Norma de transferencias internacionales de datos

VigenteRes. SPDP 2026-0004-R

Resumen

Regula cómo enviar datos fuera de Ecuador, crea el registro de transferencias y da 12 meses para regularizar las transferencias existentes.

A quién se dirige

Organizaciones que transfieren o comunican datos personales a terceros, en especial fuera del país.

Sanciones

Multas de 0,1 % a 0,7 % (leves) y de 0,7 % a 1 % (graves) del volumen de negocio del ejercicio anterior; para servidores públicos, de 1 a 20 salarios básicos.

Nombre oficial: Resolución N.° SPDP-SPD-2026-0004-R, Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales
Referencia oficial: Resolución SPDP-SPD-2026-0004-R, firmada el 28 de enero de 2026; rige desde su publicación en el Registro Oficial (fecha no confirmada)
Autoridad: Superintendencia de Protección de Datos Personales (SPDP)
Fuente oficial: Consultar la fuenteCómo verificamos las fuentes

Fechas clave

28 de enero de 2026Firma de la norma
28 de enero de 2027Fin estimado del periodo transitorio: 12 meses desde la vigencia, calculado desde la firma porque falta la fecha del Registro Oficial

Obligaciones y fechas

Tabla de obligaciones
Obligación	Artículo o cita	Estado	Fecha	A quién se dirige	Verificación
Documentar y registrar las transferencias internacionales	LOPDP, arts. 55 a 58; Res. SPDP-SPD-2026-0004-R, art. 4 y disposiciones transitorias	Vigente	28 de enero de 2026	Organizaciones que envían datos personales fuera de Ecuador, por ejemplo a proveedores de IA en la nube.	Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)

Documentar y registrar las transferencias internacionales

LOPDP, arts. 55 a 58; Res. SPDP-SPD-2026-0004-R, art. 4 y disposiciones transitoriasVigente

Aplicable desde 28 de enero de 2026

Cuándo se relaciona: Organizaciones que envían datos personales fuera de Ecuador, por ejemplo a proveedores de IA en la nube.
Qué prevé la norma: Usar un mecanismo válido: país con nivel adecuado, reconocimiento dentro de la Comunidad Andina, garantías adecuadas (cláusulas tipo, normas corporativas vinculantes, certificaciones) o autorización previa.
Inscribir las transferencias en el Registro Nacional de Datos Personales cuando la Superintendencia lo habilite (tiene 12 meses desde la vigencia de la norma) y conservar contratos, evaluaciones de impacto y medidas de seguridad al menos 3 años.
Para transferencias anteriores a la norma, notificarlas y presentar un plan de adecuación dentro de los 12 meses posteriores a su vigencia.
Evidencias habituales: Expediente por proveedor y constancia de registro
Documentos base relacionados: Expediente de transferencias internacionales de datos para servicios de IA
Documentos de apoyo: Acuerdo de tratamiento de datos (DPA) para servicios de IA
Mapa de integraciones y APIs de IA
Verificación: Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)Contenido comprobado en el texto publicado por la SPDP (art. 4: documentación por al menos tres años; disposiciones transitorias: notificación y plan de adecuación en 12 meses; disposición cuarta: Registro Nacional en 12 meses) y en la LOPDP, arts. 55 a 58. La norma rige desde su publicación en el Registro Oficial, cuya fecha no se confirmó; la fecha usada (28-ene-2026) es la de la firma.