Biblioteca Legal LOPDP Ecuador

Norma suprema del sistema. Define los principios de licitud, finalidad, proporcionalidad y transparencia (Art. 10); los derechos ARCO+ (Arts. 17–27); las obligaciones del responsable (Art. 34) y el régimen sancionatorio de hasta el 2% del volumen de negocios (Art. 73).

Desarrolla los mecanismos de aplicación de la LOPDP. Establece el formato del RAT, los plazos de respuesta a derechos ARCO+ (15 días hábiles), los requisitos técnicos para la EIPD y el procedimiento ante la SPDP para notificación de brechas de seguridad (72 horas).

Metodología oficial de la SPDP para elaborar la Evaluación de Impacto en la Protección de Datos (EIPD/DPIA). Obligatoria antes de implementar biometría, videovigilancia, IA, o cualquier tratamiento de alto riesgo (Art. 38 LOPDP). Define 5 fases, criterios de umbrales y plantilla oficial.

Establece el contenido mínimo obligatorio de los Contratos de Encargado del Tratamiento (DPA). Toda empresa que contrate un proveedor que acceda a datos personales (cloud, software, nómina) debe usar estas cláusulas. Incluye obligaciones de subencargados y auditabilidad.

Regula cuándo y cómo un responsable puede comunicar o transferir datos a otro responsable. Distingue entre "comunicación" (mismo territorio, base legal propia) y "transferencia" (cruza fronteras o requiere garantías adicionales). Fundamental para redes empresariales y grupos corporativos.

Define quién está obligado a designar un DPD, el perfil profesional exigido, el proceso de registro ante la SPDP y las funciones de independencia funcional. Incluye los Perfiles de Exigibilidad A (pequeña), B (mediana) y C (grande) — base del sistema IDC-18™ de Derenzin.

Regula el uso del Interés Legítimo como base de licitud alternativa al consentimiento (Art. 7 lit. f LOPDP). Obliga a documentar el "Test de Ponderación de Tres Pasos" antes de invocarla. Muy relevante para marketing, seguridad corporativa e investigación interna.

Marco completo para transferir datos fuera del Ecuador. Define los países con nivel de protección adecuado, los mecanismos de garantías apropiadas (BCRs, Cláusulas Contractuales Tipo) y los supuestos de excepción. Crítica para toda empresa que use servicios cloud internacionales (AWS, Google, Azure).

Establece los umbrales cuantitativos para determinar si una organización trata datos "a gran escala" — condición que activa obligaciones reforzadas: DPD obligatorio, EIPD mandatoria y notificación de brechas en plazo reducido. Incluye fórmulas de cálculo y ejemplos por sector.

Primera regulación ecuatoriana sobre IA y datos personales. Clasifica los sistemas de IA por nivel de riesgo (alto/medio/bajo), exige EIPD para IA de alto riesgo, prohíbe ciertas aplicaciones (scoring social, reconocimiento facial masivo) y establece el derecho a no ser objeto de decisiones automatizadas sin supervisión humana.

El Art. 66 Nro. 19 de la Constitución de la República del Ecuador (2008) consagra el derecho a la protección de datos personales como derecho fundamental. La LOPDP es la ley orgánica que desarrolla este derecho constitucional. Su vulneración puede activar la Acción de Habeas Data (Art. 92).

El Art. 37 LOPDP exige "medidas técnicas y organizativas apropiadas". La SPDP usa ISO 27001:2022 como marco de referencia para evaluar si los controles de seguridad de una organización son adecuados. El IDC-18™ de Derenzin mapea los controles ISO 27001 sobre los requisitos legales de la LOPDP.

Aplicable al Sector Educativo. La LOEI establece las obligaciones de confidencialidad de los datos de estudiantes (Art. 132). En conjunción con el Art. 26 LOPDP (datos de menores de edad como categoría especial), configura el marco dual de protección que enfrentan los colegios y universidades.