En Ecuador, una filtración de datos personales no se gestiona solo con tecnología. Se gestiona también con evaluación jurídica, trazabilidad, gestión de riesgos y capacidad de demostrar una respuesta diligente. La empresa que improvisa o minimiza el incidente no solo se expone por la filtración como tal, sino por cómo decidió reaccionar ante ella.  

Cuando una empresa descubre un hackeo, una fuga de base de datos, un acceso no autorizado o una exposición accidental de información, la reacción inicial casi siempre es técnica: contener el incidente, revisar sistemas y tratar de limitar el daño.

Active a dirección, tecnología, responsable operativo y DPD, si existe. Preserve registros y anote cuándo se detectó el hecho, cuándo se tuvo constancia y cuándo se conoció el riesgo. Evalúe las notificaciones desde el inicio, mientras contiene el incidente.

El problema es que, en Ecuador, una filtración de datos personales no se considera solamente como un incidente informático. También activa obligaciones legales concretas bajo la LOPDP, y reaccionar tarde o inadecuadamente puede convertir un problema inicial en una contingencia mucho más costosa.

La "Guía de Gestión de Riesgos y Evaluación de Impacto" publicada por la SPDP en 2026 dedica un apartado específico a las vulneraciones de la seguridad de datos personales y subraya que la gestión de riesgos debe integrarse con la protección de derechos y libertades de los titulares. Eso confirma que una filtración involucra una responsabilidad técnica, jurídica, organizacional y de cumplimiento.  

La Resolución SPDP-SPD-2026-0040-R, vigente desde el 24 de septiembre de 2026, regula las notificaciones. Una vulneración puede afectar confidencialidad, integridad o disponibilidad; también debe evaluarse una alteración o pérdida de acceso, aunque no exista una publicación en internet.

Una filtración expone errores previos

Una vulneración de seguridad no solo abre el frente del incidente mismo. También puede dejar expuestas debilidades previas en controles, gestión de riesgos, trazabilidad, conservación y documentación. En otras palabras, la filtración suele revelar si la organización venía tratando los datos con una estructura seria o con una lógica improvisada.

La SPDP ha venido reforzando esa visión con su normativa y sus guías: no se trata únicamente de reaccionar, sino de poder demostrar que existía una estructura de prevención razonable antes del incidente.  

El primer error: pensar que el incidente es solo “interno”

Muchas empresas intentan manejar estos casos exclusivamente desde tecnología o desde el proveedor afectado. Se trata de uno de los errores más costosos. Si hubo pérdida de control, acceso indebido, exposición, alteración o destrucción de datos personales, ya no estamos frente a un problema informático solamente: se trata de un evento que puede activar obligaciones bajo la normativa de protección de datos.

Por eso, la reacción técnica debe ir de la mano con la reacción jurídica. Separarlas suele empeorar la posición de la empresa.

El segundo error: no activar la evaluación de riesgo a tiempo

Uno de los problemas más frecuentes en estos escenarios es perder tiempo discutiendo internamente la gravedad de la filtración, antes de ordenar la respuesta. La guía de riesgos 2026 insiste precisamente en que la organización debe integrar la gestión de vulneraciones dentro de un modelo de riesgo serio y documentado, es decir, preexistente. Esperar demasiado para estructurar el análisis puede agravar consecuencias y debilitar la posición defensiva de la empresa.  

El tercer error: creer que el problema termina si no hay multa inmediata

Una filtración mal gestionada no afecta únicamente por la posible sanción. También compromete reputación, contratos, renovaciones con clientes corporativos, due diligence, asegurabilidad y confianza del mercado. Por eso este tema suele traer consultas de urgencia real: la empresa no solo quiere saber “qué dice la ley”, sino cómo actuar rápido para no empeorar el escenario.

Qué debería hacer una empresa en las primeras horas

La reacción correcta combina al menos cuatro frentes:

Primero, contención técnica: identificar qué pasó, qué sistemas fueron afectados y qué datos pudieron quedar expuestos.
Segundo, evaluación jurídica inmediata: determinar si el incidente tiene relevancia bajo la LOPDP y qué pasos deben activarse.
Tercero, trazabilidad documental: dejar registro claro de la cronología, decisiones, medidas adoptadas y evaluación de riesgo.
Cuarto, notificaciones: decidir destinatarios, términos, canal y contenido sin esperar a cerrar toda la investigación. Preserve la evidencia al contener y restaurar los sistemas.

La lógica de la SPDP en sus guías es muy clara: la gestión de riesgos debe ser real, justificada y útil para la toma de decisiones. Eso aplica de lleno en incidentes de seguridad.  

Notificaciones: destinatarios y tiempos distintos

No convierta estas reglas automáticamente en horas ni espere al último día. Registre cada punto de inicio y revise el cómputo aplicable. Si el aviso a la SPDP supera el término de cinco días, la ley exige justificar la dilación.

Canal y contenido de la comunicación

Notifique a la SPDP por el Sistema Nacional de Registro de Datos Personales (SISPDP), en el formulario oficial de vulneraciones, y conserve la constancia automática. La norma prevé otros canales oficiales solo por la indisponibilidad del sistema contemplada en su artículo 8; la SPDP verifica esa circunstancia. Este canal corresponde a la SPDP; revise por separado la comunicación a ARCOTEL.

Prepare naturaleza y tipo del incidente, titulares afectados, sistemas, causa presunta, volumen y clases de datos, medidas y evaluación de riesgos conforme al Reglamento. El encargado comunica al responsable la información exigida, con la excepción reglamentaria de la evaluación de riesgo.

Al titular informe de forma clara sobre el hecho, fecha o período estimado, medidas y recomendaciones. Las excepciones por medidas efectivas o eliminación del riesgo requieren calificación de la SPDP; el esfuerzo desproporcionado exige comunicación pública en los términos del art. 46. Documente la decisión y no exponga datos ajenos en los avisos.

Seguimiento después de las primeras notificaciones

En 2026 la expectativa regulatoria ya no está en “tener un formato” para incidentes. Está en demostrar que la organización tiene capacidad de gestionar riesgos de forma seria. La guía de 2026 desarrolla justamente esa visión y la conecta con auditorías, vulneraciones, criterios de evaluación y conformidad.  

Asigne responsables para remediación, recuperación y revisión de controles. En una clínica, que el proveedor del portal prometa resolver el incidente no sustituye las decisiones de la institución: consulte protección de datos en clínicas y laboratorios.

En TempoLegal acompañamos a organizaciones que necesitan responder incidentes con criterio jurídico y operativo, y hemos visto que la diferencia entre una crisis contenida y una crisis que escala suele estar en las primeras decisiones tomadas. No se trata solo de "apagar el incendio técnico", sino de ordenar la respuesta desde cumplimiento, riesgo y protección de la posición de la empresa.

En TempoLegal ayudamos a empresas en Ecuador a responder filtraciones de datos con criterio jurídico y estratégico: evaluación inmediata, coordinación con tecnología, documentación defensiva y plan de remediación para reducir sanciones y daño reputacional.

Fuentes oficiales

• LOPDP, arts. 43 y 46
• Reglamento General de la LOPDP, arts. 24 a 28
• Norma técnica de notificaciones, Resolución 2026-0040-R
• Registro Oficial: vigencia del 24 de septiembre de 2026
• Guía de gestión de riesgos y evaluación de impacto de la SPDP

Revisión normativa: 12 de octubre de 2026.