Nueva normativa fortalece la protección en Ecuador – Resolución N° SPDP-SPD-2025-0024-R

En la era digital, la información personal es un activo valioso y su protección, un derecho fundamental. En este contexto, la Superintendencia de Protección de Datos Personales (SPDP) ha emitido la Resolución N° SPDP-SPD-2025-0024-R. Esta normativa es crucial para establecer la correcta aplicación de la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento, especialmente en lo que respecta a las transferencias o comunicaciones de datos personales, tanto dentro como fuera del Ecuador.

Esta Resolución se fundamenta en el derecho constitucional a la protección de datos personales, reconocido en el artículo 66, numeral 19 de la Constitución de la República del Ecuador. Además, la SPDP, como organismo técnico de vigilancia y control, tiene la atribución de emitir normativa general o técnica para garantizar este derecho. La elaboración de esta resolución fue un proceso que incluyó informes técnicos, validación jurídica y un período de socialización pública entre el 30 de abril y el 30 de mayo de 2025, para recoger observaciones y aportes de la ciudadanía.

La Resolución N° SPDP-SPD-2025-0024-R, suscrita por el Superintendente de Protección de Datos Personales, Fabrizio Peralta-Díaz, el 25 de julio de 2025, busca establecer pautas claras para el manejo de datos personales. Su Artículo 1 especifica que tiene como objeto la correcta aplicación de los capítulos de la LOPDP y su Reglamento relacionados con las transferencias o comunicaciones de datos personales.

Esta normativa es aplicable a todos los integrantes del sistema de protección de datos personales que realicen transferencias o comunicaciones de datos personales. Estos integrantes incluyen al titular de los datos, el responsable del tratamiento, el encargado del tratamiento, el destinatario, la Autoridad de Protección de Datos Personales y el delegado de protección de datos personales.

Uno de los puntos más relevantes de la Resolución es la aclaración sobre la aplicación de los Capítulos V y IX de la LOPDP. El Capítulo V de la LOPDP regula las «Transferencia o Comunicación y Acceso a Datos Personales por Terceros”, mientras que el Capítulo IX se denomina «Transferencia o Comunicación Internacional de Datos Personales». La Resolución establece explícitamente que el Capítulo V regula las relaciones jurídicas relacionadas con transferencias de datos tanto a nivel nacional como internacional, y que las disposiciones del Capítulo IX deben aplicarse de forma concordante con todas las disposiciones del Capítulo V.

En la práctica, esto significa que toda comunicación o transferencia internacional de datos personales deberá aplicar obligatoriamente las disposiciones de ambos capítulos, el V y el IX de la LOPDP. Además, en estos casos de transferencias internacionales, también deberán aplicarse de forma concordante los capítulos V y XII del Reglamento General de la LOPDP.

Es importante recordar que, según el Reglamento de la LOPDP, la transferencia o comunicación de datos personales a un tercero o encargado requiere el consentimiento del titular, a menos que los datos hayan sido disociados o se hayan utilizado mecanismos de cifrado robustos. No se considera transferencia cuando un encargado accede a datos personales para prestar un servicio al responsable del tratamiento, pero dicho acceso debe estar regulado por un contrato que especifique que los datos solo serán tratados según las instrucciones del responsable y no se utilizarán para fines diferentes o se transferirán a otras personas. Una vez cumplida la prestación contractual, los datos deben ser destruidos o devueltos al responsable.

Para las transferencias internacionales, la LOPDP prevé la posibilidad de transferir datos a países, organizaciones o personas jurídicas que ofrezcan niveles adecuados de protección, lo cual es declarado por la Autoridad de Protección de Datos Personales mediante resolución motivada. En ausencia de un nivel adecuado de protección, se requieren «garantías adecuadas» para el titular, como instrumentos jurídicamente vinculantes o normas corporativas vinculantes aprobadas por la Autoridad.

La Resolución N° SPDP-SPD-2025-0024-R representa un hito en la protección de datos personales en Ecuador, al brindar claridad sobre la aplicación de la normativa existente en el ámbito de las transferencias de datos. Al unificar y reforzar la aplicación de los Capítulos V y IX de la LOPDP, así como los capítulos relacionados de su Reglamento, se busca asegurar un nivel de protección homogéneo y robusto para tu información personal, tanto a nivel nacional como internacional. Esta medida contribuye a generar mayor confianza en el manejo de datos y refuerza el compromiso del país con la privacidad digital de sus ciudadanos.

Evita futuros inconvenientes, estamos para solventar tus inquietudes. En caso de requerir asesoría para la aplicación de los cambios en la normativa, estamos para servirte.

DURINI & GUERRERO ABOGADOS

La Superintendencia de Protección de Datos Personales establece nuevas reglas para el cálculo de multas – Resolución N° SPDP-SPD-2025-0022-R

En un paso significativo hacia la protección efectiva de nuestros datos personales, la Superintendencia de Protección de Datos Personales (SPDP) ha publicado la Resolución N° SPDP-SPD-2025-0022-R. Esta nueva normativa, junto con sus modelos de cálculo, busca establecer un marco claro y proporcional para la imposición de multas ante el incumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPDP). El objetivo principal es garantizar que las sanciones sean justas y reflejen la gravedad de las infracciones, considerando factores clave como la intencionalidad y el impacto generado.

La SPDP, como organismo técnico de vigilancia y control en materia de datos personales en Ecuador, con potestad sancionatoria, ha cumplido con su facultad de emitir normativa general o técnica para el ejercicio de sus competencias. Esta iniciativa responde a la necesidad de detallar la metodología para el cálculo de multas, tanto para infracciones leves como graves, las cuales ya estaban tipificadas en los artículos 67, 68, 69 y 70 de la LOPDP.

La Resolución N° SPDP-SPD-2025-0022-R y su Anexo I, denominado «Modelos para Calcular el Monto de las Multas Administrativas: MPRIV-1 y MPUB-1”, establecen dos modelos principales para el cálculo de estas multas, dependiendo si la entidad infractora es de derecho privado o pública.

• Para el sector privado (MPRIV-1): Este modelo está diseñado para instituciones privadas con fines de lucro. Las multas se calcularán en función del volumen de negocio de la empresa infractora, correspondiente al ejercicio inmediatamente anterior al de la imposición de la multa. El rango de las multas por infracciones leves oscilará entre el 0.1% y el 0.7% de dicho volumen, mientras que para infracciones graves, el rango será entre el 0.7% y el 1%. Este modelo considera el «Peso de la Infracción (PDI)» y la «Seriedad de la Infracción (SDI)». La SDI, a su vez, evalúa el «Impacto en los Derechos (IED)» (con un peso del 60%), la «Intencionalidad (INT)» (con un peso del 40%), y de manera opcional, la «Reiteración y Reincidencia (RER)» (como agravante adicional con un peso del 20%). El impacto en los derechos (IED) se estima en función de cuatro factores: (1) tipos de datos personales, (2) número de titulares afectados y volumen de datos, (3) naturaleza de la vulneración, y (4) grupos de titulares especialmente vulnerables.

• Para el sector público (MPUB-1): Este modelo se aplica a sanciones para servidores o funcionarios del sector público. Las multas se basarán en el Salario Básico Unificado (SBU). Para infracciones leves, las multas pueden ir de uno a diez SBU, y para infracciones graves, de diez a veinte SBU. Al igual que en el modelo privado, se consideran el «Peso de la Infracción (PDI)» y la «Seriedad de la Infracción (SDI)”, con sus respectivos componentes de impacto en los derechos (IED), intencionalidad (INT), y reiteración o reincidencia (RER).

Ambos modelos utilizan la fórmula PERT (Program Evaluation and Review Technique) para la estimación de los valores cuando existe discrecionalidad, definida como (a+4b+c) /6, donde ‘a’ es el valor mínimo, ‘b’ el más probable y ‘c’ el máximo. Esto permite establecer rangos de sanción objetivos y calibrar las multas en intervalos de acierto. Además, contemplan la posibilidad de realizar un análisis de Monte Carlo para generar múltiples escenarios aleatorios, sobre todo cuando la incertidumbre sea alta y los intervalos entre el valor mínimo y el máximo sean grandes. Esto ayuda a la autoridad a contar con un intervalo confiable de acierto para la multa.

La Superintendencia de Protección de Datos Personales podrá modificar la metodología en cualquier momento con la finalidad de mejorar su aplicación. Además, se ha establecido una disposición transitoria que otorga un plazo de tres meses a partir de la publicación de este reglamento en el Registro Oficial para que la Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales desarrolle e implemente el sistema informático institucional que permitirá la aplicación del Anexo I en los procesos administrativos sancionadores.

Es fundamental destacar que esta resolución, firmada en Quito, D.M., el 16 de julio de 2025, entrará en vigor a partir de su suscripción, sin perjuicio de su publicación en el Registro Oficial.

La emisión de esta resolución y sus modelos de cálculo representa un avance significativo en la consolidación del régimen sancionatorio en materia de protección de datos personales en Ecuador. Si bien busca otorgar claridad y objetividad en la determinación de las multas, el impacto para las organizaciones radica en la necesidad imperante de reforzar sus políticas y prácticas de tratamiento de datos personales para asegurar el cumplimiento de la LOPDP. Evita futuros inconvenientes, estamos para solventar tus inquietudes y guiarte en la adaptación a estos cambios. En caso de requerir asesoría para la aplicación de los cambios en la normativa, estamos para servirte.

DURINI & GUERRERO ABOGADOS

¿Cambio de línea jurisprudencial de la Corte Constitucional respecto a consultas populares locales sobre minería?  

Autores: Emilio Suárez y Camila Cruz

El 15 de mayo de 2025, el Pleno de la Corte Constitucional, en voto de mayoría, emitió el dictamen 1-25-CP/25. En esta decisión, negó la propuesta de consulta popular presentada por el GAD Municipal del cantón Santa Isabel ubicado en la provincia del Azuay, al no cumplir requisitos formales. El GAD de Santa Isabel pretendía prohibir la minería artesanal, así como la de pequeña, mediana y gran escala en las cuencas de los ríos Balao, Gala y Jubones. 

La Corte concluyó que el quinto grupo de considerandos no cumplía los requisitos del control formal. Este grupo versaba sobre los efectos de la consulta popular, estableciendo las medidas a implementarse en caso de un pronunciamiento afirmativo del electorado. Así, determinaba que el Concejo Cantonal de Santa Isabel actualizaría el Plan de Ordenamiento Territorial (PDOT) y el Plan de Uso y Gestión del Suelo (PUGS) para incorporar la prohibición de minería metálica en las zonas de recarga hídrica de los ríos Jubones, Gala y Balao, y que el control estaría a cargo de la Dirección de Planificación del GAD. Por último, hacía referencia a las competencias del MAATE para imponer sanciones dentro del ámbito de sus competencias.

La Corte determinó que dichos considerandos no precisaban de forma clara el ámbito de competencias de las autoridades obligadas con relación al objeto de la consulta. En ese sentido, resaltó que el Estado central tiene competencia exclusiva sobre los recursos minerales, al ser considerados un sector estratégico, conforme lo dispuesto en los artículos 261 numeral 11, 313 y 408 de la Constitución.

En esta línea, advirtió que, en caso de un pronunciamiento afirmativo, la prohibición de minería metálica en las zonas señaladas no podría concretarse únicamente a través de la actualización de los instrumentos técnicos del GAD de Santa Isabel ni con la actuación del MAATE. Al contrario, para su efectiva implementación, sería necesaria la intervención del Ministerio Sectorial de Minería y sus entidades de control adscritas “para que se abstengan de otorgar derechos mineros en los territorios contemplados por la consulta o para que tomen las medidas correspondientes respecto a las concesiones y autorizaciones ya existentes”.

En consecuencia, la Corte concluyó que en esta propuesta de consulta no se determinaba con claridad cómo se materializarían sus resultados, ni las instituciones responsables de ejecutar la medida, lo que impide a los electores contar con un panorama completo sobre su alcance, efectos y consecuencias. En similar sentido, advirtió que la propuesta de consulta no determinaba cuáles serían los efectos de la prohibición de actividades de minería metálica respecto de quienes en la actualidad son titulares de derechos mineros, sobre lo cual, en anteriores pronunciamientos, la Corte ya señaló que aquello vulneraría el derecho a la seguridad jurídica.

Bajo este análisis, la Corte concluyó que el quinto grupo de considerandos no cumplía los presupuestos establecidos en la normativa, razón por la cual no superó el control de constitucionalidad. Así, reiteró que, si bien está facultada a modular las secciones que podrían lesionar la libertad del elector, no puede “contribuir en la construcción de la propuesta y menos a justificar de forma coherente las medidas planteadas”.

Como refirieron los jueces que suscribieron el voto salvado, esta decisión implica un cambio de criterio de la Corte Constitucional a lo resuelto en el dictamen 6-20-CP/20, en el cual se aceptó una propuesta de consulta popular para prohibir actividades mineras en zonas de recarga hídrica del cantón Cuenca. Cabe recalcar que ambas propuestas de consulta tenían los mismos considerandos y la construcción de sus preguntas era exactamente la misma, solo diferenciando las cuencas hídricas. 

Así también, la Corte Constitucional señala que, de haberse superado este control formal, la Magistratura hubiera analizado lo relativo a la congruencia democrática, entendida como la correspondencia “entre el electorado a quién se dirige la consulta y el nivel de gobierno de la autoridad vinculada por los efectos del plebiscito”.^[1]

Por tanto, se evidencia que la Corte modificó su postura respecto a este tipo de solicitudes. Aunque reconoció que el presente caso es similar al de la consulta de Cuenca —en el que declaró su constitucionalidad—, en esta ocasión decidió negar el pedido con base en un análisis más estricto, al concluir que los considerandos no establecían de manera clara y precisa los efectos y medidas a adoptarse en caso de un resultado afirmativo. A nuestro criterio, este estándar incidiría también en el análisis material sobre la congruencia democrática.  

Ello, porque la nueva mayoría de la Corte señaló que no basta con actualizar los instrumentos locales para incorporar la decisión popular, sino que, al tratarse de un sector estratégico, es de competencia exclusiva del Estado central. Entonces, es lógico considerar que la congruencia democrática tiene consecuencias para todo el país. La minería al igual que los hidrocarburos, además de ser sectores estratégicos, son una de las fuentes principales de generación de recursos para el presupuesto general del Estado, por ende, es un tema que nos concierne decidir a todos los ecuatorianos. 

Así, de superarse el control formal, parecería que la Corte también será más estricta con el control material y el análisis de congruencia democrática, sin dar paso a excepciones previamente aceptadas, como la establecida en el dictamen 7-21-CP/22 (Chocó Andino). 

Finalmente, es importante reiterar la frecuente confusión en la cual ciertos actores recaen respecto al derecho a la participación ciudadana. Si es que existen observaciones, preocupaciones o malestar respecto a un proyecto de esta naturaleza, el mecanismo correcto para expresarlas es la consulta ambiental y, en el caso de poblaciones indígenas, la consulta previa. No se puede pretender sustituir el ejercicio de estos derechos a través de consultas populares, cuya finalidad es completamente diferente, para generar prohibiciones genéricas y menos aún a nivel local. 

^[1] CCE, sentencia 1-21-CP/21, 23 de junio de 2021, párr. 47.

DURINI & GUERRERO ABOGADOS