Puntos clave
- El artículo 42 de la LOPDP la vuelve obligatoria en tres supuestos y siempre que la Superintendencia lo requiera.
- Se hace antes de iniciar el tratamiento y, cuando es obligatoria, se presenta ante la Superintendencia (art. 32 del Reglamento).
- Con la norma de gran escala de 2026, un puntaje de 6 o más en el modelo técnico de la Superintendencia obliga a hacerla.
- La norma de la Superintendencia sobre IA exige gestión de riesgos antes de desarrollar el sistema y la EIPD cuando corresponda.
- No hacerla cuando era necesaria es infracción grave: multa del 0,7 % al 1 % del volumen de negocio para empresas.
Esta guía es información general y no constituye asesoría legal. Para decisiones sobre tu caso, consulta a un abogado.
¿Qué es una evaluación de impacto de protección de datos?
Es un análisis preventivo y técnico que hace la empresa responsable de los datos antes de empezar un tratamiento, para identificar los riesgos que ese tratamiento crea para las personas y decidir cómo reducirlos. Así la define el artículo 29 del Reglamento General de la LOPDP, que en su artículo 30 le asigna cuatro objetivos: describir los riesgos, definir acciones concretas para gestionarlos, cumplir de forma preventiva y construir una cultura de protección de datos en la organización.
No es lo mismo que el análisis de riesgos que toda empresa debe hacer de forma permanente (artículos 40 y 41 de la LOPDP). La evaluación de impacto (EIPD) es un expediente más profundo, documentado y reservado para tratamientos de alto riesgo. Si necesitas el panorama completo de la ley, revisa la guía de la LOPDP.
¿Cuándo es obligatoria una EIPD en Ecuador?
El artículo 42 de la LOPDP obliga a hacerla cuando se identifique la probabilidad de que un tratamiento, por su naturaleza, contexto o fines, implique un alto riesgo para los derechos y libertades de las personas. Y en todo caso, en estos supuestos:
| Supuesto | Base legal | Ejemplo con IA |
|---|---|---|
| Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, como perfiles, de la que salen decisiones con efectos jurídicos | LOPDP, art. 42, letra a | Un modelo que aprueba o niega crédito sin intervención humana |
| Tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas e infracciones penales | LOPDP, art. 42, letra b | Un agente que agenda citas y lee historias clínicas de miles de pacientes |
| Observación sistemática a gran escala de una zona de acceso público | LOPDP, art. 42, letra c | Cámaras con analítica de video en un centro comercial |
| La Superintendencia de Protección de Datos Personales lo requiere o define otros casos | LOPDP, art. 42 | Un requerimiento durante una inspección |
| El tratamiento llega a 6 puntos o más en el modelo técnico de gran escala | Resolución SPDP-SPD-2026-0005-R, art. 12 | Ver la sección siguiente |
Las categorías especiales son los datos sensibles, los de niñas, niños y adolescentes, los de salud y los de personas con discapacidad (art. 25 de la LOPDP); hay más detalle en datos sensibles.
La EIPD se hace antes de iniciar el tratamiento (art. 42 de la LOPDP y art. 31 del Reglamento). Si tienes dudas sobre si te corresponde, el mismo artículo 31 permite consultar a la Superintendencia, que debe responder en un término máximo de cinco días.
¿Qué cambió en 2026 con la norma de gran escala?
El 2 de febrero de 2026 la Superintendencia expidió la Norma general sobre el tratamiento de datos personales a gran escala. Crea un Modelo Técnico de Gran Escala (MTGE) que suma seis variables. Si el total llega a 6 puntos, el tratamiento es de gran escala y ese resultado es vinculante para exigir la EIPD previa, el delegado de protección de datos y la inclusión en el registro de actividades (arts. 10 y 12).
| Variable | Puntaje según la norma |
|---|---|
| Titulares en 12 meses | 0 a 1.000: 1 · 1.001 a 10.000: 2 · 10.001 a 100.000: 3 · desde 101.000: 4 |
| Tipos de datos por titular | Hasta 10: 0,5 · 11 a 30: 1 · 31 a 100: 2 · 101 o más: 3 |
| Categorías de datos | Solo básicos: 0,5 · una categoría especial: 2 · más de una, grupos vulnerables o datos penales: 3 |
| Frecuencia | Puntual: 0,5 · periódica: 1 · continua o en tiempo real: 2 |
| Permanencia | Ocasional: 0,5 · menos de 3 años: 1 · 3 años o más: 2 |
| Alcance geográfico | Local: 1 · nacional: 2 · global o transfronterizo: 3 |
Ejemplo ilustrativo, no un caso real: un agente de WhatsApp que atiende a 25.000 clientes al año en todo el país, con 15 tipos de datos básicos, de forma continua y por más de tres años, suma 3 + 1 + 0,5 + 2 + 2 + 2 = 10,5 puntos. Es gran escala.
Además, el artículo 14 califica como gran escala, sin necesidad de hacer el cálculo, entre otros: los datos de salud y demás datos sensibles; los perfiles automatizados de los que salen decisiones con efectos jurídicos; la videovigilancia de espacios públicos; todo tratamiento de datos biométricos o de geolocalización; los sistemas de información crediticia o financiera; el tratamiento sistemático de datos de niñas, niños y adolescentes; y las transferencias sistemáticas que forman flujos continuos de información.
¿Qué debe contener una EIPD?
Cuando es obligatoria, el artículo 32 del Reglamento exige que se presente ante la Superintendencia y que contenga, al menos:
- La descripción sistemática de las operaciones de tratamiento y sus finalidades.
- La justificación de su necesidad y de su proporcionalidad respecto de la finalidad.
- La evaluación de los riesgos para los derechos y libertades de los titulares.
- Las medidas previstas para enfrentar esos riesgos: garantías, medidas de seguridad y mecanismos para demostrar el cumplimiento.
La información debe limitarse a lo necesario y no incluir detalles confidenciales de la implementación de seguridad. Como metodología, la Superintendencia publica en su sitio la guía Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales (versión 2). El delegado de protección de datos debe asesorar en la evaluación de impacto y supervisar su aplicación (art. 49 de la LOPDP); revisa quién debe tener delegado.
¿Cómo se aplica a un sistema con IA?
Desde el 10 de marzo de 2026 rige la Norma general para la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial (Resolución SPDP-SPD-2026-0009-R), reformada por la Resolución SPDP-SPD-2026-0037-R, firmada el 9 de septiembre de 2026, que según su disposición final rige desde su publicación en el Registro Oficial. A quien trate datos personales con inteligencia artificial le exige hacer la gestión de riesgos y la evaluación de impacto antes de desarrollar el sistema (art. 6; la reforma precisa que la EIPD se hace cuando corresponda), incluir esos tratamientos en el registro de actividades y auditar el sistema según su nivel de riesgo (art. 5).
Así se ve el trabajo para un agente de IA conectado al ERP, al CRM o a WhatsApp:
| Momento | Qué hacer | Evidencia |
|---|---|---|
| Diseño | Mapear qué datos lee el agente, de qué sistemas, qué decide y qué proveedor procesa la información | Ficha del sistema y diagrama del flujo de datos |
| Antes de producción | Justificar cada dato, evaluar riesgos (errores del modelo, sesgos, accesos indebidos, decisiones sin revisión humana) y definir medidas | Informe de EIPD aprobado |
| Contrato con proveedores | Pedir al proveedor información sobre el funcionamiento, las limitaciones, los riesgos previsibles y los controles del sistema, como dispone la reforma de septiembre de 2026 al art. 5 | Contrato de encargo y anexo técnico |
| Producción | Auditar según el riesgo y repetir la EIPD cuando cambien el modelo, las fuentes de datos o la finalidad | Bitácora y reportes de auditoría |
Medidas que reducen el riesgo: seudonimizar o cifrar antes de enviar datos al modelo (el art. 37 de la LOPDP las menciona expresamente), permisos por rol, revisión humana de las decisiones con efectos jurídicos (art. 20) y un plan de incidentes. Sobre esto último, la Ley Orgánica para el Fortalecimiento de la Ciberseguridad reformó en mayo de 2026 el artículo 43: las vulneraciones se notifican a la Superintendencia, al organismo de regulación y control competente y, con fines informativos y de coordinación técnica, al CSIRT correspondiente, en un término máximo de cinco días.
Como referencia complementaria, la norma ISO/IEC 42005:2025 orienta las evaluaciones de impacto de sistemas de IA sobre personas y sociedad; no sustituye la EIPD que exige la ley. Hay más contexto en la guía de ISO 42001.
¿Qué pasa si no la haces?
No realizar evaluaciones de impacto cuando eran necesarias es una infracción grave del responsable (art. 68, numeral 5, de la LOPDP). Para una empresa privada o pública, la multa va del 0,7 % al 1 % de su volumen de negocio del ejercicio anterior (art. 72), entendido como las ventas y servicios sin IVA ni otros impuestos directamente relacionados (art. 73). El régimen sancionatorio rige desde mayo de 2023, dos años después de la publicación de la ley.
En Advise, la evaluación de impacto, el registro de actividades y la auditoría de los agentes en producción forman el módulo de cumplimiento LOPDP, para que el expediente quede listo ante la Superintendencia.
Preguntas frecuentes
¿Cuándo es obligatoria una evaluación de impacto?
Según el artículo 42 de la LOPDP, cuando un tratamiento puede generar un alto riesgo para las personas y, en todo caso, en tres supuestos: perfiles automatizados de los que salen decisiones con efectos jurídicos, tratamiento a gran escala de categorías especiales o de datos penales, y observación sistemática a gran escala de zonas de acceso público. También cuando la Superintendencia lo requiera o cuando el modelo técnico de gran escala de 2026 da 6 puntos o más.
¿Qué debe contener una EIPD?
El artículo 32 del Reglamento General de la LOPDP exige como mínimo cuatro elementos: la descripción sistemática del tratamiento y sus finalidades, la justificación de su necesidad y proporcionalidad, la evaluación de los riesgos para los titulares y las medidas previstas para enfrentarlos. No debe incluir detalles confidenciales de la implementación de seguridad.
¿Hay que presentar la evaluación de impacto a la Superintendencia?
Sí, cuando es obligatoria. El artículo 32 del Reglamento General dispone que en esos casos se presente ante la Superintendencia de Protección de Datos Personales, siempre antes de iniciar el tratamiento. Si no sabes si te corresponde, puedes consultar a la Superintendencia, que debe responder en un término máximo de cinco días.
¿Un agente o chatbot de IA necesita evaluación de impacto?
Depende de qué datos trate y qué decida. La norma de la Superintendencia sobre IA exige siempre gestión de riesgos antes de desarrollar el sistema y la EIPD cuando corresponda: por ejemplo, si el agente perfila clientes y de ahí salen decisiones con efectos jurídicos, si trata datos de salud o si el tratamiento suma 6 puntos o más en el modelo de gran escala.
¿Qué pasa si no hago la evaluación de impacto?
No realizarla cuando era necesaria es una infracción grave según el artículo 68 de la LOPDP. Para empresas privadas y públicas, la multa va del 0,7 % al 1 % del volumen de negocio del ejercicio anterior, además de las medidas correctivas que disponga la Superintendencia.
¿Cada cuánto se actualiza una EIPD?
La LOPDP no fija un plazo único, pero el Reglamento obliga a revisar y actualizar las medidas de protección cuando sea necesario. Conviene repetirla cuando cambian el modelo, las fuentes de datos, la finalidad o los proveedores; y en tratamientos a gran escala la norma de 2026 pide recalcular el modelo ante cambios sustanciales y documentar cada año las actualizaciones de las evaluaciones de impacto.
Fuentes
- Asamblea Nacional del Ecuador · Registro Oficial, Quinto Suplemento 459 (copia en gob.ec) · Ley Orgánica de Protección de Datos Personales (arts. 25, 37, 40 a 43, 49, 68, 72 y 73) (2021-05-26)
- Presidencia de la República · Registro Oficial, Tercer Suplemento 435 (copia de la Superintendencia de Protección de Datos Personales) · Reglamento General de la Ley Orgánica de Protección de Datos Personales, Decreto Ejecutivo 904 (arts. 29 a 32 y 58) (2023-11-13)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0005-R: Norma general sobre el tratamiento de datos personales a gran escala (2026-02-02)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0009-R: Norma general para la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial (2026-02-12)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0037-R: reforma a la norma general sobre sistemas de inteligencia artificial (2026-09-09)
- Superintendencia de Protección de Datos Personales · Guías SPDP: Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales (versión 2) (2026-11-11)
- Asamblea Nacional del Ecuador · Registro Oficial, Quinto Suplemento 290 · Ley Orgánica para el Fortalecimiento de la Ciberseguridad (art. 14, reforma al art. 43 de la LOPDP) (2026-05-22)
- ISO · ISO/IEC 42005:2025 Information technology — Artificial intelligence (IA) — IA system impact assessment (2026-11-11)
Revisado el 11 de noviembre de 2026 contra las fuentes citadas. Los precios y normas de terceros pueden cambiar: confirma en la fuente.