Ley de Protección de Datos Personales de Ecuador (LOPDP): resumen actualizado a 2026

¿Qué es la LOPDP y desde cuándo rige?

La Ley Orgánica de Protección de Datos Personales (LOPDP) garantiza el derecho a la protección de datos personales, que incluye el acceso y la decisión sobre esa información, y para eso fija principios, derechos, obligaciones y mecanismos de tutela (art. 1). Se publicó en el Quinto Suplemento del Registro Oficial n.º 459, del 26 de mayo de 2021, y rige desde esa fecha (Disposición Final).

La ley dio dos años de transición para adecuar los tratamientos que ya existían (Disposición Transitoria Segunda) y las transferencias internacionales (Cuarta). En ese mismo plazo quedaron en suspenso las medidas correctivas y las sanciones (Primera). Desde el 26 de mayo de 2023 todo es exigible; los derechos de los titulares, en cambio, se podían reclamar desde el inicio (Disposición General Séptima).

¿Quiénes están obligados a cumplir la LOPDP?

Cualquier persona natural o jurídica, pública o privada, que trate datos personales en papel o en sistemas, de forma automatizada o no (art. 2). «Tratar» abarca casi todo: recoger, registrar, guardar, consultar, usar, comunicar, transferir o eliminar datos (art. 4). Si tu empresa tiene clientes, empleados o proveedores que son personas naturales, está dentro.

La ley también alcanza a quien opera desde fuera del país (art. 3) cuando trata datos de residentes en Ecuador para ofrecerles bienes o servicios, o para controlar su comportamiento en el país. El Reglamento exige a esos responsables y encargados extranjeros designar un apoderado especial con residencia en Ecuador, salvo tratamientos ocasionales, sin categorías especiales a gran escala y de bajo riesgo (art. 3 del Reglamento).

Quedan fuera (art. 2): las actividades familiares o domésticas; los datos de personas fallecidas, salvo las facultades de sus herederos (art. 27); los datos anonimizados mientras no se pueda identificar al titular; la actividad periodística; los tratamientos de gestión de riesgos por desastres y de seguridad y defensa del Estado regulados por normas especiales; las bases de prevención y persecución penal de los organismos estatales competentes; y los datos de personas jurídicas. Además, los datos de contacto profesional (nombre, cargo, dirección y teléfono profesional) de profesionales, comerciantes, representantes, socios y servidores públicos son accesibles cuando se refieren a su actividad (art. 2, último inciso).

¿Qué conceptos debes dominar?

Las categorías especiales, con reglas más estrictas, son los datos sensibles, los de niñas, niños y adolescentes, los de salud y los de personas con discapacidad (art. 25). Tratar datos sensibles está prohibido salvo excepciones como el consentimiento explícito, una orden judicial o las obligaciones laborales y de seguridad social (art. 26).

¿Cuándo es legal tratar datos personales?

Solo si existe una de las ocho bases del artículo 7: consentimiento; obligación legal; orden judicial; misión de interés público con competencia atribuida por una norma con rango de ley; medidas precontractuales o ejecución de un contrato; intereses vitales; datos de bases de acceso público; o interés legítimo que no prevalezca sobre los derechos del titular.

El consentimiento (art. 8) vale si es libre, específico, informado e inequívoco. Se puede revocar en cualquier momento, sin justificar, por un mecanismo tan sencillo como el que se usó para obtenerlo, y si cubre varias finalidades debe constar para todas. El Reglamento añade que el responsable debe poder probarlo y que el silencio o la inacción no son consentimiento (art. 5 del Reglamento). Si te apoyas en el interés legítimo, solo puedes tratar los datos estrictamente necesarios y de forma transparente (art. 9).

¿Qué principios debe respetar tu empresa?

El artículo 10 enumera 13: juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización, proporcionalidad, confidencialidad, calidad y exactitud, conservación, seguridad, responsabilidad proactiva y demostrada, aplicación favorable al titular e independencia del control. Dos marcan el día a día. La finalidad prohíbe usar los datos para fines distintos de los informados, salvo una nueva base legal. La responsabilidad proactiva obliga a demostrar que cumples y a rendir cuentas al titular y a la Superintendencia (art. 10, letra k).

¿Qué derechos tienen los titulares y en qué plazo se atienden?

Para cualquier requerimiento, queja o reclamo, el responsable tiene un término de 10 días para contestar (art. 62); si no responde o niega, el titular puede reclamar ante la Superintendencia, sin perjuicio de acciones civiles, penales o constitucionales (art. 64). Los derechos son irrenunciables y es nula toda cláusula en contrario (art. 24). Las excepciones, como una obligación legal o la defensa de reclamos, están en el artículo 18.

¿Qué obligaciones tiene una empresa?

La evaluación de impacto y el registro de actividades de tratamiento tienen guías propias. Las notificaciones de vulneraciones se envían por el sistema SISPDP de la Superintendencia (norma técnica SPDP-SPD-2026-0040-R, arts. 8 y 12).

Lista de verificación rápida

1. Inventario de bases de datos y tratamientos, cada uno con su base legal (art. 7).
2. Avisos de privacidad con los 17 puntos del artículo 12.
3. Consentimientos que puedas probar y que se revoquen fácilmente (art. 8; Reglamento arts. 5 y 6).
4. Canal y registro de solicitudes de derechos, con control de plazos (arts. 13 a 16; Reglamento arts. 12 y 15).
5. Contratos de encargo y de confidencialidad firmados (arts. 34 y 47).
6. Análisis de riesgos y medidas de seguridad documentados (arts. 37, 40 y 41).
7. Evaluación de impacto donde la ley la exige (art. 42).
8. Registro de actividades y reporte al Registro Nacional (Reglamento arts. 38, 39 y 86).
9. Procedimiento de vulneraciones con los plazos de 2, 3 y 5 días (arts. 43 y 46).
10. Delegado de protección de datos designado e inscrito, si te corresponde (art. 48).

¿Qué sanciones tiene la LOPDP?

Además de multar, la Superintendencia dicta medidas correctivas: cese del tratamiento, eliminación de los datos o medidas técnicas, jurídicas u organizativas (art. 65). Ante una infracción grave, la ley prevé aplicar primero medidas correctivas y sancionar si se cumplen tarde, en forma parcial o defectuosa (art. 66, num. 2). Ante una leve, si el infractor ya consta en el Registro Único de incumplidos, se abre directamente el procedimiento sancionador (art. 66, num. 1).

El encargado tiene su propia lista de infracciones (arts. 69 y 70). La multa se gradúa según intencionalidad, reiteración, naturaleza del perjuicio y reincidencia (arts. 71 y 72). El volumen de negocio son las ventas de bienes y servicios del último ejercicio, sin IVA ni otros impuestos ligados a la operación (art. 73). Los sancionados con resolución firme entran al Registro Único de Responsables y Encargados Incumplidos (Disposición General Sexta), que conserva esos datos hasta siete años (Reglamento arts. 87 a 89), y la multa no excluye la responsabilidad civil o penal (Reglamento art. 90).

No es teoría. En diciembre de 2025 la Superintendencia anunció sus primeras sanciones por infracciones graves: USD 259.644 a la LigaPro y USD 194.856 a la Federación Ecuatoriana de Fútbol, por el tratamiento de datos en sus plataformas para hinchas, según Primicias. La entidad lista esas resoluciones en su página de procesos sancionatorios.

¿Qué hace la Superintendencia de Protección de Datos Personales?

La Superintendencia de Protección de Datos Personales (SPDP) supervisa a responsables y encargados, sanciona, resuelve reclamos, audita, emite normas, administra el Registro Nacional, dicta cláusulas estándar, absuelve consultas y autoriza transferencias internacionales (art. 76). Su titular se designa de una terna enviada por el Presidente de la República y ejerce por cinco años (art. 77). Las resoluciones de 2025 y 2026 revisadas para esta guía están firmadas por el superintendente Fabrizio Peralta-Díaz.

Normas de la SPDP que conviene conocer (cada una rige desde su publicación en el Registro Oficial):

¿Qué cambió en 2026?

Notificación de vulneraciones. El artículo 43 original mandaba avisar a la Superintendencia y a la Agencia de Regulación y Control de las Telecomunicaciones. Desde la reforma de mayo de 2026, el aviso va a la Superintendencia, al organismo de regulación y control competente y, con fines informativos y de coordinación técnica, al CSIRT correspondiente, en el mismo término de cinco días.

Gran escala. La norma SPDP-SPD-2026-0005-R suma puntos por número de titulares, volumen, categorías de datos, frecuencia, permanencia y alcance geográfico. Si un tratamiento llega a 6 puntos, exige evaluación de impacto, delegado, constar en el registro de actividades y medidas reforzadas (art. 12), además de auditorías al menos cada 12 meses (art. 17) e informes anuales de cumplimiento guardados cinco años (art. 18).

Inteligencia artificial. Quien desarrolle, entrene, implemente, despliegue o provea sistemas de inteligencia artificial que traten datos de titulares ecuatorianos debe informar el tratamiento automatizado, gestionar riesgos y hacer la evaluación de impacto cuando corresponda, incluirlo en el registro de actividades y auditar el sistema (Resolución SPDP-SPD-2026-0009-R, arts. 1 y 5). El detalle está en inteligencia artificial y datos personales.

Transferencias. La norma de transferencias aclara que el encargo de tratamiento no es transferencia (art. 23), exige inscribir las transferencias internacionales en el Registro Nacional, caso por caso las excepcionales y con un reporte anual consolidado las que se apoyan en un nivel adecuado o en garantías adecuadas (art. 64), da 12 meses para regularizar las anteriores (Disposición Transitoria Primera) y concede a la SPDP hasta 12 meses para implementar el Registro Nacional y su portal (Cuarta).

Proyecto de reforma. Según la Asamblea Nacional (16 de julio de 2026), la asambleísta Dina Farinango presentó un proyecto de Ley Orgánica Reformatoria a la LOPDP sobre consentimiento, niñas, niños y adolescentes, transferencias internacionales y sanciones. A esa fecha solo se había presentado: no está vigente.

Si en tu empresa ya operan agentes de inteligencia artificial, el módulo de cumplimiento LOPDP de Advise prepara la evaluación de impacto, el registro de actividades y la auditoría de esos agentes, para tener el expediente listo ante la Superintendencia.