Ecuador activa el procedimiento de la SPDP para reportar vulneraciones de datos personales

El 24 de septiembre de 2026 se publicó en el Suplemento del Registro Oficial No. 376 la Resolución SPDP-SPD-2026-0040-R, firmada por la Superintendencia de Protección de Datos Personales (SPDP) el 9 de septiembre. La norma técnica regula cómo responsables y encargados del tratamiento deben notificar vulneraciones de seguridad de datos personales y cómo la SPDP gestionará esos avisos. Su disposición final estableció que entraría en vigencia con la publicación oficial, por lo que el hito de aplicación es el 24 de septiembre, no la fecha de firma.

El ámbito de aplicación remite a la Ley Orgánica de Protección de Datos Personales (LOPDP). En términos generales, alcanza a organizaciones públicas y privadas cuando actúan como responsables o encargados dentro del ámbito de la ley. La norma es obligatoria; no es una guía voluntaria ni una regla limitada a bancos. El régimen sectorial financiero puede imponer obligaciones adicionales que cada entidad debe revisar aparte.

La resolución define un incidente de protección de datos personales como un evento de seguridad que vulneró o tiene probabilidad de vulnerar la confidencialidad, integridad o disponibilidad de datos personales. Un incidente puede afectar más de una dimensión. La norma diferencia, por ejemplo, una indisponibilidad temporal que luego se restablece de una pérdida permanente de datos, y observa que una divulgación no autorizada de información puede mantener efectos aunque el acceso se haya cerrado.

Esta definición vuelve importante evaluar incidentes más allá de la filtración confirmada. La organización debe valorar si un evento de seguridad tiene probabilidad de afectar datos personales y los derechos o libertades de sus titulares. El artículo no transforma cualquier alerta técnica en una notificación automática: la clasificación requiere determinar si hay datos personales y riesgo, conforme a la ley, el reglamento y los hechos del caso.

Cuando participa un encargado, como un proveedor que procesa información por cuenta del responsable, debe comunicar la vulneración al responsable en un plazo máximo de dos días y enviar la información prevista por el Reglamento General de la LOPDP. La comunicación se remite por correo electrónico, salvo que el contrato de encargo haya designado otro medio electrónico.

Una vez recibida esa comunicación, el responsable debe notificar a la SPDP dentro del término de cinco días. El canal ordinario es digital mediante el Sistema Nacional de Registro de Datos Personales (SISPDP), en servicios.spdp.gob.ec. La resolución señala que la falta de notificación a la SPDP se considera infracción grave conforme a la LOPDP. La norma también contempla canales oficiales alternativos en un supuesto excepcional de indisponibilidad del sistema, cuya ocurrencia debe ser constatada por la autoridad.

La resolución trata por separado la notificación a titulares. Cuando corresponda informarles sobre una vulneración que pueda afectar sus derechos y libertades, la comunicación debe ser clara, accesible, transparente y sencilla. Como mínimo debe describir la naturaleza de la vulneración, la fecha de detección o periodo estimado cuando sea posible, las medidas adoptadas y recomendaciones para los titulares.

El texto prioriza los canales habituales de comunicación directa, como correo, página web u otros mecanismos ya establecidos. Un anuncio en medios de difusión masiva se contempla únicamente cuando el responsable no tiene un canal oficial preestablecido con los titulares, y debe respetar minimización y pertinencia. La determinación de cuándo procede informar a titulares también debe leerse junto con la LOPDP y su reglamento; la norma no justifica exponer información innecesaria sobre personas o sistemas.

La resolución describe el uso institucional de AIxSPDP para trazabilidad, métricas y análisis de riesgo con intervención humana en todas sus instancias. La define como sistema auxiliar informativo y analítico que no toma decisiones automatizadas. El flujo prevé revisión humana y la posible remisión de ciertos casos a la Intendencia de Control y Sanción, basada en un informe justificado.

Ese componente es una herramienta de gestión interna de la autoridad, no una autorización para que responsables privados deleguen sus obligaciones regulatorias a una IA. La obligación de evaluar el incidente, notificar a tiempo y conservar evidencia sigue recayendo en las organizaciones según su papel como responsables o encargados. La SPDP también deberá publicar modelos de riesgo y ontologías que utilice dentro del plazo de seis meses contado desde la vigencia.

Los responsables deberían fijar un flujo de escalamiento que identifique quién clasifica incidentes, quién decide si involucran datos personales, cómo se informa al delegado de protección de datos y quién presenta el formulario en SISPDP. Los contratos con encargados deben facilitar el aviso máximo de dos días, especificar el medio electrónico de comunicación y asegurar la entrega rápida de los datos necesarios para que el responsable cumpla su propio plazo.

Conviene mantener una bitácora con fecha de detección, sistemas y datos implicados, alcance estimado, decisiones tomadas, medidas de contención y comunicaciones. El objetivo es poder cumplir los términos legales sin sacrificar la investigación técnica ni enviar notificaciones incompletas. Para entidades financieras, la coordinación debe incluir sus procedimientos regulatorios y de continuidad, pero no debe asumirse que una misma comunicación sustituye todos los reportes exigibles a distintas autoridades.

Este resumen describe la resolución y su publicación; no es asesoría jurídica para un incidente particular. Los plazos se citan tal como aparecen en la norma y en la LOPDP. La aplicación a un evento depende de cuándo se conoció la vulneración, de la relación entre encargado y responsable, del riesgo para titulares y de las obligaciones sectoriales adicionales.

La fuente normativa primaria es el texto firmado por la SPDP y la edición oficial del Registro Oficial. Las organizaciones deben consultar esas fuentes vigentes, el Reglamento General de la LOPDP y, cuando exista una vulneración concreta, sus responsables legales y de protección de datos. La fecha verificable de entrada en vigor es el 24 de septiembre de 2026.