Saltar al contenido
AI Policy Generator

ENQué me toca

Ecuador · Ley

Ley Orgánica de Protección de Datos Personales y su reglamento

VigenteLOPDP

Resumen

Ley general de datos personales. Para la IA importan el derecho a no ser objeto de decisiones automatizadas, la evaluación de impacto obligatoria, el registro de actividades, la notificación de brechas en 5 días y los contratos con proveedores.

A quién se dirige

Toda organización pública o privada que trata datos personales en Ecuador o de personas en Ecuador.

Sanciones

Multas de 0,1 % a 0,7 % (leves) y de 0,7 % a 1 % (graves) del volumen de negocio del ejercicio anterior; para servidores públicos, de 1 a 20 salarios básicos.

Nombre oficial
Ley Orgánica de Protección de Datos Personales y su Reglamento General (Decreto Ejecutivo N.° 904)
Referencia oficial
Quinto Suplemento del Registro Oficial N.° 459, 26 de mayo de 2021; Reglamento: Tercer Suplemento del Registro Oficial N.° 435, 13 de noviembre de 2023
Autoridad
Superintendencia de Protección de Datos Personales (SPDP)
Fuente oficial
Consultar la fuenteCómo verificamos las fuentes

Fechas clave

Obligaciones y fechas

Tabla de obligaciones
ObligaciónArtículo o citaEstadoFechaA quién se dirigeVerificación
Respetar el derecho a no ser objeto de decisiones automatizadasLOPDP, arts. 20 y 21VigenteYa aplicableOrganizaciones que usan IA para perfilar personas o tomar decisiones que producen efectos jurídicos o afectan sus derechos.Verificado en fuente oficial el 4 de noviembre de 2026
Hacer una evaluación de impacto antes de tratamientos de alto riesgoLOPDP, art. 42; Reglamento LOPDP, arts. 29 a 32VigenteYa aplicableObligatoria antes de perfilar personas con efectos jurídicos, tratar datos sensibles a gran escala u observar zonas públicas a gran escala (por ejemplo, videovigilancia con IA).Verificado en fuente oficial el 4 de noviembre de 2026
Llevar el registro de actividades de tratamientoReglamento LOPDP, arts. 38 y 39VigenteYa aplicableObligatorio para responsables con 100 o más trabajadores y, con menos, si el tratamiento entraña riesgo, no es ocasional o incluye datos sensibles; en la práctica, casi cualquier uso continuo de IA con datos personales.Verificado en fuente oficial el 4 de noviembre de 2026
Notificar brechas en 5 díasLOPDP, art. 43; Reglamento LOPDP, arts. 24 a 28VigenteYa aplicableToda organización que trata datos personales en Ecuador, incluidas las brechas en sistemas de IA.Verificado en fuente oficial el 4 de noviembre de 2026
Firmar contratos con los proveedores que tratan datosLOPDP, arts. 34 y 47, num. 10; Reglamento LOPDP, arts. 40 y 41VigenteYa aplicableOrganizaciones que usan proveedores de IA que acceden a datos personales (herramientas de IA generativa, chatbots, software con IA).Verificado en fuente oficial el 4 de noviembre de 2026

Respetar el derecho a no ser objeto de decisiones automatizadas

LOPDP, arts. 20 y 21Vigente

Ya aplicable

Cuándo se relaciona
Organizaciones que usan IA para perfilar personas o tomar decisiones que producen efectos jurídicos o afectan sus derechos.
Qué prevé la norma
  • Informar este derecho a más tardar en la primera comunicación con la persona.
  • Permitir que la persona pida una explicación motivada, presente observaciones, conozca los criterios de valoración y los tipos y fuentes de datos, e impugne la decisión.
  • No incluir renuncias a este derecho en contratos de adhesión. Para decisiones automatizadas sobre menores se requiere el consentimiento expreso de su representante legal.
Evidencias habituales
  • Aviso de privacidad con el derecho del art. 20
  • Procedimiento y registro de solicitudes de revisión
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias del Registro Oficial publicadas por la SPDP: LOPDP (Quinto Suplemento 459), art. 20 (explicación, observaciones, criterios, impugnación; informar el derecho en la primera comunicación; sin renuncias en contratos de adhesión) y art. 21 (niñas, niños y adolescentes).

Hacer una evaluación de impacto antes de tratamientos de alto riesgo

LOPDP, art. 42; Reglamento LOPDP, arts. 29 a 32Vigente

Ya aplicable

Cuándo se relaciona
Obligatoria antes de perfilar personas con efectos jurídicos, tratar datos sensibles a gran escala u observar zonas públicas a gran escala (por ejemplo, videovigilancia con IA).
Qué prevé la norma
  • Evaluar el impacto antes de iniciar el tratamiento, con descripción de las operaciones, justificación de necesidad y proporcionalidad, riesgos y medidas.
  • Presentar la evaluación ante la Superintendencia cuando sea obligatoria; en caso de duda, se puede consultar a la autoridad.
Evidencias habituales
  • Evaluación de impacto fechada y constancia de presentación
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias del Registro Oficial publicadas por la SPDP: LOPDP, art. 42 (casos obligatorios, antes del tratamiento) y Reglamento (Tercer Suplemento 435), arts. 29 a 32 (consulta en caso de duda, art. 31; presentación ante la Autoridad, art. 32).

Llevar el registro de actividades de tratamiento

Reglamento LOPDP, arts. 38 y 39Vigente

Ya aplicable

Cuándo se relaciona
Obligatorio para responsables con 100 o más trabajadores y, con menos, si el tratamiento entraña riesgo, no es ocasional o incluye datos sensibles; en la práctica, casi cualquier uso continuo de IA con datos personales.
Qué prevé la norma
  • Registrar cada tratamiento con fines, categorías de datos y personas, destinatarios, uso de perfiles, transferencias internacionales, base legal, plazos de conservación y medidas de seguridad.
Evidencias habituales
  • Registro de actividades actualizado, con los tratamientos de IA identificados
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias del Registro Oficial publicadas por la SPDP: Reglamento (Tercer Suplemento 435), art. 38 (responsables con 100 o más trabajadores; contenido del registro) y art. 39 (con menos trabajadores, si hay riesgo, tratamiento no ocasional o datos sensibles).

Notificar brechas en 5 días

LOPDP, art. 43; Reglamento LOPDP, arts. 24 a 28Vigente

Ya aplicable

Cuándo se relaciona
Toda organización que trata datos personales en Ecuador, incluidas las brechas en sistemas de IA.
Qué prevé la norma
  • Notificar a la Superintendencia de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) a más tardar en el término de 5 días.
  • Incluir naturaleza de la brecha, personas afectadas, sistemas, causa, volumen, medidas y evaluación de riesgo. El encargado debe avisar al responsable.
Evidencias habituales
  • Registro de incidentes y notificaciones enviadas
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias del Registro Oficial publicadas por la SPDP: LOPDP, art. 43 (SPDP y ARCOTEL en el término de 5 días; el encargado avisa al responsable en 2 días) y Reglamento, arts. 24 a 28 (contenido de la notificación, art. 26).

Firmar contratos con los proveedores que tratan datos

LOPDP, arts. 34 y 47, num. 10; Reglamento LOPDP, arts. 40 y 41Vigente

Ya aplicable

Cuándo se relaciona
Organizaciones que usan proveedores de IA que acceden a datos personales (herramientas de IA generativa, chatbots, software con IA).
Qué prevé la norma
  • Elegir proveedores que ofrezcan garantías suficientes y firmar contratos con cláusulas de confidencialidad y de tratamiento de datos.
Evidencias habituales
  • Contratos de encargo firmados con cada proveedor de IA
Verificación
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en las copias del Registro Oficial publicadas por la SPDP: LOPDP, art. 34 (el tratamiento por el encargado se rige por un contrato) y art. 47, num. 10 (contratos de confidencialidad); Reglamento, art. 40 (garantías suficientes del encargado) y art. 41 (contrato escrito y su contenido). No firmarlos es infracción grave (LOPDP, art. 68).

Normas relacionadas

Alertas de cambios normativos por país

Elige los países que te interesan y te avisaremos por email cuando cambiemos en nuestro registro una norma o una fecha de aplicación de esos países.

  • Cambios en las normas de los países que elijas, cuando los incorporamos al registro.
  • Nuevas fechas de aplicación.
  • No más de un email a la semana. Te das de baja cuando quieras.

Es un aviso informativo y gratuito, no un servicio de seguimiento legal: no detecta necesariamente todos los cambios ni en un plazo concreto.

Países · Elige uno o varios.
Estados de EE. UU.
Idioma de los emails
Gestionar mis alertas

Descubre qué te toca (gratis)