Normas Generales sobre el Tratamiento de Datos Personales a Gran Escala y las Transferencias de Datos en Ecuador

Lo que las organizaciones deben saber y aplicar desde hoy

La protección de datos personales en Ecuador ha entrado en una nueva etapa de mayor exigencia y control. En el marco de la Ley Orgánica de Protección de Datos Personales, la Superintendencia de Protección de Datos Personales (SPDP) ha emitido dos resoluciones clave de cumplimiento obligatorio, dirigidas a responsables y encargados del tratamiento de datos personales, especialmente aquellos que manejan información de alto riesgo o en grandes volúmenes.

Estas resoluciones no solo fortalecen los derechos de los titulares de datos, sino que incrementan significativamente las obligaciones de las organizaciones, tanto en el ámbito nacional como internacional.

Marco normativo emitido por la SPDP

Las resoluciones publicadas son:

• Resolución N.º SPDP-SPD-2026-0004-R
  Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
• Resolución N.º SPDP-SPD-2026-0005-R
  Norma General sobre el Tratamiento de Datos Personales a Gran Escala.

Ambas normas establecen criterios técnicos, obligaciones reforzadas y plazos claros, especialmente para actividades que puedan implicar mayores riesgos para los derechos y libertades de las personas.

Norma General de Transferencias o Comunicaciones de Datos Personales

Esta norma regula de forma detallada cómo, cuándo y bajo qué condiciones pueden transferirse datos personales dentro y fuera del país.

Principales disposiciones:

1️⃣ Conservación de la documentación

Los responsables del tratamiento deberán conservar por al menos tres (3) años toda la documentación que respalde la legalidad de las transferencias o comunicaciones de datos personales.

2️⃣ Transferencias nacionales

Para que una transferencia sea válida debe cumplir con:

• Una finalidad lícita y legítima.
• Consentimiento informado del titular, salvo excepciones previstas en la ley.
• Medidas adecuadas de seguridad.
• El destinatario de los datos asume la calidad de responsable del tratamiento.

3️⃣ Transferencias internacionales

La norma establece mecanismos claros para transferencias fuera del país, entre ellos:

• Reconocimiento de nivel adecuado de protección.
• Uso de cláusulas contractuales tipo.
• Normas corporativas vinculantes.
• Mecanismos de certificación.

📍 Los países de la Comunidad Andina son considerados, en principio, con nivel adecuado de protección, salvo que se identifiquen deficiencias graves.

4️⃣ Registro obligatorio

Todas las transferencias internacionales deberán ser inscritas en el Registro Nacional de Protección de Datos.

5️⃣ Régimen de adecuación

Las transferencias realizadas antes de la vigencia de la norma deberán notificarse en un plazo de doce (12) meses, acompañadas de un plan de adecuación, sin sanciones durante ese período.

Norma General sobre el Tratamiento de Datos Personales a Gran Escala

Esta norma introduce un enfoque técnico para identificar cuándo una organización realiza tratamientos de datos personales a gran escala, activando obligaciones reforzadas.

¿Cómo se identifica un tratamiento a gran escala?

Se introduce el Modelo Técnico de Gran Escala (MTGE), que evalúa factores como:

• Número de titulares
• Volumen y tipo de datos
• Categorías de datos personales
• Frecuencia y permanencia del tratamiento
• Alcance geográfico

Cuando el resultado del MTGE sea igual o superior a 6 puntos, el tratamiento se considera a gran escala.

Calificación directa (sin MTGE)

Se consideran automáticamente tratamientos a gran escala aquellos relacionados con:

• Datos de salud o datos sensibles
• Perfilamiento automatizado con efectos jurídicos
• Videovigilancia sistemática
• Datos biométricos o de geolocalización
• Sistemas de información crediticia
• Datos de niñas, niños y adolescentes
• Transferencias sistemáticas de datos personales

Obligaciones reforzadas para responsables y encargados

Las organizaciones que realicen tratamientos a gran escala deberán cumplir, entre otras, con las siguientes obligaciones:

✔️ Designar y registrar un Delegado de Protección de Datos Personales (DPO), cuando corresponda.
✔️ Incorporar estos tratamientos en el Registro de Actividades de Tratamiento (RAT).
✔️ Aplicar medidas reforzadas de seguridad y responsabilidad proactiva.
✔️ Someterse a auditorías al menos una vez cada 12 meses.
✔️ Identificar estos tratamientos de forma expresa en sus políticas de privacidad.
✔️ Conservar los informes de auditoría por un mínimo de cinco (5) años.

Cuando la obligación de designar un DPO derive de esta norma, el plazo máximo para cumplir será de noventa (90) días.

¿Por qué estas normas son críticas para tu organización?

El incumplimiento de estas obligaciones puede derivar en:

• Sanciones administrativas
• Riesgos legales y reputacionales
• Pérdida de confianza de clientes, colaboradores y aliados
• Exposición innecesaria frente a auditorías y fiscalizaciones

La protección de datos ya no es solo un tema legal: es un pilar de gobernanza, cumplimiento y sostenibilidad empresarial.

‍