La ley no pregunta si la empresa es grande: pregunta si trata datos de personas. Casi todas lo hacen desde el primer contrato.
El cumplimiento en protección de datos no vive en el departamento de sistemas: vive en los procesos que recogen información de candidatos, trabajadores, clientes y proveedores. Por eso esta guía forma parte del programa de compliance empresarial, junto con el código de ética y la debida diligencia de terceros: son controles de la misma familia, con evidencia y responsables.
Qué regula la LOPDP y a quién aplica
El Art. 1 de la Ley fija su objeto: garantizar el derecho a la protección de datos personales, que incluye el acceso y la decisión sobre la información que concierne a cada persona. El Art. 2 la aplica al tratamiento de datos personales contenidos en cualquier soporte, automatizado o no.
Dicho en términos de empresa: aplica a la hoja de vida que llega por correo, al reloj de asistencia, a la historia clínica ocupacional, a la base de clientes, a las cámaras de seguridad y al Excel de proveedores. La Ley distingue dos papeles que conviene separar desde el principio:
| Figura | Quién es | Qué decide |
|---|---|---|
| Responsable del tratamiento | La empresa que recoge los datos | Para qué se tratan y con qué medios |
| Encargado del tratamiento | El proveedor que trata datos por cuenta de la empresa | Nada por su cuenta: ejecuta instrucciones documentadas |
| Titular | La persona a la que pertenecen los datos | Ejerce los derechos y, cuando corresponde, consiente |
El Art. 43 del Reglamento General a la Ley (Decreto 904, Registro Oficial Suplemento del 13 de noviembre de 2023) cierra el punto: el encargado que por cualquier causa determine los fines y los medios del tratamiento «se considerará, para efectos de la Ley, responsable del tratamiento». Un proveedor que empieza a usar la base para su propia campaña dejó de ser encargado.
Bases legales: cuándo se puede tratar un dato
El consentimiento es una de las bases, no la única. El Art. 7 de la LOPDP enumera ocho condiciones que hacen legítimo el tratamiento. Estas son las que más se usan en una empresa:
| Base legal (Art. 7) | Ejemplo típico en la empresa |
|---|---|
| Consentimiento del titular | Fotografías del personal en redes sociales corporativas |
| Cumplimiento de una obligación legal | Avisos de entrada y salida al IESS, planillas, exámenes ocupacionales |
| Ejecución del contrato o medidas precontractuales | Datos del trabajador para nómina; datos del candidato durante la selección |
| Interés legítimo del responsable | Control de acceso a instalaciones, con análisis previo y transparencia |
| Protección de intereses vitales | Contacto de emergencia ante un accidente de trabajo |
Cuando la base es el consentimiento, el Art. 8 exige que sea libre, específico, informado e inequívoco, y que pueda revocarse en cualquier momento por un procedimiento tan sencillo como aquel con el que se obtuvo. Cuando la base es el interés legítimo, el Art. 9 pide tratar solo lo estrictamente necesario y garantizar transparencia; la autoridad puede requerir un informe de riesgo.
El error más común no es carecer de consentimiento: es pedir consentimiento para lo que ya era obligación legal —y quedar atrapado cuando alguien lo revoca— o apoyarse en el consentimiento de un trabajador, donde la libertad de decidir es discutible por la relación de dependencia.
¿Necesita aplicarlo en su empresa? Un especialista de Tagline revisa su caso, sin costo.
Conversar por WhatsAppDerechos del titular y plazos de respuesta
La Ley reconoce derechos con plazo, y el plazo es el que convierte la teoría en un procedimiento interno:
| Derecho | Artículo | Plazo de la empresa |
|---|---|---|
| Información sobre el tratamiento | Art. 12 | Al momento de recoger los datos |
| Acceso | Art. 13 | Quince días, gratuito |
| Rectificación y actualización | Art. 14 | Quince días, e informar al destinatario de los datos |
| Eliminación | Art. 15 | Quince días desde la solicitud, gratuito |
| Oposición | Art. 16 | Según el caso previsto en la norma |
| Portabilidad | Art. 17 | Entrega en formato reutilizable |
| Suspensión del tratamiento | Art. 19 | Mientras se resuelve la controversia |
| No ser objeto de decisiones automatizadas | Art. 20 | Revisión humana cuando se solicita |
Quince días es poco tiempo si la empresa no sabe dónde están los datos. Por eso el inventario de tratamientos no es burocracia: es la condición para responder. El Reglamento añade un detalle operativo útil (Art. 30): si la solicitud es confusa, el responsable puede pedir una aclaración por una sola vez dentro del término de cinco días, y el titular cuenta con diez días para completarla.
Delegado de protección de datos: cuándo es obligatorio y qué hace
El delegado de protección de datos (DPD) es la persona natural que asesora, vela y supervisa —de manera independiente— el cumplimiento de las obligaciones del responsable y del encargado. Así lo define el Art. 48 del Reglamento.
El Art. 48 de la Ley enumera los casos en que debe designarse:
- Cuando el tratamiento lo realiza el sector público, en los términos del Art. 225 de la Constitución.
- Cuando las actividades del responsable o encargado requieren un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades.
- Cuando hay tratamiento a gran escala de categorías especiales de datos —salud, biometría, origen étnico, datos de niñas, niños y adolescentes, entre otros—.
Qué significa «permanente y sistematizado» lo aterriza el Art. 53 del Reglamento: tratamiento continuado, recurrente o periódico, y preestablecido, organizado o metódico, o que forme parte de un plan general de recogida de datos. Una empresa de vigilancia, una clínica ocupacional o una firma que hace selección de personal para terceros caen ahí con naturalidad; una comercializadora pequeña, en general, no.
Sus funciones están en el Art. 49 de la Ley: asesorar, supervisar el cumplimiento, acompañar el análisis de riesgo y la evaluación de impacto, y actuar como punto de contacto con la autoridad. Y hay condiciones de fondo que suelen olvidarse:
- Independencia y reporte al máximo nivel. El Art. 50 de la Ley pide que mantenga relación directa con el más alto nivel ejecutivo y prohíbe destituirlo o sancionarlo por el correcto desempeño de sus funciones.
- Puede ser interno o externo. El Art. 49 del Reglamento admite relación de dependencia o contrato de prestación de servicios, siempre con independencia real.
- Requisitos del cargo (Art. 55 del Reglamento): mayor de edad, en goce de los derechos políticos, título de tercer nivel en Derecho, Sistemas de Información, de Comunicación o de Tecnologías, y al menos cinco años de experiencia profesional.
- Incompatibilidades (Art. 56 del Reglamento): no pueden serlo quienes integran los órganos de administración y control, los socios o accionistas, ni sus parientes hasta el cuarto grado de consanguinidad o segundo de afinidad.
- Grupos empresariales (Art. 50 del Reglamento): pueden designar un único delegado si puede ejecutar sus actividades sin conflicto de intereses.
- Designación voluntaria (Art. 52 del Reglamento): quien no está obligado puede designarlo como buena práctica, y también un delegado suplente.
La designación se registra ante la Superintendencia de Protección de Datos Personales. Su guía oficial de trámites describe el procedimiento: se ingresa al sistema de registros de datos personales de la Superintendencia, se completa el formulario del Delegado de Protección de Datos y se adjuntan la designación, el nombramiento o poder del representante legal y el certificado de RUC. El trámite no tiene costo y se realiza en línea.
Registro de actividades de tratamiento
El Art. 51 de la LOPDP obliga al responsable a reportar y mantener actualizada, ante la autoridad, la información de cada base de datos o tratamiento: identificación del tratamiento, datos del responsable y del encargado, finalidad, naturaleza de los datos, destinatarios, medios aplicados, medidas de seguridad y tiempo de conservación.
El Reglamento fija el reloj: el reporte «deberá realizarse dentro del término de diez días contados a partir del día siguiente al inicio del tratamiento» (Art. 86), y la actualización es obligación del responsable (Art. 85), de manera independiente por cada base o tratamiento.
En la práctica, el registro se alimenta de un inventario interno que la empresa ya debería tener para ordenar su archivo. Si ese inventario no existe, el punto de partida natural es el mismo trabajo de gestión documental: qué documentos hay, quién los usa, dónde viven y cuánto tiempo se conservan.
Seguridad, evaluación de impacto y brechas
El Art. 37 de la Ley pide medidas técnicas, organizativas y jurídicas apropiadas al riesgo; el Art. 39, protección de datos desde el diseño y por defecto; el Art. 42, una evaluación de impacto cuando el tratamiento la requiera. Y cuando algo falla, la Ley fija términos cortos:
| Situación | A quién se notifica | Término |
|---|---|---|
| Vulneración de seguridad (Art. 43) | Autoridad de Protección de Datos y ARCOTEL | Cinco días desde que se tuvo constancia; si se excede, con motivos de la demora |
| Vulneración conocida por el encargado (Art. 43) | Al responsable | Dos días |
| Vulneración con riesgo para el titular (Art. 46) | Al titular afectado | Tres días desde que se conoció el riesgo |
Cinco días no alcanzan para improvisar. Lo que hace viable ese plazo es tener definido de antemano quién declara el incidente, quién lo evalúa y quién firma la notificación: el mismo esquema de un plan de emergencia, aplicado a la información.
Obligaciones del responsable, en lista
El Art. 47 de la LOPDP resume quince obligaciones. Comprimidas para una pyme, son estas:
- Tratar los datos conforme a los principios y derechos de la Ley.
- Implementar medidas administrativas, técnicas, físicas, organizativas y jurídicas, y poder demostrarlas.
- Verificar y evaluar periódicamente la eficacia de esas medidas.
- Mantener políticas de protección de datos acordes a cada tratamiento.
- Usar metodologías de análisis y gestión de riesgos.
- Aplicar protección desde el diseño y por defecto.
- Suscribir acuerdos de confidencialidad con el encargado y con el personal que accede a datos.
- Asegurar que el encargado ofrezca garantías suficientes.
- Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales.
- Designar al delegado de protección de datos cuando corresponda.
- Notificar las vulneraciones a la autoridad y al titular.
- Permitir auditorías o inspecciones del auditor acreditado por la autoridad.
Qué cambia para Talento Humano
El área que más datos personales toca en una empresa es Talento Humano, y casi siempre los más sensibles. Esta es la traducción concreta:
| Proceso | Qué exige la LOPDP |
|---|---|
| Selección de personal y hojas de vida | Informar la finalidad, fijar plazo de conservación de las candidaturas no contratadas y eliminarlas al vencer |
| Pruebas psicométricas | Base legal clara, resultado accesible al titular y prohibición de decisiones únicamente automatizadas (Art. 20) |
| Exámenes ocupacionales e historia clínica | Categoría especial: acceso restringido al médico ocupacional, nunca al expediente completo de la jefatura |
| Control de asistencia y biometría | Dato biométrico: análisis de necesidad, alternativa razonable y transparencia sobre qué se almacena |
| Cámaras de videovigilancia | Aviso visible, finalidad de seguridad, tiempo de retención definido y prohibición de zonas de intimidad |
| Estudios de confianza y verificaciones | Consentimiento específico o base legal, alcance limitado y resultados no compartidos fuera del proceso |
| Reglamento interno y contratos | Cláusula de tratamiento de datos y de confidencialidad del personal que accede a información de terceros |
Un aviso de privacidad no es un documento oculto: el de este sitio está publicado en la política de privacidad y sirve de referencia de estructura —quién trata los datos, para qué, con qué base, por cuánto tiempo y cómo se ejercen los derechos—.
Sanciones: cómo se calculan
El régimen sancionatorio distingue infracciones leves (Art. 67) y graves (Art. 68). Entre las graves están no notificar una vulneración, no mantener actualizado el Registro Nacional, no suscribir acuerdos de confidencialidad y no designar al delegado cuando corresponde.
| Infracción | Entidad privada o empresa pública | Servidor del sector público |
|---|---|---|
| Leve (Art. 71) | Multa entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior | De 1 a 10 salarios básicos unificados |
| Grave (Art. 72) | Multa entre el 0,7 % y el 1 % del volumen de negocio del ejercicio anterior | De 10 a 20 salarios básicos unificados |
El Art. 73 define volumen de negocio como la cuantía resultante de la venta de productos y la prestación de servicios del último ejercicio, previa deducción del IVA y de otros impuestos directamente relacionados. Es decir: el porcentaje se aplica sobre la facturación, no sobre la utilidad. Para una empresa que factura un millón de dólares al año, una infracción grave se mueve entre USD 7.000 y USD 10.000, con independencia de si ese año ganó o perdió.
La autoridad gradúa la multa por proporcionalidad, considerando intencionalidad, reiteración, naturaleza del perjuicio y reincidencia (Arts. 71 y 72), y puede aplicar medidas correctivas antes de sancionar (Art. 65).
Checklist de diez puntos para una pyme
- Inventariar los tratamientos: qué datos, de quién, para qué, dónde y por cuánto tiempo.
- Asignar a cada tratamiento su base legal del Art. 7, sin usar el consentimiento por defecto.
- Publicar el aviso de privacidad y entregarlo en el momento de la recogida (Art. 12).
- Definir el procedimiento de derechos con responsable y plazo de quince días.
- Fijar plazos de conservación y una rutina de eliminación que se ejecute de verdad.
- Firmar acuerdos de confidencialidad con el personal y cláusulas de tratamiento con los proveedores que son encargados.
- Reportar cada base o tratamiento al Registro Nacional dentro de los diez días del Art. 86 del Reglamento.
- Evaluar si aplica designar delegado de protección de datos y, si aplica, registrarlo ante la Superintendencia.
- Escribir el procedimiento de brechas con los términos de cinco, tres y dos días.
- Capacitar al personal que trata datos y dejar la evidencia archivada.
Ninguno de los diez requiere comprar tecnología. Ocho de los diez son documentos y decisiones; los otros dos son hábitos.
¿Desde cuándo rige la Ley Orgánica de Protección de Datos Personales en Ecuador?
La Ley se publicó en el Registro Oficial Suplemento 459 del 26 de mayo de 2021, y su Reglamento General se expidió mediante el Decreto 904, publicado en el Registro Oficial Suplemento del 13 de noviembre de 2023. El control corresponde a la Superintendencia de Protección de Datos Personales.
¿Toda empresa debe tener delegado de protección de datos?
No. Es obligatorio para el sector público, para quienes requieren un control permanente y sistematizado por el volumen, naturaleza, alcance o finalidad del tratamiento, y para el tratamiento a gran escala de categorías especiales de datos. Las demás organizaciones pueden designarlo de forma voluntaria como buena práctica.
¿En cuánto tiempo hay que responder a una solicitud de acceso o eliminación?
Quince días, y de forma gratuita, según los artículos 13, 14 y 15 de la Ley. Si la solicitud es confusa, el responsable puede pedir una aclaración por una sola vez dentro del término de cinco días y el titular cuenta con diez días para completarla.
¿Cuánto puede costar una sanción?
Para una entidad privada, entre el 0,1 % y el 0,7 % del volumen de negocio del ejercicio anterior en infracciones leves, y entre el 0,7 % y el 1 % en infracciones graves. La ley entiende por volumen de negocio la venta de productos y la prestación de servicios del último ejercicio, deducido el IVA y otros impuestos relacionados.
¿Hace falta consentimiento para tratar los datos de los trabajadores?
En la mayoría de los casos no, porque la base legal es la ejecución del contrato o el cumplimiento de una obligación legal —nómina, aportes, exámenes ocupacionales—. El consentimiento se reserva para usos que no son necesarios para la relación laboral, como publicar fotografías del personal, y debe poder revocarse sin consecuencias.
¿Qué se hace si hay una fuga de información?
Se notifica a la Autoridad de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones tan pronto sea posible y, a más tardar, en el término de cinco días desde que se tuvo constancia; y al titular afectado dentro del término de tres días cuando la vulneración implique riesgo para sus derechos. El encargado debe avisar al responsable dentro de dos días.
¿Su empresa trata datos de trabajadores y clientes sin registro, delegado ni aviso?
Tagline levanta el inventario de tratamientos, asigna la base legal de cada uno, redacta el aviso de privacidad y las cláusulas de los contratos, define el procedimiento de derechos y de brechas, y deja listo el reporte al Registro Nacional y la designación del delegado cuando corresponde. Escríbanos por WhatsApp al 099 640 8902.