Puntos clave
- Lo exigen los artículos 38 y 39 del Reglamento General de la LOPDP, vigente desde noviembre de 2023.
- Debe tener al menos nueve campos y entregarse a la Superintendencia cuando lo pida.
- Los tratamientos con sistemas de IA y sus decisiones automatizadas con efectos jurídicos deben constar en el RAT (Resolución SPDP-SPD-2026-0009-R).
- En tratamientos a gran escala, el RAT suma seis campos, el resultado del modelo técnico y una actualización al menos anual.
- El RAT no es el Registro Nacional de Protección de Datos Personales, que se reporta a la Superintendencia.
Esta guía es información general y no constituye asesoría legal. Para decisiones sobre tu caso, consulta a un abogado.
¿Qué es el registro de actividades de tratamiento?
Es el inventario, por escrito o en formato electrónico, de cada actividad en la que tu empresa usa datos personales: la nómina, la facturación, la cobranza, el marketing o la atención por WhatsApp. No guarda los datos en sí, sino la ficha de cada tratamiento: para qué se usa, de quién son los datos, con quién se comparten, cuánto tiempo se conservan y cómo se protegen.
En Ecuador lo regula el artículo 38 del Reglamento General de la LOPDP, publicado en el Registro Oficial el 13 de noviembre de 2023. Es la base para demostrar la responsabilidad proactiva que exige el artículo 10, letra k, de la LOPDP, y debe ponerse a disposición de la Superintendencia de Protección de Datos Personales cuando lo solicite.
¿Quién debe llevarlo?
| Situación | ¿Debe llevar RAT? | Base |
|---|---|---|
| Responsable con 100 o más trabajadores | Sí, de todas sus actividades de tratamiento | Reglamento, art. 38 |
| Responsable con menos de 100 trabajadores cuyo tratamiento puede generar riesgo, no es ocasional o incluye categorías especiales de datos | Sí; basta una de las tres condiciones | Reglamento, art. 39 |
| Encargado (el proveedor que trata datos por cuenta de otro) cuando el responsable está obligado | Sí | Reglamento, art. 44 |
| Tratamiento a gran escala | Sí, con campos adicionales | Resolución SPDP-SPD-2026-0005-R, arts. 12 y 15 |
| Tratamientos con sistemas de inteligencia artificial | Deben constar en el RAT | Resolución SPDP-SPD-2026-0009-R, art. 5 |
Lee con cuidado el artículo 39: basta con que el tratamiento no sea ocasional. Procesos recurrentes como la nómina mensual o la atención diaria a clientes difícilmente encajan como ocasionales, así que una empresa de menos de 100 personas también puede quedar obligada. La diferencia entre quien decide sobre los datos y quien los procesa por encargo está en responsable y encargado del tratamiento.
¿Qué campos lleva según la norma ecuatoriana?
El artículo 38 del Reglamento fija nueve contenidos mínimos. La columna de la derecha es un ejemplo ilustrativo para un agente de cobranza por WhatsApp:
| Campo | Base | Ejemplo ilustrativo |
|---|---|---|
| Nombre y contacto del responsable, del corresponsable si existe, y del delegado de protección de datos | Art. 38.1 | Razón social y correo del delegado |
| Fines del tratamiento | Art. 38.2 | Recordar vencimientos y registrar promesas de pago |
| Categorías de destinatarios | Art. 38.3 | Proveedor de mensajería y proveedor del modelo, como encargados |
| Titulares y categorías de datos | Art. 38.4 | Clientes con saldo: nombre, teléfono, saldo e historial de pagos |
| Uso de perfiles, si aplica | Art. 38.5 | Segmentación por riesgo de mora |
| Transferencias a terceros países u organizaciones internacionales, si aplica | Art. 38.6 | País de destino y mecanismo que la ampara, o «ninguna» |
| Base legitimadora | Art. 38.7 | Ejecución del contrato (LOPDP, art. 7, numeral 5) |
| Plazos de conservación o de revisión | Art. 38.8 | Mientras exista la obligación, más los plazos legales que apliquen |
| Descripción general de medidas técnicas, jurídicas, administrativas y organizativas | Art. 38.9 | Seudonimización antes de enviar datos al modelo, permisos por rol y registro de mensajes |
Si el tratamiento es de gran escala, la norma de 2026 agrega seis campos (art. 15): descripción del tratamiento, categorías y tipos de datos, titulares, frecuencia, permanencia y medidas de seguridad. También deben constar el número de titulares y el volumen de datos (art. 4) y el resultado del Modelo Técnico de Gran Escala (art. 7); además, hay que conservar la evidencia del cálculo y la fecha de la última actualización (art. 6). Cómo se calcula ese puntaje está en la guía de evaluación de impacto.
Si hay inteligencia artificial, la norma de la Superintendencia exige registrar las decisiones automatizadas que generen efectos jurídicos o afecten los derechos y libertades de las personas, y poner el RAT a disposición de la Superintendencia (art. 7.1).
¿Cómo se arma el RAT paso a paso?
Una hoja de cálculo bien estructurada basta para empezar; lo importante es que refleje cómo opera de verdad la empresa:
- Lista los procesos que usan datos de personas: nómina, selección, ventas, cobranza, marketing, atención al cliente, proveedores, videovigilancia.
- Por cada proceso, identifica los datos y su origen: qué campos se usan, de qué sistema salen (ERP, CRM, WhatsApp, correo, hojas de cálculo) y quién accede a ellos.
- Asigna la base legal de cada finalidad entre las ocho del artículo 7 de la LOPDP y define el plazo de conservación.
- Anota encargados y transferencias: qué proveedores tratan datos por tu cuenta, desde qué país y con qué contrato.
- Describe las medidas de seguridad, calcula el puntaje de gran escala si aplica y decide si el tratamiento necesita evaluación de impacto.
- Nombra a un responsable de actualizarlo y fija una fecha de revisión, como mínimo anual.
¿En qué se diferencia del Registro Nacional de Protección de Datos?
Son dos obligaciones distintas que suelen confundirse:
| Aspecto | Registro de actividades (RAT) | Registro Nacional de Protección de Datos Personales |
|---|---|---|
| Base legal | Reglamento, arts. 38, 39 y 44 | LOPDP, art. 51; Reglamento, arts. 84 a 86 |
| Dónde vive | En la empresa; se entrega cuando la Superintendencia lo pide | Registro público a cargo de la Superintendencia |
| Qué contiene | La ficha detallada de cada actividad | Identificación de la base o tratamiento, contactos, finalidad, naturaleza de los datos, destinatarios, medidas de seguridad y tiempo de conservación, entre otros |
| Plazo | Permanente y actualizado | Dentro del término de 10 días contados desde el día siguiente al inicio del tratamiento (Reglamento, art. 86) |
| Transferencias internacionales | Se describen en el campo 6 | Se registran según el art. 78 del Reglamento; la norma de transferencias de 2026 distingue el reporte anual consolidado y la inscripción previa individual, según el caso (art. 64) |
La norma general de transferencias, firmada el 28 de enero de 2026, dio a la Superintendencia hasta 12 meses desde su vigencia para implementar el portal del Registro Nacional. Revisa en el sitio de la Superintendencia cómo se reporta hoy antes de dar por cumplida esta obligación.
¿Cómo mantenerlo al día cuando hay agentes de IA?
Un agente de IA cambia más rápido que un proceso manual: hoy lee el ERP, mañana también el correo. Estas prácticas mantienen el RAT fiel a la realidad:
- Una fila por agente y por finalidad. La cobranza por WhatsApp y la conciliación bancaria son tratamientos distintos aunque usen el mismo modelo.
- Marca las decisiones automatizadas. Si el agente decide algo con efectos jurídicos para una persona, regístralo y prepara la respuesta a los derechos del artículo 20 de la LOPDP, explicados en inteligencia artificial y datos personales.
- Registra a cada proveedor como encargado, con su contrato escrito (Reglamento, art. 41) y los subencargados que autorizaste (art. 45).
- Actualiza antes de conectar una nueva fuente de datos al agente, no después.
- Si el tratamiento es de gran escala, recalcula el modelo cuando cambien el volumen, los datos o el alcance (norma de gran escala, art. 13) y actualiza el RAT al menos una vez al año, con la evidencia del cálculo (art. 6). La norma dispone que omitir esa actualización se sanciona conforme a la LOPDP.
- Enlaza cada fila con su evaluación de impacto, cuando corresponda.
- Asigna un dueño. El delegado de protección de datos supervisa el cumplimiento (LOPDP, art. 49); revisa quién debe tenerlo.
En Advise, el registro de actividades, la evaluación de impacto y la auditoría de los agentes en producción forman parte del módulo de cumplimiento LOPDP, con el expediente listo ante la Superintendencia.
Preguntas frecuentes
¿Qué es el registro de actividades de tratamiento?
Es el inventario escrito o electrónico de cada actividad en la que una empresa usa datos personales: fines, titulares, categorías de datos, destinatarios, transferencias, base legal, plazos de conservación y medidas de seguridad. Lo regula el artículo 38 del Reglamento General de la LOPDP y debe ponerse a disposición de la Superintendencia cuando lo solicite.
¿Quién debe llevar el registro de actividades de tratamiento?
Todo responsable del tratamiento con 100 o más trabajadores. Con menos de 100 también debe llevarlo si el tratamiento puede generar riesgo, si no es ocasional o si incluye categorías especiales de datos (artículo 39 del Reglamento). El encargado lleva su propio registro cuando el responsable está obligado.
¿Qué diferencia hay entre el RAT y el Registro Nacional de Protección de Datos?
El RAT es interno, detalla cada actividad y se entrega cuando la Superintendencia lo pide. El Registro Nacional es un registro público a cargo de la Superintendencia, donde el responsable reporta cada base de datos o tratamiento dentro del término de 10 días desde su inicio (artículos 84 a 86 del Reglamento).
¿Hay que registrar en el RAT los agentes de IA?
Sí. La norma de la Superintendencia sobre inteligencia artificial obliga a incluir en el RAT los tratamientos hechos con sistemas de IA y, en particular, las decisiones automatizadas que generen efectos jurídicos o afecten los derechos y libertades de las personas.
¿Cada cuánto se actualiza el RAT?
El Reglamento pide mantenerlo al día sin fijar un plazo general. Para los tratamientos a gran escala, la norma de 2026 exige actualizarlo al menos una vez al año o cuando cambien los criterios que lo califican, y guardar la evidencia del cálculo y de la fecha de actualización.
¿El encargado del tratamiento también lleva un RAT?
Sí, cuando el responsable está obligado a llevarlo (artículo 44 del Reglamento). Además, las normas de 2026 extienden varias obligaciones a los encargados que tengan acceso, visibilidad o control efectivo sobre los datos tratados.
Fuentes
- Presidencia de la República · Registro Oficial, Tercer Suplemento 435 (copia de la Superintendencia de Protección de Datos Personales) · Reglamento General de la Ley Orgánica de Protección de Datos Personales, Decreto Ejecutivo 904 (arts. 38, 39, 41, 44, 45, 84 a 86) (2023-11-13)
- Asamblea Nacional del Ecuador · Registro Oficial, Quinto Suplemento 459 (copia en gob.ec) · Ley Orgánica de Protección de Datos Personales (arts. 7, 10, 49 y 51) (2021-05-26)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0005-R: Norma general sobre el tratamiento de datos personales a gran escala (2026-02-02)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0009-R: Norma general para la garantía del derecho de protección de datos personales en el uso de sistemas de inteligencia artificial (2026-02-12)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0037-R: reforma a la norma general sobre sistemas de inteligencia artificial (2026-09-09)
- Superintendencia de Protección de Datos Personales · Resolución SPDP-SPD-2026-0004-R: Norma general de transferencias o comunicaciones nacionales e internacionales de datos personales (2026-01-28)
Revisado el 11 de noviembre de 2026 contra las fuentes citadas. Los precios y normas de terceros pueden cambiar: confirma en la fuente.