La Evaluación de Impacto en Protección de Datos —EIPD— es obligatoria cuando un tratamiento puede generar alto riesgo y en los supuestos expresamente previstos por la normativa ecuatoriana. Debe hacerse antes de comenzar la operación. Sirve para decidir si el proyecto puede ejecutarse y qué cambios requiere, no para justificarlo después de instalar una tecnología.
¿En qué casos debe realizarse?
El artículo 42 de la LOPDP contempla, entre otros supuestos, evaluaciones sistemáticas y exhaustivas mediante tratamientos automatizados que sustentan decisiones con efectos jurídicos; gran escala de categorías especiales o datos sobre condenas e infracciones penales; y observación sistemática a gran escala de zonas de acceso público. También procede ante alto riesgo o requerimiento de la autoridad.
Las normas posteriores añaden obligaciones que no deben omitirse:
- Biometría: los artículos 5 y 15 de la Resolución SPDP-SPD-2026-0039-R exigen análisis de riesgos y EIPD antes de implementar cualquier sistema biométrico.
- Gran escala: compruebe calificaciones directas y, cuando corresponda, el Modelo Técnico de Gran Escala de la Resolución SPDP-SPD-2026-0005-R. La obligación no se decide únicamente por número de usuarios.
- Riesgo persistente: si las medidas propuestas no bastan, debe evaluarse la consulta previa a la SPDP antes del tratamiento, conforme al marco aplicable.
Qué debe contener una evaluación útil
El artículo 32 del Reglamento General exige descripción de operaciones y finalidades, necesidad y proporcionalidad, riesgos para derechos y libertades, y medidas para enfrentarlos. Cuando la evaluación es obligatoria, prevé su presentación ante la SPDP; no se limita a guardarla hasta que la autoridad la pida.
En términos prácticos, el expediente debe permitir reconstruir la decisión:
- Qué datos entran, quién los recibe y cómo termina su ciclo de vida.
- Qué finalidad justifica la operación y qué alternativas se compararon.
- Qué podría afectar a las personas: divulgación, exclusión, vigilancia, errores o pérdida de disponibilidad.
- Qué controles se adoptarán, quién los ejecutará y qué riesgo queda después.
- Qué conclusión permite iniciar, modificar o descartar el proyecto y cuándo se revisará.
La guía aprobada por la SPDP mediante Resolución 2025-0003-R orienta la metodología. Adaptarla a la organización no vuelve opcional una evaluación que la norma exige.
Ejemplo: nuevo control de asistencia por huella
Una empresa que quiere instalar un reloj biométrico debe comparar alternativas, analizar el régimen de datos sensibles y realizar la EIPD antes de ponerlo en funcionamiento. El hecho de que solo tenga veinte trabajadores no elimina la obligación específica de biometría.
Para sistemas que ya se usaban al entrar en vigor la norma el 24 de septiembre de 2026, hay doce meses desde la publicación para adecuar procesos y sistemas. La transición alcanza al 24 de septiembre de 2027; no se aplica como permiso para desplegar un sistema nuevo sin evaluación previa.
Quién prepara, quién supervisa y cuándo revisar
La organización y sus equipos ejecutan la evaluación. El DPD asesora y supervisa sin asumir directamente esa ejecución ni las decisiones sobre medios y finalidades. En biometría, la EIPD debe revisarse cada doce meses y cuando cambie el riesgo; otros tratamientos deben revisarse conforme a sus riesgos y obligaciones específicas.
Confirme el canal oficial disponible para la presentación y conserve la constancia. TempoLegal recomienda vincular la evaluación a los controles biométricos y el RAT, para que sus conclusiones se traduzcan en medidas verificables.
Contenido revisado al 12 de octubre de 2026.