Protección de datos personales
Cumplimiento LOPDP en Ecuador
Análisis de brechas, registro de actividades de tratamiento, delegado de protección de datos y procedimiento de respuesta ante vulneraciones. Lo que la Superintendencia te va a pedir, documentado y sostenible.
Régimen sancionatorio plenamente vigente desde mayo de 2023. Multas de hasta el 1 % del volumen de negocio del ejercicio anterior.
Dónde estamos
La LOPDP ya no está en período de transición
La Ley Orgánica de Protección de Datos Personales se publicó en mayo de 2021 con dos años de transición. Ese plazo terminó: desde el 26 de mayo de 2023 el régimen sancionatorio está plenamente vigente, y en julio de 2025 la Superintendencia expidió la metodología con la que calcula las multas.
Autoridad en funciones. La Superintendencia de Protección de Datos Personales ejerce control, atiende reclamos de titulares e impone sanciones.
Multas con metodología publicada. Infracciones leves del 0,1 % al 0,7 % del volumen de negocio del ejercicio anterior; graves del 0,7 % al 1 %, ponderadas por intencionalidad, reiteración, perjuicio causado y reincidencia.
Cinco días para notificar una vulneración. Contados desde que la conoces, con comunicación también a los titulares cuando el riesgo para ellos es alto.
No hace falta una brecha para abrir un expediente. El reclamo de un solo titular por una solicitud de acceso o eliminación desatendida es suficiente.
Se suma a la LOPFC, no la reemplaza. Un mismo incidente puede disparar dos obligaciones con plazos distintos: 72 horas al CSIRT Nacional y cinco días a la Superintendencia.
El servicio
Qué entregamos
El cumplimiento de la LOPDP se demuestra con documentos que puedas sustentar, no con una política publicada en el pie de página.
Análisis de brechas
Comparamos tu operación real contra los requisitos de la ley y su reglamento, y te devolvemos el listado de incumplimientos ordenado por riesgo sancionatorio.
Registro de actividades de tratamiento
Inventario de qué datos tratas, con qué finalidad, bajo qué base de licitud, cuánto los conservas y a quién los transfieres. Es el primer documento que pide la autoridad.
Políticas y avisos de privacidad
Aviso de privacidad, política interna, cláusulas contractuales con los proveedores que tratan datos por cuenta tuya y mecanismos de consentimiento verificables.
Delegado de protección de datos
Determinamos si tu organización está obligada a designarlo y, si lo prefieres, asumimos la función como servicio externo.
Derechos de los titulares
Procedimiento y plazos para atender acceso, rectificación, eliminación, oposición, portabilidad y oposición a decisiones automatizadas, con registro de cada solicitud.
Respuesta ante vulneraciones
Procedimiento de notificación en cinco días, formatos de comunicación a los titulares y la evidencia técnica que sustenta el informe.
Cómo trabajamos
De diagnóstico a cumplimiento sostenido
El cumplimiento no es un entregable que se firma y se archiva: es un estado que hay que mantener.
01
Diagnóstico
Entrevistas con las áreas que tratan datos (talento humano, comercial, cobranzas, TI) y revisión de sistemas y contratos. Dos a tres semanas según el tamaño de la organización.
02
Brechas y plan
Informe de incumplimientos priorizado por riesgo sancionatorio, con el esfuerzo estimado y el responsable de cada acción.
03
Implementación
Construcción del registro de tratamientos, políticas, avisos, cláusulas y procedimientos, más los controles técnicos de seguridad que la ley exige como medidas apropiadas al riesgo.
04
Sostenimiento
Revisión periódica, capacitación al personal y acompañamiento si llega un reclamo de un titular o se produce una vulneración.
Dos leyes, dos relojes
LOPDP y LOPFC no son lo mismo, y un incidente puede activar las dos
La LOPDP protege a la persona cuyos datos tratas; la LOPFC protege la continuidad de los servicios y la resiliencia digital del país. Si un ataque de ransomware cifra tu base de clientes, la LOPFC te da 72 horas para notificar al CSIRT Nacional y la LOPDP te da cinco días para notificar a la Superintendencia y, si el riesgo es alto, a los titulares afectados. Son procedimientos distintos, con destinatarios y plazos distintos.
Conviene tenerlos escritos antes de necesitarlos: el día del incidente nadie redacta procedimientos.
Ver la guía de la LOPFCPreguntas frecuentes
¿A qué empresas aplica la LOPDP?
A toda persona natural o jurídica, pública o privada, que trate datos personales de personas en Ecuador, con independencia de su tamaño. No hay umbral de facturación ni de número de empleados: si tienes una nómina, una base de clientes o un registro de visitantes, estás dentro del ámbito de la ley.
¿Cuáles son las multas de la LOPDP?
Para entidades privadas, del 0,1 % al 0,7 % del volumen de negocio del ejercicio económico anterior en infracciones leves, y del 0,7 % al 1 % en infracciones graves. Desde julio de 2025 la Superintendencia aplica una metodología publicada que pondera la intencionalidad, la reiteración, el perjuicio causado y la reincidencia. Para servidores públicos la sanción se expresa en salarios básicos unificados.
¿Estoy obligado a designar un delegado de protección de datos?
Es obligatorio para las entidades públicas y para quienes, por la naturaleza de su actividad, realizan monitoreo sistemático a gran escala o tratan datos sensibles a gran escala. En el resto de los casos es opcional, aunque designar un responsable interno suele ser la vía más práctica de sostener el cumplimiento. En el diagnóstico determinamos cuál es tu caso.
¿Qué hago si sufro una filtración de datos?
Contener primero, documentar en paralelo y notificar a la Superintendencia dentro de los cinco días siguientes a conocer el hecho; si el riesgo para los titulares es alto, también comunicárselo a ellos. Si el incidente afecta la continuidad de un servicio dentro del ámbito de la LOPFC, corre además el plazo de 72 horas al CSIRT Nacional. Tener el procedimiento escrito de antemano es la diferencia entre cumplir e improvisar.
¿Basta con publicar una política de privacidad en el sitio web?
No. La política es la parte visible; lo que la autoridad revisa es el registro de actividades de tratamiento, la base de licitud de cada tratamiento, los contratos con tus encargados, los mecanismos de consentimiento y las medidas de seguridad efectivamente implementadas. Una política copiada de otra empresa es, en el mejor de los casos, una declaración que no puedes sustentar.
¿Cumplir la LOPDP exige certificarse en ISO 27001?
No, la ley no exige ninguna certificación. Sí exige medidas técnicas y organizativas apropiadas al riesgo, y un SGSI certificado ISO 27001 es la forma más reconocida de demostrarlas. Los dos caminos se refuerzan: el registro de tratamientos de la LOPDP alimenta el inventario de activos de la ISO 27001, y los controles del Anexo A cubren buena parte de las medidas de seguridad que la ley pide.
Empieza por saber dónde estás
Un diagnóstico LOPDP te dice qué incumples hoy y en qué orden conviene cerrarlo, antes de que lo determine un reclamo.
Escríbenos a info@eopensolutions.com o llama al +593 99 494 5789.
