La Ley Orgánica de Protección de Datos Personales (LOPDP) se aplica a información que identifica o permite identificar a una persona: clientes, trabajadores, candidatos y contactos profesionales, entre otros. Para una empresa, cumplir exige organizar cómo recoge, utiliza, comparte, conserva y elimina esa información, con decisiones que pueda demostrar.

Empiece por los datos y sus finalidades

Recorra ventas, nómina, selección, contabilidad, cámaras, sitio web y proveedores. Un nombre en una factura, una hoja de vida y una grabación son tratamientos distintos. Identifique datos, personas, sistemas, destinatarios, acceso y conservación. El Registro de Actividades de Tratamiento (RAT), cuando corresponde, permite ordenar esas operaciones y mantenerlas actualizadas.

Un diagnóstico útil termina con responsables internos y acciones concretas. No basta con descargar una política que describe procesos inexistentes.

No todo tratamiento requiere consentimiento

La LOPDP admite distintas bases de legitimación, entre ellas consentimiento, contrato, obligación legal y otras bajo sus condiciones. Asigne la base por finalidad. Datos necesarios para ejecutar un contrato no autorizan automáticamente publicidad, y pedir consentimiento para una obligación que no depende de la voluntad de la persona puede confundir el alcance del trámite.

Cuando corresponda consentimiento, debe reunir las condiciones legales y poder acreditarse. Datos sensibles, de salud, de menores y relativos a discapacidad tienen reglas especiales. Una aceptación genérica no resuelve todas las finalidades.

Informe y permita ejercer derechos

La persona necesita saber quién usa sus datos, para qué, con qué base, a quién se comunican, cuánto se conservan y cómo ejercer derechos. Organice acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión y los derechos relacionados con valoraciones automatizadas, según sus condiciones.

La empresa debe contar con un canal y un responsable de gestión, verificar identidad de forma proporcional, registrar solicitudes y contestar dentro de los plazos correspondientes. No es razonable exigir que el solicitante conozca una sigla para atender su petición.

Revise proveedores y operaciones internacionales

Un proveedor que trata por instrucciones puede ser encargado; una entidad que decide finalidades propias puede ser responsable. Determine el rol antes de elegir contrato. El encargo genuino no constituye transferencia ni comunicación conforme a la norma de 2026, aunque el proveedor actúe fuera de Ecuador. Si hay transferencia a un responsable extranjero, se revisa el régimen internacional aplicable. Consulte nube, CRM y proveedores extranjeros.

Seguridad, riesgos y delegado

• Limite accesos por función y retire los que ya no sean necesarios.
• Defina conservación, eliminación y respaldos que se puedan comprobar.
• Evalúe riesgos para las personas y la procedencia de una evaluación de impacto.
• Prepare una respuesta a incidentes que incluya evaluación de notificaciones.
• Compruebe si debe designar DPD por sector, actividad o gran escala.

La obligación del delegado no se decide solo por empleados. Sectores como educación y seguros y determinados tratamientos están comprendidos en normas específicas. El DPD asesora y supervisa con independencia; la organización ejecuta la implementación. La guía de nombramiento del DPD desarrolla requisitos y registro.

Ejemplo de una pequeña empresa

Supuesto hipotético: un negocio vende por internet, guarda hojas de vida y contrata un sistema de clientes. Empieza separando pedido, publicidad y selección; determina bases, ajusta formularios, revisa proveedor y accesos, y habilita atención de derechos. Luego evalúa los supuestos de DPD y gran escala. Ser pequeño no elimina obligaciones, pero tampoco justifica aplicar indiscriminadamente el mismo paquete documental de otra organización.

Esta ruta sirve para priorizar: inventario, legitimación, transparencia, derechos, contratos, riesgos y seguimiento. La guía de incidentes ayuda a preparar una respuesta antes de que ocurra una pérdida o exposición de datos.

Fuentes oficiales

• Ley Orgánica de Protección de Datos Personales
• Reglamento General de la LOPDP
• Reglamento del Delegado de Protección de Datos, Resolución 2025-0028-R
• Norma de tratamiento a gran escala, Resolución 2026-0005-R
• Norma de transferencias de datos, Resolución 2026-0004-R
• Norma técnica de notificaciones, Resolución 2026-0040-R

Revisión normativa: 12 de octubre de 2026.