En esta guía · 13 secciones
Puntos clave
- La ley aplica al tratamiento de datos personales en cualquier soporte, automatizado o no; solo excluye el uso doméstico, los datos de personas fallecidas y los anonimizados (art. 2).
- Tratar datos es lícito solo con una de las ocho bases del art. 7: consentimiento, obligación legal, orden judicial, interés público, ejecución de contrato, interés vital, fuente pública o interés legítimo.
- Una vulneración de seguridad se notifica a la Autoridad, al organismo de control competente y al CSIRT correspondiente en máximo 5 días desde que se conoce (art. 43, reformado por la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, RO 5.º Supl. 290, 22-may-2026) y al titular en 3 días si hay riesgo para sus derechos (art. 46).
- El régimen de sanciones está vigente desde el 26 de mayo de 2023: multas del 0,1 % al 0,7 % del volumen de negocio del ejercicio anterior por infracciones leves y del 0,7 % al 1 % por graves (arts. 71 y 72, Disposición Transitoria Primera).
- El delegado de protección de datos es obligatorio en el sector público y cuando el tratamiento exige control permanente por su volumen, naturaleza o alcance, o es a gran escala de datos especiales (art. 48); no en toda empresa.
La ley de protección de datos en Ecuador es la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Registro Oficial, Quinto Suplemento N.º 459, el 26 de mayo de 2021. Aplica a cualquier empresa o persona que trate datos de otras personas naturales, y desde el 26 de mayo de 2023 la autoridad puede sancionar su incumplimiento. Esta guía resume qué exige, con el artículo al lado de cada obligación, y termina con un plan de cumplimiento realista para una empresa mediana o pequeña.
Desde cuándo rige la ley de protección de datos (y por qué se habla de 2023)
| Fecha | Qué pasó | Norma |
|---|---|---|
| 26 de mayo de 2021 | Se publica la LOPDP y entra en vigencia | Registro Oficial, Quinto Suplemento 459; Disposición Final |
| 26 de mayo de 2023 | Entran en vigencia las medidas correctivas y el régimen sancionatorio, tras dos años de adecuación | Disposición Transitoria Primera |
| 13 de noviembre de 2023 | Se publica el Reglamento General | Decreto Ejecutivo 904, Tercer Suplemento del Registro Oficial |
| 22 de mayo de 2026 | Se reforma el artículo 43 (notificación de vulneraciones) | Ley Orgánica para el Fortalecimiento de la Ciberseguridad, Registro Oficial 5.º Suplemento 290 |
Por eso «ley de protección de datos Ecuador 2023» es una búsqueda frecuente: ese año empezaron las sanciones y llegó el reglamento. Pero las obligaciones existen desde 2021.
Qué protege la ley de protección de datos
Su artículo 1 fija el objeto: garantizar el ejercicio del derecho a la protección de datos personales, que incluye el acceso y la decisión sobre la información de cada persona y su protección. Para lograrlo, la ley regula principios, derechos de los titulares, obligaciones de quienes tratan datos y mecanismos de tutela. En la práctica protege a clientes, empleados, proveedores y cualquier persona natural cuyos datos guarda una empresa.
Ley Orgánica de Protección de Datos Personales: a quién aplica
El artículo 2 dice que la ley se aplica al tratamiento de datos personales «contenidos en cualquier tipo de soporte, automatizados o no». Es decir: una base de clientes en Excel, los chats de WhatsApp con compradores, la carpeta de hojas de vida, el registro de visitantes en recepción y la nómina son tratamientos cubiertos.
Las únicas exclusiones del mismo artículo son tres: personas naturales que usan los datos en actividades familiares o domésticas; datos de personas fallecidas (con la salvedad del artículo 28); y datos anonimizados, mientras no sea posible identificar al titular.
Dos papeles definidos en el artículo 4 ordenan todo lo demás:
- Responsable del tratamiento: quien «solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales». La empresa que recoge los datos de sus clientes es responsable.
- Encargado del tratamiento: quien trata datos «a nombre y por cuenta de un responsable». El proveedor de facturación en la nube, la agencia que maneja tu CRM o el sistema de nómina externo son encargados.
La distinción importa porque las obligaciones y las multas del capítulo de infracciones distinguen a uno y otro (artículos 67 a 70).
Las ocho bases legales del tratamiento (artículo 7)
Tratar datos personales es lícito solo si se cumple alguna de las condiciones del artículo 7:
- Consentimiento del titular, para una o varias finalidades específicas.
- Cumplimiento de una obligación legal del responsable.
- Orden judicial.
- Misión de interés público o ejercicio de poderes públicos atribuidos por norma con rango de ley.
- Ejecución de medidas precontractuales a petición del titular o cumplimiento de obligaciones contractuales.
- Protección de intereses vitales del titular o de otra persona.
- Datos que constan en bases de datos de acceso público.
- Interés legítimo del responsable o de un tercero, siempre que no prevalezcan los derechos del titular.
Para una empresa la consecuencia práctica es que no todo se resuelve con un casillero de consentimiento. Emitir la factura y conservarla el tiempo que exige la norma tributaria es obligación legal (numeral 2). Gestionar el pedido de un cliente es ejecución de contrato (numeral 5). El consentimiento (numeral 1) queda para lo que no cabe en las otras bases, por ejemplo enviar publicidad a quien todavía no es cliente. Cuando se usa, el artículo 8 exige que sea libre, específico, informado e inequívoco, y el artículo 4 lo define como una manifestación de voluntad que el titular puede revocar.
Derechos que tu empresa debe poder atender
La ley reconoce a los titulares, entre otros, estos derechos, y cada uno supone un procedimiento interno para responder:
| Derecho | Artículo | Qué implica para la empresa |
|---|---|---|
| Información | 12 | Decir, antes de recoger los datos, fines, base legal, tipos de tratamiento, tiempo de conservación y existencia de la base de datos, entre otros puntos. Es el «aviso de privacidad». |
| Acceso | 13 | Entregar gratuitamente al titular todos sus datos y la información del art. 12, sin que tenga que justificar el pedido. |
| Rectificación y actualización | 14 | Corregir datos inexactos o incompletos. |
| Eliminación | 15 | Borrar los datos cuando lo pida el titular y proceda. |
| Oposición | 16 | Dejar de tratar los datos cuando el titular se opone y no hay base que prevalezca. |
| Portabilidad | 17 | Entregar los datos en formato estructurado y de uso común. |
| Suspensión del tratamiento | 19 | Detener el tratamiento en los casos previstos. |
| No ser objeto de decisiones automatizadas | 20 | Garantizar intervención humana cuando una decisión con efectos jurídicos se base solo en tratamiento automatizado. |
No tramitar, tramitar tarde o negar sin justificación una de estas peticiones es infracción leve del responsable (artículo 67, numeral 1).
Medidas de seguridad y responsabilidad demostrada
El artículo 37 obliga al responsable y al encargado a aplicar el principio de seguridad de datos personales considerando categorías y volumen de datos, estado de la técnica, mejores prácticas y costos, según la naturaleza, alcance, contexto y fines del tratamiento. La ley no fija una lista cerrada de controles: exige que las medidas sean proporcionales al riesgo y que puedas demostrarlo.
El artículo 47 concreta las obligaciones del responsable, entre ellas: implementar herramientas administrativas, técnicas, físicas, organizativas y jurídicas que garanticen y demuestren el cumplimiento (numeral 2); evaluarlas periódicamente (numeral 3); mantener políticas de protección de datos (numeral 4); usar metodologías de análisis y gestión de riesgos (numeral 5); y notificar las violaciones de seguridad (numeral 8). El artículo 39 añade la protección de datos desde el diseño y por defecto: pensar en el riesgo desde que se concibe un sistema, no después. Los artículos 40 a 42 desarrollan el análisis de riesgo, la determinación de medidas y la evaluación de impacto.
Traducido a una empresa concreta, lo mínimo defendible suele ser: control de accesos por usuario (nadie comparte contraseñas), respaldos cifrados y probados, cifrado en tránsito en la web y el correo, registro de quién accede a qué, contratos con los proveedores que tocan datos, y un procedimiento escrito para incidentes. Cuál es la medida «adecuada» depende del riesgo real, y eso se documenta.
Qué hacer ante una vulneración de seguridad (artículos 43 y 46)
Si se pierde, filtra o accede indebidamente a datos personales:
- El responsable notifica a la Autoridad de Protección de Datos Personales, al organismo de regulación y control competente y, «para efectos informativos y de coordinación técnica», al CSIRT correspondiente, «tan pronto sea posible, y a más tardar en el término de cinco (5) días» desde que tuvo constancia, salvo que sea improbable que constituya un riesgo para los derechos de las personas. Si notifica después de cinco días, debe explicar los motivos (artículo 43, primer inciso sustituido por la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, Registro Oficial 5.º Suplemento 290, 22 de mayo de 2026; antes nombraba a ARCOTEL).
- El encargado avisa al responsable en máximo dos días desde que conoce el incidente (artículo 43, segundo párrafo).
- Si la vulneración conlleva riesgo para los derechos y libertades del titular, el responsable le notifica «sin dilación» y dentro de tres días desde que conoció el riesgo (artículo 46), salvo las excepciones del mismo artículo, por ejemplo cuando hubo medidas de protección aplicadas y demostrablemente efectivas.
Sin un procedimiento escrito y un responsable interno, cinco días se van solos.
Delegado de protección de datos: cuándo es obligatorio (artículo 48)
El delegado se designa obligatoriamente en cuatro casos: cuando trata datos el sector público (artículo 225 de la Constitución); cuando las actividades del responsable o encargado «requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades»; cuando se traten a gran escala categorías especiales de datos; y en el supuesto del numeral 4 sobre datos ajenos a seguridad nacional. La Autoridad puede definir nuevas condiciones.
Para la mayoría de las empresas privadas pequeñas y medianas, el delegado no es obligatorio por defecto; lo es si su actividad encaja en esos supuestos, y el reglamento precisa los criterios. Lo que sí necesita toda empresa es un responsable interno del tema, aunque no lleve el título legal.
El artículo 51 obliga además al responsable a reportar y mantener actualizada ante la Autoridad la información de sus bases de datos y tratamientos en el Registro Nacional de protección de datos personales.
Multas de la ley de protección de datos en Ecuador (artículos 67 a 72)
Las infracciones se dividen en leves y graves, para responsables (artículos 67 y 68) y para encargados (69 y 70). Ejemplos de leves del responsable: no atender peticiones del titular, no aplicar protección desde el diseño, no tener políticas de protección de datos disponibles, elegir un encargado sin garantías o incumplir medidas correctivas. Ejemplos de graves: no implementar las medidas de seguridad exigidas, usar los datos para fines distintos a los declarados o ceder datos sin cumplir los requisitos de la ley.
Las sanciones para entidades privadas y empresas públicas se calculan sobre el volumen de negocio del ejercicio económico anterior:
| Tipo | Multa | Artículo |
|---|---|---|
| Infracción leve | entre el 0,1 % y el 0,7 % del volumen de negocio | 71, numeral 2 |
| Infracción grave | entre el 0,7 % y el 1 % del volumen de negocio | 72, numeral 1 |
Para servidores públicos las multas van de 1 a 10 salarios básicos unificados (leves) y de 10 a 20 (graves). En ambos casos la Autoridad gradúa la multa por intencionalidad, reiteración, naturaleza del perjuicio y reincidencia.
Desde cuándo rige: la Disposición Transitoria Primera fijó que las medidas correctivas y el régimen sancionatorio entraran en vigencia dos años después de la publicación, es decir, desde el 26 de mayo de 2023. La autoridad de control es la Superintendencia de Protección de Datos Personales, cuyo primer titular fue designado en 2024.
Plan de cumplimiento para una empresa mediana o pequeña
Un orden que funciona y que se puede demostrar ante la autoridad:
- Inventario de tratamientos. Qué datos, de quién, para qué, dónde están, quién accede, cuánto tiempo se guardan y qué proveedor los toca. Sin esto no hay base legal que asignar ni riesgo que medir.
- Base legal por tratamiento (artículo 7) y, donde aplique consentimiento, cómo se obtiene y cómo se revoca (artículo 8).
- Aviso de privacidad con el contenido del artículo 12, publicado donde se recogen los datos: web, formularios, contratos, recepción.
- Procedimiento para derechos (artículos 12 a 20): canal de recepción, plazos internos, quién responde, cómo se verifica la identidad.
- Contratos con encargados: cada proveedor que trate datos por cuenta de la empresa, con cláusulas de finalidad, seguridad, notificación de incidentes en dos días y devolución o borrado al terminar.
- Medidas de seguridad documentadas (artículos 37, 39 a 42): análisis de riesgo, controles aplicados, respaldos, accesos, cifrado, y evidencia de que se revisan.
- Procedimiento de incidentes con los plazos de los artículos 43 y 46 y un responsable con nombre.
- Registro Nacional (artículo 51) y, si la empresa encaja en el artículo 48, designación del delegado.
Cuándo pedir ayuda
Si la empresa no tiene inventario de tratamientos ni contratos con sus proveedores de datos, el punto de partida es ese inventario, y conviene hacerlo con alguien que además pueda implementar las medidas técnicas, no solo redactar la política.
Preguntas frecuentes
- ¿Desde cuándo rige la ley de protección de datos en Ecuador?
- La Ley Orgánica de Protección de Datos Personales rige desde su publicación en el Registro Oficial, el 26 de mayo de 2021 (Disposición Final). Las medidas correctivas y el régimen sancionatorio entraron en vigencia dos años después, el 26 de mayo de 2023 (Disposición Transitoria Primera); por eso muchas personas la buscan como «ley de protección de datos 2023». Su Reglamento General se publicó el 13 de noviembre de 2023.
- ¿Qué protege la ley de protección de datos?
- Según su artículo 1, garantiza el ejercicio del derecho a la protección de datos personales, que incluye el acceso y la decisión sobre la información de cada persona y su protección. Para eso regula principios, derechos, obligaciones y mecanismos de tutela que se aplican a cualquier empresa o persona que trate datos de personas naturales.
- ¿La ley de protección de datos aplica a una empresa pequeña?
- Sí, si trata datos personales de clientes, empleados o proveedores en cualquier soporte, incluso una hoja de cálculo o un chat. El art. 2 solo excluye el uso personal o doméstico, los datos de personas fallecidas y los datos anonimizados. El tamaño de la empresa cambia el alcance de las medidas, no la aplicación de la ley.
- ¿Desde cuándo pueden multar por incumplir la LOPDP?
- Desde el 26 de mayo de 2023. La ley se publicó el 26 de mayo de 2021 y su Disposición Transitoria Primera fijó que las medidas correctivas y el régimen sancionatorio entraran en vigencia dos años después.
- ¿Toda empresa necesita un delegado de protección de datos?
- No. El art. 48 lo exige al sector público, a quien por volumen, naturaleza, alcance o finalidad del tratamiento requiera un control permanente y sistematizado, y a quien trate a gran escala categorías especiales de datos, conforme al reglamento. La Autoridad puede fijar nuevas condiciones. Una empresa fuera de esos casos puede designarlo voluntariamente.
- ¿Basta con pedir consentimiento para tratar datos?
- El consentimiento es una de ocho bases del art. 7, no la única ni siempre la mejor. Para ejecutar un contrato con el cliente o cumplir una obligación legal (por ejemplo, tributaria o laboral) la base es esa, no el consentimiento. Cuando se usa consentimiento, debe ser libre, específico, informado e inequívoco (arts. 4 y 8) y el titular puede revocarlo.
- ¿Qué pasa si me roban o filtran una base de datos?
- El responsable debe notificarlo a la Autoridad de Protección de Datos, al organismo de regulación y control competente y, con fines informativos y de coordinación técnica, al CSIRT correspondiente tan pronto sea posible y a más tardar en cinco días desde que tuvo constancia, salvo que sea improbable que suponga un riesgo para las personas (art. 43). Si el incidente conlleva riesgo para los derechos de los titulares, también se les avisa en tres días (art. 46). Si el incidente ocurre en un encargado, este avisa al responsable en dos días.
Fuentes consultadas
- Ley Orgánica para el Fortalecimiento de la Ciberseguridad, Registro Oficial 5.º Suplemento 290 (22-may-2026), art. 14: reforma del art. 43 de la LOPDP · cotejado 2026-10-20
- Reglamento General a la LOPDP, Decreto Ejecutivo 904 (Tercer Suplemento del Registro Oficial, 13-nov-2023) · consultado 2026-10-20
- Ley Orgánica de Protección de Datos Personales, Registro Oficial Quinto Suplemento N.º 459 (texto oficial en PDF, MINTEL) · 2021-05-26 (consultado 2026-09-27)
- Ley y Reglamento de la Ley de Protección de Datos Personales, Ministerio de Telecomunicaciones (enlace al Decreto Ejecutivo 904) · consultado 2026-09-27
- EY Ecuador · Reglamento General de la Ley Orgánica de Protección de Datos Personales (Decreto Ejecutivo 904, 6 de noviembre de 2023) · consultado 2026-09-27
- Superintendencia de Protección de Datos Personales (sitio oficial) · consultado 2026-09-27
- CPCCS · Designación de la autoridad de la Superintendencia de Protección de Datos · consultado 2026-09-27
Sigue leyendo en Protección de datos y seguridad
guia · 9 min · 20 oct 2026
Seguridad informática y ciberseguridad para empresas en Ecuador (2026)
La seguridad informática protege la confidencialidad, integridad y disponibilidad de los datos y sistemas de la empresa. Si esos sistemas guardan datos personales, la LOPDP pide medidas proporcionales al riesgo y notificar las vulneraciones a la Superintendencia, al organismo de control competente y al CSIRT correspondiente.