Sistema de protección de datos personales

Autor: Mgs. Darío Echeverría Muñoz, LL.M [1]

Introducción

La irrupción de la era digital ha transformado de manera irreversible las dinámicas sociales, económicas y jurídicas a nivel global. En este escenario, la información se ha erigido como el principal motor de la economía contemporánea, lo que ha generado, en paralelo, desafíos inéditos para la salvaguarda de los derechos fundamentales. El Estado ecuatoriano, consciente de esta transformación, garantiza este acceso conforme al artículo 16.2 de la Constitución de la República, que reconoce el derecho a:“El acceso universal a las tecnologías de información y comunicación.”

Sin embargo, este mandato de inclusión digital debe coexistir armónicamente con la garantía de la dignidad humana, la cual, en el ciberespacio, se manifiesta a través de la autodeterminación informativa.

El ordenamiento jurídico ecuatoriano ha experimentado una evolución dogmática y legislativa trascendental. Durante décadas, la protección de la información personal estuvo subsumida bajo el derecho a la intimidad y la figura jurisdiccional del hábeas data, cuyo artículo 92 de la Constitución de la República prescribe que:

“Toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá derecho a conocer de la existencia y acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, en soporte material o electrónico.”

Esta garantía fue concebida originalmente como una herramienta reactiva frente a los abusos del poder informático. No obstante, la complejidad del ecosistema digital moderno demostró que un enfoque puramente reactivo era insuficiente. Se requería un cambio de paradigma: pasar de la simple defensa de la privacidad a la gestión proactiva y sistemática de los datos personales.

Este cambio se cristalizó con el reconocimiento del derecho autónomo a la protección de datos, consagrado en el artículo 66, numeral 19 de la Constitución de la República, el cual garantiza a las personas:

“El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección.”

Este mandato constitucional alcanzó su plena madurez institucional con la promulgación de la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Quinto Suplemento del Registro Oficial No. 459 el 26 de mayo de 2021. Esta norma, complementada por su Reglamento General (RGLOPDP), expedido mediante Decreto Ejecutivo No. 904 el 13 de noviembre de 2023, diseña una arquitectura jurídica integral: el Sistema de Protección de Datos Personales, tomando como base el Reglamento General de Protección de Datos (RGPD o GDPR, por sus siglas en inglés) de la Unión Europea.

El propósito fundamental de este aporte académico es desentrañar las complejidades de este sistema, analizando a profundidad la génesis de sus conceptos, la configuración de sus roles y las fronteras de responsabilidad que separan a cada uno de sus integrantes.

Antecedentes y evolución normativa

La configuración del Sistema de Protección de Datos Personales en Ecuador es el resultado de un prolongado proceso de armonización y convergencia normativa a nivel internacional. Las definiciones, roles y principios consagrados en la legislación ecuatoriana hunden sus raíces en los esfuerzos multilaterales por estandarizar las reglas en un mundo hiperconectado.

Los primeros atisbos de un consenso global sobre la materia se remontan a 1990, cuando la Asamblea General de las Naciones Unidas adoptó, mediante la Resolución 45/95, los “Principios rectores para la reglamentación de los ficheros computarizados de datos personales”. Estos principios establecieron las garantías mínimas que las legislaciones nacionales debían prever.

El hito más relevante para la región latinoamericana fue la expedición de los “Estándares de Protección de Datos Personales para los Estados Iberoamericanos”, aprobados por la Red Iberoamericana de Protección de Datos (RIPD) en 2017. Este documento técnico sirvió como la matriz conceptual directa para la redacción de la LOPDP en Ecuador.

Posteriormente, el RGPD revolucionó el derecho digital global al instaurar un modelo basado en el riesgo y la demostración continua del cumplimiento. Entender la equivalencia doctrinaria de esta norma europea permite delimitar correctamente el alcance de las obligaciones de las partes, independientemente de la nomenclatura que se utilice en los contratos mercantiles.

El sistema de protección de datos personales y sus roles

El artículo 5 de la LOPDP establece de manera taxativa a los integrantes de este ecosistema:

“Son parte del sistema de protección de datos personales, los siguientes: 1) Titular; 2) Responsable del tratamiento; 3) Encargado del tratamiento; 4) Destinatario; 5) Autoridad de Protección de Datos Personales; y, 6) Delegado de protección de datos personales.”

A continuación, se analiza cada uno de estos integrantes.

El Titular

El artículo 4 de la LOPDP define al Titular como la “Persona natural cuyos datos son objeto de tratamiento.”

En la doctrina europea, este actor se denomina Data Subject (traducido al castellano como interesado o sujeto de los datos). En nuestro ordenamiento, conforme al estándar de la Constitución y los instrumentos internacionales de derechos humanos, la persona natural es quien tiene la calidad de titular de los datos personales y, como tal, es sujeto de derechos y garantías. El ordenamiento jurídico no recoge la noción de que el individuo es dueño o propietario de sus datos como si fuesen una simple mercancía patrimonial, ya que los derechos fundamentales, como la autodeterminación informativos, son irrenunciables.

El Titular ejerce su control a través de un catálogo de derechos irrenunciables dispuestos en los artículos 12 al 23 de la LOPDP; el artículo 18 regula las excepciones a varios de ellos y el artículo 24, el ejercicio de los derechos y su carácter irrenunciable:

• Acceso e Información (Arts. 12 y 13): Conocer de forma transparente qué datos se tratan, sus fines y la base legitimadora.
• Rectificación y Actualización (Art. 14): Obligación de corregir datos erróneos o desactualizados.
• Eliminación (Art. 15): Borrado de datos cuando expire la finalidad, se revoque el consentimiento o el tratamiento sea ilícito.
• Oposición (Art. 16): Negativa al tratamiento, especialmente en mercadotecnia directa.
• Portabilidad (Art. 17): Recibir los datos en formatos estructurados e interoperables.
• Suspensión del tratamiento (Art. 19): Bloqueo precautorio frente a controversias de exactitud o legitimidad.
• Decisiones automatizadas (Art. 20): Derecho a no ser objeto de resoluciones basadas única o parcialmente en valoraciones automatizadas.
• Niñas, niños y adolescentes (Art. 21): Derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, con las reglas especiales que la LOPDP prevé para el tratamiento de sus datos.
• Consulta: Derecho a la consulta pública y gratuita ante el Registro Nacional de Protección de Datos Personales (Art. 22).
• Educación Digital: Derecho al acceso y disponibilidad del conocimiento para el uso seguro y responsable de las tecnologías (Art. 23).

El responsable del tratamiento

El artículo 4 de la LOPDP lo define como la: “persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” En la doctrina internacional, esta figura se conoce como el Controller o Controlador.

Dos expresiones de esta definición marcan el alcance del rol: el Responsable es quien “decide sobre la finalidad y el tratamiento de datos personales” y puede hacerlo “solo o conjuntamente con otros”. En términos sencillos, es quien decide para qué se usan los datos y cómo se tratan, y por eso es el primer obligado frente al titular y frente a la Autoridad.

A diferencia de los demás actores del sistema, el Responsable asume la carga fundamental y no delegable del cumplimiento normativo. La razón dogmática radica en la teoría del riesgo entrelazada con el dominio teleológico: es esta figura quien, al tomar la decisión deliberada de recopilar información estableciendo los objetivos del tratamiento, introduce el riesgo en el ecosistema digital. Por consiguiente, al fijar el “para qué”, se vincula inexcusablemente al principio de finalidad (Art. 10, literal d de la LOPDP). Su obligación nace del control fáctico originario, lo que exige la aplicación concurrente de los demás principios del artículo 10, y le impone probar su diligencia mediante la Responsabilidad Proactiva y Demostrada (accountability, Art. 10, literal k).

Sus obligaciones ineludibles incluyen:

1. Registro de Actividades de Tratamiento (RAT): (Arts. 38 y 39 del RGLOPDP) inventario formal o bitácora interna donde la entidad documenta los datos recopilados, sus finalidades, destinatarios y plazos de conservación.
2. Evaluación de Impacto (EIPD): análisis preventivo (Art. 42 LOPDP) e integral de riesgos que debe ejecutarse obligatoriamente antes de implementar tecnologías, sistemas o procesos que entrañen un alto riesgo para la privacidad de los titulares, con el fin de mitigar o eliminar posibles afectaciones.
3. Notificación de vulneraciones: obligación de reportar cualquier incidente o brecha de seguridad que afecte la confidencialidad, integridad o disponibilidad de los datos; el reporte debe realizarse ante la Autoridad de Protección de Datos en un plazo máximo de 5 días y a los titulares afectados en un plazo máximo de 3 días (Arts. 43 y 46 LOPDP).
4. Atender los derechos del Titular (Arts. 12 a 23): Obligación de canalizar y responder con oportunidad las solicitudes de acceso, rectificación, eliminación, oposición, portabilidad y suspensión; dichos trámites son totalmente gratuitos y deben contestarse en un plazo no mayor a 15 días (como en el caso de acceso o eliminación), siendo su omisión o retraso una infracción leve.
5. Protección desde el diseño y por defecto (Art. 39 de la LOPDP): principio organizativo y técnico que exige incorporar la privacidad desde la concepción misma de cualquier sistema o servicio, garantizando por defecto que solo se recopilen y traten los datos estrictamente necesarios para cada finalidad prevista.
6. Seguridad y gestión de riesgos (Arts. 40, 41 y 47 de la LOPDP): obligación de implementar un sistema continuo de evaluación de amenazas físicas y cibernéticas, aplicando políticas, controles informáticos y medidas técnicas proporcionales, así como auditando periódicamente su efectividad para resguardar la información.
7. Elegir bien al encargado y formalizar la relación (Arts. 40 y 41 del RGLOPDP): deber de verificar previamente que los proveedores externos (encargados) brinden garantías técnicas y jurídicas suficientes en materia de protección de datos, debiendo adscribir su relación mediante contrato escrito con el contenido mínimo legal; la elección de proveedores sin garantías constituye una infracción leve.
8. Supervisar al encargado (Art. 47 del RGLOPDP): obligación continua de auditar y verificar que el proveedor externo cumpla estrictamente las instrucciones del responsable, mediante la revisión de sus registros, procesos y sometiéndolo a inspecciones o comprobaciones periódicas.
9. Suscribir contratos de confidencialidad (Art. 47 de la LOPDP): obligación legal de pactar convenios o cláusulas expresas de reserva y confidencialidad con todos los encargados y personal que acceda a los datos; la omisión de estos instrumentos jurídicos constituye una infracción grave.
10. Reportar sus bases de datos al Registro Nacional de Protección de Datos Personales (Art. 51 de la LOPDP): deber de declarar e inscribir la existencia de los ficheros y bases de datos ante la Autoridad competente, debiendo actualizar dicha información de manera oportuna ante cualquier cambio sustancial.
11. Designar al delegado cuando corresponda (Arts. 47 y 48 de la LOPDP): obligación de nombrar a un perfil o profesional especializado (DPD) para supervisar el cumplimiento normativo y servir de enlace con la Autoridad y los titulares, cuando la entidad maneje datos a gran escala, sea del sector público o realice un seguimiento sistemático.
12. Permitir auditorías y demostrar el cumplimiento (Art. 47 y Art. 10, literal k de la LOPDP): Exigencia del principio de responsabilidad proactiva (accountability) que obliga a respaldar con evidencia documental la diligencia aplicada en el tratamiento de datos; la adhesión voluntaria a códigos de conducta o certificaciones no exime a la entidad de sus responsabilidades ni del control de la autoridad.

Todas estas obligaciones permanecen en el responsable, aunque encargue el tratamiento a un tercero: contratar a un Encargado no traslada el cumplimiento. Si el Encargado se sale del encargo y decide los fines y medios, pasa a ser Responsable de ese tratamiento, pero ello no elimina el deber del responsable de haberlo elegido, instruido y supervisado adecuadamente.

Corresponsables del tratamiento

Cuando dos o más responsables determinan conjuntamente los fines y medios, se configuran legalmente como Corresponsables en concordancia con lo dispuesto entre el Art. 4 de la LOPDP y el Art. 37 del RGLOPDP.

En términos sencillos, la corresponsabilidad aparece cuando dos o más organizaciones no se limitan a colaborar, sino que toman juntas las decisiones esenciales sobre los datos: para qué se van a usar (la finalidad) y de qué manera se van a tratar (los medios). Esta figura es relevante en alianzas comerciales o proyectos conjuntos, donde varios actores intervienen en un mismo tratamiento y, sin reglas claras, el ciudadano no sabría ante quién reclamar.

El artículo 37 del RGLOPDP precisa este régimen con las siguientes expresiones: los responsables conjuntos son “quienes definirán sus respectivas tareas y responsabilidades en materia de protección de datos”; “Dicho acuerdo no impedirá que el titular o interesado ejerza sus derechos”; y quedan como “responsables solidarios ante la autoridad de control y los titulares”.

Un ejemplo real ocurre cuando una aerolínea y un banco se asocian para emitir una tarjeta de crédito compartida (co-branding). Ambas instituciones deciden en conjunto qué datos recolectarán y cómo los explotarán. El aspecto jurídico crítico es que el artículo 37 del RGLOPDP les exige suscribir un acuerdo interno transparente (un contrato en el que definan sus tareas y responsabilidades, salvo que la ley ya las determiné) para repartir cargas operativas. Sin embargo, la ley es tajante: frente al ciudadano y a la Autoridad, ambos mantienen una responsabilidad solidaria. El titular puede ejercer sus derechos ante cualquiera de los dos, sin que el acuerdo interno pueda serle opuesto para evadir responsabilidades. Ahora bien, esta solidaridad frente al titular no impide que, en el plano sancionatorio, cada corresponsable responda de forma diferenciada según las obligaciones que asumió en el acuerdo. Además, el titular puede solicitar que se le dé a conocer el contenido de dicho acuerdo.

 El encargado del tratamiento

Conforme al artículo 4 de la LOPDP, es la: “Persona natural o jurídica… que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable…” Globalmente, este prestador de servicios tecnológicos u operativos se conoce como el Processor o Procesador.

La diferencia con el Responsable se aprecia en las propias definiciones del artículo 4: el Responsable “decide sobre la finalidad y el tratamiento de datos personales”, mientras que el Encargado trata los datos “a nombre y por cuenta de un responsable”. Quien decide es el Responsable; quien ejecuta por encargo es el Encargado.

El factor que lo distingue radicalmente del Responsable es la total carencia de poder de decisión sobre los fines teleológicos. El Encargado presta un servicio técnico bajo directrices documentadas, materializadas en un contrato obligatorio de acuerdo a lo prescrito en el Art. 41 del RGLOPDP.

La línea divisoria conlleva consecuencias graves, ya que, según el artículo 43 del RGLOPDP, si el encargado se extralimita y utiliza los datos para fines propios, muta jurídicamente en un Responsable infractor, asumiendo la sanción directa por tratamiento ilícito.

Para que no queden dudas sobre lo que el encargado puede y no puede hacer, el Reglamento fija reglas precisas. Se citan a continuación sus fragmentos esenciales.

1. Garantías previas (Art. 40 del RGLOPDP). Antes de encargarle el tratamiento, el Responsable debe asegurarse de que el Encargado puede proteger los datos. La norma dispone: “El encargado del tratamiento deberá ofrecer garantías suficientes para aplicar medidas técnicas…”, es decir, medidas técnicas, jurídicas, administrativas y organizativas adecuadas.
2. Contrato escrito con contenido mínimo (Art. 41 del RGLOPDP). La relación entre el Responsable y el Encargado debe regirse por “un contrato escrito, en el cual se detallen las instrucciones encomendadas” y que contenga, “al menos, los siguientes aspectos:”
3. “El objeto;”
4. “La duración;”
5. “La naturaleza;”
6. “La finalidad del tratamiento de los datos;”
7. “La categoría de los datos personales;”
8. “Identificar a los titulares de los datos personales tratados; y,”
9. “Las obligaciones y responsabilidades del encargado.”

Este es el contenido mínimo: el contrato puede incluir más aspectos, pero no menos. Además, la expresión “instrucciones encomendadas” confirma que el Encargado actúa solo dentro de lo que el Responsable le ordena.

3. Límite al poder de decisión (Art. 43 del RGLOPDP). “El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento…” se considera Responsable respecto de ese tratamiento. Mientras permanezca dentro de su rol, debe actuar conforme a instrucciones documentadas del Responsable y advertirle si considera que una instrucción es ilegal.
4. Aviso de vulneraciones (Art. 43 de la LOPDP). Si ocurre una vulneración de seguridad, el Encargado debe comunicarla al Responsable en un máximo de dos días; el Responsable, a su vez, notifica a la Autoridad en cinco días y a los titulares en tres, como se explicó antes.

6. Terminación de la relación (Art. 46 del RGLOPDP). Al concluir el encargo, el Encargado debe devolver o eliminar los datos según las instrucciones del Responsable, “destruyendo todas las copias existentes, salvo que exista la obligación de conservar los datos”.
7. Revisión por el Responsable (Art. 47 del RGLOPDP). “El encargado de tratamiento deberá permitir al responsable o a la persona determinada por este…” revisar los registros y procesos pertinentes, y proporcionarle la información necesaria para demostrar el cumplimiento.

El encargado trata los datos solo para lo que el contrato y las instrucciones documentadas del Responsable le encomiendan; no decide para qué se usan; no subcontrata sin que el contrato lo prevea o sin autorización escrita del Responsable; avisa de las vulneraciones de seguridad; permite que se revise su trabajo; y, al terminar, devuelve o elimina los datos. Si se sale de ese marco, pasa a ser considerado responsable de ese tratamiento y responde como tal.

El tercero contratado

Conforme al artículo 4, numeral 6 del RGLOPDP, Tercero es toda persona distinta del Titular, Responsable, Encargado y de las personas autorizadas internamente bajo la autoridad directa del Responsable. No es integrante del sistema y, mientras no reciba datos de manera lícita, no tiene título alguno para tratarlos. Hay un caso en que el Reglamento lo regula expresamente: cuando el Encargado contrata a otro para complementar su servicio.

Algunos textos hablan de coencargados o subencargados (sub-processors en el RGPD). La normativa ecuatoriana no crea esa figura ni un rol adicional dentro del sistema: el Reglamento solo regula el caso en que el Encargado contrata a un tercero para complementar su servicio, al que denomina “tercero contratado”. Un ejemplo claro se da cuando una agencia de marketing (Encargado) subcontrata el alojamiento de las bases de datos a un proveedor de infraestructura en la nube como Amazon Web Services (AWS).

Las reglas son dos. Primera, la autorización: la subcontratación es válida si el contrato de encargo la prevé expresamente; de lo contrario, el Encargado “requerirá la autorización escrita del responsable del tratamiento para la subcontratación.” Segunda, las obligaciones: “el tercero contratado asumirá las obligaciones del encargado de tratamiento establecidas en la ley”, “debiendo cumplir con las instrucciones de tratamiento de datos establecidas” “en aquello que fuere pertinente en función de los servicios que han sido contratados”.

El tercero subcontratado no actúa con autonomía ni adquiere una categoría jurídica distinta: opera bajo la figura del Encargado (o subencargado) y queda legalmente supeditado a las mismas obligaciones, límites y medidas de seguridad que corresponden al servicio específico que presta.

Para el titular de los datos, esto garantiza que la cadena de custodia no rompa la responsabilidad: independientemente de cuántas manos o proveedores intervengan en el procesamiento, el tratamiento permanece sujeto a la finalidad definida por el Responsable inicial, y cada eslabón responde por las obligaciones que le corresponden dentro de dicha cadena.

El Destinatario

El Destinatario se define por un hecho: haber recibido datos. El artículo 4 de la LOPDP lo describe como “Persona natural o jurídica que ha sido comunicada con datos personales.” A diferencia del Responsable, no decide la finalidad del tratamiento original; y a diferencia del Encargado, no trata los datos por cuenta de otro. Sí figura entre los integrantes del sistema (Art. 5 de la LOPDP): la ley le dio un lugar definido porque recibir datos genera consecuencias jurídicas.

El Reglamento lo toma en cuenta al exigir que el registro de actividades de tratamiento indique los destinatarios de los datos (Art. 38) y al referirse al “tercero destinatario” (Arts. 22 y 23). Lo que ocurre después de la comunicación es lo relevante: si el Destinatario recibe lícitamente los datos y los usa para sus propios fines, actúa como Responsable de ese nuevo tratamiento, con las obligaciones explicadas para ese rol, como en el ejemplo del IESS que se verá más abajo. Por eso comunicar datos no es un acto neutro: exige base de legitimación y, cuando el Responsable está obligado a llevar el registro de actividades, debe dejar constancia de a quién se los comunica.

Delimitar cuándo una persona adquiere la condición de Destinatario es vital para la legalidad de los flujos de información (Arts. 33, 35 y 36 de la LOPDP; Arts. 21 al 23 del RGLOPDP).

La Superintendencia de Protección de Datos Personales (SPDP), mediante el Oficio Nro. SPDP-IRD-2026-0112-O, sentó la máxima: “todo destinatario es inicialmente un tercero antes de recibir los datos, pero no todo tercero se convierte en destinatario”.

Para que un tercero mute a Destinatario lícito, deben concurrir bases de legitimación. A modo de ejemplo, si el IESS requiere datos de nómina por mandato legal, actúa como Destinatario lícito y se convierte en un nuevo Responsable autónomo. Por el contrario, un Tercero que extrae una base de datos sin autorización jamás adquiere la condición de Destinatario; comete una infracción grave.

El delegado de protección de datos personales (DPO / Oficial)

La LOPDP denomina Delegado a la figura que en la práctica corporativa internacional se conoce como Data Protection Officer (DPO) u Oficial de Protección de Datos. El artículo 48 lo hace obligatorio en el sector público, en los tratamientos que requieran control permanente y sistemático, en los tratamientos a gran escala de categorías especiales de datos y en los demás casos que defina la Autoridad.

Las funciones y garantías del Delegado están en los artículos 49 y 50 de la LOPDP. Entre sus funciones se encuentran asesorar y supervisar el cumplimiento de la ley, asesorar en las evaluaciones de riesgo y de impacto, y servir de punto de contacto con la Autoridad. Para ejercerlas con independencia, la ley le reconoce garantías como participar oportunamente en las decisiones sobre protección de datos, acceder a los datos y recursos necesarios, recibir capacitación, no ser destituido ni sancionado por su labor y mantener la confidencialidad.

Es un error crítico confundir al DPO con un Oficial de Seguridad de la Información (OSI o CISO por sus siglas en inglés) o el gerente de Tecnologías de la Información. El DPO no es un implementador operativo de bases de datos o sistemas de información. Su naturaleza es la de un garante independiente que asesora, audita y supervisa el cumplimiento normativo. Si la persona que ejecuta y diseña los sistemas asume además el rol de DPO, incurre en un conflicto de intereses insalvable, siendo “juez y parte”. Para un desglose exhaustivo de esta incompatibilidad y su rol técnico, remito a mi artículo: Delegado de Protección de Datos (DPO) en Ecuador.

La autoridad: Superintendencia de Protección de Datos Personales (SPDP)

El artículo 76 de la LOPDP regula a la Autoridad de Protección de Datos Personales como órgano de control, función que en el Ecuador ejerce la SPDP. Sus atribuciones se sintetizan en cuatro ejes: supervisión y control de responsables y encargados; potestad regulatoria (normativas, cláusulas estándar, directrices y absolución de consultas); administración registral; y tutela y sanción (resolver reclamos, iniciar actuaciones previas e imponer sanciones).

Sin una autoridad que controle, los derechos del Titular y las obligaciones del Responsable y del Encargado dependerían solo de la buena voluntad de cada actor. La Autoridad convierte esas reglas en exigibles: vigila que se cumplan, atiende los reclamos y puede sancionar. Su fundamento constitucional está en las superintendencias, organismos técnicos de vigilancia y control.

La Autoridad cierra el sistema porque se relaciona con todos sus integrantes:

• Con el Titular: resuelve sus reclamos y administra el Registro Nacional de Protección de Datos Personales, ante el cual el titular puede hacer la consulta pública y gratuita.
• Con el Responsable: lo supervisa y controla; recibe la notificación de vulneraciones de seguridad en cinco días; califica los casos en que no es necesario notificar al titular por existir medidas que protegen los datos o eliminan el riesgo; y recibe el reporte de sus bases de datos para el Registro Nacional.
• Con el Encargado: también lo supervisa y controla. Si se extralimita y decide los fines y medios, responde ante la Autoridad como Responsable de ese tratamiento.
• Con el Delegado: este es su punto de contacto dentro de la organización.
• Con Destinatarios y Terceros: absuelve consultas y emite criterios que delimitan estas figuras, como el Oficio Nro. SPDP-IRD-2026-0112-O ya citado.

En síntesis, el Titular ejerce sus derechos, el Responsable decide y responde, el Encargado ejecuta bajo instrucciones, el Delegado vigila desde dentro y la Autoridad controla desde fuera y sanciona cuando corresponde.

En cuanto a su potestad sancionatoria, las sanciones pecuniarias no son arbitrarias ni automáticas. Los artículos 71 y 72 de la LOPDP obligan a la SPDP a tasar la multa aplicando el principio de proporcionalidad, ponderando cuatro presupuestos de derivación: Intencionalidad, Reiteración de la infracción, Naturaleza del perjuicio ocasionado, y Reincidencia.

El régimen sancionatorio de la LOPDP entró en vigor dos años después de su publicación, es decir, el 26 de mayo de 2023. Para aplicar el principio de proporcionalidad, la SPDP expidió la Resolución No. SPDP-SPD-2025-0022-R, que desarrolla la metodología de cálculo de las multas.

La sanción no se fija de un solo paso, sino en etapas:

1. Se identifica la conducta y su gravedad. La infracción debe estar tipificada como leve o grave conforme lo dispuesto en los Arts. 67 a 70 de la LOPDP. De esa clasificación depende el rango de la multa.
2. Se identifica quién la cometió. Si es una entidad privada, la multa se calcula como porcentaje del volumen de negocio del ejercicio económico inmediatamente anterior; si es del sector público, se expresa en Salarios Básicos Unificados y se aplica a los servidores o funcionarios responsables.
3. Se ubica el rango. Cada categoría (leve o grave) tiene un mínimo y un máximo, que se detallan más abajo.
4. Se gradúa dentro del rango. Aquí operan los cuatro presupuestos de la proporcionalidad:

• Intencionalidad: si la conducta fue deliberada o producto de descuido; a mayor intención, mayor reproche.
• Reiteración: si la infracción se repitió y no fue un hecho aislado.
• Naturaleza del perjuicio: el tipo y la magnitud del daño causado a los titulares.
• Reincidencia: si quien ya había sido sancionado vuelve a infringir.

También pesan las circunstancias atenuantes y agravantes. Por ejemplo, notificar a tiempo una vulneración de seguridad atenúa la infracción. El resultado es una multa proporcional: la misma infracción puede costar distinto a una microempresa y a una gran empresa, y distinto a quien actuó por descuido que a quien lo hizo deliberadamente.

Tipificadas las conductas, las multas se estructuran con un impacto disuasorio severo:

1. Infracciones Leves (Art. 67 LOPDP): Incluyen no tramitar peticiones de derechos a tiempo, omitir la protección desde el diseño, elegir encargados sin garantías o no designar al DPO cuando es obligatorio.

• Sanción (Art. 71): Multas del 0.1% al 0.7% del volumen de negocio anual (sector privado), o de 1 a 10 Salarios Básicos Unificados (SBU) (sector público, aplicables a los servidores o funcionarios públicos responsables).

1. Infracciones Graves (Art. 68 LOPDP): Incluyen utilizar datos para fines distintos a los declarados, ceder o transferir datos ilícitamente a terceros sin requisitos, no notificar vulneraciones de seguridad que afecten derechos, no suscribir contratos de confidencialidad con encargados o no realizar EIPDs.

• Sanción (Art. 72): Multas del 0.7% al 1.0% del volumen de negocio anual (sector privado), o de 10 a 20 SBU (sector público, aplicables a los servidores o funcionarios públicos responsables).

Conclusiones

La configuración del Sistema de Protección de Datos Personales en el Ecuador representa un hito fundamental en la madurez del derecho digital nacional. Al integrar la experiencia de los Estándares Iberoamericanos y la rigurosidad doctrinaria del GDPR europeo, la LOPDP dota al país de un marco jurídico sistemático, equilibrando la innovación tecnológica con el respeto irrestricto a la dignidad humana.

La viabilidad operativa y legal de este ecosistema descansa sobre la correcta identificación de sus roles. El Titular se consolida no como un objeto de mercado, sino como el sujeto principal de derechos y garantías; el Responsable asume la carga ineludible del riesgo y la toma de decisiones; el Encargado se somete a la disciplina técnica y operativa; y los Destinatarios y Terceros navegan fronteras que exigen siempre una justificación legal estricta. Supervisando la estructura se erige la figura técnica y autónoma del DPO, y en la cúspide de control, la SPDP.

Equivocarse en la catalogación de estas figuras o desconocer sus límites no es un simple error de redacción contractual, sino que encierra riesgos corporativos y sancionatorios mayúsculos. En el entorno digital moderno, el respeto a estos roles y la transparencia en el tratamiento de los datos generan el activo intangible más valioso de cualquier organización: la confianza ciudadana.

Mgs. Darío Echeverría Muñoz, LL.M

Gerente General de QQrucho Legal&Tech

Enlace: https://linktr.ee/darioecmunoz

Referencias Bibliográficas

• Asamblea Nacional del Ecuador. (2008). Constitución de la República del Ecuador. Recuperado de https://www.gob.ec/regulaciones/constitucion-republica-ecuador-2008
• Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Quinto Suplemento del Registro Oficial No. 459. Recuperado de https://www.gob.ec/regulaciones/ley-organica-proteccion-datos-personales
• Echeverría Muñoz, D. (2024). Delegado de Protección de Datos (DPO) en Ecuador. Derecho Ecuador. Recuperado de https://derechoecuador.com/delegado-de-proteccion-de-datos-dpo-en-ecuador/
• Echeverría Muñoz, D. (2026). Sistema de Protección de Datos personales: Perspectiva del RGPD asimilada en la normativa ecuatoriana. Laboratorio de Innovación y Privacidad – Agencia Española de Protección de Datos (AEPD). Recuperado de https://laboratorio.aepd.es/blog/sistema-de-proteccion-datos-personales-perspectiva-rgpd-asimilada-en-normativa-ecuatoriana
• European Data Protection Board. (2020). Guidelines 07/2020 on the concepts of controller and processor. Recuperado de https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en
• Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904. Recuperado de https://www.gob.ec/regulaciones/reglamento-general-ley-organica-proteccion-datos-personales-0
• Red Iberoamericana de Protección de Datos. (2017). Estándares de Protección de Datos Personales. Recuperado de https://www.redipd.org/documento/estandares-iberoamericanos-2026.pdf
• Superintendencia de Protección de Datos Personales (SPDP). (2026). Oficio Nro. SPDP-IRD-2026-0112-O. Recuperado de https://www.spdp.gob.ec/docs/consultas-absueltas/2026-2/oficio-n-spdp-ird-2026-0112-o/

[1] Gerente General de QQrucho Legal&Tech / Enlace: https://linktr.ee/darioecmunoz