Doe v. GitHub nació de una pregunta aparentemente sencilla: ¿qué ocurre cuando una herramienta de inteligencia artificial genera código parecido al publicado por un programador, pero omite sus avisos de copyright o atribución? Los demandantes sostuvieron que GitHub, Microsoft y OpenAI habían empleado enormes cantidades de código disponible en repositorios públicos para desarrollar Copilot y Codex.
La controversia llegó al Noveno Circuito bajo una teoría basada en la sección 1202 de la DMCA, norma que prohíbe determinadas conductas relacionadas con la remoción o alteración deliberada de información de gestión de copyright. El tribunal, sin embargo, concluyó que una salida generada por un modelo que nunca incluyó esa información no equivale necesariamente a una obra de la cual dicha información haya sido “removida”. Instituto de Información Legal
Esta distinción cerró una vía relevante de responsabilidad, pero no convirtió el entrenamiento de IA en una actividad jurídicamente libre. El fallo dejó abiertas cuestiones relacionadas con copyright ordinario, contratos, licencias y la forma en que los materiales fueron incorporados al sistema. El propio informe base destaca que el efecto estratégico de Doe fue desplazar el litigio desde los daños asociados a la ausencia de CMI hacia los inputs y los outputs.
Por ello, el verdadero legado de Doe v. GitHub no consiste en haber reducido el riesgo de la inteligencia artificial, sino en haberlo redistribuido a lo largo de toda su cadena de desarrollo: adquisición de datos, entrenamiento, licenciamiento, generación y comercialización.
El primer error al analizar estos conflictos consiste en considerar al entrenamiento de IA como un único acto jurídico. En realidad, existen varias etapas: obtención del material, almacenamiento, preparación del dataset, entrenamiento, ajuste del modelo y generación de resultados. La U.S. Copyright Office ha señalado que las distintas formas de utilización de obras protegidas durante el desarrollo de sistemas generativos deben analizarse atendiendo a sus circunstancias específicas. Oficina de Derechos de Autor de EE. UU.
La segunda variable es la licencia. Que un repositorio sea públicamente accesible no significa que su código esté libre de condiciones. Licencias como MIT, Apache o GPL permiten distintos niveles de reutilización, pero pueden imponer obligaciones relacionadas con atribución, avisos legales, redistribución o acceso al código fuente. Precisamente por ello, el conflicto de Copilot trasciende el copyright tradicional y alcanza también al derecho contractual.
Esta diferencia resulta todavía más importante en el ámbito de la IA abierta. “Código abierto”, “pesos abiertos” e “IA de código abierto” no son conceptos necesariamente equivalentes. La Open Source AI Definition 1.0 de la Open Source Initiative exige libertades para usar, estudiar, modificar y compartir el sistema, además del acceso a los elementos necesarios para hacerlo efectivamente. Open Source Initiative
El resultado es una arquitectura jurídica mucho más compleja. Un desarrollador puede tener permiso para acceder a una obra, restricciones para reutilizarla, argumentos de fair use respecto del entrenamiento y, al mismo tiempo, problemas independientes si el modelo reproduce posteriormente elementos protegidos. No existe una única pregunta sobre copyright de IA, sino varias preguntas encadenadas.
La sentencia del Noveno Circuito en Doe v. GitHub se concentró en una cuestión específica: si la ausencia de información de gestión de copyright en una salida generada podía considerarse una “remoción” bajo §1202(b). La Corte concluyó que la teoría presentada por los demandantes no satisfacía ese requisito cuando el sistema generaba una nueva salida que nunca había contenido originalmente la información. Corte de Apelaciones del Noveno Circuito
Pero el fallo no decidió si sería jurídicamente distinto eliminar avisos, atribuciones o metadatos antes de incorporar una obra al conjunto de entrenamiento. De hecho, el expediente base identifica esta cuestión como una posible “teoría de entrada” que no llegó a resolverse sustantivamente en apelación. Del Código Fuente al Mercado_ C… Por tanto, la procedencia y preparación de los datasets continúa siendo uno de los principales frentes de riesgo.
Esta tendencia se observa claramente en Bartz v. Anthropic. Allí, el debate distinguió entre el uso de obras para entrenar un modelo y la obtención de determinados libros desde bibliotecas piratas. El litigio terminó en un acuerdo colectivo de USD 1.500 millones, cuya aprobación definitiva fue otorgada en julio de 2026. La resolución de aprobación final del acuerdo puede consultarse aquí. Justia Law
El precedente transmite una advertencia empresarial concreta: incluso cuando pueda existir una defensa respecto del propósito transformador del entrenamiento, la forma de adquisición del material puede generar responsabilidad independiente. El riesgo comienza, por tanto, antes de que el modelo sea entrenado.
Dos arquitecturas tecnológicas, dos mapas de riesgo
Para los desarrolladores de IA propietaria, el riesgo se concentra especialmente en la gobernanza de grandes conjuntos privados de entrenamiento. Cuanto mayor sea el corpus, mayor será la necesidad de documentar procedencia, autorizaciones, exclusiones y licencias. La trazabilidad se convierte así en un mecanismo de defensa jurídica además de una práctica técnica.
Los proveedores cerrados cuentan, sin embargo, con una ventaja estructural: pueden centralizar sus procesos de cumplimiento. Auditorías internas, acuerdos de licencia, filtros de contenido y mecanismos contractuales de indemnización pueden administrarse desde una sola organización. El costo puede ser elevado, pero también existe una mayor capacidad de control.
Los sistemas abiertos distribuyen el problema. Un modelo puede ser desarrollado por una organización, modificado por otra, ajustado con nuevos datos por un tercero e integrado finalmente en un producto comercial. En esa cadena pueden coexistir licencias sobre código, datasets, documentación y otros componentes. El riesgo jurídico deja de estar concentrado y se desplaza entre múltiples actores.
Doe resulta especialmente relevante en este contexto porque las reclamaciones contractuales relacionadas con licencias de código abierto no desaparecieron con la decisión sobre la DMCA. El documento base señala expresamente que dichas reclamaciones continuaron siendo una vía jurídicamente relevante. Del Código Fuente al Mercado_ C… Así, que un modelo sea “abierto” no significa que sus usuarios puedan ignorar las obligaciones jurídicas heredadas de los componentes utilizados para desarrollarlo.
El verdadero activo de la IA ya no es solo el modelo: es su trazabilidad
El litigio de inteligencia artificial está evolucionando desde preguntas abstractas hacia interrogantes mucho más probatorios. Ya no basta con discutir si “entrenar una IA” constituye fair use. Los tribunales comienzan a observar qué obras fueron utilizadas, de dónde provinieron, con qué finalidad fueron copiadas y qué efecto puede producir el sistema sobre el mercado de esas obras.
La posición de la U.S. Copyright Office sobre entrenamiento generativo refuerza esta aproximación contextual. La institución no propone una regla universal según la cual todo entrenamiento sea lícito o ilícito; considera que la evaluación depende de factores como el propósito de la utilización, las características de las obras y sus efectos económicos. Oficina de Derechos de Autor de EE. UU.
En este entorno, los departamentos jurídicos necesitarán trabajar cada vez más cerca de desarrolladores, ingenieros y especialistas en datos. Registrar la procedencia de un dataset, identificar sus licencias o conservar información sobre las transformaciones aplicadas puede parecer inicialmente una tarea técnica, pero esas evidencias pueden convertirse posteriormente en elementos decisivos dentro de un litigio.
El cambio fundamental es, por tanto, de gobernanza. El valor jurídico de un sistema de IA no dependerá únicamente de su capacidad para generar buenos resultados, sino también de que su desarrollador pueda reconstruir documentalmente cómo fue construido.
Del “la IA lo generó” al “demuestre cómo llegó hasta allí”
Doe v. GitHub no creó una excepción general para la inteligencia artificial frente al copyright. Su alcance fue más limitado: determinó que determinadas salidas generativas no podían considerarse automáticamente obras de las cuales se hubiera removido información de gestión de derechos bajo §1202(b). Corte de Apelaciones del Noveno Circuito
Sin embargo, esa limitación desplazó el litigio hacia cuestiones potencialmente más profundas. La adquisición de datasets, el cumplimiento de licencias, la reproducción de obras y los efectos económicos de los outputs se están convirtiendo en los verdaderos puntos de conflicto.
Para la IA propietaria, ello exige mayor control y documentación sobre sus fuentes de entrenamiento. Para los ecosistemas abiertos, exige además comprender cómo se transmiten obligaciones jurídicas entre desarrolladores, modelos, componentes y productos derivados.
La principal enseñanza de Doe v. GitHub puede resumirse entonces en una transformación conceptual: el riesgo jurídico de la IA ya no se encuentra únicamente en lo que genera el modelo, sino en toda la historia jurídica que permitió construirlo. En el mercado de la inteligencia artificial, la trazabilidad de datos y licencias empieza a ser tan estratégica como el propio código.
Bibliografía
United States Court of Appeals for the Ninth Circuit. (2026). Doe v. GitHub, Inc., No. 24-7700. Consultar sentencia oficial.
U.S. Copyright Office. (2025). Copyright and Artificial Intelligence, Part 3: Generative AI Training. Consultar informe oficial.
United States Congress / Cornell Legal Information Institute. 17 U.S.C. §1202 – Integrity of Copyright Management Information. Consultar disposición legal.
United States District Court for the Northern District of California. (2026). Bartz et al. v. Anthropic PBC, Document 680, Order Granting Final Approval of Class Action Settlement. Consultar resolución.
United States District Court for the Northern District of California. (2025). Kadrey et al. v. Meta Platforms, Inc., Document 598. Consultar decisión judicial.
Open Source Initiative. (2024). The Open Source AI Definition 1.0. Consultar definición.
U.S. Copyright Office. Artificial Intelligence Initiative. Consultar portal institucional sobre IA y copyright.
Cada interacción digital genera información. Una compra electrónica, una aplicación móvil, una plataforma de inteligencia artificial o un sistema de reconocimiento facial pueden registrar no solo nombres o números de identificación, sino también preferencias, hábitos, ubicaciones y patrones de comportamiento. La protección de datos, por tanto, ya no se limita a mantener información en secreto: busca determinar quién puede utilizarla, para qué finalidad, durante cuánto tiempo y bajo qué garantías.
En Ecuador, este derecho tiene reconocimiento constitucional y se desarrolla mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), vigente desde 2021. La ley regula tratamientos automatizados y no automatizados y reconoce principios, derechos y obligaciones para responsables y encargados. Superintendencia de Datos a escala internacional, el Reglamento General de Protección de Datos de la Unión Europea (RGPD) constituye uno de los principales referentes regulatorios y consolida principios como licitud, transparencia, minimización, limitación de finalidad, seguridad y responsabilidad.
Un dato personal es cualquier información relacionada con una persona identificada o identificable. Por ello, la protección no se limita al nombre o al número de cédula: también puede comprender identificadores digitales, ubicación, comportamiento en línea o diferentes datos que, combinados, permitan reconocer a una persona. La Comisión Europea utiliza esta misma aproximación al explicar que incluso información seudonimizada puede continuar siendo dato personal cuando exista posibilidad de reidentificación. European Commission
La protección se intensifica frente a categorías particularmente delicadas, como información de salud, genética o biométrica. Sobre estos tratamientos operan principios como licitud, finalidad, proporcionalidad, minimización, transparencia, seguridad y responsabilidad proactiva. El consentimiento sigue siendo relevante, pero no representa una autorización universal: debe ser libre, específico, informado e inequívoco. Las Directrices 05/2020 del Comité Europeo de Protección de Datos sobre consentimiento insisten precisamente en estas condiciones. Junta Europea de Protección de Datos
En Ecuador, el sistema se estructura fundamentalmente alrededor de la LOPDP y su Reglamento General. A estas normas se suman las regulaciones emitidas progresivamente por la Superintendencia de Protección de Datos Personales. La sección oficial de resoluciones de la SPDP muestra cómo durante 2025 y 2026 la autoridad desarrolló reglas sobre evaluaciones de riesgo, contratos, transferencias internacionales, anonimización, tratamiento a gran escala, inteligencia artificial, biometría y vulneraciones de seguridad. Superintendencia de Datos
Particular importancia tiene la Resolución SPDP-SPD-2026-0037-R, que reformó la regulación ecuatoriana sobre inteligencia artificial. La norma utiliza los conceptos de acceso, visibilidad y control efectivo sobre los datos para determinar el alcance de determinadas responsabilidades. El documento de análisis proporcionado explica que este enfoque desplaza la atención desde la mera posesión formal de información hacia la capacidad real de conocer, influir o intervenir en el tratamiento y en sus resultados.
En perspectiva comparada, el RGPD mantiene una lógica similar mediante el principio de accountability: las organizaciones no solo deben respetar las reglas, sino estar en condiciones de demostrar su cumplimiento. La Comisión Europea identifica siete principios centrales del régimen europeo, entre ellos limitación de finalidad, minimización, seguridad y responsabilidad. European Commission
Los titulares poseen derechos que les permiten recuperar cierto control sobre la utilización de su información. Entre ellos se encuentran acceso, rectificación, eliminación, oposición, portabilidad y garantías frente a determinadas decisiones automatizadas. El RGPD reconoce igualmente derechos de acceso, rectificación, supresión, restricción, portabilidad, oposición y protección frente a decisiones exclusivamente automatizadas. European Commission
Para responsables y encargados, estos derechos se traducen en obligaciones organizativas. No basta con disponer de una política de privacidad: las empresas deben conocer qué información poseen, determinar su base jurídica, limitar los accesos, definir periodos de conservación, controlar a sus proveedores, implementar medidas de seguridad y conservar evidencia sobre las decisiones adoptadas.
La gestión de vulneraciones muestra con claridad este cambio. La Resolución SPDP-SPD-2026-0040-R, incluida en el catálogo oficial de la SPDP, establece una normativa específica para las notificaciones de vulneraciones de seguridad. Superintendencia de Datos Según el documento aportado, el encargado debe comunicar determinados incidentes al responsable dentro de un máximo de dos días hábiles y el responsable dispone de cinco días hábiles para realizar la correspondiente notificación ante la SPDP; cuando exista riesgo para los titulares, también debe comunicárseles sin demora.
La inteligencia artificial cambia la naturaleza del problema porque ya no solo utiliza datos existentes: también puede inferir nueva información. Un sistema puede construir perfiles, detectar patrones o producir clasificaciones sin necesidad de acceder de manera visible a todos los datos originales. Por ello, el concepto ecuatoriano de “control efectivo” resulta particularmente relevante: la responsabilidad puede vincularse con la capacidad técnica, contractual u organizativa de influir sobre los datos, el tratamiento o los resultados del sistema.
La biometría constituye otro escenario crítico. La Resolución SPDP-SPD-2026-0039-R, oficialmente listada por la Superintendencia, establece una regulación específica para este tratamiento. Superintendencia de Datos La norma parte de la especial sensibilidad de características como rostro, huellas, voz o iris cuando permiten identificar unívocamente a una persona. El análisis suministrado señala además la obligación de evaluar riesgos, realizar evaluaciones de impacto y, en determinados tratamientos fundamentados en consentimiento, ofrecer alternativas no biométricas.
El desafío se amplía en servicios en la nube, comercio electrónico y redes sociales. Una organización puede captar información mediante una aplicación, almacenarla con un proveedor externo, procesarla mediante otro servicio y posteriormente utilizarla con herramientas de inteligencia artificial. En consecuencia, proteger datos implica controlar toda la cadena tecnológica. Esta visión coincide con el NIST Privacy Framework, que plantea la privacidad como parte integral de la gestión empresarial del riesgo.
La principal transformación del derecho de protección de datos es que el cumplimiento está dejando de evaluarse únicamente a través de documentos formales. Una organización puede tener contratos, avisos de privacidad y formularios de consentimiento y, aun así, mantener graves deficiencias si desconoce sus flujos de información o no puede demostrar cómo controla a sus proveedores.
El documento analizado identifica precisamente esta transición dentro del régimen ecuatoriano: la gobernanza exige auditar proveedores, actualizar contratos, conservar registros, gestionar consentimientos y mantener evaluaciones de impacto y evidencia de debida diligencia. De esta manera, la protección de datos se conecta cada vez más con ciberseguridad, contratación tecnológica, compliance, gestión de riesgos y diseño de productos digitales.
La pregunta relevante deja entonces de ser únicamente “¿tenemos autorización para tratar este dato?” y pasa a ser “¿podemos explicar y demostrar por qué necesitamos tratarlo, quién interviene y qué controles hemos implementado?”. Ese cambio resume el tránsito de la privacidad documental hacia la responsabilidad demostrable.
La protección de datos personales no pretende impedir la innovación tecnológica. Su función consiste en establecer condiciones para que la utilización de información sea legítima, proporcional, transparente y segura. En consecuencia, inteligencia artificial, biometría, servicios en la nube o comercio electrónico no son incompatibles con la privacidad, pero requieren una gobernanza capaz de identificar y controlar sus riesgos.
En Ecuador, la combinación entre la LOPDP y la creciente normativa de la SPDP muestra una evolución hacia una regulación más técnica y preventiva. Las nuevas reglas sobre IA, biometría y vulneraciones de seguridad refuerzan la necesidad de conocer los flujos de datos, controlar proveedores, realizar evaluaciones de riesgo y documentar las decisiones adoptadas. Superintendencia de Datos
La verdadera madurez en protección de datos comienza cuando una organización deja de preguntarse únicamente si puede utilizar determinada información y empieza a preguntarse si puede justificar, proteger y demostrar adecuadamente ese uso. En la economía digital, esa capacidad se convierte tanto en una obligación jurídica como en un elemento estratégico de confianza.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial Suplemento 459. Texto de la LOPDP. Superintendencia de Datos
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904. Consultar el Reglamento General.
Superintendencia de Protección de Datos Personales. (2026). Resoluciones y normativa de protección de datos personales. Repositorio oficial de resoluciones de la SPDP. Superintendencia de Datos
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Texto oficial del RGPD en EUR-Lex.
European Data Protection Board. (2020). Directrices 05/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679. Consultar las directrices del EDPB. Junta Europea de Protección de Datos
European Commission. Principles of the GDPR. Principios del Reglamento General de Protección de Datos. European Commission
Boeckl, K. & Lefkovitz, N. (2020). NIST Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management. National Institute of Standards and Technology. NIST Privacy Framework.
En septiembre de 2026, una operación de seguridad en el norte de Quito permitió identificar varios inmuebles presuntamente destinados a la producción, almacenamiento y distribución clandestina de bebidas alcohólicas adulteradas. En los lugares intervenidos se encontraron áreas de envasado, materiales de embalaje, etiquetas que imitaban marcas reconocidas y herramientas para elaborar productos con apariencia de originales.
Entre los hallazgos había elementos que reproducían tanto la identidad visual de los productos como ciertos mecanismos de identificación tributaria. Con ello se creaba una apariencia de autenticidad capaz de dificultar que consumidores y distribuidores detectaran las irregularidades.
Según los reportes oficiales difundidos por los medios, la operación también reveló posibles vínculos entre distintos puntos de producción y distribución. Esto sugiere una actividad organizada que iría más allá de la comercialización aislada de mercancías falsificadas.
El caso evidencia una realidad preocupante: detrás de un producto aparentemente legítimo puede operar una cadena de fabricación y comercialización que se vale del prestigio de marcas posicionadas para introducir en el mercado mercancías de origen desconocido.
La falsificación de marcas va más allá de reproducir un logotipo sin autorización. En ciertos sectores, también supone imitar etiquetas, envases, sellos y otros rasgos visuales que permiten reconocer un producto y vincularlo con estándares específicos de calidad y seguridad.
En las bebidas alcohólicas, esta práctica resulta especialmente delicada: un envase que parece corresponder a una marca reconocida puede contener sustancias diferentes de las originales, elaboradas sin controles adecuados de calidad, trazabilidad ni seguridad sanitaria.
La identidad comercial se convierte así en un medio de engaño: mientras el consumidor confía en la reputación del fabricante, los falsificadores se aprovechan de esa confianza para introducir productos irregulares en el mercado.
Las consecuencias trascienden el perjuicio económico para los titulares de derechos: abarcan daños reputacionales, afectaciones a la competencia legítima y riesgos directos para la salud pública.
Desde la perspectiva de la protección de marcas, este caso destaca porque las intervenciones abarcaron espacios presuntamente relacionados con distintas etapas de la actividad ilícita.
El hallazgo de materiales de impresión, etiquetas, envases, instalaciones de producción y áreas de almacenamiento evidencia la necesidad de identificar las estructuras que sostienen la circulación de productos falsificados, en vez de concentrarse únicamente en los puntos de venta.
En Ecuador, el artículo 208A del Código Orgánico Integral Penal aborda la falsificación de marcas y otras conductas que vulneran los derechos de propiedad intelectual. Su aplicación depende de los hechos comprobados, los elementos de la infracción y los requisitos legales correspondientes.
A su vez, el régimen de propiedad intelectual faculta a los titulares para proteger y hacer valer sus derechos mediante acciones administrativas o judiciales, según la naturaleza de la infracción.
En este contexto, el enforcement es una herramienta estratégica que integra la investigación, la identificación de infracciones, la recopilación de pruebas y las acciones legales para prevenir, detener y perseguir las vulneraciones de derechos.
El operativo también evidencia la necesidad de coordinar a las autoridades de seguridad, los organismos de control sanitario, las entidades aduaneras y los titulares de marcas. Ante actividades ilícitas que generan diversos riesgos y posibles infracciones, una respuesta integral es indispensable.
La producción clandestina y la comercialización de productos falsificados pueden afectar a diversos sectores de la economía.
Las empresas legítimas compiten con productos que evaden obligaciones regulatorias, controles de calidad y requisitos legales de comercialización. A su vez, los consumidores pueden adquirir mercancías de procedencia y composición desconocidas, guiados únicamente por los elementos visuales de una marca.
En el caso analizado, los reportes periodísticos señalan posibles vínculos con redes de distribución presentes en distintos territorios. Esto refuerza la necesidad de entender la falsificación como una actividad que puede involucrar cadenas de suministro complejas y, en ciertos casos, estructuras de criminalidad organizada.
No obstante, deben distinguirse las presuntas infracciones de propiedad intelectual de las demás conductas investigadas. La presencia de productos adulterados, etiquetas falsificadas o actividades clandestinas no establece por sí sola todas las responsabilidades penales o administrativas, que deberán determinarse mediante los procedimientos correspondientes.
Este caso permite reconocer que la protección de marcas no puede limitarse al registro de signos distintivos ni a la reacción frente a productos falsificados que ya se encuentran disponibles en el mercado.
Una estrategia efectiva requiere mecanismos de monitoreo, identificación de canales de distribución irregulares, investigación de posibles infractores y coordinación con las autoridades competentes. También exige comprender que los riesgos pueden originarse en etapas anteriores a la comercialización, como la impresión de etiquetas, el reenvase o el almacenamiento clandestino.
Para las empresas, la protección de sus activos intangibles debe integrarse con la gestión de riesgos comerciales, regulatorios y reputacionales. La detección temprana de amenazas puede contribuir a evitar que una infracción marcaria evolucione hacia una afectación más amplia de consumidores y mercados.
En Luzuriaga & Castro Abogados, entendemos que el enforcement constituye una parte fundamental de la protección empresarial. Su finalidad no se agota en detener una infracción específica, sino que busca contribuir a la preservación del valor de las marcas, la seguridad jurídica y la confianza en el comercio legítimo.
La reciente intervención en Quito evidencia que la falsificación de marcas puede encubrir actividades ilícitas más complejas, con efectos que superan el ámbito comercial.
Cuando una marca se usa para simular autenticidad, el riesgo no afecta solo a su titular: también alcanza al consumidor que confía en el producto, a las empresas que cumplen sus obligaciones y a las instituciones encargadas de garantizar la seguridad y la competencia.
El verdadero alcance del enforcement consiste en identificar y enfrentar las estructuras que posibilitan la falsificación, no solo sus manifestaciones visibles en el mercado.
Fortalecer la protección de marcas en Ecuador exige una visión preventiva, coordinada e integral, en la que la defensa de la propiedad intelectual también contribuya a combatir el comercio ilícito y preservar la confianza de los consumidores.
El Universo — Riesgos sanitarios, comercio formal e intervención interinstitucional.
El Comercio — Investigación y localización del centro clandestino.
La Hora — Hallazgos en distintos inmuebles, etiquetas y cadena de distribución.
Luzuriaga & Castro Abogados — Análisis institucional del marco penal aplicable a los actos lesivos contra la propiedad intelectual.
La información personal se ha convertido en un activo esencial para empresas, instituciones públicas y plataformas digitales. Cada compra electrónica, aplicación móvil, servicio financiero o interacción en redes sociales puede generar información susceptible de identificar, clasificar o perfilar a una persona. Por esta razón, la protección de datos ya no puede entenderse únicamente como protección de la intimidad: supone también otorgar a los individuos capacidad de decisión y control sobre el tratamiento de su información.
En Ecuador, este derecho encuentra fundamento constitucional y ha sido desarrollado principalmente mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en 2021. La norma establece principios, derechos, obligaciones y mecanismos destinados a garantizar la protección de la información personal durante todo su ciclo de vida. Asamblea Nacional del Ecuador Consultar la Ley Orgánica de Protección de Datos Personales
Sin embargo, la transformación tecnológica obliga a ampliar la discusión. Actualmente no basta con conocer quién almacena los datos: es necesario analizar para qué se recopilan, durante cuánto tiempo se conservan, qué proveedores pueden acceder a ellos, si atraviesan fronteras y qué algoritmos intervienen en su utilización. La protección de datos se transforma así en un problema de gobernanza del riesgo digital.
Un dato personal es toda información que permite identificar o hacer identificable, directa o indirectamente, a una persona. Esto comprende información evidente —nombre, identificación, dirección o correo electrónico—, pero también identificadores digitales, registros de ubicación, comportamientos y combinaciones de información capaces de individualizar a alguien.
La protección aumenta cuando se utilizan datos sensibles o categorías especialmente protegidas, porque su explotación puede generar consecuencias especialmente graves. Información relacionada con salud, biometría, genética, orientación sexual, origen étnico o determinados grupos vulnerables exige controles reforzados. La legislación ecuatoriana diferencia además las categorías de información al momento de evaluar el nivel de riesgo de un tratamiento. Superintendencia de Datos
Sobre estas categorías operan principios esenciales: licitud, transparencia, finalidad, pertinencia, proporcionalidad, minimización, seguridad y responsabilidad proactiva. La consecuencia práctica es importante: que una organización pueda recopilar información no significa que pueda utilizarla indefinidamente o para cualquier propósito. La finalidad debe encontrarse determinada y el tratamiento debe limitarse a aquello que resulte necesario.
El régimen ecuatoriano se estructura principalmente sobre la LOPDP y su Reglamento General, expedido mediante Decreto Ejecutivo 904 en noviembre de 2023. Registro Oficial Consultar el Reglamento General de la LOPDP A este marco se ha incorporado progresivamente normativa secundaria expedida por la Superintendencia de Protección de Datos Personales (SPDP).
Particularmente relevante ha sido la regulación adoptada durante 2026. La SPDP ha expedido normas sobre transferencias nacionales e internacionales, tratamientos a gran escala, biometría, vulneraciones de seguridad y sistemas de inteligencia artificial. La Resolución SPDP-SPD-2026-0009-R, posteriormente reformada, establece reglas específicas para organizaciones que desarrollen, entrenen, implementen o utilicen sistemas de IA que traten datos de titulares ecuatorianos. Superintendencia de Datos Consultar las resoluciones de la SPDP
En el plano internacional, el principal referente continúa siendo el Reglamento General de Protección de Datos de la Unión Europea (RGPD). El Reglamento (UE) 2016/679 consolidó conceptos como responsabilidad proactiva, minimización, protección desde el diseño, evaluaciones de impacto y portabilidad. EUR-Lex Consultar el Reglamento General de Protección de Datos Esta convergencia demuestra que la protección de datos funciona cada vez menos como una cuestión puramente territorial y más como una disciplina vinculada con ecosistemas digitales transfronterizos.
Los titulares poseen derechos que les permiten recuperar cierto grado de control sobre la información que circula sobre ellos. Entre estos se encuentran el acceso, rectificación, actualización, eliminación, oposición y portabilidad, además de garantías relacionadas con decisiones automatizadas. La tradicional denominación ARCO sigue siendo útil como referencia comparada, aunque las legislaciones contemporáneas han ampliado considerablemente el catálogo de derechos.
Del otro lado aparecen las obligaciones de responsables y encargados. Las organizaciones deben justificar jurídicamente sus tratamientos, adoptar medidas administrativas y tecnológicas de seguridad, controlar a sus proveedores, atender derechos, documentar sus operaciones y evaluar los riesgos asociados con determinados tratamientos. La responsabilidad proactiva cambia la pregunta tradicional: ya no basta con afirmar que se cumple la normativa, sino que debe ser posible demostrar cómo se cumple.
Esta lógica resulta especialmente importante frente a una vulneración de seguridad. Una brecha puede generar fraude, robo de identidad, suplantaciones, campañas de phishing o exposición de información sensible. Por ello, gestionar datos personales implica gestionar también las consecuencias que su pérdida, alteración o divulgación podría generar sobre las personas.
La inteligencia artificial introduce una nueva capa de complejidad. Los sistemas pueden procesar enormes cantidades de información, generar inferencias, elaborar perfiles y participar en decisiones automatizadas. El European Data ProtectionBoard (EDPB) ha examinado específicamente cuestiones como la utilización de datos personales para desarrollar modelos, la anonimización y la aplicación del interés legítimo en su Opinión 28/2024 sobre modelos de IA. Junta Europea de Protección de Datos Consultar la Opinión 28/2024 del EDPB sobre IA y datos personales
El riesgo tampoco procede únicamente de la utilización legítima de IA. En septiembre de 2026, la Agencia Española de Protección de Datos informó sobre la primera notificación recibida en España de una brecha en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La documentación analizada describe una secuencia que incluyó identificación de vulnerabilidades, utilización de credenciales válidas, exploración autónoma y posterior acceso o modificación de información. La AEPD ha utilizado posteriormente el caso para advertir sobre la capacidad de la IA ofensiva para acelerar los ataques y reducir los tiempos disponibles para responder. Agencia Española de Protección de DatosConsultar el análisis de la AEPD sobre IA y brechas de datos
Existe además otro riesgo menos visible: la cadena de suministro de datos. Servicios en la nube, CRM, call centers, plataformas publicitarias y proveedores tecnológicos pueden intervenir en un mismo tratamiento. El documento aportado para este análisis examina precisamente un incidente mexicano relacionado con la oferta de aproximadamente 12,9 millones de registros y las dificultades para determinar el origen dentro de una cadena de proveedores. La lección jurídica resulta particularmente relevante: externalizar un servicio no equivale a externalizar automáticamente la responsabilidad sobre los datos.
Uno de los mayores problemas del ecosistema digital es considerar que el consentimiento resuelve por sí mismo cualquier tratamiento. La acumulación de políticas de privacidad, banners y casillas de aceptación puede producir una apariencia formal de control sin garantizar una verdadera comprensión de las consecuencias. Por ello, la legitimidad debe analizarse conjuntamente con necesidad, finalidad, proporcionalidad y transparencia.
La inteligencia artificial hace todavía más evidente esta limitación. Resulta necesario determinar qué datos alimentan un sistema, qué inferencias produce, qué decisiones puede adoptar y qué consecuencias genera sobre los individuos. La regulación ecuatoriana específica sobre sistemas de IA responde precisamente a esa necesidad de trasladar los principios tradicionales de protección de datos a tecnologías capaces de operar de manera automatizada. Superintendencia de Datos
La discusión contemporánea, por tanto, no debería plantearse como una confrontación entre innovación y privacidad. El verdadero desafío consiste en diseñar tecnologías y modelos empresariales donde el tratamiento de datos sea jurídicamente legítimo, técnicamente seguro y proporcional al objetivo perseguido.
La protección de datos personales ha dejado de ser una obligación periférica para convertirse en un elemento estructural de la transformación digital. Inteligencia artificial, automatización, servicios en la nube y ecosistemas de terceros amplían las posibilidades de utilización de la información, pero también incrementan la superficie de riesgo.
El cumplimiento efectivo exige integrar protección desde el diseño, análisis de riesgos, controles de seguridad, gestión contractual, ejercicio de derechos y documentación. Una política de privacidad o una casilla de consentimiento pueden formar parte del sistema, pero difícilmente pueden sustituir una arquitectura integral de gobernanza.
En este escenario, la principal transformación es conceptual: proteger datos no significa impedir su utilización, sino establecer las condiciones jurídicas y técnicas para utilizarlos responsablemente. La confianza digital dependerá cada vez más de la capacidad de las organizaciones para demostrar que innovación y protección de derechos forman parte del mismo diseño.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento, 26 de mayo de 2021. Ley Orgánica de Protección de Datos Personales — fuente oficial
Presidencia de la República del Ecuador. (2023). Reglamento General de la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904, Registro Oficial No. 435. Reglamento General de la LOPDP — Registro Oficial
Superintendencia de Protección de Datos Personales. (2026). Resolución N.º SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, y normativa secundaria relacionada. Repositorio oficial de resoluciones de la SPDP
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. EUR-Lex. Texto oficial del RGPD en español
European Data Protection Board. (2024). Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models. EDPB. Opinión 28/2024 sobre IA y datos personales
Agencia Española de Protección de Datos. (2026). Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA e IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos. AEPD. Publicaciones de la AEPD sobre IA y brechas de datos
Durante años, los marketplaces construyeron parte de su defensa jurídica sobre una separación aparentemente sencilla: el vendedor comercializa el producto y la plataforma únicamente facilita el encuentro entre oferta y demanda. Sin embargo, esa frontera se vuelve más difícil de sostener cuando el operador también administra pagos, recomienda productos, controla devoluciones, presta servicios logísticos y centraliza la comunicación con el consumidor.
El caso Wish lleva esta discusión a un nuevo nivel. Según la sentencia 5 U 58/25 del OLG Hamburg, la estructura de la plataforma podía generar la percepción de que Wish era quien comercializaba los productos. El tribunal atendió a una combinación de elementos como la presentación homogénea de las ofertas, la escasa visibilidad de los vendedores, el control de las transacciones y la integración del servicio posventa.
Esta lógica no aparece de manera aislada. En Louboutin v. Amazon, el Tribunal de Justicia de la Unión Europea reconoció que un marketplace puede realizar directamente un uso marcario cuando la presentación global de las ofertas induce al consumidor a establecer una conexión entre el producto y la propia plataforma.
Por ello, el problema jurídico comienza a desplazarse. Más que preguntarse únicamente quién subió el anuncio, los tribunales empiezan a analizar quién construye la experiencia comercial alrededor de ese anuncio. Para plataformas como Amazon, AliExpress o Temu, esta diferencia puede determinar la distancia entre ser un intermediario que responde frente a determinadas infracciones y convertirse en el propio infractor.
La jurisprudencia europea no ha establecido que todo marketplace sea responsable de los productos ofrecidos por terceros. En L’Oréal v. eBay, asunto C-324/09, el TJUE analizó los límites de la responsabilidad de las plataformas y dejó claro que la protección del intermediario depende, entre otros factores, de la naturaleza del papel que desempeña frente al contenido o actividad ilícita.
Posteriormente, Coty Germany v. Amazon, C-567/18 pareció establecer una posición relativamente favorable para Amazon. El Tribunal concluyó que almacenar productos infractores por cuenta de terceros no constituye necesariamente un uso de la marca cuando quien almacena no persigue por sí mismo la finalidad de ofrecerlos o comercializarlos.
El escenario cambió con Louboutin v. Amazon. Allí, el TJUE introdujo un enfoque centrado en la percepción del consumidor: si las ofertas propias y ajenas aparecen bajo una presentación uniforme, acompañadas del logotipo de la plataforma y de servicios como almacenamiento y envío, puede producirse la impresión de que el operador comercializa también los productos de terceros.
Wish lleva este razonamiento un paso más allá. El expediente aportado muestra que el tribunal examinó una “imagen global” integrada por presentación, control económico, logística y comunicación centralizada. No se trata, entonces, de que una sola función convierta automáticamente al marketplace en vendedor, sino de la acumulación de elementos que hacen desaparecer, ante el consumidor, la independencia del comerciante real.
Uno de los aspectos más relevantes del caso Wish fue la dificultad para distinguir visual y funcionalmente a la plataforma de los vendedores que utilizaban su infraestructura. Los productos aparecían bajo un formato homogéneo y la información sobre los comerciantes podía resultar secundaria frente a la identidad corporativa de Wish.
La integración continuaba después de seleccionar el producto. Pagos, confirmaciones, devoluciones y comunicaciones eran gestionados dentro del propio ecosistema de Wish. El documento de investigación destaca precisamente que el tribunal entendió esta combinación como evidencia de que la plataforma había “hecho propias” las ofertas de terceros.
Otro elemento particularmente interesante fue el conocimiento del riesgo. El tribunal tomó en consideración factores como precios extraordinariamente bajos y la existencia de mecanismos internos de verificación de autenticidad. Según el análisis del caso, tales elementos podían demostrar que Wish conocía el riesgo estructural de comercialización de productos falsificados dentro de su plataforma.
Esta conclusión es importante porque transforma el tipo de exposición jurídica. En lugar de limitarse a retirar una oferta después de recibir una denuncia, una plataforma considerada infractor directo podría enfrentarse a reclamaciones de daños, información sobre ventas e incluso beneficios relacionados con la comercialización ilícita. El problema deja así de ser exclusivamente de compliance y pasa a afectar directamente la estructura económica del marketplace.
Amazon es probablemente el ejemplo más evidente de mercado híbrido porque combina venta directa con Amazon Marketplace y servicios como Fulfilment by Amazon. Precisamente esta convivencia entre productos propios y productos de terceros estuvo en el centro de Louboutin. Cuando el consumidor encuentra ambos tipos de ofertas bajo una misma arquitectura visual, logística y comercial, la frontera entre plataforma y vendedor puede resultar menos evidente.
El riesgo para Amazon no significa que cada producto falsificado vendido a través del marketplace convierta automáticamente a la compañía en infractor. El análisis dependerá de cómo aparezca la oferta, qué servicios preste Amazon alrededor de ella y qué impresión genere la operación en el consumidor. El precedente europeo obliga, por tanto, a estudiar la experiencia de compra completa y no únicamente el contrato celebrado con el vendedor.
AliExpress y Temu presentan un escenario distinto, pero igualmente relevante. Ambas han sido designadas como Very Large Online Platforms (VLOPs) bajo el Digital Services Act de la Unión Europea. El DSA les impone obligaciones reforzadas de evaluación y mitigación de riesgos asociados, entre otros elementos, a la comercialización de productos ilegales.
Esto no significa que una infracción del DSA equivalga automáticamente a una infracción marcaria. Sin embargo, existe una conexión práctica importante: cuanto mayor sea la capacidad de una plataforma para identificar vendedores, analizar riesgos, controlar promociones y gestionar transacciones, más difícil resulta describir toda su actividad como una simple intermediación técnica.
Una de las consecuencias más interesantes de esta evolución es que el diseño digital adquiere relevancia jurídica. El tamaño del nombre del vendedor, la presencia constante del logotipo de la plataforma, el funcionamiento del carrito, el sistema de devoluciones y la forma de presentar productos patrocinados pueden convertirse en elementos probatorios.
El propio DSA refuerza esta tendencia. Su artículo 30 establece obligaciones de trazabilidad de los comerciantes para marketplaces que permiten celebrar contratos a distancia. En otras palabras, Europa pretende que detrás de cada oferta comercial exista una identidad empresarial suficientemente verificable y accesible.
Para los marketplaces, esto crea una tensión estratégica. Una interfaz completamente uniforme mejora la experiencia del usuario: simplifica pagos, devoluciones, comunicaciones y garantías. Pero esa misma uniformidad puede contribuir a que el consumidor perciba que está comprando “a Amazon”, “en Temu” o “a través de AliExpress” sin diferenciar suficientemente al comerciante que jurídicamente realiza la venta.
La solución probablemente no será eliminar la logística integrada, sino demostrar con mayor claridad dónde termina la plataforma y dónde comienza el vendedor. La transparencia sobre identidad, responsabilidad, origen del producto y servicios prestados puede transformarse así en una herramienta preventiva de propiedad intelectual.
El derecho de marcas no es el único ámbito donde Europa está aumentando las responsabilidades de los marketplaces. El DSA establece sistemas de trazabilidad, evaluación de riesgos, auditoría y cooperación frente a contenidos y productos ilegales, particularmente para las plataformas de mayor tamaño.
A ello se suma la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos. Aunque pertenece a un ámbito distinto del derecho marcario, contiene una idea especialmente significativa: determinadas plataformas pueden asumir responsabilidades cuando la manera en que presentan una operación lleva al consumidor a creer que el producto es suministrado por ellas o por una persona bajo su autoridad.
La coincidencia conceptual es evidente. Tanto en Louboutin como en Wish y en otras áreas recientes del Derecho europeo aparece una pregunta semejante: ¿qué percepción razonable genera la plataforma sobre su participación en la operación?
Por ello, la protección jurídica del marketplace dependerá cada vez menos de llamarse a sí mismo “intermediario” en sus términos y condiciones. Lo determinante será la forma en que realmente organiza la relación entre producto, comerciante, plataforma y consumidor.
Sería excesivo afirmar que Wish elimina definitivamente las exenciones de responsabilidad de los marketplaces. El Digital Services Act continúa reconociendo determinadas limitaciones de responsabilidad para servicios de intermediación y mantiene la prohibición de imponer obligaciones generales de monitorización.
La distinción fundamental radica en el papel que desempeña la plataforma. Un servicio genuinamente técnico y neutral se encuentra en una situación diferente de aquel que controla extensivamente cómo se presentan, promocionan, pagan, almacenan y entregan los productos.
Tampoco puede utilizarse una sanción regulatoria contra una plataforma como prueba automática de una infracción marcaria determinada. El DSA, el derecho de competencia y el derecho de marcas persiguen objetivos diferentes y tienen requisitos jurídicos propios.
Sin embargo, las distintas áreas jurídicas parecen converger hacia una misma expectativa: cuanto mayor es la capacidad comercial y tecnológica de una plataforma, mayores son las exigencias de trazabilidad, gestión de riesgos y claridad respecto de quién participa realmente en una transacción.
El caso Wish refuerza una evolución que comenzó mucho antes: el derecho europeo está prestando cada vez más atención a la realidad económica y visual de los marketplaces. La identidad formal del vendedor sigue siendo relevante, pero ya no necesariamente resuelve por sí sola quién realiza jurídicamente el uso de una marca.
Amazon enfrenta directamente esta discusión debido a su modelo híbrido y al precedente Louboutin. AliExpress y Temu deben observarla igualmente porque sus sistemas de recomendación, pagos, interacción con vendedores y control de riesgos pueden convertirse en piezas relevantes cuando se analice el grado de participación de la plataforma.
Para los titulares de marcas, el cambio también modifica las estrategias de enforcement. Además de identificar al vendedor infractor, será cada vez más importante documentar cómo aparece la oferta, quién recibe el pago, quién organiza la entrega, quién atiende las reclamaciones y qué información tiene disponible el operador.
El debate, por tanto, puede resumirse en una pregunta que probablemente definirá muchos de los próximos litigios sobre marketplaces: cuando un consumidor compra un producto falsificado dentro de una plataforma altamente integrada, ¿está comprando realmente a un tercero o la propia plataforma ha construido una experiencia en la que parece ser ella quien vende?
Tribunal de Justicia de la Unión Europea. (2011). L’Oréal SA y otros v. eBay International AG y otros, C-324/09. Consultar sentencia
Tribunal de Justicia de la Unión Europea. (2020). Coty Germany GmbH v. Amazon Services Europe Sàrl y otros, C-567/18. Consultar sentencia en EUR-Lex
Tribunal de Justicia de la Unión Europea. (2022). Christian Louboutin v. Amazon Europe Core Sàrl y otros, asuntos acumulados C-148/21 y C-184/21. Consultar sentencia
Parlamento Europeo y Consejo de la Unión Europea. (2022). Reglamento (UE) 2022/2065 relativo a un mercado único de servicios digitales — Digital Services Act. Consultar texto oficial
Parlamento Europeo y Consejo de la Unión Europea. (2024). Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos. Consultar texto oficial
Las empresas tecnológicas construyen sus ventajas competitivas mediante una combinación de patentes, derechos de autor, secretos comerciales, conocimientos técnicos y procesos internos. En este contexto, los secretos comerciales adquieren especial relevancia porque permiten proteger información cuyo valor depende precisamente de permanecer confidencial. En Estados Unidos, la Defend Trade Secrets Act (DTSA) permite iniciar acciones civiles frente a la apropiación indebida y solicitar medidas destinadas a impedir su utilización o divulgación.
Esta problemática adquiere una dimensión adicional cuando hardware e inteligencia artificial forman parte de un mismo ecosistema. Apple Intelligence depende de una arquitectura integrada que combina procesamiento local, modelos de inteligencia artificial y servicios computacionales. Por ello, la protección de conocimientos relacionados con ingeniería, dispositivos y optimización tecnológica puede tener consecuencias más amplias que la defensa de un único archivo o componente.
El conflicto analizado parte precisamente de esa relación entre talento, información confidencial y competencia tecnológica. Apple sostiene que determinados antiguos empleados accedieron y utilizaron información protegida después de abandonar la compañía. El documento de referencia señala que la empresa pretende utilizar el descubrimiento acelerado para completar su comprensión de las presuntas violaciones y obtener evidencia directamente de sistemas y comunicaciones que se encuentran fuera de su control.
La cuestión central no es únicamente si ocurrió una apropiación indebida, asunto que corresponde resolver judicialmente. El interés académico radica en determinar cómo el procedimiento puede convertirse en una herramienta estratégica. Cuando la evidencia es digital, fácilmente modificable y potencialmente distribuida entre dispositivos, servicios en la nube y sistemas de IA, obtenerla rápidamente puede cambiar sustancialmente la posición procesal de las partes.
El descubrimiento acelerado constituye una excepción a la secuencia ordinaria del proceso civil estadounidense. La Federal Rule of Civil Procedure 26(d)(1) establece que, como regla general, las partes no pueden iniciar descubrimiento antes de la conferencia prevista en la Regla 26(f), salvo autorización judicial, acuerdo entre las partes u otra excepción normativa.
Los tribunales han evaluado estas solicitudes mediante un estándar de good cause. En Semitool, Inc. v. Tokyo Electron America, Inc., el tribunal sostuvo que debe compararse la necesidad del descubrimiento anticipado con el perjuicio que puede ocasionar a la parte requerida. Por ello, la urgencia no elimina las exigencias de necesidad, pertinencia y proporcionalidad.
En materia de secretos comerciales, esta herramienta interactúa directamente con la DTSA y con el California Uniform Trade Secrets Act. Para obtener protección no basta con identificar información valiosa: debe demostrarse que esta obtiene valor económico de su confidencialidad, que fue objeto de medidas razonables de protección y que existió adquisición, utilización o divulgación indebida.
Esta distinción también protege la movilidad laboral. California mantiene una fuerte política contra las restricciones de competencia mediante el Business and Professions Code § 16600. El desafío jurídico consiste, por tanto, en diferenciar el conocimiento y experiencia que legítimamente acompañan a un profesional de documentos, datos o procesos confidenciales que continúan perteneciendo a su antiguo empleador.
El primer objetivo estratégico del descubrimiento acelerado es disminuir la asimetría informativa. Apple conoce sus propios sistemas, pero no necesariamente puede determinar cómo habría sido utilizada la información después de abandonar su infraestructura. Por ello, el descubrimiento solicitado comprende documentos, comunicaciones, interrogatorios y declaraciones de individuos y representantes corporativos.
La investigación adquiere particular importancia en el ámbito forense. El documento destaca el interés de Apple en dispositivos que no habrían sido examinados inicialmente, incluido un Mac Mini presuntamente utilizado para determinadas simulaciones. Metadatos, sincronizaciones, registros de actividad o copias almacenadas en distintos dispositivos pueden permitir reconstruir no solo la posesión de un archivo, sino también cómo fue utilizado.
El segundo objetivo está relacionado con la posibilidad de fortalecer una solicitud de preliminary injunction. Conforme al estándar establecido por la Corte Suprema en Winter v. Natural Resources Defense Council, quien solicita una medida cautelar debe demostrar probabilidad de éxito, daño irreparable, un balance favorable de equidades y compatibilidad con el interés público. La evidencia obtenida anticipadamente puede influir directamente en estos cuatro factores.
Uno de los aspectos más interesantes del caso aparece en la alegación de que información confidencial habría sido utilizada dentro de un flujo de trabajo automatizado. El documento sostiene que Apple relaciona determinadas simulaciones con un agente de IA utilizado para reducir considerablemente el tiempo necesario para completar una tarea técnica.
Este argumento introduce una pregunta jurídica novedosa: ¿qué sucede cuando el secreto comercial deja de existir únicamente como archivo y contribuye a producir una capacidad automatizada? La respuesta depende de la arquitectura concreta del sistema. No es equivalente utilizar información como entrada temporal, almacenarla en una base de recuperación o incorporarla mediante entrenamiento. Por ello, el tribunal necesitaría evidencia técnica que determine exactamente cómo fue utilizada.
La primera cuestión es si este litigio protege directamente Apple Intelligence. Jurídicamente, el conflicto analizado se concentra en secretos comerciales y conocimientos vinculados principalmente con ingeniería y hardware. Por ello, sería impreciso afirmar que los modelos de Apple Intelligence constituyen directamente el objeto del litigio.
Sin embargo, desde una perspectiva empresarial existe una conexión más amplia. Los sistemas contemporáneos de inteligencia artificial dependen de procesadores, gestión energética, sensores, dispositivos y procesos de integración. El documento de referencia interpreta precisamente la disputa como parte de la defensa de un ecosistema tecnológico más amplio, en el que hardware y software forman parte de una misma estrategia competitiva.
Otra tensión aparece entre protección de secretos y movilidad laboral. Una empresa puede impedir la utilización ilícita de información confidencial, pero no convertir el secreto comercial en una prohibición general para contratar trabajadores provenientes de un competidor. La jurisprudencia de California, particularmente Whyte v. Schlage Lock Co., ha rechazado la doctrina de inevitable disclosure cuando produce efectos semejantes a una cláusula de no competencia.
Finalmente, el propio descubrimiento genera riesgos. Permitir acceso temprano a documentación, dispositivos o conocimiento institucional de un competidor puede revelar información extremadamente sensible. De ahí que la Federal Rule of Civil Procedure 26(c) permita adoptar órdenes protectoras para limitar la divulgación de secretos comerciales y otra información confidencial. La velocidad procesal debe equilibrarse, por tanto, con proporcionalidad y protección de los derechos de ambas partes.
El caso demuestra que el descubrimiento acelerado puede desempeñar un papel decisivo en litigios tecnológicos. Cuando la información puede desaparecer, sincronizarse entre dispositivos o integrarse en sistemas automatizados, esperar al desarrollo ordinario del discovery puede dificultar considerablemente la reconstrucción de los hechos.
Su valor estratégico se encuentra en la interacción entre evidencia forense y tutela cautelar. Obtener información anticipadamente puede fortalecer una teoría de apropiación indebida, pero también puede revelar hechos que la debiliten. El descubrimiento acelerado no garantiza una victoria; acelera el momento en que las afirmaciones deben confrontarse con evidencia verificable.
La inteligencia artificial introduce además problemas nuevos. Si un secreto ha contribuido a generar automatizaciones, diseños o conocimiento técnico derivado, una orden de destruir el archivo original puede resultar insuficiente. Determinar si una ventaja puede eliminarse exigirá comprender técnicamente cómo fue utilizada la información y qué resultados produjo.
El caso representa así algo más amplio que una disputa entre dos empresas tecnológicas. Refleja una transformación del derecho de secretos comerciales: proteger la innovación ya no significa únicamente impedir que alguien copie un documento, sino también determinar cómo controlar la circulación y transformación del conocimiento dentro de ecosistemas digitales cada vez más automatizados.
Apple Inc. (2026). Apple Inc. v. Liu et al. U.S. District Court for the Northern District of California. Consultar expediente judicial
California Legislature. California Civil Code § 3426.1 — Uniform Trade Secrets Act. Texto oficial
California Legislature. Business and Professions Code § 16600. Texto oficial
Congress of the United States. (2016). Defend Trade Secrets Act, 18 U.S.C. § 1836. Cornell Legal Information Institute
Federal Rules of Civil Procedure. Rule 26 — Duty to Disclose; General Provisions Governing Discovery. Cornell Legal Information Institute
Federal Rules of Civil Procedure. Rule 37 — Failure to Make Disclosures or to Cooperate in Discovery; Sanctions. Cornell Legal Information Institute
Supreme Court of the United States. (2008). Winter v. Natural Resources Defense Council, Inc., 555 U.S. 7. Sentencia
U.S. District Court, Northern District of California. (2002). Semitool, Inc. v. Tokyo Electron America, Inc., 208 F.R.D. 273. Consultar decisión
California Court of Appeal. (2002). Whyte v. Schlage Lock Co., 101 Cal. App. 4th 1443. Consultar sentencia
Una operación aduanera demuestra cómo etiquetas, componentes y elementos de acondicionamiento pueden activar una estrategia coordinada de protección de marcas antes de que los productos lleguen al mercado.
La protección de una marca suele asociarse con la identificación de productos falsificados que ya están siendo comercializados. Sin embargo, las cadenas de infracción pueden comenzar mucho antes.
Etiquetas, envases, tapas, empaques, hologramas o determinados componentes pueden ingresar por separado y ser utilizados posteriormente para ensamblar, acondicionar o presentar productos con una apariencia que genere confusión respecto de su origen empresarial. Un reciente caso en Ecuador permite observar precisamente este escenario y, sobre todo, la importancia de intervenir antes de que los productos lleguen al mercado.
Durante el control físico de una operación de importación, la autoridad aduanera identificó mercancías que generaron indicios de una posible vulneración de derechos de propiedad intelectual. Además de los productos declarados, durante el aforo fueron encontrados otros materiales, entre ellos láminas adhesivas que incorporaban signos vinculados con una marca registrada. Frente a estos hallazgos, se suspendió temporalmente el proceso de nacionalización y se requirió información a las partes involucradas.
Uno de los elementos más relevantes del caso fue la naturaleza de las mercancías identificadas durante el control aduanero. La operación no estaba compuesta únicamente por productos terminados. Entre los bienes declarados constaban tapas y accesorios para botellas, cartuchos vacíos, depósitos de mantenimiento, cabezales de impresión reacondicionados, componentes para sistemas de impresión y equipos relacionados con el sellado de botellas.
Sin embargo, durante el aforo físico aparecieron otros elementos que no estaban detallados en la declaración aduanera. Entre ellos se encontraron láminas con adhesivos holográficos y adhesivos redondos que reproducían signos vinculados con derechos marcarios protegidos, además de otros insumos como láminas de aluminio, acoples, empaques de caucho y componentes tecnológicos.
La importancia del hallazgo no estaba únicamente en cada objeto considerado de manera aislada, sino en la relación que podía existir entre ellos. Etiquetas, tapas, materiales de sellado y determinados componentes podían ser utilizados posteriormente para ensamblar, acondicionar o presentar productos destinados al mercado. Precisamente por ello, la estrategia de protección planteó que estos materiales debían analizarse como parte de una posible cadena de elaboración y comercialización, y no simplemente como accesorios independientes.
Este aspecto permite entender una dimensión menos visible del enforcement marcario: una posible infracción puede comenzar antes de que exista un producto terminado. La legislación reconoce que la protección de una marca también puede extenderse frente a la fabricación, comercialización o tenencia de etiquetas, envases, embalajes y otros materiales que reproduzcan o contengan un signo protegido.
Por eso, la intervención en frontera adquiere especial importancia. No se trata únicamente de identificar productos que ya aparentan ser originales, sino de detectar los elementos que podrían permitir que esa apariencia sea construida posteriormente y evitar que ingresen al circuito comercial mientras las autoridades determinan si existe una vulneración de derechos.
Cuando existen indicios razonables de una posible vulneración de derechos de propiedad intelectual, la legislación ecuatoriana permite suspender una operación aduanera y someter los hechos al análisis de las autoridades competentes. En este caso, la intervención comenzó durante el control aduanero.
La información recopilada, el registro fotográfico de las mercancías y los documentos aportados permitieron que el caso avanzara hacia la autoridad nacional competente en materia de propiedad intelectual. Uno de los elementos considerados fue precisamente la presencia de mercancías relacionadas con marcas registradas y la inexistencia, dentro del procedimiento, de documentación que acreditara una autorización para determinado uso de los signos identificados.
Tras analizar la información disponible, la autoridad de propiedad intelectual confirmó la suspensión respecto de determinados componentes y de las láminas adhesivas identificadas durante el aforo, mientras que no confirmó la medida respecto de otros productos comprendidos en la misma operación.
Este último punto también es importante. Una medida en frontera no supone automáticamente que toda la carga sea infractora. La autoridad debe analizar los elementos disponibles y determinar respecto de qué mercancías existen fundamentos suficientes para mantener la suspensión.
La actuación en frontera tampoco representó necesariamente el final del caso. Una vez confirmada parcialmente la suspensión, el titular de los derechos activó la acción principal correspondiente y presentó una denuncia ante la Fiscalía General del Estado por presuntos actos lesivos a la propiedad intelectual. Con ello se inició una investigación previa.
Posteriormente se solicitaron y dispusieron diferentes diligencias encaminadas a obtener información adicional para la investigación. Entre ellas constan requerimientos dirigidos a distintas instituciones públicas y la incorporación de nueva documentación al expediente.
Estas actuaciones forman parte de una investigación en curso y no constituyen, por sí mismas, una declaración de responsabilidad. Sin embargo, muestran cómo una detección realizada durante un procedimiento aduanero puede convertirse en el punto de partida de una estrategia de observancia que involucra diferentes autoridades y vías jurídicas.
Este caso permite extraer una conclusión especialmente relevante para empresas que comercializan sus productos en Ecuador: la protección efectiva de una marca exige algo más que contar con un registro vigente. Requiere capacidad para identificar riesgos, reconocer productos y componentes sospechosos, aportar información técnica a las autoridades y reaccionar dentro de los plazos previstos por la legislación.
También demuestra que el enforcement debe mirar la cadena completa. La infracción puede encontrarse en el producto final, pero también en las etiquetas, envases, componentes o materiales que permiten construir posteriormente la apariencia de un producto legítimo.
Por ello, una estrategia integral combina registro, vigilancia aduanera, medidas en frontera, acciones administrativas y, cuando los hechos lo justifican, acciones penales. La finalidad no es únicamente retirar del mercado un producto que ya ha causado una afectación. En determinados casos, la protección más efectiva consiste en evitar que los elementos necesarios para producir esa afectación lleguen siquiera al mercado ecuatoriano.
En nuestra experiencia, como estudio jurídico, sabemos que la protección de activos de propiedad intelectual requiere coordinación, información y capacidad de reacción. Una estrategia de enforcement correctamente estructurada permite convertir una alerta aislada en una actuación integral de protección de marca.
Las transferencias internacionales de datos suelen gestionarse mediante contratos, evaluaciones de riesgo y mecanismos regulatorios. Sin embargo, el futuro del EU-U.S. Data Privacy Framework (DPF) demuestra que también dependen de algo menos visible: la estabilidad de las instituciones que garantizan su cumplimiento.
El 29 de junio de 2026, la Corte Suprema de Estados Unidos resolvió Trump v. Slaughter y declaró incompatible con la Constitución la protección que impedía remover libremente a los comisionados de la Federal Trade Commission (FTC). La decisión fue adoptada por una mayoría de 6-3 y modificó un precedente que durante décadas había respaldado la autonomía de la agencia frente al Poder Ejecutivo.
La cuestión trasciende el derecho administrativo estadounidense. La FTC es una de las piezas centrales del sistema que permitió a la Comisión Europea considerar adecuado el nivel de protección ofrecido por Estados Unidos para las organizaciones participantes en el DPF.
El DPF permite transferir datos personales desde el Espacio Económico Europeo hacia empresas estadounidenses certificadas sin recurrir, para esas transferencias, a mecanismos adicionales del Capítulo V del GDPR. El sistema se apoya en compromisos asumidos por las empresas, la administración del Departamento de Comercio y la capacidad de autoridades como la FTC para investigar y exigir el cumplimiento de esos compromisos.
Trump v. Slaughter no modificó directamente el GDPR ni la Decisión de Ejecución (UE) 2023/1795. Lo que cambió fue uno de los elementos institucionales evaluados por Europa al reconocer la adecuación estadounidense.
La Corte Suprema concluyó que la FTC ejerce poder ejecutivo y que, por ello, sus comisionados deben estar sujetos al control presidencial, incluida la posibilidad de remoción. Ese cambio abre una pregunta incómoda para Europa: ¿puede seguir considerándose independiente, a efectos de una decisión de adecuación, una autoridad cuya composición puede depender en mayor medida de las decisiones del Ejecutivo?
Este es probablemente el punto más importante para las empresas. Una decisión de adecuación no evalúa únicamente leyes escritas o políticas corporativas. El artículo 45 del GDPR exige analizar si el sistema extranjero ofrece, en la práctica, un nivel de protección esencialmente equivalente, incluyendo mecanismos efectivos de supervisión y tutela.
La propia decisión del DPF destacó la estructura e independencia de las autoridades estadounidenses. Además, obliga a la Comisión Europea a monitorear continuamente los cambios jurídicos o prácticos que puedan alterar esa evaluación y contempla incluso la modificación, suspensión o derogación de la adecuación si el nivel de protección deja de ser suficiente.
Por eso, el problema generado por Trump v. Slaughter no consiste en que el DPF haya desaparecido. Consiste en que uno de los hechos jurídicos sobre los que descansó la evaluación europea ha cambiado.
El 31 de julio de 2026, el European Data Protection Board (EDPB) llevó formalmente la cuestión ante la Comisión Europea. Recordó que la existencia y funcionamiento efectivo de autoridades supervisoras independientes constituye un elemento relevante de la evaluación de adecuación y señaló expresamente que la decisión de 2023 había tomado en consideración las protecciones de los comisionados de la FTC.
El EDPB no declaró inválido el DPF. Solicitó a la Comisión evaluar de cerca si la sentencia afecta su funcionamiento y adoptar las acciones que correspondan.
A septiembre de 2026, la posición jurídica sigue siendo esa: la Comisión Europea continúa incluyendo a Estados Unidos —respecto de organizaciones participantes en el DPF— entre las jurisdicciones cubiertas por una decisión de adecuación.
Por tanto, abandonar preventivamente el DPF no es una obligación derivada de la sentencia. Ignorar la posibilidad de un cambio futuro tampoco sería una buena estrategia de gestión de riesgos.
Aquí aparece la consecuencia empresarial más relevante. Las compañías que mantienen flujos intensivos entre Europa y Estados Unidos deberían conocer exactamente qué transferencias dependen del DPF, qué proveedores están involucrados y qué impacto tendría una modificación o eventual pérdida de la adecuación.
El documento analizado propone precisamente auditar los flujos, verificar certificaciones y preparar mecanismos alternativos. Esa recomendación es razonable como estrategia de continuidad, pero debe evitarse una conclusión automática: las Standard Contractual Clauses (SCCs) no son hoy un requisito adicional para una transferencia válidamente amparada por el DPF.
Lo recomendable es preparar contingencias. Si en el futuro una transferencia tuviera que apoyarse en SCCs, la empresa debería analizar el régimen aplicable en el país receptor y determinar si son necesarias medidas complementarias conforme a la metodología desarrollada después de Schrems II.
La revisión también debe alcanzar a la cadena tecnológica. Antes de transferir información bajo el DPF, el EDPB exige comprobar que el destinatario estadounidense mantiene una certificación activa y que esta cubre la categoría de datos correspondiente; existen consideraciones específicas para información de recursos humanos.
Esto convierte la supervisión de proveedores en una cuestión dinámica. Servicios de nube, CRM, analítica, inteligencia artificial, recursos humanos o procesamiento empresarial pueden formar parte de cadenas internacionales cuya legitimidad depende de mecanismos regulatorios susceptibles de evolucionar.
La lección de Trump v. Slaughter es, por tanto, más amplia que el futuro del DPF: las transferencias internacionales ya no pueden administrarse como una decisión contractual tomada una sola vez. Requieren trazabilidad, monitoreo regulatorio y capacidad de sustituir mecanismos jurídicos sin paralizar la operación.
La confianza institucional también forma parte de la infraestructura de datos. Cuando esa confianza cambia, el cumplimiento empresarial debe estar preparado para cambiar con ella.
Supreme Court of the United States. Trump v. Slaughter, No. 25-332, decisión de 29 de junio de 2026. Consultar sentencia oficial
European Data Protection Board. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31 de julio de 2026. Consultar documento oficial
Comisión Europea. Commission Implementing Decision (EU) 2023/1795 on the adequate level of protection under the EU-U.S. Data Privacy Framework, 10 de julio de 2023. Consultar decisión en EUR-Lex
Comisión Europea. Data protection adequacy for non-EU countries, estado de las decisiones de adecuación. Consultar información oficial
European Data Protection Board. EU-U.S. Data Privacy Framework F.A.Q. for European businesses – Version 2.0, 23 de enero de 2026. Consultar guía del EDPB
European Data Protection Board. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, versión final, 18 de junio de 2021. Consultar recomendaciones
Comisión Europea. Standard Contractual Clauses (SCCs) for international data transfers, 2021. Consultar cláusulas y orientación oficial
El 6 de junio de 2025, Rosalía Vila Tobella solicitó ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) el registro de la marca denominativa LUX, destinada a proteger, entre otros, grabaciones musicales, productos electrónicos, prendas de vestir y servicios de entretenimiento en las clases 9, 25 y 41.
El 8 de julio de 2026, la EUIPO denegó la solicitud en su totalidad al considerar que, para el público rumanohablante, “LUX” sería entendido como una referencia al lujo, la calidad superior o la exclusividad, y no como un indicador de origen empresarial. La decisión se fundamentó en los artículos 7.1.b), 7.1.c) y 7.2 del Reglamento sobre la Marca de la Unión Europea y es susceptible de recurso.
Más allá de la notoriedad de la artista, el caso plantea una cuestión especialmente relevante para cualquier empresa que pretenda internacionalizar una marca: una denominación puede ser jurídicamente sólida en un mercado y perder su capacidad distintiva cuando cambia el idioma o el territorio.
La marca de la Unión Europea tiene carácter unitario. El artículo 7.2 del Reglamento establece que un motivo absoluto de denegación puede impedir el registro aunque exista únicamente en una parte de la Unión. En términos prácticos, no es necesario que “LUX” sea descriptivo o laudatorio en todos los Estados miembros. Bastaba con que el problema se produjera respecto de una parte relevante del público.
Eso explica uno de los aspectos más interesantes del procedimiento. La primera objeción de la EUIPO, formulada en julio de 2025, consideraba tanto al público angloparlante como al rumanohablante. Tras las observaciones de la solicitante, la Oficina restringió posteriormente su razonamiento al público de habla rumana. Aun así, ese único frente lingüístico resultó suficiente para mantener la denegación.
La consecuencia empresarial es importante: una estrategia paneuropea de marcas no puede construirse únicamente a partir de una búsqueda de signos idénticos o similares. También exige estudiar qué significa el signo en los distintos mercados donde producirá efectos.
Muchas empresas realizan correctamente una búsqueda de marcas anteriores antes de lanzar un producto. Sin embargo, esa revisión responde principalmente a una pregunta: ¿existen derechos de terceros que podrían impedir el registro?
El caso LUX demuestra que existe una segunda pregunta igual de importante: ¿el propio signo tiene suficiente capacidad jurídica para convertirse en marca?
Una denominación puede estar completamente disponible y, aun así, ser objetada de oficio porque describe una característica, comunica una cualidad o funciona simplemente como mensaje promocional. En este caso, la EUIPO consideró que el público rumanohablante interpretaría “LUX” como una referencia positiva a productos o servicios selectos o de elevada calidad.
Por ello, la debida diligencia marcaria debería incorporar un componente semántico y cultural antes de que marketing, diseño y comercialización conviertan una denominación en una inversión difícil de modificar.
Otro aspecto relevante es que la registrabilidad no depende de la intención con la que se crea una marca ni de la notoriedad de quien la solicita.
Durante el procedimiento se argumentaron otros significados posibles de “LUX”, incluida su utilización como unidad de iluminancia y su origen latino relacionado con la luz. También se mencionaron registros previos y la aceptación de una solicitud equivalente en Reino Unido. La EUIPO consideró que estos elementos no modificaban la percepción relevante del término en el mercado rumano ni vinculaban jurídicamente su propio examen.
Para empresas vinculadas con artistas, influencers, deportistas o fundadores reconocidos, esta distinción resulta especialmente útil. La capacidad comercial para popularizar un nombre y su capacidad jurídica para funcionar como marca son dos cuestiones diferentes.
La lógica de la distintividad tampoco es ajena al régimen aplicable en Ecuador. La Decisión 486 de la Comunidad Andina exige que una marca sea apta para distinguir productos o servicios y prohíbe registrar signos carentes de distintividad, así como aquellos que describan características de los productos o incluyan expresiones laudatorias.
Sin embargo, la consecuencia territorial del caso europeo no debe trasladarse automáticamente al sistema ecuatoriano. La particularidad está en el carácter unitario de la marca de la Unión Europea: una dificultad localizada puede afectar una solicitud destinada a cubrir todo el bloque.
Para una empresa ecuatoriana que proyecte entrar en Europa, Estados Unidos o distintos mercados latinoamericanos, haber registrado exitosamente una denominación ante SENADI no significa que esa misma marca vaya a superar el examen en otros territorios. La expansión requiere revisar nuevamente idioma, significado, productos, público relevante y estrategia de presentación.
El caso LUX revela que la internacionalización de una marca no empieza cuando se presenta una solicitud en el extranjero. Empieza cuando se escoge el nombre.
Una denominación diseñada exclusivamente desde la perspectiva comercial del mercado de origen puede esconder debilidades cuando atraviesa fronteras lingüísticas. Identificarlas antes del lanzamiento permite decidir si conviene modificar el signo, reforzarlo con otros elementos distintivos, desarrollar una arquitectura de marcas complementarias o reconsiderar la estrategia territorial de protección.
Para los titulares de derechos, la enseñanza es esencialmente preventiva: una marca verdaderamente internacional debe poder viajar no solo comercialmente, sino también jurídicamente. Integrar análisis legal, lingüístico y comercial desde la etapa de naming reduce el riesgo de invertir en identidades que, al llegar a un nuevo mercado, resulten mucho más difíciles de proteger.
La Agencia Nacional de Protección de Datos de Brasil (ANPD) impuso el 25 de agosto de 2026 una multa de R$ 153,7 millones a ByteDance, controladora de TikTok, tras identificar cinco infracciones relacionadas con el tratamiento de datos personales de niños y adolescentes. La decisión también ordenó eliminar datos recolectados irregularmente y avanzar con un plan de conformidad destinado a modificar determinadas prácticas de la plataforma.
Sin embargo, el aspecto más relevante para las empresas no está únicamente en la cuantía de la sanción. La autoridad brasileña sostuvo que los mecanismos implementados por TikTok no habían sido suficientes para impedir el tratamiento irregular desde el origen y, especialmente, que faltaban evidencias concretas sobre la efectividad de las medidas técnicas y organizativas adoptadas.
Ahí aparece una cuestión que trasciende el caso brasileño: ¿qué ocurre cuando una empresa tiene controles de privacidad, pero no puede demostrar que funcionan?
La investigación analizó tanto el acceso a TikTok sin registro como el proceso de creación de cuentas. En ambos escenarios, la ANPD determinó que existían tratamientos de datos de niños y adolescentes sin una hipótesis legal adecuada y deficiencias en las medidas destinadas a prevenir esos tratamientos.
El documento analizado destaca precisamente esa brecha entre el cumplimiento declarado y su ejecución: las herramientas para verificar edad y gestionar adecuadamente el acceso de menores resultaron insuficientes, por lo que la discusión terminó desplazándose desde la existencia formal del control hacia su efectividad práctica.
Esto cambia la lógica tradicional del compliance. Una política que establece que determinada plataforma no admite usuarios menores de cierta edad tiene poco valor regulatorio si el diseño del servicio permite que esos usuarios ingresen, sean perfilados o generen información antes de que el control actúe.
La ANPD no exigió únicamente que ByteDance dijera qué medidas había adoptado. El procedimiento puso énfasis en la capacidad de acreditar resultados.
Esta idea tiene una conexión especialmente relevante con Ecuador. La LOPDP establece el principio de responsabilidad proactiva y demostrada, según el cual el responsable debe acreditar la implementación de mecanismos de protección y revisar continuamente su eficacia.
La propia Ley va más allá: exige procesos continuos de verificación, evaluación y valoración de la eficiencia, eficacia y efectividad de las medidas implementadas. También obliga a evidenciar que las medidas adoptadas mitigan adecuadamente los riesgos identificados.
Por ello, para una empresa ecuatoriana, la pregunta ya no debería ser únicamente “¿tenemos un procedimiento?”, sino también “¿qué evidencia tenemos de que ese procedimiento funciona?”.
El caso TikTok demuestra además que verificar la edad no puede reducirse a una casilla o declaración del usuario. La investigación brasileña cuestionó precisamente la fragilidad de mecanismos que permitían que niños accedieran a servicios que formalmente no estaban dirigidos a ellos. La Nota Técnica de la ANPD incluso destacó que el uso sin registro permitía tratamiento a gran escala, incluyendo datos de menores.
Las medidas posteriores son reveladoras: configuraciones más restrictivas para menores de 16 años, fortalecimiento de la supervisión parental, reducción de datos tratados y suspensión de publicidad en el acceso sin registro.
No son simples cambios en una política de privacidad. Son modificaciones sobre funcionalidades, monetización, personalización y arquitectura del servicio.
La decisión brasileña no constituye una regla aplicable automáticamente en Ecuador. Sin embargo, resulta relevante como referencia comparada porque la normativa ecuatoriana también impone una protección reforzada.
La LOPDP considera los datos de niñas, niños y adolescentes como una categoría especial de datos personales. El Reglamento General establece, además, que para menores de 15 años el tratamiento requiere el consentimiento de su representante legal; desde los 15 años, el adolescente puede otorgar consentimiento explícito bajo determinadas condiciones de información y comprensión. El consentimiento tampoco puede menoscabar el interés superior del niño.
Hay otra consecuencia empresarial importante: cuando existe tratamiento a gran escala de categorías especiales de datos, la LOPDP contempla la evaluación de impacto como obligatoria.
Una aplicación, plataforma educativa, servicio digital, programa de fidelización o sistema de perfilamiento utilizado masivamente por menores debería, por tanto, analizar estos riesgos desde su propia arquitectura y no únicamente desde sus términos y condiciones.
La principal lección del caso TikTok es que una empresa necesita construir un expediente de cumplimiento antes de que lo solicite una autoridad.
Esto implica poder demostrar, por ejemplo, cómo funciona la verificación de edad; qué porcentaje de accesos irregulares detecta; cómo se revisan los controles; qué datos se recogen antes de identificar al usuario; cómo se configura la privacidad por defecto; qué pruebas se realizan sobre sistemas de perfilamiento; cuándo se eliminan los datos y qué decisiones fueron tomadas después de detectar fallas.
El cambio estratégico es importante: la protección de datos deja de evaluarse por la existencia de documentos y empieza a evaluarse por la capacidad de probar resultados.
Para las empresas ecuatorianas que tratan información de menores, conviene revisar no solo políticas y consentimientos, sino también flujos tecnológicos, métricas de efectividad, mecanismos de supervisión, evaluaciones de impacto y evidencia interna. Un programa de cumplimiento sólido debe poder responder no solo qué controles existen, sino por qué la organización considera que esos controles realmente protegen a los titulares.