En mayo de 2025, la Superintendencia de Protección de Datos Personales del Ecuador (SPDP) publicó la Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, una herramienta clave para la implementación efectiva de la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento. Esta herramienta técnica y metodológica se convierte en un instrumento clave para asegurar la responsabilidad proactiva y el principio de privacidad desde el diseño y por defecto, ambos consagrados en la ley.
¿Cuál es el objetivo y alcance de la Guía?
La Guía tiene como objetivo principal orientar a los responsables y encargados del tratamiento de datos personales en la identificación, análisis y mitigación de riesgos, así como en la realización de evaluaciones de impacto que permitan adoptar decisiones informadas y la implementación de medidas de seguridad.
Está dirigida a todo tipo de organizaciones que gestionan datos personales, y propone un marco metodológico flexible y escalable, que puede adaptarse a las características y nivel de riesgo de cada entidad.
En este artículo abordamos los antecedentes de esta guía, su contenido principal, las obligaciones que impone y cómo puede implementarse eficazmente en las organizaciones públicas y privadas.
¿Cuáles son las fases de la gestión de riesgos según la Guía?
La Guía propone una estructura lógica y práctica de gestión de riesgos que se desarrolla en cinco etapas:
1. Identificación del tratamiento
Se deben mapear todos los flujos de datos, fuentes de información, finalidades del tratamiento y categorías de datos personales. Es clave identificar los actores involucrados: responsables, encargados, terceros, y los canales o plataformas utilizadas.
2. Análisis del riesgo
Se valoran amenazas y vulnerabilidades que puedan afectar la confidencialidad, integridad, disponibilidad o licitud del tratamiento. La guía recomienda técnicas como matrices de riesgo o escalas de impacto/probabilidad.
3. Evaluación del impacto
Consiste en estimar el nivel de riesgo según los efectos que un incidente podría generar en los derechos de los titulares. La SPDPP propone clasificar el riesgo como bajo, medio, alto o muy alto.
4. Tratamiento y mitigación del riesgo
Implica definir medidas de seguridad jurídicas, técnicas y organizativas. Entre ellas: cifrado de datos, políticas internas, cláusulas contractuales, capacitación del personal, amonificación, etc.
5. Seguimiento, revisión y documentación
La guía enfatiza que todo el proceso debe ser documentado y revisado periódicamente. Este registro puede ser requerido por la Superintendencia en caso de auditorías o investigaciones.
¿Cuáles son las buenas prácticas recomendadas por la Guía?
- Integrar la gestión de riesgos al gobierno corporativo: que no sea solo un asunto del área legal o tecnológica.
- Aplicar el principio de minimización de datos: recolectar solo lo necesario.
- Evaluar tecnologías nuevas antes de su adopción.
- Consultar a los titulares cuando sea posible (especialmente si el impacto es significativo).
- Establecer indicadores de cumplimiento y cultura organizacional en privacidad.
¿Qué dice la Guía sobre las medidas de seguridad que se deben implementar?
Sobre las medidas de seguridad para la mitigación de riesgos en el tratamiento de datos personales, la Guía señala que, una vez identificados los riesgos derivados del tratamiento de datos personales, se genera la necesidad de adoptar medidas técnicas, organizativas y jurídicas adecuadas para prevenir, minimizar o neutralizar dichos riesgos. Estas medidas deben ser proporcionales al nivel de riesgo identificado y estar alineadas con el principio de “privacidad desde el diseño y por defecto”.
La normativa no impone una receta única, sino que deja a cada organización la responsabilidad de seleccionar e implementar las medidas más adecuadas según el tipo de datos, los medios tecnológicos, los fines del tratamiento y los derechos en juego.
A continuación, detallamos las principales categorías y ejemplos de medidas de seguridad que pueden implementarse:
- Medidas técnicas
Están orientadas a proteger los sistemas de información, redes, bases de datos y dispositivos utilizados para el tratamiento de datos personales.
Ejemplos recomendados por la guía y estándares internacionales:
- Cifrado de datos personales en tránsito y en reposo
- Control de acceso lógico: usuarios y perfiles con privilegios diferenciados según funciones.
- Respaldo periódico (backups) y pruebas de recuperación.
- Anonimización o seudonimización de datos cuando no se requiere identificar directamente al titular.
- Seguridad perimetral y de red
- Registro de logs y monitoreo de eventos en sistemas críticos.
- Actualización y parches regulares del software utilizado.
- Política de uso de dispositivos personales en caso de teletrabajo.
Importante: la falta de medidas técnicas adecuadas puede incrementar el nivel de riesgo residual, incluso si la organización cuenta con políticas internas o cláusulas contractuales.
2. Medidas organizativas
Estas medidas tienen como objetivo crear una estructura interna responsable, ordenada y capaz de garantizar la protección efectiva de los datos personales dentro de la cultura de la organización.
Ejemplos de buenas prácticas:
- Designación de un responsable o delegado de protección de datos personales (DPO) con autoridad y formación adecuada.
- Mapeo y documentación de los tratamientos de datos (registro de actividades de tratamiento).
- Evaluaciones periódicas de riesgo y actualizaciones de las evaluaciones de impacto.
- Capacitación continua al personal sobre privacidad y seguridad de la información.
- Gestión de incidentes: protocolo de respuesta ante brechas de seguridad, con tiempos de notificación definidos.
- Evaluación de proveedores o encargados del tratamiento, y verificación de sus medidas de seguridad.
- Control de acceso físico a los lugares donde se almacenan datos sensibles o críticos.
- Clasificación de la información según nivel de confidencialidad.
- Auditorías internas o externas de cumplimiento en protección de datos.
3. Medidas jurídicas o contractuales
Estas medidas se integran en el marco legal de la relación entre las partes involucradas en el tratamiento, y son clave para distribuir responsabilidades y garantizar el cumplimiento legal.
Ejemplos de medidas contractuales esenciales:
- Cláusulas contractuales específicas con encargados de tratamiento que establezcan:
- Finalidad autorizada
- Obligaciones de confidencialidad
- Medidas de seguridad exigidas
- Devolución o destrucción de datos una vez cumplida la finalidad
- Políticas de privacidad internas y externas alineadas con la LOPDP.
- Consentimientos informados válidos en el caso de tratamientos no basados en otra base legal.
- Contratos de confidencialidad con empleados y terceros.
- Evaluación de transferencias internacionales de datos y uso de cláusulas contractuales tipo, en caso de que los datos salgan del Ecuador.
4. Medidas adaptadas a la evaluación de impacto
La Guía recalca que no todas las medidas deben adoptarse en todos los casos. Las decisiones deben estar sustentadas en:
- El resultado del análisis de riesgos
- La naturaleza, alcance y finalidad del tratamiento
- El volumen y la sensibilidad de los datos
- Las posibles consecuencias para los titulares
De esta manera, el responsable del tratamiento puede justificar y documentar por qué eligió (o no eligió) ciertas medidas, cumpliendo así con el principio de responsabilidad demostrada.
Documentación del tratamiento y evidencia del cumplimiento
Implementar medidas no es suficiente: es indispensable documentar cada una de ellas y mantener un registro actualizado de:
- Evaluaciones de impacto y sus actualizaciones.
- Políticas y procedimientos de seguridad.
- Evidencia de implementación de controles técnicos y organizativos.
- Resultados de auditorías internas.
- Reportes de incidentes y medidas correctivas aplicadas.
Esta documentación puede ser requerida por la Superintendencia de Protección de Datos Personales en caso de fiscalización o denuncias de los titulares.
Conclusión
La Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales no debe ser vista solo como una carga regulatoria, sino como una herramienta estratégica para reforzar la transparencia, ética y sostenibilidad de las operaciones empresariales en la era digital.
Las medidas de seguridad son el corazón operativo de un programa de cumplimiento en protección de datos personales. Implementarlas adecuadamente no solo evita sanciones, sino que mejora la resiliencia organizacional, reduce la exposición al riesgo reputacional y demuestra un compromiso ético con la privacidad de clientes, colaboradores y usuarios.
En Sánchez y Barriga Abogados, acompañamos a nuestros clientes en la construcción de sus programas de cumplimiento en materia de protección de datos, incluyendo:
- Elaboración de evaluaciones de impacto personalizadas.
- Diagnósticos de cumplimiento con la LOPDP.
- Capacitación a equipos jurídicos y tecnológicos.
- Asesoría ante la Superintendencia de Protección de Datos Personales.
- Auditoría de medidas de seguridad actuales.
- Planes de mejora y cumplimiento normativo.
- Elaboración de contratos con cláusulas de protección de datos.
- Evaluaciones de impacto alineadas con la Guía de la SPDP.