Notificación de vulneraciones de datos personales en Ecuador
Qué exige la Resolución SPDP-SPD-2026-0040-R y cómo gestionar el riesgo
La protección de datos personales en Ecuador ha entrado en una etapa en la que las empresas no solamente deben adoptar medidas preventivas para proteger la información de sus clientes, trabajadores, proveedores y demás titulares, sino que también deben estar preparadas para actuar cuando ocurre una vulneración de seguridad.
La Resolución N.º SPDP-SPD-2026-0040-R, mediante la cual la Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales, establece reglas específicas para la notificación y gestión de estos incidentes.
Para las empresas, conocer estas obligaciones es especialmente importante porque una vulneración de datos puede generar simultáneamente consecuencias regulatorias, económicas, operativas, contractuales y reputacionales.
¿Qué regula la Resolución SPDP-SPD-2026-0040-R?
La norma regula dos aspectos principales:
- El proceso mediante el cual los responsables y encargados del tratamiento deben notificar las vulneraciones de seguridad de datos personales.
- El proceso mediante el cual la SPDP recibe, analiza y gestiona dichas notificaciones.
La resolución se aplica dentro del ámbito establecido por la Ley Orgánica de Protección de Datos Personales (LOPDP).
Por tanto, no se trata únicamente de una norma sobre ciberseguridad. Su objeto se encuentra en la intersección entre protección de datos personales, seguridad de la información y gestión de incidentes.
¿Qué se entiende por una vulneración de seguridad?
La resolución define el incidente de protección de datos personales como un evento de seguridad que ha vulnerado o tiene la probabilidad de vulnerar la confidencialidad, integridad o disponibilidad de datos personales.
La norma distingue tres categorías:
1. Vulneración de confidencialidad
Se produce cuando personas no autorizadas acceden a datos personales.
Puede ocurrir, por ejemplo, cuando:
- se produce una filtración de una base de datos;
- un tercero obtiene acceso no autorizado a información de clientes;
- se sustraen archivos que contienen datos personales;
- un empleado accede indebidamente a información;
- una cuenta corporativa es comprometida.
La resolución considera especialmente relevante la naturaleza de estas vulneraciones porque, una vez que información personal ha sido divulgada o accedida sin autorización, resulta difícil garantizar que pueda recuperarse el control sobre ella.
2. Vulneración de integridad
Existe cuando los datos personales han sido alterados, modificados o afectados en su integridad.
La norma distingue entre vulneraciones temporales, permanentes e irreversibles, dependiendo de la posibilidad de recuperar y restaurar la integridad de los sistemas y datos.
3. Vulneración de disponibilidad
Se produce cuando los titulares o quienes legítimamente deben acceder a los datos no pueden disponer de ellos.
La resolución también distingue entre afectaciones temporales, permanentes e irreversibles.
Un mismo incidente puede producir simultáneamente vulneraciones de confidencialidad, integridad y disponibilidad.
¿Cuándo debe notificarse una vulneración?
La finalidad de la notificación a la SPDP es informarle sobre la existencia de incidentes de seguridad en los que exista riesgo para los derechos y libertades de los titulares.
La resolución establece que la notificación debe realizarse a través del Sistema Nacional de Registro de Datos Personales (SISPDP).
La ausencia de la notificación correspondiente puede constituir una infracción grave conforme a la LOPDP, por lo que la respuesta frente a un incidente no debería limitarse a solucionar técnicamente el problema.
La empresa debe contar también con un procedimiento jurídico y organizacional para determinar cuándo existe una vulneración notificable y cómo debe comunicarse.
Responsables y encargados tienen obligaciones diferentes
Uno de los aspectos particularmente relevantes de la resolución es la diferenciación entre el encargado y el responsable del tratamiento.
Cuando se produce una vulneración, el encargado del tratamiento debe comunicarla al responsable en un plazo máximo de dos días, de acuerdo con la norma.
Una vez recibida la comunicación, el responsable deberá notificar la vulneración a la SPDP dentro del término de cinco días establecido por la LOPDP.
Esto tiene una consecuencia práctica importante para las empresas que trabajan con proveedores que procesan datos personales.
Los contratos con encargados deberían contemplar mecanismos claros para:
- detectar incidentes;
- comunicar inmediatamente la existencia de una vulneración;
- preservar evidencia;
- determinar responsabilidades;
- colaborar en la investigación;
- proporcionar información para la notificación;
- ejecutar medidas de mitigación.
Una empresa no debería descubrir después de varios días que su proveedor sufrió un incidente que afectó información de sus clientes.
¿Qué información debe contener la comunicación a los titulares?
La resolución establece requisitos mínimos para las notificaciones dirigidas a los titulares.
La comunicación debe realizarse utilizando un lenguaje claro, accesible, transparente y sencillo y debe contener, al menos:
- la naturaleza de la vulneración;
- la fecha de detección o el período estimado del evento, cuando sea posible;
- las medidas adoptadas por el responsable;
- recomendaciones para los titulares.
La notificación debe realizarse mediante los canales habituales de comunicación establecidos por la empresa, además de los mecanismos adicionales previstos por la norma.
La empresa debe evitar que una comunicación sobre una vulneración se convierta en un documento excesivamente técnico o incomprensible para las personas afectadas.
La notificación no termina con el envío del formulario
Otro aspecto relevante es que la SPDP utilizará el sistema AIxSPDP para procesar y analizar la información recibida.
El sistema permitirá generar trazabilidad, métricas y modelos de riesgo, pero la propia resolución establece que existirá intervención y supervisión humana.
La información será analizada por la Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales (IIT), que podrá determinar si corresponde remitir el caso a la Intendencia General de Control y Sanción (ICS).
Las notificaciones que no sean remitidas a la ICS podrán permanecer en estado de monitoreo.
Esto significa que una vulneración no necesariamente termina jurídicamente cuando la empresa envía la notificación.
La SPDP puede continuar observando la evolución del riesgo, particularmente en casos en los que los efectos sobre los titulares puedan materializarse posteriormente.
¿Por qué es importante la clasificación del incidente?
La clasificación entre confidencialidad, integridad y disponibilidad no es meramente conceptual.
Permite comprender la naturaleza y potencial impacto del incidente.
Por ejemplo:
Ransomware
Puede afectar simultáneamente:
- la disponibilidad de los sistemas;
- la integridad de la información;
- y, dependiendo del ataque, la confidencialidad de los datos.
Filtración de una base de datos
Puede constituir principalmente una vulneración de confidencialidad.
Alteración maliciosa de información de clientes
Puede afectar la integridad de los datos.
Esta clasificación también resulta relevante para determinar las medidas de respuesta, mitigación y recuperación que debe implementar la empresa.
¿Cómo manejar este riesgo?
La gestión adecuada del riesgo de una vulneración de datos debería combinar medidas jurídicas, organizacionales, tecnológicas y financieras.
1. Establecer un protocolo de respuesta a incidentes
La empresa debería determinar previamente:
- quién recibe la primera alerta;
- quién evalúa el incidente;
- quién toma decisiones;
- quién comunica a la SPDP;
- quién comunica a los titulares;
- quién preserva la evidencia;
- quién coordina con proveedores tecnológicos;
- quién gestiona la comunicación pública.
Esperar a que ocurra el incidente para definir estas responsabilidades puede incrementar significativamente sus consecuencias.
2. Revisar los contratos con encargados del tratamiento
Los contratos deberían establecer claramente las obligaciones del encargado frente a una vulneración.
El plazo máximo de dos días previsto por la normativa hace especialmente importante que los mecanismos internos de comunicación permitan detectar y escalar rápidamente los incidentes.
3. Preservar evidencia
Ante un incidente, la empresa debería evitar la destrucción o alteración de información que pueda ser necesaria para determinar:
- cómo ocurrió el incidente;
- cuándo ocurrió;
- qué información fue afectada;
- quién pudo acceder a ella;
- qué sistemas estuvieron comprometidos;
- qué medidas fueron adoptadas.
4. Evaluar las consecuencias económicas
Una vulneración puede producir gastos relacionados con:
- investigación forense;
- asesoramiento jurídico;
- recuperación de información;
- restauración de sistemas;
- notificación a afectados;
- gestión de crisis;
- relaciones públicas;
- defensa frente a reclamaciones;
- investigaciones regulatorias;
- interrupción de operaciones.
Por ello, la protección de datos no debería analizarse exclusivamente como un problema de cumplimiento normativo.
También constituye un riesgo financiero y empresarial.
¿Puede el seguro Cyber ayudar a gestionar este riesgo?
Sí, determinadas pólizas de Cyber Risks pueden contemplar coberturas relacionadas con algunos de los costos derivados de una vulneración de seguridad o de privacidad.
Dependiendo del wording de la póliza, pueden existir coberturas relacionadas con:
- respuesta ante incidentes;
- investigación forense;
- notificación a afectados;
- gestión de crisis;
- recuperación de datos;
- interrupción del negocio;
- responsabilidad por privacidad;
- defensa frente a determinadas reclamaciones;
- investigaciones o procedimientos regulatorios, cuando la póliza los contemple.
Sin embargo, no debe asumirse que toda vulneración de datos estará cubierta por cualquier póliza Cyber.
La respuesta dependerá de las definiciones, condiciones particulares, límites, sublímites, deducibles, exclusiones, obligaciones del asegurado y circunstancias concretas del incidente.
Por ejemplo, será necesario analizar cuidadosamente si el evento constituye un «Cyber Incident», un «Data Breach», una «Privacy Breach» u otro evento asegurado conforme al wording específico de la póliza.
Una póliza no sustituye el cumplimiento
Contar con Cyber insurance tampoco sustituye las obligaciones impuestas por la LOPDP y por la normativa de la SPDP.
El seguro constituye un mecanismo de transferencia financiera del riesgo, pero la empresa continúa teniendo que implementar las medidas técnicas, organizativas, administrativas y jurídicas necesarias para prevenir, detectar, contener y mitigar las vulneraciones.
De hecho, la existencia de un adecuado sistema de gestión de riesgos puede ser fundamental tanto para prevenir incidentes como para responder adecuadamente cuando ocurran.
Conclusión
La Resolución SPDP-SPD-2026-0040-R introduce un marco específico para la notificación y gestión de vulneraciones de seguridad de datos personales en Ecuador.
Para las empresas, el principal desafío no consiste solamente en conocer cuándo deben realizar una notificación. Es necesario desarrollar una capacidad integral de respuesta que permita detectar el incidente, contenerlo, preservar evidencia, evaluar los riesgos, cumplir las obligaciones de notificación y mitigar sus consecuencias.
La gestión de este riesgo también puede requerir revisar las pólizas de seguro Cyber de la empresa para determinar qué costos y responsabilidades podrían estar potencialmente cubiertos.
Una empresa que sufre una vulneración de datos debería, por tanto, analizar simultáneamente sus obligaciones legales, las medidas de mitigación necesarias y las posibilidades de transferencia del riesgo mediante seguros.
¿Su empresa sufrió una vulneración de datos?
Si su empresa ha sufrido un incidente de seguridad o necesita evaluar sus obligaciones frente a una vulneración de datos personales, es recomendable analizar las circunstancias concretas del evento, las obligaciones establecidas por la normativa aplicable y las condiciones de las pólizas de seguro que pudieran resultar relevantes.
Britannia puede ayudar a analizar jurídicamente el caso y revisar la relación entre el riesgo ocurrido, las obligaciones del responsable o encargado del tratamiento y las posibles coberturas aseguradoras involucradas.
