Una búsqueda en internet, una ubicación, una compra o una fotografía pueden convertirse en piezas de un perfil digital capaz de revelar comportamientos, preferencias e incluso características sensibles de una persona. Por ello, la protección de datos no consiste únicamente en mantener información en secreto: busca determinar quién puede utilizarla, para qué finalidad y bajo qué condiciones.
En Ecuador, este derecho tiene fundamento constitucional y se desarrolla principalmente mediante la Ley Orgánica de Protección de Datos Personales — LOPDP, publicada en 2021. A nivel internacional, uno de los principales referentes es el Reglamento General de Protección de Datos de la Unión Europea — RGPD.
El reto actual consiste en pasar de un cumplimiento basado en formularios y avisos de privacidad hacia una verdadera gobernanza de la información. Las organizaciones necesitan saber qué datos poseen, por qué los utilizan, durante cuánto tiempo los conservan, con quién los comparten y qué riesgos genera cada tratamiento.
Un dato personal es cualquier información que permite identificar directa o indirectamente a una persona. Esto comprende elementos evidentes —nombre, número de identificación o dirección—, pero también direcciones IP, geolocalización, identificadores de dispositivos, hábitos de consumo o combinaciones de información capaces de singularizar a un individuo.
Dentro de esta categoría existen datos que requieren una protección reforzada. La legislación ecuatoriana contempla como sensibles, entre otros, aquellos relacionados con salud, genética, biometría, orientación sexual, religión, ideología, filiación política o identidad cultural. El artículo 9 del RGPD establece igualmente restricciones especiales para determinadas categorías de información.
La protección jurídica gira alrededor de principios como licitud, transparencia, finalidad, proporcionalidad, minimización, seguridad y responsabilidad. Que una empresa pueda técnicamente recopilar información no significa que jurídicamente deba hacerlo. La pregunta correcta no es cuánto dato puede obtenerse, sino cuánto resulta realmente necesario para cumplir una finalidad legítima.
El sistema ecuatoriano se articula alrededor de la Constitución, la LOPDP, su Reglamento General y las disposiciones emitidas por la Superintendencia de Protección de Datos Personales — SPDP. Este marco establece obligaciones para responsables y encargados del tratamiento y mecanismos para que los ciudadanos puedan ejercer control sobre su información.
Europa ha desarrollado uno de los modelos más influyentes mediante el RGPD. Entre sus principales aportes se encuentran la responsabilidad proactiva, la privacidad desde el diseño, la evaluación de riesgos y la obligación de implementar medidas técnicas y organizativas apropiadas.
Existe además una creciente convergencia internacional. Los Principios Actualizados sobre Privacidad y Protección de Datos Personales de la OEA, las directrices de la OCDE y el Convenio 108 del Consejo de Europa muestran que conceptos como finalidad, seguridad, transparencia y responsabilidad han adquirido una dimensión internacional.
La regulación reconoce herramientas para que las personas mantengan cierto control sobre sus datos. En Ecuador existen derechos de acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento, además de garantías relacionadas con determinadas decisiones automatizadas.
Estos derechos permiten saber qué información posee una organización, corregir datos inexactos, solicitar su eliminación cuando corresponda o impedir ciertos tratamientos. En otros ordenamientos latinoamericanos suelen agruparse bajo la expresión derechos ARCO: acceso, rectificación, cancelación y oposición.
Su existencia transforma la relación entre organizaciones y ciudadanos. Los datos no dejan de estar protegidos simplemente porque hayan sido entregados a una empresa. El responsable debe mantener procedimientos que permitan atender solicitudes, identificar correctamente al titular y responder dentro de los plazos establecidos por la normativa aplicable.
Las organizaciones deben adoptar medidas administrativas, jurídicas, técnicas y organizativas capaces de demostrar que sus tratamientos respetan la normativa. Esto puede incluir registros de actividades, políticas de conservación, contratos con proveedores, controles de acceso, gestión de incidentes y evaluaciones periódicas de riesgos.
La protección de datos desde el diseño implica incorporar estas garantías antes de lanzar una aplicación, plataforma o servicio. Cuando una operación puede generar un riesgo elevado para los derechos de las personas, puede resultar necesaria una evaluación de impacto que identifique amenazas y establezca medidas para mitigarlas.
La ciberseguridad forma parte de este modelo, pero no lo agota. Un sistema perfectamente protegido contra ataques puede seguir siendo contrario a la normativa si recopila datos excesivos, los conserva indefinidamente o los utiliza para finalidades distintas de aquellas que justificaron su obtención.
La inteligencia artificial ha llevado el debate más allá de las bases de datos tradicionales. Los sistemas actuales pueden utilizar enormes conjuntos de información para descubrir correlaciones, generar perfiles o producir inferencias sobre personas que nunca fueron expresamente proporcionadas.
El Comité Europeo de Protección de Datos — EDPB abordó estas cuestiones en su Opinion 28/2024, dedicada al tratamiento de datos personales en modelos de IA. Uno de los aspectos centrales es que no basta con afirmar que un modelo es anónimo: debe analizarse si existe una posibilidad razonable de extraer, reconstruir o relacionar información con individuos.
También aparecen interrogantes respecto del interés legítimo, la información utilizada para entrenamiento y los datos sensibles empleados para detectar sesgos. La dificultad consiste en permitir determinados desarrollos tecnológicos sin convertir la innovación en una justificación automática para el tratamiento masivo de información.
Una operación aparentemente sencilla de comercio electrónico puede involucrar al comercio, una pasarela de pago, proveedores de marketing, servicios de analítica, empresas logísticas y plataformas de computación en la nube. Cada actor puede tener responsabilidades distintas respecto de los datos tratados.
El principal desafío consiste en identificar correctamente quién actúa como responsable, encargado o tercero y establecer qué ocurre cuando los datos atraviesan fronteras. Las transferencias internacionales requieren especial atención porque una información recopilada en un país puede ser procesada en servidores o por proveedores ubicados en jurisdicciones diferentes.
Las redes sociales intensifican esta complejidad. Los datos publicados voluntariamente pueden combinarse con comportamiento de navegación, geolocalización, interacciones y algoritmos predictivos. Que una información sea pública no significa necesariamente que pueda utilizarse ilimitadamente para cualquier finalidad.
Europa ofrece actualmente un ejemplo especialmente interesante de esta tensión. El denominado Digital Omnibus ha planteado modificaciones orientadas a reducir complejidades regulatorias y facilitar determinadas actividades relacionadas con datos e inteligencia artificial.
El debate no consiste simplemente en elegir entre regulación e innovación. El documento analizado sobre Digital Omnibus muestra precisamente el conflicto entre competitividad, simplificación y preservación de derechos fundamentales: mientras algunos actores consideran necesaria una regulación más flexible, organizaciones de derechos digitales y autoridades han advertido sobre el riesgo de reducir garantías ya consolidadas. Digital Omnibus_ Entre la Simpl…
Especial importancia tienen las discusiones sobre el concepto de dato personal, la pseudonimización y la utilización del interés legítimo en sistemas de IA. El mismo documento advierte que una definición excesivamente relativa del dato personal podría generar situaciones en las que una misma información estuviera protegida para un actor pero no para otro dentro de la cadena tecnológica. Digital Omnibus_ Entre la Simpl…
Esta discusión resume uno de los grandes dilemas regulatorios contemporáneos: simplificar obligaciones puede favorecer la innovación, pero simplificar derechos puede alterar el equilibrio jurídico entre empresas y personas.
Durante años, buena parte del debate empresarial sobre privacidad se concentró en obtener consentimiento. Sin embargo, el consentimiento no convierte automáticamente cualquier tratamiento en legítimo. Deben respetarse también la finalidad, proporcionalidad, transparencia, seguridad y demás principios aplicables.
Algo similar ocurre con la anonimización. Eliminar nombres o números de identificación no garantiza que un conjunto de información deje de ser personal. Cuando existen datos auxiliares que permiten volver a identificar al individuo, el riesgo permanece.
La evolución normativa apunta así hacia un modelo de responsabilidad demostrable. No basta con afirmar que una organización cumple: debe ser capaz de explicar sus decisiones, documentar las bases jurídicas utilizadas, demostrar sus controles y acreditar que ha considerado los riesgos para los titulares.
La protección de datos personales ha dejado de ser una obligación periférica para convertirse en un componente estructural de la economía digital. Cada vez que una organización recopila, combina o analiza información también está tomando decisiones sobre la autonomía, privacidad y capacidad de control de las personas.
Ecuador cuenta con una estructura normativa que aproxima su régimen a estándares internacionales y que está evolucionando hacia una mayor supervisión y especialización. El desafío consiste ahora en trasladar esos principios a los procesos empresariales, plataformas digitales y sistemas tecnológicos.
La inteligencia artificial profundizará esta transformación. El futuro de la protección de datos dependerá menos de extender avisos de privacidad y más de incorporar privacidad por diseño, gestión de riesgos, seguridad, trazabilidad y responsabilidad durante todo el ciclo de vida de la información.
En última instancia, proteger datos no significa impedir que la tecnología utilice información. Significa establecer límites jurídicos capaces de garantizar que la innovación no elimine el control que las personas deben conservar sobre la manera en que son observadas, clasificadas y evaluadas.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Ecuador.
European Parliament and Council. (2016). Regulation (EU) 2016/679 — General Data Protection Regulation. Official Journal of the European Union.
European Data Protection Board. (2024). Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. EDPB.
Organización de los Estados Americanos. (2021). Principios Actualizados sobre la Privacidad y la Protección de Datos Personales. Comité Jurídico Interamericano.
Council of Europe. Convention 108 and Convention 108+. Council of Europe.
Organisation for Economic Co-operation and Development. OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data. OECD.
Superintendencia de Protección de Datos Personales. Portal institucional y normativa de protección de datos. Ecuador.