La protección de datos personales ocupa hoy un lugar central en la arquitectura jurídica de la sociedad digital. Su relevancia no se limita a la defensa de la intimidad entendida en sentido tradicional, sino que se proyecta sobre la autonomía individual, la libertad de decisión, la igualdad, la seguridad, la reputación y la posibilidad de participar en entornos digitales sin quedar sometido a formas invisibles de vigilancia o manipulación. En este sentido, proteger datos personales significa limitar jurídicamente el poder de quienes recolectan, organizan, cruzan, monetizan o automatizan información sobre las personas.
La economía contemporánea ha convertido el dato en una infraestructura de mercado. Cada compra en línea, interacción en redes sociales, registro biométrico, consulta médica digital, historial de navegación o uso de una aplicación móvil puede integrarse en bases de datos más amplias y alimentar perfiles comerciales, decisiones automatizadas o sistemas predictivos. El problema jurídico no radica únicamente en que los datos sean recolectados, sino en que puedan ser reutilizados para finalidades distintas, inferir aspectos íntimos o producir efectos discriminatorios sin que el titular comprenda plenamente cómo opera ese tratamiento.
En Ecuador, la Ley Orgánica de Protección de Datos Personales fue publicada en el Registro Oficial No. 459, Quinto Suplemento, el 26 de mayo de 2021, y constituye el eje normativo principal para regular el tratamiento de datos personales en el país. A ello se suma la actuación de la Superintendencia de Protección de Datos Personales, entidad encargada de promover, regular y supervisar el adecuado tratamiento de los datos personales conforme al ordenamiento ecuatoriano.
La tesis que orienta este artículo es que la protección de datos personales debe comprenderse como un modelo integral de gobernanza. No basta con obtener consentimiento, publicar una política de privacidad o conservar documentos de cumplimiento; es necesario demostrar licitud, finalidad legítima, proporcionalidad, transparencia, seguridad, trazabilidad, evaluación de riesgos y respeto efectivo de los derechos de los titulares durante todo el ciclo de vida del dato. Esta exigencia se vuelve más intensa en ecosistemas digitales donde intervienen inteligencia artificial, redes sociales, comercio electrónico, servicios en la nube y transferencias internacionales de información.
El concepto de dato personal se refiere, en términos generales, a toda información que identifica o hace identificable a una persona natural. La legislación ecuatoriana define el dato personal como aquel que identifica o hace identificable a una persona natural, directa o indirectamente, mientras que los datos sensibles comprenden categorías especialmente protegidas por su capacidad de afectar derechos y libertades, como datos relativos a etnia, identidad de género, orientación sexual, salud, datos biométricos, datos genéticos, creencias religiosas, opiniones políticas o condición migratoria.
La diferencia entre datos personales comunes y datos sensibles es jurídicamente relevante porque estos últimos exigen mayores garantías. Un nombre, un correo electrónico o un número telefónico pueden identificar a una persona, pero un dato biométrico, un historial médico o una orientación política pueden exponerla a discriminación, exclusión, vigilancia o afectaciones graves de su dignidad. Por ello, el tratamiento de datos sensibles debe ser excepcional, proporcional, justificado y protegido por medidas reforzadas de seguridad.
El tratamiento de datos personales comprende operaciones como la recolección, registro, conservación, consulta, transferencia, comunicación, eliminación o cualquier otra forma de uso de información personal. En ese ecosistema participan varios sujetos: el titular de los datos, el responsable del tratamiento, el encargado, el destinatario, la autoridad de protección de datos y, cuando corresponde, el delegado de protección de datos. Esta distribución de roles permite asignar responsabilidades concretas dentro de la cadena de tratamiento.
El consentimiento es una de las bases más conocidas para tratar datos personales, pero no agota el sistema jurídico de protección. La normativa ecuatoriana exige que el consentimiento sea libre, específico, informado e inequívoco, y reconoce además otras bases de legitimación, como el cumplimiento de obligaciones legales, contractuales, interés público o interés legítimo conforme a los límites previstos por la ley. Por ello, la protección de datos no debe reducirse a una casilla de aceptación, sino entenderse como un régimen de autodeterminación informativa, responsabilidad y control sobre el uso de la información personal.
En el plano nacional, la Ley Orgánica de Protección de Datos Personales de Ecuador establece los principios, derechos, obligaciones, bases de legitimación y mecanismos de control aplicables al tratamiento de datos personales. Esta norma se complementa con el Reglamento General a la Ley Orgánica de Protección de Datos Personales y con la actividad regulatoria de la Superintendencia de Protección de Datos Personales, que ha desarrollado servicios institucionales vinculados con consultas, reclamos y notificaciones de vulneraciones de seguridad.
El marco ecuatoriano ha avanzado hacia una fase de mayor especialización regulatoria, teniendo como referente el Reglamento General de Protección de Datos de la Unión Europea (RGPD), se ha consolidado como uno de los referentes más influyentes, y en esta línea la Superintendencia de Protección de Datos Personales ha publicado resoluciones sobre tratamientos domésticos, transferencias internacionales, tratamientos a gran escala y sistemas de inteligencia artificial. En particular, la norma general sobre inteligencia artificial exige que las organizaciones que utilicen sistemas de IA para tratar datos de personas ecuatorianas observen principios, derechos y obligaciones bajo un enfoque basado en riesgos y medidas de seguridad proporcionales.
En el ámbito internacional, el RGPD recoge principios como licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad, confidencialidad, responsabilidad proactiva y el reconocimiento de derechos.
Junto al RGPD, existen instrumentos internacionales que fortalecen la convergencia normativa. Las Directrices de Privacidad de la OCDE son reconocidas como uno de los primeros conjuntos internacionales de principios de privacidad y han servido como estándar mínimo global. El Convenio 108+ del Consejo de Europa moderniza la protección frente a los desafíos de las tecnologías de información y comunicación. Más recientemente, el Proceso de Hiroshima del G7 y su Código Internacional de Conducta para organizaciones que desarrollan sistemas avanzados de IA han incorporado principios de seguridad, transparencia, gestión de riesgos, protección de datos y responsabilidad durante el ciclo de vida de los sistemas de inteligencia artificial.
Los riesgos asociados al uso indebido de datos personales son múltiples y no se limitan a la filtración de información. Pueden incluir robo de identidad, fraude, discriminación algorítmica, vigilancia ilegítima, manipulación comercial, exclusión de servicios, afectación reputacional o pérdida de control sobre información íntima. En entornos digitales, estos riesgos se amplifican porque los datos pueden circular entre plataformas, proveedores tecnológicos, anunciantes, sistemas de análisis, servicios en la nube y herramientas automatizadas de toma de decisiones.
Frente a estos riesgos, los derechos de los titulares cumplen una función de control democrático sobre el tratamiento de datos. La legislación ecuatoriana reconoce derechos como información, acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento, portabilidad, suspensión del tratamiento y derecho a no ser objeto de decisiones basadas exclusivamente en valoraciones automatizadas. Estos derechos permiten que la persona no sea un sujeto pasivo frente al poder informacional de empresas, plataformas o instituciones públicas.
Las obligaciones de responsables y encargados del tratamiento constituyen el reverso institucional de esos derechos. El responsable debe aplicar principios de protección de datos, implementar herramientas técnicas, jurídicas y organizativas, adoptar políticas internas, utilizar metodologías de análisis de riesgo, ejecutar medidas de seguridad, suscribir contratos con encargados, mantener registros de actividades, designar delegado de protección de datos cuando corresponda y realizar auditorías. El encargado, por su parte, debe actuar conforme a las instrucciones del responsable y cumplir las obligaciones aplicables dentro de la cadena de tratamiento.
El análisis de riesgos y la evaluación de impacto son herramientas esenciales para pasar del cumplimiento formal a la prevención efectiva. La normativa ecuatoriana contempla la protección de datos desde el diseño y por defecto, exige procesos de análisis y mitigación de riesgos, y prevé evaluaciones de impacto cuando el tratamiento pueda generar alto riesgo, especialmente en casos de evaluación sistemática, tratamiento de categorías especiales o vigilancia a gran escala. También establece deberes de notificación ante vulneraciones de seguridad, tanto a la autoridad como a los titulares cuando exista riesgo para sus derechos y libertades.
Uno de los principales desafíos actuales es la protección de datos en sistemas de inteligencia artificial. Estos sistemas pueden procesar grandes volúmenes de información, reutilizar datos para entrenar modelos, inferir atributos sensibles a partir de datos aparentemente neutros o producir resultados difíciles de explicar. El Comité Europeo de Protección de Datos ha emitido una opinión sobre aspectos de protección de datos vinculados con modelos de IA, incluyendo temas como base jurídica, anonimización y seudonimización.
El documento cargado sobre gobernanza de IA y riesgos prácticos identifica riesgos especialmente relevantes para la protección de datos: reconstrucción por inferencia, fuga de datos del modelo, persistencia de información en prompts, vectores, cachés o registros técnicos, y uso ulterior no consentido. También advierte que la IA agéntica introduce riesgos adicionales por su autonomía, memoria persistente, interacción con APIs y herramientas externas, así como ataques de inyección de instrucciones o uso no autorizado de agentes dentro de organizaciones, lo que definitivamente nos lleva a la reflexión de una gobernanza clara y robusta a nivel interno, nacional y regional.
Las redes sociales, el comercio electrónico y los servicios en la nube plantean otro conjunto de desafíos. En redes sociales, el titular suele entregar información en contextos de interacción cotidiana, pero esa información puede ser perfilada, combinada y explotada con fines publicitarios o de recomendación algorítmica. En comercio electrónico, los datos transaccionales permiten construir perfiles de consumo, solvencia y preferencias. En servicios en la nube, el reto está en controlar proveedores, subencargados, transferencias internacionales, medidas de seguridad, localización de datos y responsabilidades contractuales.
El desafío más profundo no es únicamente tecnológico, sino institucional y cultural. Muchas organizaciones siguen entendiendo la protección de datos como una política de privacidad publicada en una página web, cuando en realidad exige gobernanza interna, trazabilidad, auditoría, formación, seguridad, evaluación de impacto y responsabilidad demostrable. Los principios del G7 sobre IA segura y confiable, así como el Reglamento de Inteligencia Artificial de la Unión Europea, muestran una tendencia regulatoria clara: las organizaciones deberán demostrar que sus sistemas digitales son seguros, explicables, proporcionales y respetuosos de los derechos fundamentales.
La protección de datos personales es una garantía estructural de la ciudadanía digital. Su función no se limita a preservar la privacidad individual, sino que busca equilibrar la relación entre personas, empresas, Estado y plataformas tecnológicas en un entorno donde la información permite observar, clasificar, predecir e influir sobre conductas humanas. Por ello, el dato personal debe ser tratado como una extensión jurídica de la persona y no como un recurso ilimitadamente disponible.
El sistema de protección de datos se sostiene sobre una arquitectura integrada de principios, derechos y obligaciones. Los principios orientan el tratamiento; los derechos permiten al titular ejercer control; y las obligaciones obligan a responsables y encargados a demostrar cumplimiento efectivo. En consecuencia, una organización no cumple adecuadamente solo porque obtuvo consentimiento o publicó una política de privacidad: debe probar que el tratamiento es lícito, necesario, proporcional, seguro, transparente y coherente con la finalidad informada.
En Ecuador, la evolución normativa y regulatoria muestra un tránsito desde la adopción formal de la Ley Orgánica de Protección de Datos Personales hacia una fase de aplicación práctica y control institucional. Las primeras decisiones y comunicados de la Superintendencia de Protección de Datos Personales, incluyendo casos relacionados con datos biométricos, privacidad desde el diseño y metodologías de gestión de riesgos, evidencian que el cumplimiento será evaluado desde la operación real de los sistemas, lo que es comprobable, y no solo desde la existencia de documentos internos.
El futuro de la protección de datos dependerá de la capacidad de integrar derecho, tecnología y gobernanza. Las organizaciones que adopten privacidad desde el diseño, seguridad por defecto, evaluación de impacto, supervisión humana, transparencia y gestión responsable de inteligencia artificial no solo reducirán su exposición sancionatoria, sino que construirán confianza. En una economía digital cada vez más dependiente de datos, la confianza será una ventaja competitiva y, al mismo tiempo, una condición ética para innovar sin sacrificar derechos fundamentales.
Asamblea Nacional del Ecuador. 2021. Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento, 26 de mayo de 2021. Asamblea Nacional del Ecuador. Link: https://www.asambleanacional.gob.ec/es/multimedios-legislativos/63464-ley-organica-de-proteccion-de-datos
Ministerio de Telecomunicaciones y de la Sociedad de la Información del Ecuador. 2021. Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento. PDF institucional. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2021/06/Ley-Organica-de-Datos-Personales.pdf
Presidencia de la República del Ecuador. 2023. Reglamento General a la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904. Presidencia de la República del Ecuador / MINTEL. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2023/11/Decreto-Ejecutivo-No.-904.pdf
Ministerio de Telecomunicaciones y de la Sociedad de la Información del Ecuador. 2023. Ley y Reglamento de la Ley de Protección de Datos Personales. MINTEL. Link: https://www.telecomunicaciones.gob.ec/ley-y-reglamento-de-la-ley-de-proteccion-de-datos-personales/
Superintendencia de Protección de Datos Personales del Ecuador. 2026. Resoluciones de la Superintendencia de Protección de Datos Personales. SPDP. Link: https://spdp.gob.ec/resoluciones2/
Superintendencia de Protección de Datos Personales del Ecuador. 2026. Prensa y comunicados institucionales sobre protección de datos personales. SPDP. Link: https://spdp.gob.ec/prensa/
Unión Europea, Parlamento Europeo y Consejo. 2016. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos. Diario Oficial de la Unión Europea / EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
Unión Europea, Parlamento Europeo y Consejo. 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence. Diario Oficial de la Unión Europea / EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
European Data Protection Board. 2024. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board. Link: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en
European Data Protection Board. 2024. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. PDF oficial. European Data Protection Board. Link: https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf
Agencia Española de Protección de Datos. 2026. Inteligencia artificial agéntica desde la perspectiva de protección de datos. Agencia Española de Protección de Datos. Link: https://www.aepd.es/guias/orientaciones-ia-agentica.pdf
Organisation for Economic Co-operation and Development. 2013. The OECD Privacy Framework. OECD Legal Instruments. Link: https://legalinstruments.oecd.org/public/doc/114/114.en.pdf
Organisation for Economic Co-operation and Development. 2023. Explanatory Memoranda of the OECD Privacy Guidelines. OECD Publishing. Link: https://www.oecd.org/en/publications/explanatory-memoranda-of-the-oecd-privacy-guidelines_ea4e9759-en.html
Council of Europe. 2018. Modernised Convention for the Protection of Individuals with Regard to the Processing of Personal Data, Convention 108+. Council of Europe. Link: https://www.coe.int/en/web/data-protection/convention108/modernised
European Commission / G7. 2023. Hiroshima Process International Guiding Principles for Organizations Developing Advanced AI Systems. European Commission, Shaping Europe’s Digital Future. Link: https://digital-strategy.ec.europa.eu/en/library/hiroshima-process-international-guiding-principles-advanced-ai-system
European Commission / G7. 2023. Hiroshima Process International Code of Conduct for Organizations Developing Advanced AI Systems. European Commission, Shaping Europe’s Digital Future. Link: https://digital-strategy.ec.europa.eu/en/library/hiroshima-process-international-code-conduct-advanced-ai-systems
Agencia Española de Protección de Datos. 2019. Guía para el cumplimiento del deber de informar. Agencia Española de Protección de Datos. Link: https://www.aepd.es/documento/guia-modelo-clausula-informativa.pdf
Agencia Española de Protección de Datos. 2018. Guía práctica de análisis de riesgos en los tratamientos de datos personales sujetos al RGPD. Agencia Española de Protección de Datos. Link: https://www.aepd.es/documento/guia-analisis-de-riesgos-rgpd.pdf
Agencia Española de Protección de Datos. 2018. Guía práctica para las evaluaciones de impacto en la protección de los datos sujetas al RGPD. Agencia Española de Protección de Datos. Link: https://www.aepd.es/documento/guia-evaluaciones-de-impacto-rgpd.pdf