Protección de Datos Personales

Autores: Mgtr. Darío Echeverría Muñoz, LL.M

Introducción

La protección de datos personales es un derecho fundamental que ha adquirido una relevancia significativa en la era digital, especialmente en el ámbito judicial, donde se maneja información sensible de individuos involucrados en procesos legales. En Ecuador, este derecho está consagrado en la Constitución y desarrollado en leyes específicas, como la Ley Orgánica de Protección de Datos Personales (LOPDP). Este artículo analiza cómo el sistema de justicia ecuatoriano respeta la protección de datos personales, tomando como referencia el Reglamento General de Protección de Datos (GDPR) de la Unión Europea, y se apoya en fuentes académicas y legales para una comprensión profunda del tema.

Es importante destacar que la influencia del GDPR no es solo conceptual, sino práctica; muchas jurisdicciones, incluido Ecuador, han adoptado el enfoque de la Responsabilidad Proactiva y Demostrada (Accountability) como eje central, obligando a los responsables del tratamiento a no solo cumplir la ley, sino a demostrar activamente dicho cumplimiento mediante registros, evaluaciones de impacto y designación de un delegado de protección de datos (DPO). Este principio implica que las organizaciones deben adoptar un enfoque preventivo, implementando medidas como políticas de privacidad desde el diseño, auditorías internas periódicas, y la capacidad de demostrar ante la autoridad competente el cumplimiento normativo mediante documentación verificable.

En este punto conviene precisar que la LOPDP y su Reglamento ya regulan la figura del delegado de protección de datos; adicionalmente, la Superintendencia de Protección de Datos Personales (SPDP) ha emitido diversas resoluciones y guías prácticas sobre la designación, funciones y registro de los DPD. Mediante la Resolución SPDP-SPD-2025-0004-R, la SPDP estableció el Programa Profesionalizante que define el perfil profesional mínimo exigido, requiriendo formación en derecho, tecnologías de la información y sistemas de gestión. El DPD actúa como enlace entre la organización y la SPDP, supervisando la implementación de medidas de protección y promoviendo una cultura organizacional de privacidad.

Marco jurídico del Ecuador

En el Ecuador, la protección de datos personales es un derecho fundamental reconocido en la Constitución de la República. El artículo 66, numeral 19, garantiza el derecho a decidir y controlar la información personal, estableciendo que cualquier recolección, archivo, procesamiento o difusión de datos requiere autorización expresa del titular o mandato legal. Además, el artículo 92 asegura el acceso a datos personales almacenados por entidades públicas y privadas, habilitando a los titulares a solicitar su actualización, rectificación, eliminación o supresión.

En desarrollo de este marco constitucional, se promulgó en 2021 la Ley Orgánica de Protección de Datos Personales (LOPDP). Esta norma establece los principios rectores para el tratamiento de datos y delimita las obligaciones de los responsables del manejo de información personal. La LOPDP incluye disposiciones específicas para datos sensibles y fija salvaguardas, como la privacidad desde el diseño, por defecto y los siguientes principios para el tratamiento de los datos personales:

1. Juridicidad: El tratamiento de datos personales debe cumplir estrictamente con la Constitución, los instrumentos internacionales, la LOPDP, su reglamento y la normativa aplicable.
2. Lealtad: Los datos personales deben tratarse de forma honesta y clara, asegurando que los titulares entiendan cómo serán usados y evitando fines ilícitos o desleales.
3. Transparencia: Toda información relacionada con el tratamiento de datos debe ser accesible y comprensible, utilizando un lenguaje sencillo y claro.
4. Finalidad: Los datos deben tratarse únicamente para los fines específicos, explícitos y legítimos para los que fueron recolectados, salvo excepciones legales que habiliten un uso compatible.
5. Pertinencia y Minimización: Solo deben recopilarse y procesarse los datos estrictamente necesarios para cumplir con la finalidad del tratamiento.
6. Proporcionalidad: El tratamiento debe ser adecuado, necesario y relevante para el objetivo, evitando excesos en la recopilación o uso de datos.
7. Confidencialidad: Los datos personales deben manejarse con sigilo y no comunicarse para fines distintos de los autorizados, salvo que se cumplan las excepciones legales. La violación de este deber puede generar responsabilidad civil, administrativa y penal, conforme lo establece el artículo 257 del Código Orgánico Integral Penal (COIP).
8. Calidad y Exactitud: Los datos deben ser precisos, completos, actualizados y verificables, evitando cualquier alteración que afecte su veracidad.
9. Conservación: Los datos no deben almacenarse más allá del tiempo necesario para cumplir su propósito, salvo excepciones con garantías adecuadas (archivo público, investigación, etc.).
10. Seguridad: Los responsables deben implementar medidas técnicas y organizativas suficientes para proteger los datos frente a amenazas, vulnerabilidades o riesgos.
11. Responsabilidad Proactiva: Los responsables deben demostrar el cumplimiento de la ley, mediante la implementación de estándares, certificaciones y mecanismos que garanticen la protección de los datos.
12. Aplicación Favorable al Titular: En caso de duda, las normas deben interpretarse y aplicarse de forma que protejan al titular de los datos.
13. Independencia del Control: La Autoridad de Protección de Datos que recae en la Superintendencia de Protección de Datos, debe actuar de forma independiente, imparcial y autónoma para supervisar, prevenir y sancionar las prácticas que violen los derechos de protección de datos.

Aplicación de la normativa en el sistema de justicia ecuatoriano

a) Reglamento para el Tratamiento de Datos Personales dentro de Procesos Judiciales (Resolución 043-2024)

El Reglamento establece las reglas para el manejo de datos personales dentro del Sistema Automático de Trámite Judicial Ecuatoriano (SATJE). Entre sus principales disposiciones están:

• Ámbito de aplicación: Aplica a los servidores administrativos y jurisdiccionales encargados del manejo de datos en el SATJE, protegiendo los derechos al honor, buen nombre, privacidad y no discriminación de las partes procesales.
• Tratamiento de datos sensibles: Los datos sensibles deben ser tratados con reserva y confidencialidad. Los jueces pueden disponer el ocultamiento o anonimización de estos datos para proteger los derechos fundamentales de las partes procesales, especialmente cuando puedan ser utilizados para fines discriminatorios.
• Responsabilidades de los secretarios judiciales: Como fedatarios de los expedientes judiciales, los secretarios son responsables de realizar modificaciones, rectificaciones u ocultamientos en los registros del SATJE, mediante autorización de los jueces. Es fundamental que exista un sistema de trazabilidad y los de auditoría que registre toda modificación realizada en el expediente electrónico.
• Principio de publicidad y limitaciones: Aunque la publicidad de los procesos judiciales es un principio rector del sistema de justicia (Art. 168.5 de la Constitución), el reglamento establece restricciones cuando los datos personales puedan vulnerar derechos constitucionales. En estos casos, se privilegia la privacidad del titular, conforme al principio de proporcionalidad previsto en la LOPDP.

b) Instructivo para el Ocultamiento de Datos Personales Publicados en el SIAF (Resolución 027-2024)

El Instructivo regula la protección de datos personales en las bases de datos públicas administradas por la Fiscalía, permitiendo su ocultamiento en casos donde la exposición pública de la información ya no sea necesaria o sea perjudicial para los titulares. Este instructivo responde al efecto estigmatizante que genera la publicación de noticias delictivas en bases de datos públicas, especialmente cuando la investigación concluyó sin responsabilidad penal del investigado.

Procedimiento para el ocultamiento:

• Solicitud del titular: El titular o su representante legal puede solicitar el ocultamiento adjuntando documentos que respalden la petición, como resoluciones de archivo, sobreseimientos o sentencias de inocencia.
• Validación: La Dirección de Control Jurídico verifica la información y determina si procede el ocultamiento.
• Ejecución: Si la solicitud es aceptada, la Dirección de Tecnologías de la Información implementa las modificaciones necesarias.
• Criterios de aplicación: El ocultamiento aplica principalmente en casos donde se ha declarado la inocencia del titular, se ha extinguido la acción penal o se han cumplido las sentencias, garantizando el respeto a los derechos de las personas en situaciones donde la exposición pública no es proporcional ni legítima.

Reglamento para la Seudonimización, Anonimización, Bloqueo, Suspensión y Eliminación de Datos Personales (Resolución Nº SPDP-SPD-2025-0030-R)

Mediante Resolución No. SPDP-SPD-2025-0030-R, de 7 de agosto de 2025, la SPDP expidió el Reglamento que establece lineamientos técnicos y procedimentales para la aplicación de medidas de seguridad coherentes con el ciclo de vida del dato y el ejercicio efectivo de los derechos de los titulares. Este reglamento constituye un desarrollo normativo esencial para el sistema de justicia ecuatoriano, proporcionando las bases técnicas para implementar mecanismos de protección en cada etapa del tratamiento judicial.

Medidas Técnicas de Protección

• Seudonimización: Medida técnica que preserva la posibilidad de reidentificación bajo condiciones controladas. En el contexto judicial, resulta útil para casos donde se requiere mantener la trazabilidad del expediente limitando el acceso público a información sensible. Por ejemplo, en procesos de violencia intrafamiliar, permite que el expediente sea gestionado internamente mientras las consultas públicas muestran únicamente identificadores que no revelan la identidad de las víctimas. Toda acción de reidentificación debe registrarse para garantizar la trazabilidad y rendición de cuentas.
• Anonimización: Medida que busca la irreversibilidad del proceso, impidiendo la identificación de individuos específicos. Las técnicas aplicables incluyen: generalización de atributos, supresión de identificadores directos, agregación de datos para estadísticas, y perturbación controlada de datos numéricos. Resulta especialmente útil para la generación de estadísticas judiciales, investigaciones académicas y publicación de jurisprudencia sin comprometer la identidad de las partes.
• Bloqueo: Medida que restringe el acceso y tratamiento de datos, manteniéndolos en el sistema, pero impidiendo su visualización o uso sin autorización específica. En el ámbito judicial, puede aplicarse durante la tramitación de impugnaciones, cuando se detecta un posible uso indebido, o ante solicitudes de rectificación mientras se verifica la exactitud de los datos cuestionados.
• Suspensión: Limitación temporal al tratamiento de datos, generalmente motivada por el ejercicio de derechos del titular o por la detección de irregularidades. Durante la suspensión, los datos se conservan, pero su uso queda restringido hasta que se resuelva la situación que motivó la medida.
• Eliminación: Destrucción irreversible de los datos personales. En el sistema de justicia, la eliminación debe conciliarse con las obligaciones de archivo judicial, distinguiendo entre: eliminación de copias temporales, eliminación en sistemas públicos sin afectar el archivo oficial, anonimización de expedientes destinados a archivo histórico, y eliminación de expedientes que han cumplido sus plazos de conservación legal.

Aplicación práctica

La implementación efectiva del reglamento requiere que las instituciones judiciales desarrollen:

1. Políticas institucionales que especifiquen procedimientos claros para cada medida de protección.
2. Desarrollos tecnológicos en SATJE y SIAF que incorporen funcionalidades de seudonimización, anonimización, bloqueo y eliminación segura.
3. Capacitación especializada para operadores judiciales sobre cuándo y cómo aplicar cada medida.
4. Coordinación interinstitucional para garantizar coherencia entre diferentes sistemas del sector justicia.
5. Auditorías periódicas para verificar efectividad y cumplimiento de procedimientos establecidos.

La aplicación de estas medidas requiere un análisis caso por caso, considerando las particularidades de cada proceso, los derechos en conflicto, y el test de proporcionalidad. El delegado de protección de datos de cada institución debe jugar un rol protagónico asesorando en estas decisiones.

Conclusiones

La protección de datos personales en el sistema de justicia ecuatoriano es un componente esencial para garantizar los derechos fundamentales de las personas. Ecuador ha avanzado en la creación de un marco legal alineado con estándares internacionales como el GDPR, pero la efectiva implementación requiere un compromiso constante de las instituciones judiciales.

El desarrollo normativo reciente, particularmente con la Resolución SPDP-SPD-2025-0030-R, representa un hito fundamental en la operativización de los principios de la LOPDP. Proporciona herramientas técnicas concretas que permiten implementar medidas de protección efectivas, transitando desde un enfoque declarativo hacia uno operativo y verificable.

Es esencial que las instituciones judiciales adopten medidas técnicas y organizativas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de los datos personales. Esto incluye la capacitación continua del personal, la implementación de políticas claras y la promoción de una cultura de respeto a la privacidad.

La tensión entre el principio de publicidad de los actos judiciales y el derecho a la protección de datos requiere un ejercicio constante de ponderación. Las herramientas previstas en el Reglamento SPDP-SPD-2025-0030-R proporcionan alternativas graduadas que permiten encontrar equilibrios adecuados según las circunstancias de cada caso.

El sistema de justicia ecuatoriano debe transitar hacia un modelo de protección de datos que no sea percibido como un obstáculo a la transparencia, sino como un componente esencial de una justicia moderna y respetuosa de los derechos fundamentales. Este tránsito requiere inversión en infraestructura tecnológica, desarrollo de capacidades institucionales, y fundamentalmente, un cambio cultural que coloque la protección de datos personales como un valor institucional irrenunciable.

Mgtr. Darío Echeverría Muñoz, LL.M

Enlace: https://linktr.ee/darioecmunoz

Referencias

1. Asamblea Nacional del Ecuador. (2008). Constitución de la República del Ecuador. Lexis Biblioteca. Lexis Biblioteca.  https://www.lexis.com.ec/biblioteca/constitucion-republica-ecuador
2. Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Lexis Biblioteca. https://www.lexis.com.ec/biblioteca/ley-organica-proteccion-datos-personales
3. Reglamento General a la Ley Orgánica de Protección de Datos Personales (2023).
   (2023). Registro Oficial, Tercer Suplemento No. 435]. https://www.telecomunicaciones.gob.ec/wp-content/uploads/2023/11/Decreto-Ejecutivo-No.-904.pdf
4. Resolución 043-2024: Reglamento para el tratamiento de datos personales dentro de procesos judiciales
   Consejo de la Judicatura. (2024). Resolución 043-2024: Reglamento para el tratamiento de datos personales dentro de procesos judiciales. https://drive.google.com/file/d/1vMnbD1QVYK088UHEFxCtfRj5AOuVCwj-/view?pli=1
5. Resolución No. 027 FGE-2024: Instructivo para ocultamiento de datos personales publicados en SIAF
   Fiscalía General del Estado. (2024). Resolución No. 027 FGE-2024: Instructivo para ocultamiento de datos personales publicados en SIAF. https://www.fiscalia.gob.ec/pdf/RESOLUCION-027-FGE-2024.pdf
6. Resolución No. SPDP-SPD-2025-0030-R: Reglamento para la Seudonimización, Anonimización, Bloqueo, Suspensión y Eliminación de Datos Personales
   Superintendencia de Protección de Datos Personales del Ecuador. (2025). Resolución No. SPDP-SPD-2025-0030-R: Reglamento para la Seudonimización, Anonimización, Bloqueo, Suspensión y Eliminación de Datos Personales. https://spdp.gob.ec/wp-content/uploads/2025/08/0030-R.pdf