Protección de datos en Ecuador 2025: resoluciones SPDP
Contexto de la SPDP en Ecuador
Desde que la Superintendencia de Protección de Datos Personales (SPDP) inició funciones, se ha enfocado en la formación y prevención de riesgos relacionados con el tratamiento de datos personales.
Durante su primera etapa, priorizó:
- Consolidar la capacidad de respuesta del sector público como responsable principal del tratamiento de datos
- Establecer un catastro de Delegados de Protección de Datos (DPD)
- Exigir a empresas extranjeras el registro de un apoderado local
Estas acciones se enmarcan en la Ley Orgánica de Protección de Datos Personales (LOPDP), cuya inobservancia puede acarrear sanciones.
Resoluciones emitidas por la SPDP en 2025
En el primer semestre de 2025, se publicaron varias resoluciones para implementar la LOPDP:
- SPDP-SPD-2025-0003-R → Guía de Gestión de Riesgos y Evaluación de Impacto
- SPDP-SPD-2025-0004-R → Reglamento de formación para Delegados de Protección de Datos (DPD / DPO)
- SPDP-SPD-2025-0005-R → Plan Anual de Auditorías (PAA)
- SPDP-SPD-2025-0006-R → Obligación de incluir cláusulas de protección de datos en contratos
En el segundo semestre destacaron:
- SPDP-SPD-2025-0022-R → Metodología para cálculo de multas y gravedad de infracciones
- SPDP-SPD-2025-0028-R → Reglamento del Delegado de Protección de Datos (DPD)
- SPDP-SPD-2025-0024-R → Transferencias nacionales e internacionales de datos
- SPDP-SPD-2025-0030-R → Seudonimización, anonimización, bloqueo y eliminación de datos
- SPDP-SPD-2025-0031-R → Creación del Comité de Protección de Datos Personales
- SPDP-SPD-2025-0032-R → Adopción de la Guía panhispánica de lenguaje claro
- SPDP-SPD-2025-0034-R → Procedimiento de evaluación y revisión de la LOPDP
Sectores obligados a nombrar un Delegado de Protección de Datos (DPD)
La SPDP estableció que deben contar con un DPD los siguientes sectores:
- Instituciones educativas (desde inicial hasta superior)
- Actividades con tratamiento de datos de menores de edad o categorías especiales
- Entidades financieras, de seguros y reaseguros
- Empresas de publicidad, prospección comercial o investigación de mercados que elaboren perfiles
- Actores del sistema de salud y sector farmacéutico
- Empresas de telecomunicaciones, seguridad privada y videovigilancia
- Organizaciones vinculadas al deporte profesional y gremios de profesionales
- Empresas tecnológicas que desarrollen inteligencia artificial
- Concesionarias y alianzas público-privadas de servicios públicos
Impacto esperado en 2026
El 2025 ha sido un año de construcción de marcos normativos y sensibilización en torno a la protección de datos personales en Ecuador. A partir de 2026, es de esperar que inicien los operativos de control y sanciones efectivas, lo que incrementa la urgencia para que organizaciones públicas y privadas:
- Revisen sus políticas de privacidad
- Capaciten a sus equipos en gestión de datos
- Designen formalmente a un Delegado de Protección de Datos
El incumplimiento puede derivar no solo en sanciones económicas, sino también en riesgos reputacionales y pérdida de confianza de clientes.
Preguntas frecuentes (FAQ)
¿Qué es la SPDP en Ecuador?
Es la Superintendencia de Protección de Datos Personales, la autoridad encargada de aplicar y supervisar el cumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPDP).
¿Quiénes deben tener un Delegado de Protección de Datos en Ecuador?
Instituciones educativas, entidades financieras, empresas de salud y farmacéuticas, compañías tecnológicas (incluyendo IA), telecomunicaciones, publicidad, videovigilancia, entre otros sectores establecidos en la Ley Orgánica de Protección de Datos personales, su reglamento y normativa secundaria.
¿Cuáles son las sanciones por incumplir la LOPDP?
Dependiendo de la infracción, la SPDP puede aplicar sanciones económicas, restricciones operativas y medidas correctivas.
Conclusión
El 2025 marcó un antes y un después en la protección de datos personales en Ecuador. Las resoluciones emitidas sentaron las bases de cumplimiento para sectores estratégicos y definieron sanciones claras en caso de incumplimiento.
Para 2026, el desafío será la ejecución efectiva: auditorías, controles y sanciones que obligarán a empresas e instituciones a adoptar una cultura de protección de datos más robusta.
Autora:
Geovanna Puente
Socia en Puente & Asociados, Directora del área de propiedad intelectual 📩 Contacto: gpuente@puenteasociados.com
