¿Qué es la Superintendencia de Protección de Datos Personales y qué hace?

¿Qué es y de dónde viene su autoridad?

La Ley Orgánica de Protección de Datos Personales crea la figura de la Autoridad de Protección de Datos Personales, una autoridad pública independiente encargada de supervisar la aplicación de la ley (artículo 4) y el órgano de control y vigilancia que garantiza a los ciudadanos la protección de sus datos (artículo 76). Esa autoridad es la Superintendencia de Protección de Datos Personales (SPDP). Como las demás superintendencias, es un organismo técnico de vigilancia y control que forma parte de la Función de Transparencia y Control Social, según los artículos de la Constitución que cita la propia institución en sus resoluciones.

El artículo 77 de la ley fija cómo se elige a su titular: se designa conforme a la Constitución, de una terna que remite el presidente de la República, para un período de cinco años, y debe ser profesional del derecho, de sistemas de información, comunicación o tecnologías, con título de cuarto nivel y al menos diez años de experiencia en la materia. Según el portal de la SPDP, el superintendente es Fabrizio Peralta-Díaz.

¿Qué funciones tiene?

El artículo 76 le asigna dieciocho funciones. Las que más afectan a una empresa son estas:

¿Qué normas expidió en 2026?

Su página de resoluciones lista, entre otras, estas normas de 2026:

La reforma de la norma de inteligencia artificial establece en su disposición final que entra en vigencia con su publicación en el Registro Oficial.

¿Qué sanciones puede imponer?

Para entidades privadas y empresas públicas, las multas van del 0,1 % al 0,7 % del volumen de negocio del ejercicio anterior por infracciones leves (artículo 71) y del 0,7 % al 1 % por infracciones graves (artículo 72). El volumen de negocio son las ventas de bienes y servicios del último ejercicio, sin IVA ni otros impuestos directamente relacionados (artículo 73). El régimen sancionador entró en vigencia dos años después de la publicación de la ley, es decir, en mayo de 2023. En su portal, la SPDP informa que ya emitió sus primeras sanciones por infracciones graves.

Un ejemplo en una empresa ecuatoriana

Una cadena de retail de Guayaquil recibe un requerimiento de la SPDP tras el reclamo de un cliente que siguió recibiendo promociones después de pedir la baja. Lo que la empresa necesita tener a mano es su registro de actividades de tratamiento, la prueba de cómo obtuvo y registró el consentimiento, el procedimiento de revocación, los contratos con sus encargados y, si corresponde, la designación de su delegado de protección de datos.

Errores comunes

• Pensar que la ley no se aplica en la práctica. Hay régimen sancionador vigente y normas técnicas nuevas cada año.
• Leer solo la ley. Las resoluciones de la SPDP también obligan.
• Esperar al Registro Nacional para ordenarse. La norma de transferencias dio a la SPDP 12 meses para implementar el registro; las obligaciones de fondo ya rigen.

Relación con otros términos

El marco completo está en la guía de la Ley de Protección de Datos Personales, y quién es el interlocutor de la empresa ante la SPDP, en la del delegado de protección de datos. Sobre las reglas para enviar datos fuera del país, revisa transferencia internacional de datos, y sobre la regulación de la inteligencia artificial, la guía de la ley de inteligencia artificial en Ecuador.