarrollo, no después. Para apps de salud, revisa también nuestra guía de apps del sector salud en Ecuador.
Errores frecuentes
- Pedir consentimiento con una casilla premarcada o sin guardar qué versión del texto aceptó el usuario.
- Bases de datos de producción copiadas sin anonimizar a ambientes de prueba.
- Botón de "eliminar cuenta" que solo desactiva el usuario.
- Logs que guardan cédulas, contraseñas o tokens en texto plano.
- No saber qué proveedores tienen copia de los datos.
Preguntas frecuentes
¿Desde cuándo se aplican las multas de la LOPDP en Ecuador?
La LOPDP se publicó el 26 de mayo de 2021 y otorgó dos años de adecuación, por lo que las medidas correctivas y el régimen sancionatorio rigen desde mayo de 2023. La Superintendencia de Protección de Datos Personales ya está en funciones y en julio de 2025 emitió un reglamento para calcular las multas, que para empresas privadas van del 0,1 % al 1 % del volumen de negocio.
¿En cuánto tiempo debo notificar una brecha de datos en Ecuador?
El responsable debe notificar a la Superintendencia tan pronto sea posible y a más tardar en el término de cinco días desde que tuvo constancia de la vulneración, por el sistema SISPDP. El encargado debe avisar al responsable en un máximo de dos días. Si la brecha afecta los derechos de los titulares, también debes notificarles, según el artículo 46, dentro de tres días.
¿Mi pyme necesita un delegado de protección de datos?
Depende de tu actividad. Es obligatorio en el sector público, cuando hay control permanente y sistematizado de datos, cuando tratas a gran escala datos sensibles y en las actividades que listó la SPDP en su reglamento de julio de 2025, como finanzas, seguros, educación o tratamiento de datos de menores. Confirma tu caso con un abogado y registra la designación ante la SPDP.
¿Puedo alojar datos de clientes ecuatorianos en AWS o Google Cloud?
Sí, pero es una transferencia internacional de datos. La LOPDP la permite hacia países con nivel adecuado declarado por la autoridad o con garantías adecuadas, como cláusulas contractuales que aseguren un nivel de protección equivalente. Documenta la región de alojamiento, el contrato con el proveedor y las medidas de cifrado y control de acceso que aplicas.
¿Qué controles técnicos pide la LOPDP?
La ley no impone una lista cerrada, pero exige medidas adecuadas al riesgo y aceptadas por el estado de la técnica, y menciona la anonimización, la seudonimización y el cifrado. En la práctica: inventario de datos, registro de consentimiento, control de acceso con mínimo privilegio, logs, retención limitada, flujos de derechos en 15 días, respaldos y pruebas de seguridad periódicas.
Conclusión
La LOPDP ya tiene autoridad activa, multas calculadas sobre tus ingresos y plazos cortos para brechas y solicitudes. La buena noticia es que casi todo se resuelve con controles técnicos conocidos, implementados con orden: inventario, consentimiento, cifrado, accesos, logs y procesos de respuesta. Un pentesting te da evidencia de que esas medidas funcionan. Si necesitas un diagnóstico de brechas técnico frente a la LOPDP, revisa nuestro servicio de ciberseguridad o agenda una consulta gratuita; trabajamos junto a tu asesor legal.
Fuentes y referencias
- Gobierno del Ecuador: Ley Orgánica de Protección de Datos Personales (R.O. 459, 2021)
- Gobierno del Ecuador: Reglamento General de la LOPDP (R.O. 435, 2023)
- Superintendencia de Protección de Datos Personales (SPDP)
- SPDP: resoluciones y normativa
- Lexis: SPDP expide norma técnica de notificación de vulneraciones