LOPDP en Ecuador: qué obliga y qué sanciona la SPDP

Ecuador aprobó en 2021 la Ley Orgánica de Protección de Datos Personales, que dio a las personas derechos sobre su información y creó las obligaciones correspondientes para quien la trata. Su régimen sancionador ya está operativo y lo aplica la Superintendencia de Protección de Datos Personales.

¿Qué obliga a una empresa ecuatoriana?

• › Tratar los datos con una base legítima y una finalidad declarada, y poder acreditarla.
• › Atender los derechos de acceso, rectificación, eliminación, oposición y portabilidad en plazo.
• › Implantar medidas administrativas, técnicas, físicas, organizativas y jurídicas de seguridad.
• › Notificar las vulneraciones de seguridad a la autoridad y, cuando proceda, a los afectados.

La falta de medidas es infracción por sí misma

Este punto separa a la LOPDP de otras normas de la región. No hace falta que haya una fuga para que exista incumplimiento: no haber implantado las medidas ya está tipificado. Eso convierte la pregunta de si tus controles funcionan en algo que conviene responder antes de que la pregunte otro.

Multas que se calculan con método publicado

La Superintendencia ha publicado resoluciones con las reglas de cálculo de las multas para infracciones leves y graves. Que el método sea público es una buena noticia y una mala: se puede anticipar el riesgo, y también se puede anticipar que la autoridad tiene el procedimiento montado.

Qué se puede demostrar y cómo

Las medidas jurídicas y organizativas se acreditan con documentos. Las técnicas, no: se acreditan probándolas. Auditamos la aplicación que trata los datos, el entorno de correo y colaboración, que es por donde se escapa más información de la que se cuenta, y la infraestructura que lo sostiene. Cada hallazgo va con evidencia, y a los seis meses se verifica de nuevo.

Los principios que rigen el tratamiento

• › Juridicidad: solo se trata con una base habilitante prevista en la ley.
• › Lealtad y transparencia: el titular sabe qué se hace con sus datos y para qué.
• › Finalidad: explícita, legítima y comunicada antes de recoger el dato.
• › Minimización: solo los datos necesarios para esa finalidad.
• › Confidencialidad y seguridad: medidas proporcionadas al riesgo.
• › Responsabilidad proactiva: hay que poder demostrar el cumplimiento, no solo afirmarlo.

El último es el que cambia la carga de la prueba. Demostrar exige documentos y evidencias, y las evidencias técnicas solo se consiguen probando.

Notificación de vulneraciones

La ley obliga a notificar a la Superintendencia las vulneraciones de seguridad y, cuando el riesgo para los derechos sea alto, también a los titulares afectados. Como en el resto de la región, el plazo se gana antes del incidente: sabiendo quién declara, quién decide y quién redacta.

El delegado de protección de datos

La ley lo exige en los supuestos que enumera, entre ellos cuando el tratamiento a gran escala o de datos sensibles forma parte de la actividad principal. Fuera de esos casos sigue siendo útil tener a alguien identificado: cuando llega un requerimiento, la ausencia de interlocutor se nota.

Qué auditamos en un encargo ecuatoriano

La aplicación que trata los datos, el entorno de correo y colaboración y la infraestructura que lo sostiene. El correo entra siempre en el alcance porque es por donde se escapa más información de la que se cuenta, y su auditoría parte de 450 euros. En una empresa ecuatoriana media, el hallazgo repetido no es una vulnerabilidad exótica: es una cuenta con permisos de administrador que nadie recuerda haber creado, y una regla de reenvío puesta hace meses que sigue mandando copia de todo a una dirección externa. Todo va con evidencia y con retest a los seis meses.