Diagnóstico de Cumplimiento LOPDP
info@corpece.org.ec
Diagnóstico de Cumplimiento LOPDP
Somos CORPECE, organización con más de 25 años de experiencia en sistemas de información
y protección de datos personales. Esta herramienta le ayuda a entender su situación frente a la
Ley Orgánica de Protección de Datos Personales y sus resoluciones vigentes.
¿Qué desea hacer hoy?
Este diagnóstico es orientativo e informativo — no constituye asesoría jurídica vinculante ni reemplaza el análisis profesional de un especialista. No solicitamos ni almacenamos datos personales para realizarlo.
💰
Calcule su exposición al riesgo
Estime el impacto económico del incumplimiento: multas regulatorias según la LOPDP y exposición reputacional. Rápido, anónimo, sin datos técnicos previos.
👤
Sobre el Delegado de Protección de Datos
El DPD es la persona responsable del cumplimiento normativo interno. Su designación es obligatoria para ciertas organizaciones. Seleccione su situación:
🔍
Diagnostique su nivel de cumplimiento
Evalúe qué áreas de la LOPDP aplican a su organización, qué debe implementar, cuál es su perfil de riesgo y qué herramientas necesita. Diagnóstico completo en 3 pasos.
¿Tiene dudas antes de comenzar? info@corpece.org.ec · Somos expertos en protección de datos personales.
Delegado de Protección de Datos
Entendido — sabe que debe designar un DPD
La designación de Delegado de Protección de Datos es una obligación legal. ¿Cuál es su situación actual?
¿Tiene preguntas sobre el DPD? info@corpece.org.ec · Somos expertos en protección de datos personales.
Calculadora de exposición
¿Qué puede costarle no cumplir con la LOPDP?
Esta calculadora estima a grosso modo su exposición económica: multas regulatorias según la norma vigente y el costo potencial de una fuga de datos. Los resultados son referenciales — para un análisis exacto, contáctenos.
⚖️
Multas de la SPDP
Para entidades privadas y ONGs, la LOPDP y la Res. Nº SPDP-SPD-2025-0022-R establecen multas del 0,1% al 1% de sus ingresos anuales según el tipo de infracción. La sanción exacta la determina la SPDP en cada expediente.
🔓
Costo de una fuga de datos
Un ataque o brecha de seguridad tiene costos directos: respuesta al incidente, notificaciones, asistencia legal, pérdida de clientes. El costo promedio global por registro expuesto (IBM 2024) varía por sector entre $145 y $429 USD.
⏸️
Suspensión del tratamiento
En casos graves la SPDP puede ordenar la suspensión del tratamiento de datos. Eso puede paralizar su CRM, marketing, facturación o plataforma digital — un costo operacional difícil de cuantificar pero muy real.
¿Quiere calcular su exposición concreta?
¿Dudas? info@corpece.org.ec · Somos expertos en protección de datos personales.
Paso 1 de 3
¿Qué tipo de infracción quiere calcular?
La LOPDP distingue dos niveles de infracción para entidades privadas (arts. 67–68).
La clasificación de una infracción como leve o grave la determina en último término la SPDP en el expediente sancionador. Esta calculadora usa los rangos que establece la Res. Nº SPDP-SPD-2025-0022-R para orientar su estimación.
Paso 2 de 3
¿Cuáles son sus ingresos anuales?
La Res. Nº SPDP-SPD-2025-0022-R calcula las multas para entidades privadas como porcentaje del volumen de negocios anual: el total de ventas o ingresos del año anterior antes de IVA. No se usa el número de registros ni el SBU para el cálculo de multas de entidades privadas.
Ingrese sus ingresos totales del último año fiscal antes de IVA. Una cifra aproximada es suficiente — este cálculo es orientativo.
USD $
anuales
Paso 3 de 3 (opcional)
¿Desea incluir el costo estimado de una fuga de datos?
Usamos el modelo FAIR (Factor Analysis of Information Risk) con datos del IBM Cost of a Data Breach Report 2024. La fórmula es:
La probabilidad de sufrir una brecha en 2 años es del 28% según IBM 2024. El costo por registro varía por sector (salud: $429, financiero: $386, educativo: $246…). Este cálculo es independiente de las multas regulatorias.
registros × costo_por_registro_sector × probabilidad_brecha_2_añosLa probabilidad de sufrir una brecha en 2 años es del 28% según IBM 2024. El costo por registro varía por sector (salud: $429, financiero: $386, educativo: $246…). Este cálculo es independiente de las multas regulatorias.
Con dos datos adicionales estimamos el costo operacional si se materializara un incidente de seguridad. Este cálculo es completamente independiente de las multas — es el costo de responder al incidente.
¿Cuántas personas están en sus bases de datos?
Cuente todas las personas cuyos datos tenga registrados: clientes, usuarios, empleados, proveedores, suscriptores. No necesita el dato exacto — incluya cualquier base de datos, lista de Excel, CRM o sistema de facturación.
personas / registros
¿En qué sector opera su organización?
El sector determina el costo por registro expuesto según IBM 2024. Sectores con datos más sensibles tienen costos más altos: salud ($429/registro), financiero ($386), farmacéutico ($357), educativo ($246). El costo incluye respuesta al incidente, notificaciones, asistencia legal y pérdida de negocio.
Resultados
Su exposición estimada
⚠ Estimación orientativa a grosso modo. Calculada con base en la Res. Nº SPDP-SPD-2025-0022-R (multas) y el IBM Cost of a Data Breach Report 2024 (brecha). La sanción exacta la determina la SPDP en el expediente sancionador según factores SDI/PDI que solo la autoridad puede ponderar.
A los costos económicos debe sumarse el daño reputacional — las sanciones de la SPDP son públicas — y la posibilidad de que la autoridad ordene la suspensión del tratamiento de datos en las condiciones que originaron la infracción. Eso tiene implicaciones directas en su operación: CRM, marketing, facturación, plataformas digitales.
Lo mejor es asesorarse para que su actividad continúe sin interrupciones y con pleno respaldo legal. Consúltenos sin compromiso en info@corpece.org.ec — somos expertos en protección de datos personales.
Lo mejor es asesorarse para que su actividad continúe sin interrupciones y con pleno respaldo legal. Consúltenos sin compromiso en info@corpece.org.ec — somos expertos en protección de datos personales.
Paso 1 de 3
¿Cómo trata su organización los datos personales?
Tres bloques de preguntas. Marque todo lo que aplique a su organización. Sus respuestas determinan su perfil de cumplimiento.
Bloque A — ¿Qué tipos de datos recoge su organización?
"Recoger datos" incluye cualquier forma de obtenerlos: formularios en papel o digital, sistemas informáticos, cámaras, sensores, registros de acceso, correos, contratos firmados, etc.
Marque todo lo que aplique, aunque sea ocasionalmente.
Marque todo lo que aplique, aunque sea ocasionalmente.
Datos operativos (casi toda organización los tiene):
Datos de actividad comercial o de servicio:
Ej: saber que un cliente prefiere ciertos productos, cuándo compra, qué páginas visita en su web, qué correos abre. Incluye cualquier sistema de segmentación de clientes.
Si tiene Google Analytics, Meta Pixel, o cualquier código de seguimiento en su sitio web, está recolectando datos de navegación.
Datos de categoría especial (LOPDP art. 26 – protección reforzada):
Estos datos tienen protección reforzada porque su exposición puede causar discriminación o daño grave. La LOPDP exige condiciones más estrictas para tratarlos: base jurídica específica, medidas de seguridad adicionales y en muchos casos consentimiento explícito.
Huella dactilar en el reloj de entrada, reconocimiento facial en su app o acceso, escaneo de retina, geometría de la mano, reconocimiento de voz para autenticación.
Datos de contextos vulnerables (frecuente en ONGs y sector social):
Datos de vigilancia y control:
Si tiene cámaras de seguridad que capturan imágenes de personas (empleados, clientes, visitantes), está tratando datos personales.
Ej: apps de delivery que rastrean al repartidor, flotas vehiculares con GPS, check-in por ubicación, registro de entradas y salidas con coordenadas.
Bloque B — ¿Para qué usa esos datos?
Cada uso de datos necesita una justificación legal (llamada "base jurídica"). Marque todas las finalidades que apliquen a su organización.
Desde un contrato formal hasta algo más simple: necesito su email para enviarle el PDF que descargó, necesito su dirección para entregarle su pedido, necesito sus datos para inscribirlo en el curso que solicitó. Si alguien le pidió algo y usted necesita sus datos para dárselo, esta es su base.
Enviar promociones, newsletters comerciales, campañas de email, llamadas de venta, publicidad dirigida en redes sociales. Si usa los datos para atraer o retener clientes con comunicaciones comerciales, es marketing.
Crear grupos de clientes según su comportamiento, predecir compras, personalizar ofertas automáticamente, usar algoritmos para recomendar productos. Si un sistema toma decisiones sobre personas basándose en sus datos, es perfilado.
Bloque C — ¿Con quién comparte esos datos?
Compartir datos no significa solo enviarlos por email. También cuenta: darle acceso a un sistema, subirlos a Google Drive o Dropbox, usar un software en la nube (CRM, nómina, email marketing), o contratar a alguien que necesita esos datos para darle su servicio.
Si un proveedor externo toca sus datos de alguna forma, eso es compartir.
Si un proveedor externo toca sus datos de alguna forma, eso es compartir.
Ej: su software de facturación (que tiene los datos de sus clientes), su agencia de marketing digital (que accede a su lista de contactos), su empresa de TI que mantiene sus sistemas, su proveedor de nómina, su servicio de email masivo (Mailchimp, Sendinblue), su CRM en la nube (Salesforce, HubSpot), su almacenamiento en Google Drive o Microsoft 365. Todos estos son "encargados de tratamiento" y la ley exige un contrato escrito con cada uno.
Esto es distinto al caso anterior. Aquí un tercero recibe los datos y los usa como quiere (no solo para darle un servicio a usted). Ej: vender o ceder su base de clientes a otra empresa, compartir contactos con un socio para que él les haga marketing propio. Esto se llama "cesión de datos" y requiere autorización expresa de los titulares.
Usar Mailchimp (servidores en EE.UU.), Salesforce, Meta Ads, Google Workspace, enviar datos a una sede matriz en el exterior, usar cualquier servicio cloud de empresa extranjera ya implica una transferencia internacional de datos. La LOPDP tiene reglas específicas para esto.
Ej: soy empresa de RRHH que gestiona la nómina de mis clientes (y por tanto tengo sus datos de empleados), soy agencia de marketing que maneja la base de contactos de otra empresa, soy empresa de TI que administra sistemas con datos de clientes de terceros. En estos casos soy "encargado de tratamiento" y tengo obligaciones legales específicas como tal.
¿Algo de esta sección no encaja con su situación? Consúltenos — somos expertos en protección de datos personales.
Paso 2 de 3
¿Su organización está obligada a designar un Delegado de Protección de Datos (DPD)?
El DPD es la persona responsable de velar por el cumplimiento de la normativa de protección de datos dentro de su organización. Su designación es obligatoria para ciertos tipos de organizaciones.
Si ya conoce su situación respecto al DPD, selecciónela directamente:
— o complete las preguntas para que lo determinemos —
¿Su organización es una entidad pública?
Entidades públicas incluyen: Función Ejecutiva, Legislativa, Judicial; GADs (municipios, prefecturas, juntas parroquiales); empresas públicas; entidades autónomas; universidades públicas; hospitales públicos; IESS; Fuerzas Armadas; Policía Nacional; Fiscalía; Contraloría; organismos reguladores.
📌 Todas las entidades públicas están obligadas a designar DPD sin excepción (LOPDP art. 48 lit. a).
📌 Todas las entidades públicas están obligadas a designar DPD sin excepción (LOPDP art. 48 lit. a).
¿Su organización pertenece a alguno de estos sectores privados con DPD obligatorio?
El Reglamento DPD (Res. Nº SPDP-SPD-2025-0004-R, art. 10) lista sectores privados con obligación directa de designar DPD. Basta pertenecer a uno para estar obligado, independientemente del volumen de datos que maneje.
¿Su organización realiza alguna de estas actividades? — Calificaciones taxativas de gran escala (Res. SPDP-SPD-2026-0005-R Art. 14)
Cualquiera de estas actividades determina automáticamente tratamiento a gran escala y obliga a designar DPD, sin necesidad de calcular el MTGE. Son supuestos taxativos del Art. 14 de la Res. SPDP-SPD-2026-0005-R.
Si ninguna aplica, el sistema aplicará el MTGE (modelo cuantitativo de 6 variables) para determinar si opera a gran escala.
📌 Res. SPDP-SPD-2026-0005-R Art. 14
Si ninguna aplica, el sistema aplicará el MTGE (modelo cuantitativo de 6 variables) para determinar si opera a gran escala.
📌 Res. SPDP-SPD-2026-0005-R Art. 14
Supuestos acumulativos — RGLOPDP Art. 4.7
MTGE — Modelo de evaluación de gran escala (Res. SPDP-SPD-2026-0005-R Art. 13)
El MTGE cuantifica si su organización opera a gran escala mediante 6 variables ponderadas. Puntaje ≥ 6 = gran escala = DPD obligatorio.
📌 Res. SPDP-SPD-2026-0005-R Art. 13
📌 Res. SPDP-SPD-2026-0005-R Art. 13
V1 — Número de titulares tratados en los últimos 12 meses
V2 — Volumen de tipos de datos distintos que trata
V3 — Categoría de datos tratados
V4 — Frecuencia del tratamiento
V5 — Permanencia de los datos
V6 — Alcance geográfico del tratamiento
Verificación adicional — LOPDP Art. 48 num. 2
El Art. 48 num. 2 de la LOPDP exige designar DPD cuando se realicen actividades de control permanente Y sistemático a gran escala de manera simultánea. Se deben cumplir ambas condiciones conjuntamente. Si el MTGE resultara menor a 6 puntos, este criterio puede igualmente determinar la obligación.
📌 LOPDP art. 48 num. 2
📌 LOPDP art. 48 num. 2
¿Su organización realiza control permanente de titulares (monitoreo continuo de comportamiento, accesos o actividad)?
¿Ese control es sistemático (proceso regular, planificado y estructurado)?
¿Tiene dudas sobre si aplica a su organización? Consúltenos — somos expertos en protección de datos personales.
Paso 3 de 3
Su diagnóstico de cumplimiento
A continuación, las áreas de cumplimiento que aplican a su organización según su perfil. Cada área indica qué exige la norma, cuál es el riesgo si no se cumple, y cómo CORPECE puede ayudarle.
Herramientas de análisis detallado
Para áreas que requieren un análisis más profundo, puede usar estas herramientas especializadas:
¿Algo de esta sección no encaja con su situación? Consúltenos — somos expertos en protección de datos personales.
Panel de módulos
Su diagnóstico de cumplimiento LOPDP
0 de 7 módulos evaluados
Módulos principales
📋
¿Debo designar un DPD?
Obligatoriedad del Delegado de Protección de Datos. LOPDP art. 48, Reglamento DPD (Res. Nº SPDP-SPD-2025-0004-R) y Res. Nº SPDP-SPD-2026-0005-R.
Pendiente
⚖️
Cumplimiento LOPDP básico
Obligaciones mínimas que toda organización debe cumplir, independientemente de si tiene DPD.
Pendiente
🔄
Transferencias de datos
Proveedores, cloud, hosting y transferencias nacionales e internacionales. Res. Nº SPDP-SPD-2026-0004-R.
Pendiente
🤖
Inteligencia Artificial
Sistemas de IA que tratan datos personales. Res. Nº SPDP-SPD-2026-0009-R.
Pendiente
Módulos adicionales
🌐
Empresas internacionales
Obligación de designar apoderado especial en Ecuador para empresas no domiciliadas. Res. Nº SPDP-SPDP-2024-0002-R.
Pendiente
🛡️
Análisis de riesgos
Gestión de riesgos e impacto en protección de datos. Marco SPDP + estimación económica FAIR para ejecutivos.
Pendiente
📄
Políticas de privacidad
Políticas de privacidad, datos de empleados, registros en eventos y avisos legales. Res. Nº SPDP-SPDP-2024-0019-R.
Pendiente
💸
Calculadora de multas
Estime el rango de sanción LOPDP según tipo de infracción y perfil de su organización. Res. Nº SPDP-SPD-2025-0022-R.
Pendiente
⚖️
Test de interés legítimo
Evalúe si puede basar un tratamiento en el interés legítimo del responsable (3 pasos). Res. Nº SPDP-SPD-2025-0041-R.
Pendiente
Evalúe al menos un módulo para generar el informe. Los módulos omitidos se indicarán en el resumen con recomendación de revisión.
Módulo A – ¿Debo designar un DPD?
Paso 1 de 3
Nivel de obligación: sin determinar
¿Su organización pertenece al sector público?
Entidades públicas obligadas: Ministerios, Secretarías, GADs, empresas públicas, entidades autónomas, universidades públicas, hospitales públicos, IESS, Fuerzas Armadas, Policía Nacional.
📌 LOPDP art. 48 – obligación directa e irrestricta de designar DPD.
📌 LOPDP art. 48 – obligación directa e irrestricta de designar DPD.
Aunque su organización no pertenezca a un sector con DPD obligatorio, igualmente debe cumplir la LOPDP
(política de privacidad, contratos con proveedores, derechos de titulares, etc.).
¿Su organización pertenece a alguno de estos sectores privados obligados?
El Reglamento DPD (Res. Nº SPDP-SPD-2025-0004-R, art. 10) lista sectores privados con obligación directa. Basta con pertenecer a uno para estar obligado, independientemente del volumen de datos.
Si ninguno aplica, deje todo en blanco y continúe para evaluar si trata datos a gran escala.
Si ninguno aplica, deje todo en blanco y continúe para evaluar si trata datos a gran escala.
3.1 Control permanente y sistematizado
¿El tratamiento de datos es continuo, recurrente o sistemático en sus actividades principales?
Control permanente significa que el tratamiento de datos es central e inherente a su actividad principal, no ocasional.
✅ SÍ aplica: Hospital que procesa historiales clínicos a diario; plataforma de crédito que evalúa solicitudes continuamente; empresa de marketing que monitorea comportamiento de usuarios.
❌ NO aplica: Empresa constructora que solo trata datos de nómina; pequeño comercio con datos de facturación ocasional.
📌 LOPDP art. 48 num. 2; Reglamento General LOPDP art. 53
✅ SÍ aplica: Hospital que procesa historiales clínicos a diario; plataforma de crédito que evalúa solicitudes continuamente; empresa de marketing que monitorea comportamiento de usuarios.
❌ NO aplica: Empresa constructora que solo trata datos de nómina; pequeño comercio con datos de facturación ocasional.
📌 LOPDP art. 48 num. 2; Reglamento General LOPDP art. 53
3.2 Tratamiento a Gran Escala – Modelo MTGE (Res. Nº SPDP-SPD-2026-0005-R)
Si el tratamiento no requiere control permanente, complete el MTGE para determinar si es "a gran escala" (umbral ≥ 6 puntos).
Calificación directa (art. 14, Res. Nº SPDP-SPD-2026-0005-R) – marque si aplica:
Si marca cualquiera → se califica directamente como gran escala (sin calcular MTGE).
0
Puntaje MTGE: 0. Complete las variables.
¿Su organización ya ha designado un DPD?
Para asesoría en el proceso de designación y registro del DPD, contacte a
info@corpece.org.ec
Su Perfil Técnico LOPDP — Referencia orientativa
Basado en sus respuestas, este es el perfil de cumplimiento que aplicaría a su organización según la metodología CORPECE:
Módulo B – Cumplimiento LOPDP básico
Independientemente de si tiene DPD o no, toda organización que trate datos personales debe cumplir estas obligaciones. Marque las que ya tiene implementadas.
Debe tener un documento (publicado en su web o disponible internamente) que describa: qué datos trata y con qué finalidades; la base legal de cada tratamiento; plazos de conservación; con quién los comparte; derechos de los titulares y cómo ejercerlos; datos de contacto del responsable (y del DPD si lo tiene).
📌 LOPDP arts. 13 y 34; Reglamento General LOPDP arts. 7 y 8
📌 LOPDP arts. 13 y 34; Reglamento General LOPDP arts. 7 y 8
📌 LOPDP arts. 13 y 34; Reglamento General LOPDP arts. 7–8
Cada operación de tratamiento necesita una base legal válida: consentimiento; contrato; obligación legal; interés vital; misión de interés público; interés legítimo.
📌 LOPDP arts. 6–14; Res. Nº SPSP-SPD-2025-0041-R (interés legítimo)
📌 LOPDP arts. 6–14; Res. Nº SPSP-SPD-2025-0041-R (interés legítimo)
📌 LOPDP arts. 6–14; Res. Nº SPSP-SPD-2025-0041-R (interés legítimo)
Los titulares tienen derecho a: Acceso, Rectificación, Cancelación/Supresión, Oposición y Portabilidad. Debe tener un canal claro (email, formulario web) con plazo máximo de respuesta de 15 días hábiles.
📌 LOPDP arts. 19–29
📌 LOPDP arts. 19–29
📌 LOPDP arts. 19–29
Medidas proporcionales al riesgo. Técnicas: cifrado, control de acceso por roles, backups, actualizaciones, antivirus. Organizativas: capacitación, acuerdos de confidencialidad, procedimientos internos. ISO 27001 es referencia recomendada.
📌 LOPDP art. 37; Reglamento General LOPDP arts. 46–51
📌 LOPDP art. 37; Reglamento General LOPDP arts. 46–51
📌 LOPDP art. 37; Reglamento General LOPDP arts. 46–51
Cuando un proveedor externo trata datos en su nombre (Google Workspace, Microsoft 365, AWS, Mailchimp, nómina, hosting, CRM) debe firmar un contrato de encargo que incluya instrucciones, prohibición de usos propios, medidas de seguridad, notificación de brechas y devolución de datos.
📌 LOPDP art. 43; Res. Nº SPDP-SPD-2026-0004-R art. 23; Res. Nº SPDP-SPD-2025-0006-R (cláusulas contractuales)
📌 LOPDP art. 43; Res. Nº SPDP-SPD-2026-0004-R art. 23; Res. Nº SPDP-SPD-2025-0006-R (cláusulas contractuales)
📌 LOPDP art. 43; Res. Nº SPDP-SPD-2026-0004-R art. 23
Debe informar a sus colaboradores sobre: qué datos trata y con qué finalidad (nómina, asistencia, email corporativo). Si usa videovigilancia: señalizarla y restringir acceso a grabaciones. El monitoreo de equipos corporativos debe estar informado y limitado a fines laborales.
📌 LOPDP arts. 15–16; Reglamento General LOPDP arts. 13–16
📌 LOPDP arts. 15–16; Reglamento General LOPDP arts. 13–16
📌 LOPDP arts. 15–16; Reglamento General LOPDP arts. 13–16
Inventario interno de todos sus tratamientos. Por cada tratamiento documente: nombre y finalidad, base legal, categorías de datos y titulares, destinatarios, plazos de conservación, medidas de seguridad. Debe estar disponible para la SPDP ante cualquier requerimiento.
📌 LOPDP art. 47; Reglamento General LOPDP art. 58
📌 LOPDP art. 47; Reglamento General LOPDP art. 58
📌 LOPDP art. 47; Reglamento General LOPDP art. 58
Ante una brecha (robo, acceso no autorizado, pérdida): contener la brecha; notificar a la SPDP dentro de 5 días si hay riesgo para titulares; notificar a los titulares afectados si el riesgo es alto; documentar la brecha y medidas adoptadas. Debe tener este procedimiento definido antes de que ocurra.
📌 LOPDP art. 44; Reglamento General LOPDP arts. 52–56
📌 LOPDP art. 44; Reglamento General LOPDP arts. 52–56
📌 LOPDP art. 44; Reglamento General LOPDP arts. 52–56
Al momento de recolectar datos personales (formularios web, papel, apps, eventos, QR) debe informar al titular sobre los 17 elementos del deber de información (LOPDP art. 13):
Sobre el responsable:
Sobre el responsable:
- Identidad del responsable del tratamiento
- Datos de contacto del responsable
- Datos de contacto del DPD (si existe)
- Finalidades del tratamiento
- Base jurídica del tratamiento (consentimiento, contrato, ley, interés legítimo, etc.)
- Intereses legítimos perseguidos (si esa es la base legal)
- Destinatarios o categorías de destinatarios
- Transferencias internacionales y garantías (si aplica)
- Plazo de conservación o criterios para determinarlo
- Si la comunicación de datos es obligatoria o voluntaria y consecuencias de no proporcionarlos
- Derecho de acceso a sus datos
- Derecho de rectificación de datos inexactos
- Derecho de supresión o cancelación
- Derecho a la limitación del tratamiento
- Derecho a la portabilidad de sus datos
- Derecho de oposición al tratamiento
- Derecho a no ser objeto de decisiones automatizadas (si aplica)
📌 LOPDP art. 13; Res. Nº SPDP-SPDP-2024-0019-R
Para implementar estas obligaciones con el acompañamiento de expertos, contacte a
info@corpece.org.ec
Módulo C – Transferencias de datos y proveedores de servicios
Base legal: Resolución Nº SPDP-SPD-2026-0004-R – Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales (28/01/2026).
C.1 ¿Su organización transfiere o comunica datos personales a terceros que los usan con sus propias finalidades?
¿Qué es una transferencia de datos?
Ocurre cuando los datos pasan a un tercero que los usa con sus propias finalidades (asume rol de responsable).
✅ SÍ es transferencia: compartir lista de clientes con empresa socia para su propio marketing; enviar datos de asegurados a reaseguradora; ceder datos de empleados a empresa de beneficios.
❌ NO es transferencia (es encargo): subir archivos a Google Drive; usar Mailchimp para newsletters; contratar AWS para hospedar su base de datos.
📌 Arts. 4 y 23, Res. Nº SPDP-SPD-2026-0004-R
Ocurre cuando los datos pasan a un tercero que los usa con sus propias finalidades (asume rol de responsable).
✅ SÍ es transferencia: compartir lista de clientes con empresa socia para su propio marketing; enviar datos de asegurados a reaseguradora; ceder datos de empleados a empresa de beneficios.
❌ NO es transferencia (es encargo): subir archivos a Google Drive; usar Mailchimp para newsletters; contratar AWS para hospedar su base de datos.
📌 Arts. 4 y 23, Res. Nº SPDP-SPD-2026-0004-R
C.2 ¿Su organización actúa como proveedor de servicios (hosting, cloud, procesamiento de datos) para otras empresas?
¿Qué es un encargado de tratamiento?
Quien procesa datos en nombre y por instrucción del responsable, sin usarlos para fines propios.
Como encargado, sus obligaciones principales: firmar contrato de encargo con cada responsable; no tratar datos para fines distintos; aplicar medidas de seguridad exigidas; notificar brechas al responsable; devolver o destruir datos al terminar el servicio.
📌 Art. 23, Res. Nº SPDP-SPD-2026-0004-R; LOPDP art. 43
Quien procesa datos en nombre y por instrucción del responsable, sin usarlos para fines propios.
Como encargado, sus obligaciones principales: firmar contrato de encargo con cada responsable; no tratar datos para fines distintos; aplicar medidas de seguridad exigidas; notificar brechas al responsable; devolver o destruir datos al terminar el servicio.
📌 Art. 23, Res. Nº SPDP-SPD-2026-0004-R; LOPDP art. 43
C.3 ¿Realiza transferencias internacionales (a destinatarios fuera del Ecuador)?
Mecanismos válidos para transferencias internacionales:
· País con nivel adecuado de protección reconocido por la SPDP
· Cláusulas Contractuales Modelo RIPD (CCM) – Anexo I, Res. Nº SPDP-SPD-2026-0004-R
· Normas corporativas vinculantes (grupos empresariales)
· Consentimiento explícito del titular
⚠️ Usar Google, Microsoft, AWS o Salesforce puede implicar transferencias internacionales.
📌 Arts. 11–57, Res. Nº SPDP-SPD-2026-0004-R
· País con nivel adecuado de protección reconocido por la SPDP
· Cláusulas Contractuales Modelo RIPD (CCM) – Anexo I, Res. Nº SPDP-SPD-2026-0004-R
· Normas corporativas vinculantes (grupos empresariales)
· Consentimiento explícito del titular
⚠️ Usar Google, Microsoft, AWS o Salesforce puede implicar transferencias internacionales.
📌 Arts. 11–57, Res. Nº SPDP-SPD-2026-0004-R
C.4 ¿Cuenta con contratos o instrumentos jurídicos que regulen las transferencias o el encargo de tratamiento?
Instrumentos válidos:
- Contrato de encargo: para proveedores que tratan datos por usted
- CCM RIPD: Cláusulas Contractuales Modelo para transferencias internacionales (Anexo I, Res. Nº SPDP-SPD-2026-0004-R)
- Cláusulas tipo SPDP: Res. Nº SPDP-SPD-2025-0006-R
- DPA de Google/Microsoft/AWS: deben ser aceptados activamente
C.5 ¿Ha registrado sus transferencias en el Registro Nacional de Transferencias de la SPDP?
El art. 64 de la Res. Nº SPDP-SPD-2026-0004-R obliga a registrar ante la SPDP las transferencias de datos personales (nacionales e internacionales). Este registro es diferente al RAT interno — es un trámite ante la autoridad de control.
📌 Art. 64, Res. Nº SPDP-SPD-2026-0004-R
📌 Art. 64, Res. Nº SPDP-SPD-2026-0004-R
CORPECE puede apoyarle en la revisión y elaboración de contratos de transferencia.
info@corpece.org.ec
Módulo D – Inteligencia Artificial y Protección de Datos
Base legal: Resolución Nº SPDP-SPD-2026-0009-R – Norma General para la Garantía del Derecho de Protección de Datos Personales en Sistemas de IA (12/02/2026).
D.1 ¿Su organización desarrolla, despliega, distribuye o implementa sistemas de Inteligencia Artificial?
¿Qué se considera un sistema de IA?
Cualquier sistema que usa aprendizaje automático, modelos predictivos, procesamiento de lenguaje natural, visión por computadora u otras técnicas de IA.
✅ Ejemplos: chatbot de atención al cliente; sistema de aprobación de créditos; reconocimiento facial; análisis predictivo; herramientas de selección de personal; uso de ChatGPT / Copilot procesando datos de clientes o empleados.
📌 Art. 2, Res. Nº SPDP-SPD-2026-0009-R
Cualquier sistema que usa aprendizaje automático, modelos predictivos, procesamiento de lenguaje natural, visión por computadora u otras técnicas de IA.
✅ Ejemplos: chatbot de atención al cliente; sistema de aprobación de créditos; reconocimiento facial; análisis predictivo; herramientas de selección de personal; uso de ChatGPT / Copilot procesando datos de clientes o empleados.
📌 Art. 2, Res. Nº SPDP-SPD-2026-0009-R
D.2 ¿El sistema de IA trata datos personales de personas naturales?
La Resolución aplica cuando el sistema procesa datos de personas identificadas o identificables.
✅ IA que analiza fotos de personas; modelo que procesa historiales médicos; sistema que evalúa perfiles de candidatos; chatbot con historial de clientes.
❌ IA que optimiza rutas sin datos de personas; análisis de imágenes de productos; datos agregados/anonimizados.
✅ IA que analiza fotos de personas; modelo que procesa historiales médicos; sistema que evalúa perfiles de candidatos; chatbot con historial de clientes.
❌ IA que optimiza rutas sin datos de personas; análisis de imágenes de productos; datos agregados/anonimizados.
D.3 ¿Cuál es el rol de su organización? (marque todos los que apliquen)
Roles según art. 2, Res. Nº SPDP-SPD-2026-0009-R:
🔧 Desarrollador: Diseña y construye el sistema.
🚀 Desplegador: Pone en operación el sistema.
📦 Distribuidor: Comercializa o distribuye el sistema a terceros.
🔌 Implementador: Integra y adapta el sistema en sus propios procesos.
Quien compra un software de IA y lo adapta a su negocio es implementador.
🔧 Desarrollador: Diseña y construye el sistema.
🚀 Desplegador: Pone en operación el sistema.
📦 Distribuidor: Comercializa o distribuye el sistema a terceros.
🔌 Implementador: Integra y adapta el sistema en sus propios procesos.
Quien compra un software de IA y lo adapta a su negocio es implementador.
D.4 ¿El sistema toma decisiones automatizadas con efectos jurídicos o significativos sobre personas?
✅ SÍ aplica: sistema que aprueba/rechaza crédito automáticamente; IA que descarta CVs sin revisión humana; algoritmo que determina elegibilidad para beneficio social.
⚠️ Apoyo a decisión humana: IA que sugiere pero el humano puede cambiarla.
Si aplica: los titulares tienen derecho a revisión humana, a conocer la lógica del sistema y a impugnar la decisión.
📌 Art. 4, Res. Nº SPDP-SPD-2026-0009-R
⚠️ Apoyo a decisión humana: IA que sugiere pero el humano puede cambiarla.
Si aplica: los titulares tienen derecho a revisión humana, a conocer la lógica del sistema y a impugnar la decisión.
📌 Art. 4, Res. Nº SPDP-SPD-2026-0009-R
D.5 ¿El sistema usa datos de categorías especiales (salud, biometría, origen étnico, etc.)?
Categorías especiales según LOPDP art. 23: salud e historial médico; biometría (huella, facial, iris); origen racial o étnico; opiniones políticas; convicciones religiosas; vida u orientación sexual; datos genéticos; condición migratoria; datos de menores de edad; antecedentes penales.
El tratamiento de estas categorías en IA requiere base legal reforzada y EIPD obligatoria.
El tratamiento de estas categorías en IA requiere base legal reforzada y EIPD obligatoria.
D.6 ¿Ha realizado una EIPD antes del desarrollo o implementación del sistema de IA?
¿Qué es la EIPD?
Análisis previo que identifica y evalúa los riesgos del sistema de IA para los derechos de los titulares. Es obligatoria ANTES de iniciar el desarrollo o implementación.
Debe incluir: descripción del sistema y finalidades; evaluación de necesidad y proporcionalidad; identificación de riesgos; medidas de mitigación; consulta al DPD si existe.
📌 Art. 6, Res. Nº SPDP-SPD-2026-0009-R
Análisis previo que identifica y evalúa los riesgos del sistema de IA para los derechos de los titulares. Es obligatoria ANTES de iniciar el desarrollo o implementación.
Debe incluir: descripción del sistema y finalidades; evaluación de necesidad y proporcionalidad; identificación de riesgos; medidas de mitigación; consulta al DPD si existe.
📌 Art. 6, Res. Nº SPDP-SPD-2026-0009-R
D.7 ¿Cuenta con RAT y medidas de seguridad documentadas para el sistema de IA?
RAT para IA: debe tener su propia entrada con descripción del sistema, datos de entrenamiento y operación, medidas de seguridad específicas y resultados de auditorías periódicas.
La SPDP puede auditar directamente su sistema de IA (art. 10). Documentación actualizada es crítica.
📌 Arts. 7 y 10, Res. Nº SPDP-SPD-2026-0009-R
La SPDP puede auditar directamente su sistema de IA (art. 10). Documentación actualizada es crítica.
📌 Arts. 7 y 10, Res. Nº SPDP-SPD-2026-0009-R
Su organización no utiliza sistemas de IA o estos no tratan datos personales.
La Res. Nº SPDP-SPD-2026-0009-R no aplica en este momento.
Módulo E – Empresas internacionales: apoderado especial
Base legal: Resolución Nº SPDP-SPDP-2024-0002-R – Norma para empresas no domiciliadas en Ecuador que tratan datos personales de titulares ecuatorianos.
E.1 ¿Su organización está domiciliada fuera del Ecuador?
¿Cuándo aplica esta Resolución?
La Res. Nº SPDP-SPDP-2024-0002-R aplica a organizaciones que: no tienen domicilio legal en Ecuador, Y tratan datos personales de personas ubicadas en Ecuador.
Si su organización está legalmente constituida en Ecuador (aunque tenga filiales en el exterior), este módulo no aplica directamente.
📌 Art. 2, Res. Nº SPDP-SPDP-2024-0002-R; LOPDP art. 4 (aplicación extraterritorial)
La Res. Nº SPDP-SPDP-2024-0002-R aplica a organizaciones que: no tienen domicilio legal en Ecuador, Y tratan datos personales de personas ubicadas en Ecuador.
Si su organización está legalmente constituida en Ecuador (aunque tenga filiales en el exterior), este módulo no aplica directamente.
📌 Art. 2, Res. Nº SPDP-SPDP-2024-0002-R; LOPDP art. 4 (aplicación extraterritorial)
E.2 ¿Su organización ofrece bienes o servicios a personas en Ecuador, o monitorea su comportamiento?
Criterios de aplicación territorial (art. 3, Res. Nº SPDP-SPDP-2024-0002-R):
- Ofrece productos o servicios a personas en Ecuador (aunque sean gratuitos)
- Monitorea el comportamiento de personas en Ecuador (analítica web, cookies, perfilamiento)
- Trata datos de empleados, clientes o socios ubicados en Ecuador
E.3 ¿Ha designado un apoderado especial domiciliado en Ecuador?
¿Qué es el apoderado especial?
Persona natural o jurídica domiciliada en Ecuador que actúa como representante legal de la empresa extranjera ante la SPDP y los titulares de datos.
Obligaciones del apoderado:
📌 Arts. 4–7, Res. Nº SPDP-SPDP-2024-0002-R
Persona natural o jurídica domiciliada en Ecuador que actúa como representante legal de la empresa extranjera ante la SPDP y los titulares de datos.
Obligaciones del apoderado:
- Recibir y gestionar solicitudes de ejercicio de derechos ARCO+
- Representar a la empresa en procedimientos ante la SPDP
- Recibir notificaciones y citaciones oficiales
- Garantizar el cumplimiento de la LOPDP en nombre de la empresa
📌 Arts. 4–7, Res. Nº SPDP-SPDP-2024-0002-R
E.4 ¿El apoderado especial está registrado ante la SPDP?
El registro ante la SPDP debe incluir: datos de identificación del apoderado; poder notarial o instrumento de designación; datos de la empresa extranjera representada; alcance de la representación.
Consecuencias de no registrarse: la SPDP puede imponer medidas provisionales y sanciones. Las notificaciones se realizarán directamente en Ecuador sin necesidad de notificar al exterior.
📌 Arts. 6–9, Res. Nº SPDP-SPDP-2024-0002-R
Consecuencias de no registrarse: la SPDP puede imponer medidas provisionales y sanciones. Las notificaciones se realizarán directamente en Ecuador sin necesidad de notificar al exterior.
📌 Arts. 6–9, Res. Nº SPDP-SPDP-2024-0002-R
La Res. Nº SPDP-SPDP-2024-0002-R no aplica a su organización en este momento. Si en el futuro opera internacionalmente tratando datos de personas en Ecuador, revise este módulo nuevamente.
CORPECE puede orientarle en el proceso de designación y registro del apoderado especial.
info@corpece.org.ec
Módulo F – Análisis de riesgos e impacto (EIPD)
Paso 1 de 3
Base legal: Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales – Versión 2 (SPDP, 2026) + Modelo FAIR (Factor Analysis of Information Risk) para estimación económica.
📊 Herramienta para tomadores de decisión
Este módulo genera un análisis de riesgo económico basado en el modelo FAIR (Factor Analysis of Information Risk), estándar internacional para cuantificar el riesgo de datos en términos financieros. Está diseñado para justificar ante la alta dirección la inversión en un Sistema de Gestión de Protección de Datos (SGPD), considerando cuatro dimensiones:
💰 Pérdidas económicas directas (multas SPDP, litigios, costos de remediación)
🏆 Reputación y confianza de clientes, socios y stakeholders
⚖️ Responsabilidad legal de directivos y accionistas ante incidentes de datos
🚀 Ventaja competitiva y habilitación de negocios digitales confiables
Este módulo genera un análisis de riesgo económico basado en el modelo FAIR (Factor Analysis of Information Risk), estándar internacional para cuantificar el riesgo de datos en términos financieros. Está diseñado para justificar ante la alta dirección la inversión en un Sistema de Gestión de Protección de Datos (SGPD), considerando cuatro dimensiones:
💰 Pérdidas económicas directas (multas SPDP, litigios, costos de remediación)
🏆 Reputación y confianza de clientes, socios y stakeholders
⚖️ Responsabilidad legal de directivos y accionistas ante incidentes de datos
🚀 Ventaja competitiva y habilitación de negocios digitales confiables
Paso 1 – Contexto organizacional y activos de datos
Identificar todos los sistemas y repositorios donde se almacenan datos personales es el primer paso del análisis de riesgos. Incluye: bases de datos, hojas de cálculo, servidores, apps, correos con datos de clientes/empleados.
📌 Guía SPDP v2, Sec. II.1 – Establecimiento del contexto
📌 Guía SPDP v2, Sec. II.1 – Establecimiento del contexto
Amenazas frecuentes en protección de datos:
- Acceso no autorizado por empleados (insider threat)
- Ataques externos (phishing, ransomware, SQL injection)
- Pérdida o robo de dispositivos con datos
- Error humano (envío incorrecto, eliminación accidental)
- Fallo de proveedores de cloud o terceros
La Evaluación de Impacto en la Protección de Datos (EIPD) es obligatoria cuando el tratamiento puede suponer un alto riesgo para los derechos de los titulares: uso de IA, datos biométricos, categorías especiales, monitoreo sistemático, decisiones automatizadas.
📌 LOPDP art. 39; Reglamento General LOPDP art. 47
📌 LOPDP art. 39; Reglamento General LOPDP art. 47
Paso 2 – Estimación económica de riesgo (Modelo FAIR simplificado)
FAIR (Factor Analysis of Information Risk) estima la pérdida económica probable por una brecha de datos. Responda las 4 variables para obtener una estimación referencial.
F.1 Volumen aproximado de registros personales bajo custodia de su organización:
Cuente el número total de personas cuyos datos gestiona: clientes activos e históricos, empleados actuales y anteriores, prospectos, usuarios registrados.
El volumen es el factor más determinante del costo total de una brecha.
El volumen es el factor más determinante del costo total de una brecha.
F.2 Tipo de datos personales que gestiona:
Básicos (menor costo): nombre, email, teléfono, dirección.
Sensibles (mayor costo): datos de salud, biometría, financieros, ubicación en tiempo real, datos de menores, historial de conducta.
Sensibles (mayor costo): datos de salud, biometría, financieros, ubicación en tiempo real, datos de menores, historial de conducta.
F.3 Probabilidad de ocurrencia de una brecha en los próximos 12 meses:
Baja: controles robustos, sin incidentes recientes, sectores de bajo perfil de ataque.
Media: algunos controles, sector de riesgo moderado, sin análisis formal de vulnerabilidades.
Alta: controles débiles, sector de alto valor (financiero, salud, gobierno), incidentes previos.
Media: algunos controles, sector de riesgo moderado, sin análisis formal de vulnerabilidades.
Alta: controles débiles, sector de alto valor (financiero, salud, gobierno), incidentes previos.
F.4 ¿Tiene seguro de ciberriesgo o fondo de contingencia para incidentes de datos?
Paso 3 – Controles de seguridad existentes
Marque los controles que tiene implementados actualmente:
CORPECE le ayuda a diseñar su programa de gestión de riesgos y redactar su EIPD.
info@corpece.org.ec
Módulo G – Políticas de privacidad y protección de datos
Base legal: Resolución Nº SPDP-SPDP-2024-0019-R – Lineamientos y directrices para políticas de privacidad y protección de datos personales.
Marque las políticas y avisos de privacidad que su organización tiene implementados. Esta resolución establece los contenidos mínimos obligatorios.
G.1 Política de privacidad para usuarios / clientes
Contenidos mínimos según Res. Nº SPDP-SPDP-2024-0019-R:
- Identidad y datos de contacto del responsable del tratamiento
- Finalidades del tratamiento y base legal de cada una
- Categorías de datos que se tratan
- Plazos de conservación o criterios para determinarlos
- Destinatarios o categorías de destinatarios (incluyendo transferencias internacionales)
- Derechos del titular y cómo ejercerlos (canal + plazo de respuesta)
- Derecho a presentar reclamación ante la SPDP
- Si existe DPD: datos de contacto del DPD
📌 Arts. 4–8, Res. Nº SPDP-SPDP-2024-0019-R
La política debe revisarse y actualizarse ante: cambios en las finalidades o bases legales; nuevas categorías de datos; cambios en destinatarios; nuevas resoluciones de la SPDP; cambios en el responsable o DPD.
Incluya la fecha de última actualización visible.
📌 Art. 9, Res. Nº SPDP-SPDP-2024-0019-R
Incluya la fecha de última actualización visible.
📌 Art. 9, Res. Nº SPDP-SPDP-2024-0019-R
📌 Art. 9, Res. Nº SPDP-SPDP-2024-0019-R
Todo formulario que recopile datos (web, papel, app, QR, evento) debe incluir los 17 elementos del deber de información (LOPDP art. 13) de forma visible y comprensible:
Mínimo imprescindible en el formulario:
📌 LOPDP art. 13; Arts. 4–11, Res. Nº SPDP-SPDP-2024-0019-R
Mínimo imprescindible en el formulario:
- Identidad del responsable y datos de contacto
- Finalidad(es) del tratamiento
- Base jurídica aplicada
- Si la provisión de datos es obligatoria o voluntaria
- Enlace a la política de privacidad completa (con los 17 elementos)
- Casilla de consentimiento (no pre-marcada) si esa es la base legal
📌 LOPDP art. 13; Arts. 4–11, Res. Nº SPDP-SPDP-2024-0019-R
📌 LOPDP art. 13; Arts. 4–11, Res. Nº SPDP-SPDP-2024-0019-R
G.2 Política de datos personales de empleados
Debe informar a los empleados sobre el tratamiento de sus datos en el contexto laboral:
- Datos de nómina y gestión del personal
- Control de asistencia (biométrico, tarjeta, etc.)
- Uso del correo corporativo y dispositivos de la empresa
- Videovigilancia en instalaciones (si aplica)
- Geolocalización de vehículos o dispositivos (si aplica)
📌 LOPDP arts. 15–16; Res. Nº SPDP-SPDP-2024-0019-R
Si usa sistemas de videovigilancia debe:
- Señalizar claramente las zonas vigiladas con cartelería informativa
- Limitar el acceso a las grabaciones a personal autorizado
- Definir el plazo máximo de conservación de imágenes
- Informar a empleados y visitantes sobre la existencia del sistema
📌 LOPDP art. 16; Reglamento General LOPDP art. 15
G.3 Avisos especiales
Al registrar asistentes a eventos (formularios, códigos QR, tarjetas) debe incluir en el momento del registro:
📌 Arts. 12–14, Res. Nº SPDP-SPDP-2024-0019-R; LOPDP art. 8
- Quién recopila los datos y para qué (ej: envío de materiales del evento, boletín informativo)
- Qué datos se recopilan
- Con quién se comparten (ej: expositores, patrocinadores)
- Cómo ejercer derechos
📌 Arts. 12–14, Res. Nº SPDP-SPDP-2024-0019-R; LOPDP art. 8
📌 Arts. 12–14, Res. Nº SPDP-SPDP-2024-0019-R
Si su sitio web usa cookies, píxeles de seguimiento, Google Analytics u otras tecnologías que procesan datos de visitantes, debe:
- Informar sobre los tipos de cookies utilizados
- Obtener consentimiento para cookies no esenciales antes de activarlas
- Permitir a los usuarios gestionar sus preferencias de cookies
- Indicar si se comparten datos con terceros (Google, Meta, etc.)
📌 LOPDP art. 13; Res. Nº SPDP-SPDP-2024-0019-R
Las políticas deben ser accesibles, claras y en lenguaje comprensible para su audiencia. Recomendaciones:
- Publicar en sitio web con enlace visible en el footer
- Entregar copia a empleados al inicio del contrato laboral
- Incluir en contratos con clientes y proveedores
- Versión en lectura fácil si atiende personas con discapacidad
📌 Arts. 15–16, Res. Nº SPDP-SPDP-2024-0019-R
CORPECE elabora políticas de privacidad adaptadas a su sector y normativa vigente.
info@corpece.org.ec
Módulo H – Calculadora de multas LOPDP
Base legal: LOPDP arts. 67–71; Res. Nº SPDP-SPD-2025-0022-R – Procedimiento para imposición de sanciones. Estimación referencial – no sustituye asesoramiento jurídico.
⚠ Esta herramienta es referencial. La sanción real depende del expediente sancionador y resolución de la SPDP. Úsela para dimensionar el riesgo y justificar inversiones en cumplimiento.
H.1 Sector de su organización:
H.2 Tipo de infracción:
Infracciones leves (LOPDP art. 67): incumplimientos formales; ausencia de aviso de privacidad; falta de registro de tratamiento; incumplimiento del principio de información.
Infracciones graves (LOPDP art. 68): tratamiento sin base jurídica; denegación de derechos ARCO+; falta de medidas de seguridad; transferencias sin garantías; incumplimiento del DPD.
📌 LOPDP arts. 67–71; Res. Nº SPDP-SPD-2025-0022-R
Infracciones graves (LOPDP art. 68): tratamiento sin base jurídica; denegación de derechos ARCO+; falta de medidas de seguridad; transferencias sin garantías; incumplimiento del DPD.
📌 LOPDP arts. 67–71; Res. Nº SPDP-SPD-2025-0022-R
H.3 Ingresos anuales de su organización (volumen de negocios):
Para entidades privadas y ONGs, la LOPDP y la Res. Nº SPDP-SPD-2025-0022-R calculan las multas como un porcentaje del volumen de negocios anual (total de ingresos antes de IVA del año anterior).
Ingrese el valor exacto de ingresos anuales en USD para un cálculo preciso.
• Infracción leve: 0,1% – 0,7% de sus ingresos
• Infracción grave: 0,7% – 1% de sus ingresos
📌 LOPDP art. 71; Res. Nº SPDP-SPD-2025-0022-R
Ingrese el valor exacto de ingresos anuales en USD para un cálculo preciso.
• Infracción leve: 0,1% – 0,7% de sus ingresos
• Infracción grave: 0,7% – 1% de sus ingresos
📌 LOPDP art. 71; Res. Nº SPDP-SPD-2025-0022-R
H.4 Factores modificatorios de la sanción:
Agravantes (elevan la sanción hacia el máximo del rango): reincidencia, falta de cooperación, afectación de datos sensibles o de menores, daño real a titulares.
Atenuantes (reducen la sanción hacia el mínimo del rango): primera infracción, cese inmediato, notificación espontánea a la SPDP, adopción de medidas correctivas.
📌 LOPDP art. 72; Res. Nº SPDP-SPD-2025-0022-R
Atenuantes (reducen la sanción hacia el mínimo del rango): primera infracción, cese inmediato, notificación espontánea a la SPDP, adopción de medidas correctivas.
📌 LOPDP art. 72; Res. Nº SPDP-SPD-2025-0022-R
Agravantes:
Atenuantes:
Ante un procedimiento sancionador, CORPECE puede brindar apoyo técnico-legal.
info@corpece.org.ec
Módulo I – Test de interés legítimo
Paso 1 de 3
Base legal: LOPDP art. 7 lit. f); Res. Nº SPDP-SPD-2025-0041-R – Guía para la aplicación del interés legítimo como base jurídica de tratamiento.
Paso 1 – Evaluación de la finalidad
El interés legítimo requiere una finalidad concreta y no genérica. Ningún interés comercial vago puede ser invocado como base jurídica válida.
I.1 ¿Puede describir con precisión el interés legítimo que justifica el tratamiento?
Intereses legítimos reconocidos:
· Prevención del fraude o lavado de activos
· Seguridad de la red y sistemas de información
· Marketing directo a clientes actuales (relación preexistente)
· Transferencias intragrupo empresarial con fines administrativos
· Investigación y desarrollo de productos propios
⚠ NO son válidos: "mejorar nuestros servicios" sin especificar cómo; vender datos a terceros; publicidad genérica sin relación preexistente.
📌 LOPDP art. 7 lit. f); Res. Nº SPDP-SPD-2025-0041-R
· Prevención del fraude o lavado de activos
· Seguridad de la red y sistemas de información
· Marketing directo a clientes actuales (relación preexistente)
· Transferencias intragrupo empresarial con fines administrativos
· Investigación y desarrollo de productos propios
⚠ NO son válidos: "mejorar nuestros servicios" sin especificar cómo; vender datos a terceros; publicidad genérica sin relación preexistente.
📌 LOPDP art. 7 lit. f); Res. Nº SPDP-SPD-2025-0041-R
I.2 ¿El interés es propio del responsable o de un tercero con relación legítima?
El interés debe ser del propio responsable o de un tercero con quien exista una relación legal relevante (empresa matriz, cliente final beneficiado). No puede invocarse para beneficiar a cualquier tercero sin conexión directa.
📌 Res. Nº SPDP-SPD-2025-0041-R, arts. 5–7
📌 Res. Nº SPDP-SPD-2025-0041-R, arts. 5–7
I.3 ¿El interés cuenta con base o reconocimiento legal/reglamentario expreso?
Paso 2 – Necesidad y proporcionalidad
El tratamiento debe ser necesario para el fin declarado. Si existe un medio menos intrusivo igualmente eficaz, el tratamiento no supera este test.
I.4 ¿El tratamiento se limita a los datos mínimos necesarios para lograr la finalidad?
Principio de minimización (LOPDP art. 10): solo tratar los datos adecuados, pertinentes y limitados a lo necesario para la finalidad.
¿Podría lograr el mismo objetivo con menos datos o datos menos sensibles?
¿Podría lograr el mismo objetivo con menos datos o datos menos sensibles?
I.5 ¿Existe alguna alternativa menos intrusiva que logre el mismo resultado?
I.6 ¿El tratamiento está limitado en tiempo y alcance?
Paso 3 – Ponderación (balance de intereses)
El interés del responsable debe prevalecer sobre los derechos e intereses razonables del titular. Si el titular razonablemente objetaría el tratamiento, el balance falla.
I.7 ¿Qué perfil tienen los titulares de los datos?
Los grupos vulnerables (menores, pacientes, empleados en relación de dependencia) tienen protección reforzada: el balance se inclina automáticamente a su favor.
Un empleador difícilmente puede invocar interés legítimo frente a empleados dado que existe asimetría de poder.
📌 LOPDP arts. 9 y 38; Res. Nº SPDP-SPD-2025-0041-R
Un empleador difícilmente puede invocar interés legítimo frente a empleados dado que existe asimetría de poder.
📌 LOPDP arts. 9 y 38; Res. Nº SPDP-SPD-2025-0041-R
I.8 ¿Los titulares razonablemente esperarían este tratamiento?
La "expectativa razonable" es clave: si el titular puede anticipar que sus datos se usarán para esta finalidad dada la relación existente, el balance es más favorable al responsable.
Ejemplo favorable: cliente recibe ofertas sobre productos similares a los que ya compró.
Ejemplo desfavorable: datos de un fin reutilizados para otro fin no comunicado.
Ejemplo favorable: cliente recibe ofertas sobre productos similares a los que ya compró.
Ejemplo desfavorable: datos de un fin reutilizados para otro fin no comunicado.
I.9 ¿Puede el titular ejercer su derecho de oposición fácilmente?
Resultado del test de interés legítimo
CORPECE asesora en la selección y documentación de la base jurídica adecuada para cada tratamiento.
info@corpece.org.ec
Resumen ejecutivo de su diagnóstico LOPDP
¿Desea asesoría personalizada de CORPECE?
Un especialista de CORPECE le orientará sobre cómo implementar el cumplimiento en su organización. Somos expertos en LOPDP con más de 25 años en sistemas de información.
Para consultas inmediatas escriba a: info@corpece.org.ec