Ecuador tiene una ley de proteccion de datos personales vigente: la LOPDP (Ley Organica de Proteccion de Datos Personales), aprobada en 2021 y con plena vigencia desde 2023. Si tu empresa recopila, almacena, o procesa datos de personas (nombres, cedulas, emails, direcciones, historiales medicos, datos financieros), esta ley te aplica y te obliga a cumplir con estandares de seguridad, consentimiento, y derechos de los titulares. En esta guia te explicamos que exige, como cumplir, y las sanciones por incumplimiento.
En Blue Nova asesoramos a empresas ecuatorianas en el componente tecnico del cumplimiento de la LOPDP: seguridad de datos, cifrado, control de accesos, y gestion de brechas. No somos abogados (el componente legal requiere asesoria juridica), pero la implementacion tecnica de la proteccion de datos es nuestro territorio.
Que es la LOPDP
La Ley Organica de Proteccion de Datos Personales (LOPDP) es la normativa ecuatoriana que regula el tratamiento de datos personales. Esta inspirada en el GDPR europeo y establece derechos para los titulares de los datos (las personas) y obligaciones para quienes los procesan (las empresas).
Dato personal: cualquier informacion que identifica o puede identificar a una persona: nombre, cedula, email, telefono, direccion, foto, huella digital, historial medico, datos bancarios, direccion IP, ubicacion GPS.
Datos sensibles: categoria especial con proteccion reforzada: origen etnico, orientacion sexual, salud, religion, afiliacion politica, datos biometricos, y antecedentes penales. Requieren consentimiento explicito y medidas de seguridad adicionales.
A quien aplica
A toda empresa que recopile, almacene, use, o comparta datos personales en Ecuador:
- E-commerce que recopila datos de clientes (nombre, direccion, tarjeta)
- Clinicas y consultorios que manejan historiales medicos
- Firmas legales con datos de casos y clientes
- Inmobiliarias con datos de compradores y arrendatarios
- Restaurantes con bases de datos de reservas y delivery
- Cualquier empresa con formulario de contacto en su web
- Cualquier empresa con base de datos de empleados
No importa el tamano: la LOPDP aplica a microempresas, PYMEs, y grandes empresas por igual. Si manejas datos personales, te aplica.
Derechos de los titulares (ARCO+)
| Derecho | Que significa | Tu obligacion |
|---|---|---|
| Acceso | Saber que datos tienes sobre ellos | Entregar copia de sus datos en 15 dias |
| Rectificacion | Corregir datos incorrectos | Actualizar datos a solicitud |
| Cancelacion | Eliminar sus datos | Borrar datos cuando lo soliciten |
| Oposicion | Negarse al tratamiento de sus datos | Dejar de procesar sus datos |
| Portabilidad | Recibir sus datos en formato digital | Entregar datos en formato estandar |
Tu empresa debe tener un mecanismo claro para que las personas ejerzan estos derechos. No basta con “mandenos un email”: necesitas proceso documentado y plazos definidos.
Obligaciones de tu empresa
Consentimiento
Informado: el titular debe saber exactamente que datos recopilas, para que, durante cuanto tiempo, y con quien los compartes. No letras pequenas ilegibles: informacion clara y accesible.
Libre: no puedes condicionar un servicio a que entreguen datos innecesarios. Si vendes zapatos online, no necesitas el estado civil del comprador.
Especifico: el consentimiento para “enviar newsletter” no te autoriza a “vender sus datos a terceros”. Cada uso requiere consentimiento separado.
Revocable: el titular puede retirar su consentimiento en cualquier momento y debe ser tan facil retirarlo como darlo.
Seguridad de datos
Medidas tecnicas: cifrado de datos sensibles (en reposo y en transito), control de acceso basado en roles, autenticacion fuerte, firewalls, antivirus, y monitoreo de accesos.
Medidas organizativas: politicas de privacidad documentadas, capacitacion del personal que maneja datos, acuerdos de confidencialidad, y procedimientos de respuesta a brechas.
Principio de minimizacion: recopila solo los datos que necesitas para el proposito declarado. Si no lo necesitas, no lo pidas. Menos datos = menos riesgo.
Limitacion de almacenamiento: no guardes datos indefinidamente. Define periodos de retencion y elimina los datos cuando ya no los necesitas.
Notificacion de brechas
Obligacion de notificar: si sufres una brecha de seguridad que afecte datos personales, debes notificar a la Autoridad de Proteccion de Datos y a los titulares afectados.
Plazo: la notificacion debe ser “sin dilacion indebida”. En la practica, se recomienda notificar dentro de las 72 horas siguientes al descubrimiento de la brecha.
Contenido: que datos fueron afectados, cuantos titulares, que medidas tomaste, y que pueden hacer los afectados para protegerse.
Delegado de Proteccion de Datos
Empresas que manejan datos sensibles a gran escala o cuya actividad principal es el tratamiento de datos deben designar un Delegado de Proteccion de Datos (DPO). El DPO supervisa el cumplimiento, asesora internamente, y es el punto de contacto con la autoridad.
Sanciones por incumplimiento
| Infraccion | Sancion | Ejemplo |
|---|---|---|
| Leve | 0.1% – 0.7% de facturacion anual | No tener politica de privacidad |
| Grave | 0.7% – 1% de facturacion anual | Tratar datos sin consentimiento |
| Muy grave | 1% – 10% de facturacion anual (max) | No notificar una brecha de datos sensibles |
Ademas de las multas, el incumplimiento puede generar: suspension del tratamiento de datos (paraliza operaciones), responsabilidad civil por danos, y dano reputacional severo.
Como implementar el cumplimiento
Paso 1: Inventario de datos
Mapea todos los datos personales que tu empresa recopila, almacena, y procesa. Para cada tipo de dato: que es, de donde viene, para que lo usas, donde lo almacenas, quien tiene acceso, y cuanto tiempo lo guardas.
Paso 2: Base legal
Para cada tratamiento de datos, identifica la base legal: consentimiento, ejecucion de contrato, obligacion legal, interes legitimo, o interes vital. No todo requiere consentimiento explicito, pero todo requiere una base legal.
Paso 3: Politica de privacidad
Redacta (o actualiza) tu politica de privacidad con lenguaje claro: que datos recopilas, para que, con quien los compartes, cuanto tiempo los guardas, y como ejercer derechos ARCO+. Publicala en tu sitio web y en todos los puntos de recopilacion.
Paso 4: Medidas de seguridad
Implementa las medidas tecnicas y organizativas proporcionales al riesgo: cifrado, control de acceso, backups, actualizaciones, capacitacion del personal, y plan de respuesta a brechas.
Paso 5: Procedimientos de derechos ARCO+
Crea un proceso documentado para recibir y responder solicitudes de acceso, rectificacion, cancelacion, oposicion, y portabilidad. Con plazos, responsables, y registros.
Paso 6: Contratos con terceros
Si compartes datos con proveedores (hosting, CRM, email marketing), formaliza contratos de tratamiento de datos que obliguen al proveedor a cumplir con la LOPDP.
Cuanto cuesta cumplir
| Componente | Costo | Quien lo hace |
|---|---|---|
| Asesoria legal (politicas, contratos) | $1,000 – $5,000 | Abogado especializado |
| Implementacion tecnica (seguridad) | $500 – $3,000 | Equipo de ciberseguridad |
| Auditoria de datos | $500 – $2,000 | Consultor + tecnico |
| Capacitacion del personal | $500 – $1,500 | Formador especializado |
| DPO externo (si aplica) | $300 – $800/mes | Profesional certificado |
IVA 15% no incluido.
Comparacion: el cumplimiento basico cuesta $2,500-7,000. Una sancion grave puede costar el 1-10% de tu facturacion anual. Para una empresa que factura $500,000/ano, eso es $5,000-50,000.
Errores comunes
“Solo aplica a empresas grandes”: la LOPDP aplica a toda empresa que maneje datos personales, sin importar tamano. Un consultorio medico de 3 personas maneja datos sensibles (salud) y debe cumplir.
Copiar politica de privacidad generica: una politica de privacidad copiada de internet que no refleja tus practicas reales no cumple con la ley. Debe ser especifica para tu empresa y tus tratamientos de datos.
No capacitar al personal: tu recepcionista que maneja datos de clientes, tu vendedor con acceso al CRM, tu contador con datos financieros: todos necesitan saber que pueden y que no pueden hacer con datos personales.
Recopilar mas de lo necesario: formularios de contacto que piden cedula, fecha de nacimiento, y estado civil para “solicitar informacion”. Principio de minimizacion: pide solo lo que necesitas.
Guardar datos indefinidamente: bases de datos de clientes de hace 10 anos que ya no son relevantes. Si no tienes base legal para seguir almacenando esos datos, debes eliminarlos.
Estrategia integrada con Blue Nova
Implementacion tecnica LOPDP: cifrado, control de acceso, seguridad de bases de datos, y medidas tecnicas que la ley exige. Trabajamos con tu abogado para implementar lo que el componente legal define. Consultar precio.
Auditoria de seguridad de datos: revision de como almacenas, proteges, y procesas datos personales. Identificamos brechas de cumplimiento tecnico. Desde $500.
Plan de respuesta a brechas: protocolo tecnico para detectar, contener, y notificar brechas de datos personales dentro de las 72 horas. Desde $1,000.
Capacitacion en proteccion de datos: sesiones para tu equipo sobre manejo seguro de datos personales, buenas practicas, y que hacer ante incidentes. Desde $500.
Preguntas frecuentes sobre la LOPDP
La LOPDP ya esta vigente
Si. Fue aprobada en 2021 y entro en plena vigencia en mayo de 2023. La Autoridad de Proteccion de Datos Personales esta operativa y puede imponer sanciones. El cumplimiento no es futuro: es ahora.
Necesito abogado para cumplir
Para el componente legal (politicas de privacidad, base legal, contratos de tratamiento): si, necesitas asesoria juridica especializada. Para el componente tecnico (seguridad, cifrado, accesos): necesitas un equipo de ciberseguridad. Ambos se complementan.
Un formulario de contacto me obliga a cumplir
Si. Un formulario que recopila nombre, email, y telefono esta tratando datos personales. Necesitas: politica de privacidad visible, consentimiento informado (checkbox), y seguridad en el almacenamiento de esos datos.
Que pasa si un cliente me pide eliminar sus datos
Debes eliminarlos en un plazo razonable (15 dias), salvo que tengas obligacion legal de conservarlos (ej: facturas por 7 anos por obligacion tributaria). Documenta la solicitud y tu respuesta.
WhatsApp cuenta como tratamiento de datos
Si. Si usas WhatsApp para comunicarte con clientes y almacenas sus numeros, nombres, y conversaciones, estas tratando datos personales. Los grupos de WhatsApp con datos de clientes son un riesgo de cumplimiento.
Mi hosting esta fuera de Ecuador
La LOPDP regula transferencias internacionales de datos. Si tu hosting esta en otro pais, necesitas verificar que ese pais tenga proteccion de datos adecuada o incluir clausulas contractuales tipo en tu contrato con el proveedor.
Puedo usar los datos de clientes para marketing
Solo con consentimiento especifico para marketing. El consentimiento para “recibir servicio” no incluye “recibir publicidad”. Necesitas consentimiento separado y opcion de darse de baja en cada comunicacion.
Las camaras de seguridad entran en la LOPDP
Si. Las camaras de videovigilancia capturan imagenes de personas (dato personal). Necesitas: aviso visible de grabacion, finalidad legitima (seguridad), y periodo de retencion definido (no guardar indefinidamente).
Que datos de empleados debo proteger
Todos: nombre, cedula, direccion, datos bancarios, datos de salud (examenes medicos), evaluaciones de desempeno, y cualquier informacion personal. Los empleados tienen los mismos derechos ARCO+ que los clientes.
Cuanto tiempo puedo guardar datos
Solo el tiempo necesario para el proposito declarado. Datos de una cotizacion no aceptada: 6 meses. Datos de un cliente activo: mientras dure la relacion. Facturas: 7 anos (obligacion tributaria). Define y documenta tus periodos.
Hay multas ya impuestas en Ecuador
La Autoridad esta en fase de implementacion y ha iniciado procesos. Las sanciones se estan aplicando progresivamente. No esperes a la primera multa publica para cumplir: cuando eso pase, sera mas costoso y urgente.
Como empiezo
Agenda una auditoria de proteccion de datos. Evaluamos que datos manejas, como los proteges, y donde estan las brechas de cumplimiento. Te conectamos con asesoria legal si la necesitas. Contactanos aqui.
Cumple con la LOPDP antes de que la LOPDP te alcance
La ley esta vigente y las sanciones van del 0.1% al 10% de tu facturacion. No es cuestion de si te van a fiscalizar, sino de cuando. Blue Nova implementa las medidas tecnicas de proteccion de datos que la ley exige: cifrado, control de acceso, seguridad de bases de datos, y plan de respuesta a brechas. Desde $500 el componente tecnico. Agenda tu auditoria y cumple con tranquilidad.
Bibliografia y fuentes consultadas
- Asamblea Nacional del Ecuador. Ley Organica de Proteccion de Datos Personales (LOPDP). asambleanacional.gob.ec
- Superintendencia de Proteccion de Datos Personales. Guia de Cumplimiento. datospersonales.gob.ec
- GDPR.eu. General Data Protection Regulation: Reference Framework. gdpr.eu
- IAPP. Latin America Data Protection Laws Comparison. iapp.org
- Deloitte. Data Protection Impact Assessment Guide 2025. deloitte.com
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.