Doe v. GitHub nació de una pregunta aparentemente sencilla: ¿qué ocurre cuando una herramienta de inteligencia artificial genera código parecido al publicado por un programador, pero omite sus avisos de copyright o atribución? Los demandantes sostuvieron que GitHub, Microsoft y OpenAI habían empleado enormes cantidades de código disponible en repositorios públicos para desarrollar Copilot y Codex.
La controversia llegó al Noveno Circuito bajo una teoría basada en la sección 1202 de la DMCA, norma que prohíbe determinadas conductas relacionadas con la remoción o alteración deliberada de información de gestión de copyright. El tribunal, sin embargo, concluyó que una salida generada por un modelo que nunca incluyó esa información no equivale necesariamente a una obra de la cual dicha información haya sido “removida”. Instituto de Información Legal
Esta distinción cerró una vía relevante de responsabilidad, pero no convirtió el entrenamiento de IA en una actividad jurídicamente libre. El fallo dejó abiertas cuestiones relacionadas con copyright ordinario, contratos, licencias y la forma en que los materiales fueron incorporados al sistema. El propio informe base destaca que el efecto estratégico de Doe fue desplazar el litigio desde los daños asociados a la ausencia de CMI hacia los inputs y los outputs.
Por ello, el verdadero legado de Doe v. GitHub no consiste en haber reducido el riesgo de la inteligencia artificial, sino en haberlo redistribuido a lo largo de toda su cadena de desarrollo: adquisición de datos, entrenamiento, licenciamiento, generación y comercialización.
El primer error al analizar estos conflictos consiste en considerar al entrenamiento de IA como un único acto jurídico. En realidad, existen varias etapas: obtención del material, almacenamiento, preparación del dataset, entrenamiento, ajuste del modelo y generación de resultados. La U.S. Copyright Office ha señalado que las distintas formas de utilización de obras protegidas durante el desarrollo de sistemas generativos deben analizarse atendiendo a sus circunstancias específicas. Oficina de Derechos de Autor de EE. UU.
La segunda variable es la licencia. Que un repositorio sea públicamente accesible no significa que su código esté libre de condiciones. Licencias como MIT, Apache o GPL permiten distintos niveles de reutilización, pero pueden imponer obligaciones relacionadas con atribución, avisos legales, redistribución o acceso al código fuente. Precisamente por ello, el conflicto de Copilot trasciende el copyright tradicional y alcanza también al derecho contractual.
Esta diferencia resulta todavía más importante en el ámbito de la IA abierta. “Código abierto”, “pesos abiertos” e “IA de código abierto” no son conceptos necesariamente equivalentes. La Open Source AI Definition 1.0 de la Open Source Initiative exige libertades para usar, estudiar, modificar y compartir el sistema, además del acceso a los elementos necesarios para hacerlo efectivamente. Open Source Initiative
El resultado es una arquitectura jurídica mucho más compleja. Un desarrollador puede tener permiso para acceder a una obra, restricciones para reutilizarla, argumentos de fair use respecto del entrenamiento y, al mismo tiempo, problemas independientes si el modelo reproduce posteriormente elementos protegidos. No existe una única pregunta sobre copyright de IA, sino varias preguntas encadenadas.
La sentencia del Noveno Circuito en Doe v. GitHub se concentró en una cuestión específica: si la ausencia de información de gestión de copyright en una salida generada podía considerarse una “remoción” bajo §1202(b). La Corte concluyó que la teoría presentada por los demandantes no satisfacía ese requisito cuando el sistema generaba una nueva salida que nunca había contenido originalmente la información. Corte de Apelaciones del Noveno Circuito
Pero el fallo no decidió si sería jurídicamente distinto eliminar avisos, atribuciones o metadatos antes de incorporar una obra al conjunto de entrenamiento. De hecho, el expediente base identifica esta cuestión como una posible “teoría de entrada” que no llegó a resolverse sustantivamente en apelación. Del Código Fuente al Mercado_ C… Por tanto, la procedencia y preparación de los datasets continúa siendo uno de los principales frentes de riesgo.
Esta tendencia se observa claramente en Bartz v. Anthropic. Allí, el debate distinguió entre el uso de obras para entrenar un modelo y la obtención de determinados libros desde bibliotecas piratas. El litigio terminó en un acuerdo colectivo de USD 1.500 millones, cuya aprobación definitiva fue otorgada en julio de 2026. La resolución de aprobación final del acuerdo puede consultarse aquí. Justia Law
El precedente transmite una advertencia empresarial concreta: incluso cuando pueda existir una defensa respecto del propósito transformador del entrenamiento, la forma de adquisición del material puede generar responsabilidad independiente. El riesgo comienza, por tanto, antes de que el modelo sea entrenado.
Dos arquitecturas tecnológicas, dos mapas de riesgo
Para los desarrolladores de IA propietaria, el riesgo se concentra especialmente en la gobernanza de grandes conjuntos privados de entrenamiento. Cuanto mayor sea el corpus, mayor será la necesidad de documentar procedencia, autorizaciones, exclusiones y licencias. La trazabilidad se convierte así en un mecanismo de defensa jurídica además de una práctica técnica.
Los proveedores cerrados cuentan, sin embargo, con una ventaja estructural: pueden centralizar sus procesos de cumplimiento. Auditorías internas, acuerdos de licencia, filtros de contenido y mecanismos contractuales de indemnización pueden administrarse desde una sola organización. El costo puede ser elevado, pero también existe una mayor capacidad de control.
Los sistemas abiertos distribuyen el problema. Un modelo puede ser desarrollado por una organización, modificado por otra, ajustado con nuevos datos por un tercero e integrado finalmente en un producto comercial. En esa cadena pueden coexistir licencias sobre código, datasets, documentación y otros componentes. El riesgo jurídico deja de estar concentrado y se desplaza entre múltiples actores.
Doe resulta especialmente relevante en este contexto porque las reclamaciones contractuales relacionadas con licencias de código abierto no desaparecieron con la decisión sobre la DMCA. El documento base señala expresamente que dichas reclamaciones continuaron siendo una vía jurídicamente relevante. Del Código Fuente al Mercado_ C… Así, que un modelo sea “abierto” no significa que sus usuarios puedan ignorar las obligaciones jurídicas heredadas de los componentes utilizados para desarrollarlo.
El verdadero activo de la IA ya no es solo el modelo: es su trazabilidad
El litigio de inteligencia artificial está evolucionando desde preguntas abstractas hacia interrogantes mucho más probatorios. Ya no basta con discutir si “entrenar una IA” constituye fair use. Los tribunales comienzan a observar qué obras fueron utilizadas, de dónde provinieron, con qué finalidad fueron copiadas y qué efecto puede producir el sistema sobre el mercado de esas obras.
La posición de la U.S. Copyright Office sobre entrenamiento generativo refuerza esta aproximación contextual. La institución no propone una regla universal según la cual todo entrenamiento sea lícito o ilícito; considera que la evaluación depende de factores como el propósito de la utilización, las características de las obras y sus efectos económicos. Oficina de Derechos de Autor de EE. UU.
En este entorno, los departamentos jurídicos necesitarán trabajar cada vez más cerca de desarrolladores, ingenieros y especialistas en datos. Registrar la procedencia de un dataset, identificar sus licencias o conservar información sobre las transformaciones aplicadas puede parecer inicialmente una tarea técnica, pero esas evidencias pueden convertirse posteriormente en elementos decisivos dentro de un litigio.
El cambio fundamental es, por tanto, de gobernanza. El valor jurídico de un sistema de IA no dependerá únicamente de su capacidad para generar buenos resultados, sino también de que su desarrollador pueda reconstruir documentalmente cómo fue construido.
Del “la IA lo generó” al “demuestre cómo llegó hasta allí”
Doe v. GitHub no creó una excepción general para la inteligencia artificial frente al copyright. Su alcance fue más limitado: determinó que determinadas salidas generativas no podían considerarse automáticamente obras de las cuales se hubiera removido información de gestión de derechos bajo §1202(b). Corte de Apelaciones del Noveno Circuito
Sin embargo, esa limitación desplazó el litigio hacia cuestiones potencialmente más profundas. La adquisición de datasets, el cumplimiento de licencias, la reproducción de obras y los efectos económicos de los outputs se están convirtiendo en los verdaderos puntos de conflicto.
Para la IA propietaria, ello exige mayor control y documentación sobre sus fuentes de entrenamiento. Para los ecosistemas abiertos, exige además comprender cómo se transmiten obligaciones jurídicas entre desarrolladores, modelos, componentes y productos derivados.
La principal enseñanza de Doe v. GitHub puede resumirse entonces en una transformación conceptual: el riesgo jurídico de la IA ya no se encuentra únicamente en lo que genera el modelo, sino en toda la historia jurídica que permitió construirlo. En el mercado de la inteligencia artificial, la trazabilidad de datos y licencias empieza a ser tan estratégica como el propio código.
Bibliografía
United States Court of Appeals for the Ninth Circuit. (2026). Doe v. GitHub, Inc., No. 24-7700. Consultar sentencia oficial.
U.S. Copyright Office. (2025). Copyright and Artificial Intelligence, Part 3: Generative AI Training. Consultar informe oficial.
United States Congress / Cornell Legal Information Institute. 17 U.S.C. §1202 – Integrity of Copyright Management Information. Consultar disposición legal.
United States District Court for the Northern District of California. (2026). Bartz et al. v. Anthropic PBC, Document 680, Order Granting Final Approval of Class Action Settlement. Consultar resolución.
United States District Court for the Northern District of California. (2025). Kadrey et al. v. Meta Platforms, Inc., Document 598. Consultar decisión judicial.
Open Source Initiative. (2024). The Open Source AI Definition 1.0. Consultar definición.
U.S. Copyright Office. Artificial Intelligence Initiative. Consultar portal institucional sobre IA y copyright.
Cada interacción digital genera información. Una compra electrónica, una aplicación móvil, una plataforma de inteligencia artificial o un sistema de reconocimiento facial pueden registrar no solo nombres o números de identificación, sino también preferencias, hábitos, ubicaciones y patrones de comportamiento. La protección de datos, por tanto, ya no se limita a mantener información en secreto: busca determinar quién puede utilizarla, para qué finalidad, durante cuánto tiempo y bajo qué garantías.
En Ecuador, este derecho tiene reconocimiento constitucional y se desarrolla mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), vigente desde 2021. La ley regula tratamientos automatizados y no automatizados y reconoce principios, derechos y obligaciones para responsables y encargados. Superintendencia de Datos a escala internacional, el Reglamento General de Protección de Datos de la Unión Europea (RGPD) constituye uno de los principales referentes regulatorios y consolida principios como licitud, transparencia, minimización, limitación de finalidad, seguridad y responsabilidad.
Un dato personal es cualquier información relacionada con una persona identificada o identificable. Por ello, la protección no se limita al nombre o al número de cédula: también puede comprender identificadores digitales, ubicación, comportamiento en línea o diferentes datos que, combinados, permitan reconocer a una persona. La Comisión Europea utiliza esta misma aproximación al explicar que incluso información seudonimizada puede continuar siendo dato personal cuando exista posibilidad de reidentificación. European Commission
La protección se intensifica frente a categorías particularmente delicadas, como información de salud, genética o biométrica. Sobre estos tratamientos operan principios como licitud, finalidad, proporcionalidad, minimización, transparencia, seguridad y responsabilidad proactiva. El consentimiento sigue siendo relevante, pero no representa una autorización universal: debe ser libre, específico, informado e inequívoco. Las Directrices 05/2020 del Comité Europeo de Protección de Datos sobre consentimiento insisten precisamente en estas condiciones. Junta Europea de Protección de Datos
En Ecuador, el sistema se estructura fundamentalmente alrededor de la LOPDP y su Reglamento General. A estas normas se suman las regulaciones emitidas progresivamente por la Superintendencia de Protección de Datos Personales. La sección oficial de resoluciones de la SPDP muestra cómo durante 2025 y 2026 la autoridad desarrolló reglas sobre evaluaciones de riesgo, contratos, transferencias internacionales, anonimización, tratamiento a gran escala, inteligencia artificial, biometría y vulneraciones de seguridad. Superintendencia de Datos
Particular importancia tiene la Resolución SPDP-SPD-2026-0037-R, que reformó la regulación ecuatoriana sobre inteligencia artificial. La norma utiliza los conceptos de acceso, visibilidad y control efectivo sobre los datos para determinar el alcance de determinadas responsabilidades. El documento de análisis proporcionado explica que este enfoque desplaza la atención desde la mera posesión formal de información hacia la capacidad real de conocer, influir o intervenir en el tratamiento y en sus resultados.
En perspectiva comparada, el RGPD mantiene una lógica similar mediante el principio de accountability: las organizaciones no solo deben respetar las reglas, sino estar en condiciones de demostrar su cumplimiento. La Comisión Europea identifica siete principios centrales del régimen europeo, entre ellos limitación de finalidad, minimización, seguridad y responsabilidad. European Commission
Los titulares poseen derechos que les permiten recuperar cierto control sobre la utilización de su información. Entre ellos se encuentran acceso, rectificación, eliminación, oposición, portabilidad y garantías frente a determinadas decisiones automatizadas. El RGPD reconoce igualmente derechos de acceso, rectificación, supresión, restricción, portabilidad, oposición y protección frente a decisiones exclusivamente automatizadas. European Commission
Para responsables y encargados, estos derechos se traducen en obligaciones organizativas. No basta con disponer de una política de privacidad: las empresas deben conocer qué información poseen, determinar su base jurídica, limitar los accesos, definir periodos de conservación, controlar a sus proveedores, implementar medidas de seguridad y conservar evidencia sobre las decisiones adoptadas.
La gestión de vulneraciones muestra con claridad este cambio. La Resolución SPDP-SPD-2026-0040-R, incluida en el catálogo oficial de la SPDP, establece una normativa específica para las notificaciones de vulneraciones de seguridad. Superintendencia de Datos Según el documento aportado, el encargado debe comunicar determinados incidentes al responsable dentro de un máximo de dos días hábiles y el responsable dispone de cinco días hábiles para realizar la correspondiente notificación ante la SPDP; cuando exista riesgo para los titulares, también debe comunicárseles sin demora.
La inteligencia artificial cambia la naturaleza del problema porque ya no solo utiliza datos existentes: también puede inferir nueva información. Un sistema puede construir perfiles, detectar patrones o producir clasificaciones sin necesidad de acceder de manera visible a todos los datos originales. Por ello, el concepto ecuatoriano de “control efectivo” resulta particularmente relevante: la responsabilidad puede vincularse con la capacidad técnica, contractual u organizativa de influir sobre los datos, el tratamiento o los resultados del sistema.
La biometría constituye otro escenario crítico. La Resolución SPDP-SPD-2026-0039-R, oficialmente listada por la Superintendencia, establece una regulación específica para este tratamiento. Superintendencia de Datos La norma parte de la especial sensibilidad de características como rostro, huellas, voz o iris cuando permiten identificar unívocamente a una persona. El análisis suministrado señala además la obligación de evaluar riesgos, realizar evaluaciones de impacto y, en determinados tratamientos fundamentados en consentimiento, ofrecer alternativas no biométricas.
El desafío se amplía en servicios en la nube, comercio electrónico y redes sociales. Una organización puede captar información mediante una aplicación, almacenarla con un proveedor externo, procesarla mediante otro servicio y posteriormente utilizarla con herramientas de inteligencia artificial. En consecuencia, proteger datos implica controlar toda la cadena tecnológica. Esta visión coincide con el NIST Privacy Framework, que plantea la privacidad como parte integral de la gestión empresarial del riesgo.
La principal transformación del derecho de protección de datos es que el cumplimiento está dejando de evaluarse únicamente a través de documentos formales. Una organización puede tener contratos, avisos de privacidad y formularios de consentimiento y, aun así, mantener graves deficiencias si desconoce sus flujos de información o no puede demostrar cómo controla a sus proveedores.
El documento analizado identifica precisamente esta transición dentro del régimen ecuatoriano: la gobernanza exige auditar proveedores, actualizar contratos, conservar registros, gestionar consentimientos y mantener evaluaciones de impacto y evidencia de debida diligencia. De esta manera, la protección de datos se conecta cada vez más con ciberseguridad, contratación tecnológica, compliance, gestión de riesgos y diseño de productos digitales.
La pregunta relevante deja entonces de ser únicamente “¿tenemos autorización para tratar este dato?” y pasa a ser “¿podemos explicar y demostrar por qué necesitamos tratarlo, quién interviene y qué controles hemos implementado?”. Ese cambio resume el tránsito de la privacidad documental hacia la responsabilidad demostrable.
La protección de datos personales no pretende impedir la innovación tecnológica. Su función consiste en establecer condiciones para que la utilización de información sea legítima, proporcional, transparente y segura. En consecuencia, inteligencia artificial, biometría, servicios en la nube o comercio electrónico no son incompatibles con la privacidad, pero requieren una gobernanza capaz de identificar y controlar sus riesgos.
En Ecuador, la combinación entre la LOPDP y la creciente normativa de la SPDP muestra una evolución hacia una regulación más técnica y preventiva. Las nuevas reglas sobre IA, biometría y vulneraciones de seguridad refuerzan la necesidad de conocer los flujos de datos, controlar proveedores, realizar evaluaciones de riesgo y documentar las decisiones adoptadas. Superintendencia de Datos
La verdadera madurez en protección de datos comienza cuando una organización deja de preguntarse únicamente si puede utilizar determinada información y empieza a preguntarse si puede justificar, proteger y demostrar adecuadamente ese uso. En la economía digital, esa capacidad se convierte tanto en una obligación jurídica como en un elemento estratégico de confianza.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial Suplemento 459. Texto de la LOPDP. Superintendencia de Datos
Presidencia de la República del Ecuador. (2023). Reglamento General a la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904. Consultar el Reglamento General.
Superintendencia de Protección de Datos Personales. (2026). Resoluciones y normativa de protección de datos personales. Repositorio oficial de resoluciones de la SPDP. Superintendencia de Datos
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Texto oficial del RGPD en EUR-Lex.
European Data Protection Board. (2020). Directrices 05/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679. Consultar las directrices del EDPB. Junta Europea de Protección de Datos
European Commission. Principles of the GDPR. Principios del Reglamento General de Protección de Datos. European Commission
Boeckl, K. & Lefkovitz, N. (2020). NIST Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management. National Institute of Standards and Technology. NIST Privacy Framework.
En septiembre de 2026, una operación de seguridad en el norte de Quito permitió identificar varios inmuebles presuntamente destinados a la producción, almacenamiento y distribución clandestina de bebidas alcohólicas adulteradas. En los lugares intervenidos se encontraron áreas de envasado, materiales de embalaje, etiquetas que imitaban marcas reconocidas y herramientas para elaborar productos con apariencia de originales.
Entre los hallazgos había elementos que reproducían tanto la identidad visual de los productos como ciertos mecanismos de identificación tributaria. Con ello se creaba una apariencia de autenticidad capaz de dificultar que consumidores y distribuidores detectaran las irregularidades.
Según los reportes oficiales difundidos por los medios, la operación también reveló posibles vínculos entre distintos puntos de producción y distribución. Esto sugiere una actividad organizada que iría más allá de la comercialización aislada de mercancías falsificadas.
El caso evidencia una realidad preocupante: detrás de un producto aparentemente legítimo puede operar una cadena de fabricación y comercialización que se vale del prestigio de marcas posicionadas para introducir en el mercado mercancías de origen desconocido.
La falsificación de marcas va más allá de reproducir un logotipo sin autorización. En ciertos sectores, también supone imitar etiquetas, envases, sellos y otros rasgos visuales que permiten reconocer un producto y vincularlo con estándares específicos de calidad y seguridad.
En las bebidas alcohólicas, esta práctica resulta especialmente delicada: un envase que parece corresponder a una marca reconocida puede contener sustancias diferentes de las originales, elaboradas sin controles adecuados de calidad, trazabilidad ni seguridad sanitaria.
La identidad comercial se convierte así en un medio de engaño: mientras el consumidor confía en la reputación del fabricante, los falsificadores se aprovechan de esa confianza para introducir productos irregulares en el mercado.
Las consecuencias trascienden el perjuicio económico para los titulares de derechos: abarcan daños reputacionales, afectaciones a la competencia legítima y riesgos directos para la salud pública.
Desde la perspectiva de la protección de marcas, este caso destaca porque las intervenciones abarcaron espacios presuntamente relacionados con distintas etapas de la actividad ilícita.
El hallazgo de materiales de impresión, etiquetas, envases, instalaciones de producción y áreas de almacenamiento evidencia la necesidad de identificar las estructuras que sostienen la circulación de productos falsificados, en vez de concentrarse únicamente en los puntos de venta.
En Ecuador, el artículo 208A del Código Orgánico Integral Penal aborda la falsificación de marcas y otras conductas que vulneran los derechos de propiedad intelectual. Su aplicación depende de los hechos comprobados, los elementos de la infracción y los requisitos legales correspondientes.
A su vez, el régimen de propiedad intelectual faculta a los titulares para proteger y hacer valer sus derechos mediante acciones administrativas o judiciales, según la naturaleza de la infracción.
En este contexto, el enforcement es una herramienta estratégica que integra la investigación, la identificación de infracciones, la recopilación de pruebas y las acciones legales para prevenir, detener y perseguir las vulneraciones de derechos.
El operativo también evidencia la necesidad de coordinar a las autoridades de seguridad, los organismos de control sanitario, las entidades aduaneras y los titulares de marcas. Ante actividades ilícitas que generan diversos riesgos y posibles infracciones, una respuesta integral es indispensable.
La producción clandestina y la comercialización de productos falsificados pueden afectar a diversos sectores de la economía.
Las empresas legítimas compiten con productos que evaden obligaciones regulatorias, controles de calidad y requisitos legales de comercialización. A su vez, los consumidores pueden adquirir mercancías de procedencia y composición desconocidas, guiados únicamente por los elementos visuales de una marca.
En el caso analizado, los reportes periodísticos señalan posibles vínculos con redes de distribución presentes en distintos territorios. Esto refuerza la necesidad de entender la falsificación como una actividad que puede involucrar cadenas de suministro complejas y, en ciertos casos, estructuras de criminalidad organizada.
No obstante, deben distinguirse las presuntas infracciones de propiedad intelectual de las demás conductas investigadas. La presencia de productos adulterados, etiquetas falsificadas o actividades clandestinas no establece por sí sola todas las responsabilidades penales o administrativas, que deberán determinarse mediante los procedimientos correspondientes.
Este caso permite reconocer que la protección de marcas no puede limitarse al registro de signos distintivos ni a la reacción frente a productos falsificados que ya se encuentran disponibles en el mercado.
Una estrategia efectiva requiere mecanismos de monitoreo, identificación de canales de distribución irregulares, investigación de posibles infractores y coordinación con las autoridades competentes. También exige comprender que los riesgos pueden originarse en etapas anteriores a la comercialización, como la impresión de etiquetas, el reenvase o el almacenamiento clandestino.
Para las empresas, la protección de sus activos intangibles debe integrarse con la gestión de riesgos comerciales, regulatorios y reputacionales. La detección temprana de amenazas puede contribuir a evitar que una infracción marcaria evolucione hacia una afectación más amplia de consumidores y mercados.
En Luzuriaga & Castro Abogados, entendemos que el enforcement constituye una parte fundamental de la protección empresarial. Su finalidad no se agota en detener una infracción específica, sino que busca contribuir a la preservación del valor de las marcas, la seguridad jurídica y la confianza en el comercio legítimo.
La reciente intervención en Quito evidencia que la falsificación de marcas puede encubrir actividades ilícitas más complejas, con efectos que superan el ámbito comercial.
Cuando una marca se usa para simular autenticidad, el riesgo no afecta solo a su titular: también alcanza al consumidor que confía en el producto, a las empresas que cumplen sus obligaciones y a las instituciones encargadas de garantizar la seguridad y la competencia.
El verdadero alcance del enforcement consiste en identificar y enfrentar las estructuras que posibilitan la falsificación, no solo sus manifestaciones visibles en el mercado.
Fortalecer la protección de marcas en Ecuador exige una visión preventiva, coordinada e integral, en la que la defensa de la propiedad intelectual también contribuya a combatir el comercio ilícito y preservar la confianza de los consumidores.
El Universo — Riesgos sanitarios, comercio formal e intervención interinstitucional.
El Comercio — Investigación y localización del centro clandestino.
La Hora — Hallazgos en distintos inmuebles, etiquetas y cadena de distribución.
Luzuriaga & Castro Abogados — Análisis institucional del marco penal aplicable a los actos lesivos contra la propiedad intelectual.
La información personal se ha convertido en un activo esencial para empresas, instituciones públicas y plataformas digitales. Cada compra electrónica, aplicación móvil, servicio financiero o interacción en redes sociales puede generar información susceptible de identificar, clasificar o perfilar a una persona. Por esta razón, la protección de datos ya no puede entenderse únicamente como protección de la intimidad: supone también otorgar a los individuos capacidad de decisión y control sobre el tratamiento de su información.
En Ecuador, este derecho encuentra fundamento constitucional y ha sido desarrollado principalmente mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en 2021. La norma establece principios, derechos, obligaciones y mecanismos destinados a garantizar la protección de la información personal durante todo su ciclo de vida. Asamblea Nacional del Ecuador Consultar la Ley Orgánica de Protección de Datos Personales
Sin embargo, la transformación tecnológica obliga a ampliar la discusión. Actualmente no basta con conocer quién almacena los datos: es necesario analizar para qué se recopilan, durante cuánto tiempo se conservan, qué proveedores pueden acceder a ellos, si atraviesan fronteras y qué algoritmos intervienen en su utilización. La protección de datos se transforma así en un problema de gobernanza del riesgo digital.
Un dato personal es toda información que permite identificar o hacer identificable, directa o indirectamente, a una persona. Esto comprende información evidente —nombre, identificación, dirección o correo electrónico—, pero también identificadores digitales, registros de ubicación, comportamientos y combinaciones de información capaces de individualizar a alguien.
La protección aumenta cuando se utilizan datos sensibles o categorías especialmente protegidas, porque su explotación puede generar consecuencias especialmente graves. Información relacionada con salud, biometría, genética, orientación sexual, origen étnico o determinados grupos vulnerables exige controles reforzados. La legislación ecuatoriana diferencia además las categorías de información al momento de evaluar el nivel de riesgo de un tratamiento. Superintendencia de Datos
Sobre estas categorías operan principios esenciales: licitud, transparencia, finalidad, pertinencia, proporcionalidad, minimización, seguridad y responsabilidad proactiva. La consecuencia práctica es importante: que una organización pueda recopilar información no significa que pueda utilizarla indefinidamente o para cualquier propósito. La finalidad debe encontrarse determinada y el tratamiento debe limitarse a aquello que resulte necesario.
El régimen ecuatoriano se estructura principalmente sobre la LOPDP y su Reglamento General, expedido mediante Decreto Ejecutivo 904 en noviembre de 2023. Registro Oficial Consultar el Reglamento General de la LOPDP A este marco se ha incorporado progresivamente normativa secundaria expedida por la Superintendencia de Protección de Datos Personales (SPDP).
Particularmente relevante ha sido la regulación adoptada durante 2026. La SPDP ha expedido normas sobre transferencias nacionales e internacionales, tratamientos a gran escala, biometría, vulneraciones de seguridad y sistemas de inteligencia artificial. La Resolución SPDP-SPD-2026-0009-R, posteriormente reformada, establece reglas específicas para organizaciones que desarrollen, entrenen, implementen o utilicen sistemas de IA que traten datos de titulares ecuatorianos. Superintendencia de Datos Consultar las resoluciones de la SPDP
En el plano internacional, el principal referente continúa siendo el Reglamento General de Protección de Datos de la Unión Europea (RGPD). El Reglamento (UE) 2016/679 consolidó conceptos como responsabilidad proactiva, minimización, protección desde el diseño, evaluaciones de impacto y portabilidad. EUR-Lex Consultar el Reglamento General de Protección de Datos Esta convergencia demuestra que la protección de datos funciona cada vez menos como una cuestión puramente territorial y más como una disciplina vinculada con ecosistemas digitales transfronterizos.
Los titulares poseen derechos que les permiten recuperar cierto grado de control sobre la información que circula sobre ellos. Entre estos se encuentran el acceso, rectificación, actualización, eliminación, oposición y portabilidad, además de garantías relacionadas con decisiones automatizadas. La tradicional denominación ARCO sigue siendo útil como referencia comparada, aunque las legislaciones contemporáneas han ampliado considerablemente el catálogo de derechos.
Del otro lado aparecen las obligaciones de responsables y encargados. Las organizaciones deben justificar jurídicamente sus tratamientos, adoptar medidas administrativas y tecnológicas de seguridad, controlar a sus proveedores, atender derechos, documentar sus operaciones y evaluar los riesgos asociados con determinados tratamientos. La responsabilidad proactiva cambia la pregunta tradicional: ya no basta con afirmar que se cumple la normativa, sino que debe ser posible demostrar cómo se cumple.
Esta lógica resulta especialmente importante frente a una vulneración de seguridad. Una brecha puede generar fraude, robo de identidad, suplantaciones, campañas de phishing o exposición de información sensible. Por ello, gestionar datos personales implica gestionar también las consecuencias que su pérdida, alteración o divulgación podría generar sobre las personas.
La inteligencia artificial introduce una nueva capa de complejidad. Los sistemas pueden procesar enormes cantidades de información, generar inferencias, elaborar perfiles y participar en decisiones automatizadas. El European Data ProtectionBoard (EDPB) ha examinado específicamente cuestiones como la utilización de datos personales para desarrollar modelos, la anonimización y la aplicación del interés legítimo en su Opinión 28/2024 sobre modelos de IA. Junta Europea de Protección de Datos Consultar la Opinión 28/2024 del EDPB sobre IA y datos personales
El riesgo tampoco procede únicamente de la utilización legítima de IA. En septiembre de 2026, la Agencia Española de Protección de Datos informó sobre la primera notificación recibida en España de una brecha en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La documentación analizada describe una secuencia que incluyó identificación de vulnerabilidades, utilización de credenciales válidas, exploración autónoma y posterior acceso o modificación de información. La AEPD ha utilizado posteriormente el caso para advertir sobre la capacidad de la IA ofensiva para acelerar los ataques y reducir los tiempos disponibles para responder. Agencia Española de Protección de DatosConsultar el análisis de la AEPD sobre IA y brechas de datos
Existe además otro riesgo menos visible: la cadena de suministro de datos. Servicios en la nube, CRM, call centers, plataformas publicitarias y proveedores tecnológicos pueden intervenir en un mismo tratamiento. El documento aportado para este análisis examina precisamente un incidente mexicano relacionado con la oferta de aproximadamente 12,9 millones de registros y las dificultades para determinar el origen dentro de una cadena de proveedores. La lección jurídica resulta particularmente relevante: externalizar un servicio no equivale a externalizar automáticamente la responsabilidad sobre los datos.
Uno de los mayores problemas del ecosistema digital es considerar que el consentimiento resuelve por sí mismo cualquier tratamiento. La acumulación de políticas de privacidad, banners y casillas de aceptación puede producir una apariencia formal de control sin garantizar una verdadera comprensión de las consecuencias. Por ello, la legitimidad debe analizarse conjuntamente con necesidad, finalidad, proporcionalidad y transparencia.
La inteligencia artificial hace todavía más evidente esta limitación. Resulta necesario determinar qué datos alimentan un sistema, qué inferencias produce, qué decisiones puede adoptar y qué consecuencias genera sobre los individuos. La regulación ecuatoriana específica sobre sistemas de IA responde precisamente a esa necesidad de trasladar los principios tradicionales de protección de datos a tecnologías capaces de operar de manera automatizada. Superintendencia de Datos
La discusión contemporánea, por tanto, no debería plantearse como una confrontación entre innovación y privacidad. El verdadero desafío consiste en diseñar tecnologías y modelos empresariales donde el tratamiento de datos sea jurídicamente legítimo, técnicamente seguro y proporcional al objetivo perseguido.
La protección de datos personales ha dejado de ser una obligación periférica para convertirse en un elemento estructural de la transformación digital. Inteligencia artificial, automatización, servicios en la nube y ecosistemas de terceros amplían las posibilidades de utilización de la información, pero también incrementan la superficie de riesgo.
El cumplimiento efectivo exige integrar protección desde el diseño, análisis de riesgos, controles de seguridad, gestión contractual, ejercicio de derechos y documentación. Una política de privacidad o una casilla de consentimiento pueden formar parte del sistema, pero difícilmente pueden sustituir una arquitectura integral de gobernanza.
En este escenario, la principal transformación es conceptual: proteger datos no significa impedir su utilización, sino establecer las condiciones jurídicas y técnicas para utilizarlos responsablemente. La confianza digital dependerá cada vez más de la capacidad de las organizaciones para demostrar que innovación y protección de derechos forman parte del mismo diseño.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento, 26 de mayo de 2021. Ley Orgánica de Protección de Datos Personales — fuente oficial
Presidencia de la República del Ecuador. (2023). Reglamento General de la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904, Registro Oficial No. 435. Reglamento General de la LOPDP — Registro Oficial
Superintendencia de Protección de Datos Personales. (2026). Resolución N.º SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, y normativa secundaria relacionada. Repositorio oficial de resoluciones de la SPDP
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. EUR-Lex. Texto oficial del RGPD en español
European Data Protection Board. (2024). Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models. EDPB. Opinión 28/2024 sobre IA y datos personales
Agencia Española de Protección de Datos. (2026). Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA e IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos. AEPD. Publicaciones de la AEPD sobre IA y brechas de datos
Durante años, los marketplaces construyeron parte de su defensa jurídica sobre una separación aparentemente sencilla: el vendedor comercializa el producto y la plataforma únicamente facilita el encuentro entre oferta y demanda. Sin embargo, esa frontera se vuelve más difícil de sostener cuando el operador también administra pagos, recomienda productos, controla devoluciones, presta servicios logísticos y centraliza la comunicación con el consumidor.
El caso Wish lleva esta discusión a un nuevo nivel. Según la sentencia 5 U 58/25 del OLG Hamburg, la estructura de la plataforma podía generar la percepción de que Wish era quien comercializaba los productos. El tribunal atendió a una combinación de elementos como la presentación homogénea de las ofertas, la escasa visibilidad de los vendedores, el control de las transacciones y la integración del servicio posventa.
Esta lógica no aparece de manera aislada. En Louboutin v. Amazon, el Tribunal de Justicia de la Unión Europea reconoció que un marketplace puede realizar directamente un uso marcario cuando la presentación global de las ofertas induce al consumidor a establecer una conexión entre el producto y la propia plataforma.
Por ello, el problema jurídico comienza a desplazarse. Más que preguntarse únicamente quién subió el anuncio, los tribunales empiezan a analizar quién construye la experiencia comercial alrededor de ese anuncio. Para plataformas como Amazon, AliExpress o Temu, esta diferencia puede determinar la distancia entre ser un intermediario que responde frente a determinadas infracciones y convertirse en el propio infractor.
La jurisprudencia europea no ha establecido que todo marketplace sea responsable de los productos ofrecidos por terceros. En L’Oréal v. eBay, asunto C-324/09, el TJUE analizó los límites de la responsabilidad de las plataformas y dejó claro que la protección del intermediario depende, entre otros factores, de la naturaleza del papel que desempeña frente al contenido o actividad ilícita.
Posteriormente, Coty Germany v. Amazon, C-567/18 pareció establecer una posición relativamente favorable para Amazon. El Tribunal concluyó que almacenar productos infractores por cuenta de terceros no constituye necesariamente un uso de la marca cuando quien almacena no persigue por sí mismo la finalidad de ofrecerlos o comercializarlos.
El escenario cambió con Louboutin v. Amazon. Allí, el TJUE introdujo un enfoque centrado en la percepción del consumidor: si las ofertas propias y ajenas aparecen bajo una presentación uniforme, acompañadas del logotipo de la plataforma y de servicios como almacenamiento y envío, puede producirse la impresión de que el operador comercializa también los productos de terceros.
Wish lleva este razonamiento un paso más allá. El expediente aportado muestra que el tribunal examinó una “imagen global” integrada por presentación, control económico, logística y comunicación centralizada. No se trata, entonces, de que una sola función convierta automáticamente al marketplace en vendedor, sino de la acumulación de elementos que hacen desaparecer, ante el consumidor, la independencia del comerciante real.
Uno de los aspectos más relevantes del caso Wish fue la dificultad para distinguir visual y funcionalmente a la plataforma de los vendedores que utilizaban su infraestructura. Los productos aparecían bajo un formato homogéneo y la información sobre los comerciantes podía resultar secundaria frente a la identidad corporativa de Wish.
La integración continuaba después de seleccionar el producto. Pagos, confirmaciones, devoluciones y comunicaciones eran gestionados dentro del propio ecosistema de Wish. El documento de investigación destaca precisamente que el tribunal entendió esta combinación como evidencia de que la plataforma había “hecho propias” las ofertas de terceros.
Otro elemento particularmente interesante fue el conocimiento del riesgo. El tribunal tomó en consideración factores como precios extraordinariamente bajos y la existencia de mecanismos internos de verificación de autenticidad. Según el análisis del caso, tales elementos podían demostrar que Wish conocía el riesgo estructural de comercialización de productos falsificados dentro de su plataforma.
Esta conclusión es importante porque transforma el tipo de exposición jurídica. En lugar de limitarse a retirar una oferta después de recibir una denuncia, una plataforma considerada infractor directo podría enfrentarse a reclamaciones de daños, información sobre ventas e incluso beneficios relacionados con la comercialización ilícita. El problema deja así de ser exclusivamente de compliance y pasa a afectar directamente la estructura económica del marketplace.
Amazon es probablemente el ejemplo más evidente de mercado híbrido porque combina venta directa con Amazon Marketplace y servicios como Fulfilment by Amazon. Precisamente esta convivencia entre productos propios y productos de terceros estuvo en el centro de Louboutin. Cuando el consumidor encuentra ambos tipos de ofertas bajo una misma arquitectura visual, logística y comercial, la frontera entre plataforma y vendedor puede resultar menos evidente.
El riesgo para Amazon no significa que cada producto falsificado vendido a través del marketplace convierta automáticamente a la compañía en infractor. El análisis dependerá de cómo aparezca la oferta, qué servicios preste Amazon alrededor de ella y qué impresión genere la operación en el consumidor. El precedente europeo obliga, por tanto, a estudiar la experiencia de compra completa y no únicamente el contrato celebrado con el vendedor.
AliExpress y Temu presentan un escenario distinto, pero igualmente relevante. Ambas han sido designadas como Very Large Online Platforms (VLOPs) bajo el Digital Services Act de la Unión Europea. El DSA les impone obligaciones reforzadas de evaluación y mitigación de riesgos asociados, entre otros elementos, a la comercialización de productos ilegales.
Esto no significa que una infracción del DSA equivalga automáticamente a una infracción marcaria. Sin embargo, existe una conexión práctica importante: cuanto mayor sea la capacidad de una plataforma para identificar vendedores, analizar riesgos, controlar promociones y gestionar transacciones, más difícil resulta describir toda su actividad como una simple intermediación técnica.
Una de las consecuencias más interesantes de esta evolución es que el diseño digital adquiere relevancia jurídica. El tamaño del nombre del vendedor, la presencia constante del logotipo de la plataforma, el funcionamiento del carrito, el sistema de devoluciones y la forma de presentar productos patrocinados pueden convertirse en elementos probatorios.
El propio DSA refuerza esta tendencia. Su artículo 30 establece obligaciones de trazabilidad de los comerciantes para marketplaces que permiten celebrar contratos a distancia. En otras palabras, Europa pretende que detrás de cada oferta comercial exista una identidad empresarial suficientemente verificable y accesible.
Para los marketplaces, esto crea una tensión estratégica. Una interfaz completamente uniforme mejora la experiencia del usuario: simplifica pagos, devoluciones, comunicaciones y garantías. Pero esa misma uniformidad puede contribuir a que el consumidor perciba que está comprando “a Amazon”, “en Temu” o “a través de AliExpress” sin diferenciar suficientemente al comerciante que jurídicamente realiza la venta.
La solución probablemente no será eliminar la logística integrada, sino demostrar con mayor claridad dónde termina la plataforma y dónde comienza el vendedor. La transparencia sobre identidad, responsabilidad, origen del producto y servicios prestados puede transformarse así en una herramienta preventiva de propiedad intelectual.
El derecho de marcas no es el único ámbito donde Europa está aumentando las responsabilidades de los marketplaces. El DSA establece sistemas de trazabilidad, evaluación de riesgos, auditoría y cooperación frente a contenidos y productos ilegales, particularmente para las plataformas de mayor tamaño.
A ello se suma la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos. Aunque pertenece a un ámbito distinto del derecho marcario, contiene una idea especialmente significativa: determinadas plataformas pueden asumir responsabilidades cuando la manera en que presentan una operación lleva al consumidor a creer que el producto es suministrado por ellas o por una persona bajo su autoridad.
La coincidencia conceptual es evidente. Tanto en Louboutin como en Wish y en otras áreas recientes del Derecho europeo aparece una pregunta semejante: ¿qué percepción razonable genera la plataforma sobre su participación en la operación?
Por ello, la protección jurídica del marketplace dependerá cada vez menos de llamarse a sí mismo “intermediario” en sus términos y condiciones. Lo determinante será la forma en que realmente organiza la relación entre producto, comerciante, plataforma y consumidor.
Sería excesivo afirmar que Wish elimina definitivamente las exenciones de responsabilidad de los marketplaces. El Digital Services Act continúa reconociendo determinadas limitaciones de responsabilidad para servicios de intermediación y mantiene la prohibición de imponer obligaciones generales de monitorización.
La distinción fundamental radica en el papel que desempeña la plataforma. Un servicio genuinamente técnico y neutral se encuentra en una situación diferente de aquel que controla extensivamente cómo se presentan, promocionan, pagan, almacenan y entregan los productos.
Tampoco puede utilizarse una sanción regulatoria contra una plataforma como prueba automática de una infracción marcaria determinada. El DSA, el derecho de competencia y el derecho de marcas persiguen objetivos diferentes y tienen requisitos jurídicos propios.
Sin embargo, las distintas áreas jurídicas parecen converger hacia una misma expectativa: cuanto mayor es la capacidad comercial y tecnológica de una plataforma, mayores son las exigencias de trazabilidad, gestión de riesgos y claridad respecto de quién participa realmente en una transacción.
El caso Wish refuerza una evolución que comenzó mucho antes: el derecho europeo está prestando cada vez más atención a la realidad económica y visual de los marketplaces. La identidad formal del vendedor sigue siendo relevante, pero ya no necesariamente resuelve por sí sola quién realiza jurídicamente el uso de una marca.
Amazon enfrenta directamente esta discusión debido a su modelo híbrido y al precedente Louboutin. AliExpress y Temu deben observarla igualmente porque sus sistemas de recomendación, pagos, interacción con vendedores y control de riesgos pueden convertirse en piezas relevantes cuando se analice el grado de participación de la plataforma.
Para los titulares de marcas, el cambio también modifica las estrategias de enforcement. Además de identificar al vendedor infractor, será cada vez más importante documentar cómo aparece la oferta, quién recibe el pago, quién organiza la entrega, quién atiende las reclamaciones y qué información tiene disponible el operador.
El debate, por tanto, puede resumirse en una pregunta que probablemente definirá muchos de los próximos litigios sobre marketplaces: cuando un consumidor compra un producto falsificado dentro de una plataforma altamente integrada, ¿está comprando realmente a un tercero o la propia plataforma ha construido una experiencia en la que parece ser ella quien vende?
Tribunal de Justicia de la Unión Europea. (2011). L’Oréal SA y otros v. eBay International AG y otros, C-324/09. Consultar sentencia
Tribunal de Justicia de la Unión Europea. (2020). Coty Germany GmbH v. Amazon Services Europe Sàrl y otros, C-567/18. Consultar sentencia en EUR-Lex
Tribunal de Justicia de la Unión Europea. (2022). Christian Louboutin v. Amazon Europe Core Sàrl y otros, asuntos acumulados C-148/21 y C-184/21. Consultar sentencia
Parlamento Europeo y Consejo de la Unión Europea. (2022). Reglamento (UE) 2022/2065 relativo a un mercado único de servicios digitales — Digital Services Act. Consultar texto oficial
Parlamento Europeo y Consejo de la Unión Europea. (2024). Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos. Consultar texto oficial
Una mirada desde la práctica al tiempo, la evidencia y la efectividad del enforcement penal en Ecuador
En una investigación por una posible vulneración de derechos marcarios, identificar dónde se encuentran los productos es solo una parte del problema. La otra, muchas veces más compleja, consiste en lograr que permanezcan allí cuando la autoridad esté en condiciones de intervenir. Un establecimiento puede vender su inventario, una bodega puede vaciarse y cientos o miles de productos pueden ser trasladados o distribuidos en cuestión de días.
En ese contexto, una investigación jurídicamente correcta, pero ejecutada tardíamente, corre el riesgo de llegar cuando aquello que pretendía preservar ya no existe. Después de varios años participando en investigaciones y acciones penales relacionadas con propiedad intelectual en Ecuador, particularmente en materia marcaria, he podido observar que esta tensión entre tiempo, evidencia y garantías constituye uno de los principales desafíos prácticos del enforcement penal.
La pregunta que surge de esa experiencia es sencilla: ¿por qué esperar varios meses si aquello que necesitamos investigar puede desaparecer mañana? Cuando existen indicios objetivos previamente verificados, un lugar identificado y un riesgo real de desplazamiento de la mercadería, considero que la solicitud de un allanamiento judicialmente autorizado debe poder constituir la primera respuesta operativa de la investigación, sin que sea necesario agotar previamente durante meses una denuncia ordinaria.
Esto no implica sustituir la investigación ni reducir las garantías procesales, sino reconocer que, en determinados casos, preservar la evidencia es precisamente lo que permite que la investigación pueda desarrollarse de manera efectiva. La lógica debe ser clara: investigar lo suficiente para determinar cuándo es necesario preservar primero y profundizar después.
Una particularidad de estas investigaciones es que una parte esencial de la evidencia suele estar materializada en los propios productos.
El actual artículo 208A del COIP contempla, cuando concurren los elementos previstos en el tipo penal, conductas como almacenar, fabricar, utilizar, ofertar, vender, importar o exportar productos o servicios que utilicen determinados signos distintivos. La norma exige, entre otros elementos, que la conducta sea realizada a sabiendas, con fines de lucro y a escala comercial.[i]
La escala comercial tampoco responde únicamente a una cifra. El artículo 208C obliga a considerar factores como la magnitud, el valor económico, la cantidad de mercadería o servicios y su impacto en el mercado, sin perjuicio de la regla particular prevista para importaciones y exportaciones.[ii]
Esto tiene una consecuencia práctica: si para analizar el caso necesitamos conocer cuántos productos existen, qué signos incorporan, cómo están almacenados y cuál es su dimensión comercial, preservar físicamente esa mercadería adquiere una relevancia probatoria evidente.
Una publicación en redes sociales, una fotografía o una verificación externa pueden aportar indicios. Pero eventualmente será necesario examinar los productos. Si estos desaparecen antes de la actuación estatal, una parte central de la investigación puede desaparecer con ellos.
Defender que el allanamiento pueda constituir la primera respuesta operativa no significa sostener que deba existir una orden judicial basada únicamente en la información proporcionada por el titular marcario. Antes del allanamiento existe investigación. En nuestra práctica, los casos suelen comenzar con información obtenida por el titular del derecho, sus representantes o distribuidores, mediante monitoreo de redes sociales, verificaciones de mercado u otras fuentes que permiten identificar un posible punto de almacenamiento o comercialización.
A partir de esa información se recopilan datos sobre el establecimiento, su ubicación, la actividad observada, los productos involucrados, los signos utilizados y los derechos marcarios que podrían encontrarse comprometidos. Sin embargo, este trabajo privado constituye únicamente el punto de partida. La información debe ser posteriormente verificada por las autoridades investigativas, particularmente por la Policía Nacional y, según las características del caso, por unidades especializadas como la Unidad Nacional de Investigación de Delitos Aduaneros y Régimen de Desarrollo (UDAR).[iii]
La denuncia constituye una vía válida para poner una posible infracción en conocimiento de Fiscalía. El problema aparece cuando se interpreta que necesariamente debe existir primero una denuncia formal y, después, una extensa sucesión de diligencias antes de analizar la posibilidad de un allanamiento.
En la práctica, ese recorrido puede involucrar apertura de investigación, asignación fiscal, designación de un investigador, reconocimientos, informes policiales y nuevas disposiciones. Cada actuación puede tener una justificación procesal; el problema está en el efecto acumulado del tiempo.
Una investigación que se extiende durante seis o siete meses puede conservar plena validez jurídica; sin embargo, en ese mismo período, la mercadería que dio origen al caso puede haber sido vendida, trasladada, distribuida o sustituida.
El problema no radica en que una investigación dure seis meses, sino en asumir que la evidencia comercial permanecerá disponible e inalterada durante todo ese tiempo.
Una investigación que tarda seis o siete meses puede seguir siendo jurídicamente válida. Pero la mercadería que motivó su inicio probablemente ya no sea la misma.
La legislación penal establece expresamente que el ejercicio público de la acción corresponde a Fiscalía sin necesidad de denuncia previa, mientras que la Constitución atribuye a Fiscalía la dirección de la investigación de oficio o a petición de parte.[iv]
Por ello, la denuncia no debería convertirse en un requisito adicional cuando el ordenamiento permite otra forma de actuación.
Cuando se habla de protección marcaria resulta sencillo pensar en grandes compañías internacionales. Sin embargo, la lógica del problema es aplicable a cualquier titular.
Detrás de una marca puede existir una persona que utilizó sus ahorros para iniciar un negocio, alquiló un establecimiento, adquirió inventario, contrató trabajadores, pagó impuestos, invirtió en publicidad y dedicó años a conseguir que los consumidores relacionen determinado signo con sus productos. Además, decidió proteger jurídicamente ese activo y registró su marca.
Por ello, cuando existen indicios suficientemente verificados de una posible infracción, resulta razonable preguntarse qué nivel de protección efectiva recibe quien invirtió tiempo y recursos en construir y registrar una marca si debe esperar meses antes de adoptar medidas destinadas a preservar los productos involucrados.
El registro marcario concede a su titular un derecho de uso exclusivo y la facultad de impedir determinados usos realizados por terceros sin su consentimiento.[v]
Durante ese tiempo, la mercadería puede continuar circulando. Mientras tanto, quien asumió los costos de desarrollar su negocio y construir la reputación del signo puede observar cómo un tercero obtiene potencialmente una ventaja comercial mediante el uso de un activo que no construyó.
Registrar una marca no convierte automáticamente cualquier uso por un tercero en delito. El artículo 208A tiene elementos específicos que deben investigarse y demostrarse. Pero cuando existen indicios de una conducta penalmente relevante, la efectividad de la tutela tampoco puede separarse completamente del momento en que esa tutela se produce.
Sostener que el allanamiento puede constituir la primera respuesta operativa no significa que deba ser la primera actuación de cualquier caso.
Antes deben existir indicios suficientes; el establecimiento debe estar identificado; la información debe ser razonablemente verificada; debe existir un derecho que podría encontrarse afectado; Fiscalía debe valorar la posible relevancia penal de los hechos; y debe existir una explicación concreta de por qué los productos necesitan ser preservados oportunamente.
Lo que se cuestiona es la necesidad de añadir, después de esas verificaciones, varios meses de trámites para regresar finalmente a la misma conclusión: que resulta necesario ingresar al establecimiento para comprobar qué mercadería existe y preservarla.
La experiencia práctica permite identificar con mayor precisión cómo se construye una solicitud de esta naturaleza. Una vez recibida información sobre un posible punto de almacenamiento o comercialización, corresponde desarrollar tareas investigativas destinadas a verificarla.
En los casos en los que hemos intervenido, esta labor ha contado con la participación de Policía Judicial y de unidades especializadas como la UDAR, permitiendo trasladar el caso desde la información proporcionada por un particular hacia elementos obtenidos y contrastados por la propia autoridad estatal. El resultado de estas diligencias se documenta en el correspondiente parte investigativo y se pone a consideración de Fiscalía.
Si los elementos obtenidos permiten advertir una posible infracción y, además, un riesgo concreto de que la mercadería sea vendida, trasladada o distribuida, corresponde al fiscal valorar la necesidad de una actuación urgente.
Esta dinámica es coherente con las facultades que el COIP reconoce a Fiscalía para disponer diligencias al personal del sistema especializado de investigación, reconocer lugares y evidencias y solicitar al juzgador las medidas necesarias para el desarrollo de la investigación.[vi]
En este contexto, el artículo 583 autoriza actuaciones fiscales urgentes cuando resulte necesario obtener, conservar o preservar evidencias o impedir la consumación de un delito.[vii]
El marco normativo también permite acudir al allanamiento cuando la preservación de la evidencia exige ingresar a un inmueble. El artículo 480 del COIP contempla esta medida para recaudar objetos que constituyan elementos probatorios o se encuentren vinculados con el hecho investigado, siempre mediante orden motivada del juzgador.[viii] A su vez, el artículo 481 exige que dicha orden determine los motivos del registro, las diligencias por practicar y el lugar de ejecución, descartando cualquier posibilidad de una actuación arbitraria.[ix]
Leídas conjuntamente, estas disposiciones permiten una secuencia clara: información inicial → verificación policial → parte investigativo → valoración fiscal de la urgencia → solicitud judicial motivada → allanamiento → preservación de la evidencia.
La cuestión central, por tanto, no es si previamente existe una denuncia ordinaria, sino si la información ha sido suficientemente verificada y existen elementos que permitan justificar ante el juez la necesidad de intervenir. La legitimidad de la medida depende de demostrar que el allanamiento resulta necesario, idóneo y proporcional para preservar evidencia vinculada con una posible infracción penal antes de que esa evidencia pueda desaparecer.
Cuando pensamos en pérdida de evidencia, solemos imaginar a una persona ocultando o destruyendo deliberadamente objetos. En materia comercial ni siquiera es necesario llegar a ese escenario.
La evidencia puede desaparecer simplemente porque cumple su función económica normal: se vende, se transporta, se entrega a distribuidores o se divide entre diferentes establecimientos.
Una bodega que hoy contiene cientos de productos puede despachar su inventario en pocos días sin que exista una maniobra específica destinada a ocultarlo de las autoridades. Por ello, la naturaleza móvil de la mercadería debe formar parte del análisis de urgencia como una circunstancia objetiva, junto con el volumen observado, el giro comercial y la información investigativa disponible.
Incluso bajo el régimen penal anterior existen antecedentes ecuatorianos en los que investigaciones por propiedad intelectual incluyeron órdenes judiciales de allanamiento, incautación de productos y posterior análisis pericial. Ese antecedente se utiliza aquí únicamente como referencia histórica, pues no interpreta el actual artículo 208A ni el vigente régimen procesal.[x]
Un allanamiento no determina que los productos sean falsificados y la incautación tampoco establece responsabilidad penal. Son actuaciones de investigación y preservación.
Después corresponderá practicar pericias, acreditar derechos marcarios, analizar las características de los productos, determinar la escala comercial, establecer quién se encuentra realmente vinculado con la actividad y garantizar el derecho a la defensa.
La experiencia de casos actuales demuestra la utilidad de esta secuencia. En una investigación, una actuación permitió preservar 2.400 pares de calzado almacenados en 40 sacas, posteriormente sometidos a análisis técnico. En otra se preservaron 4.360 pares distribuidos en 218 sacos, sobre los cuales pudieron desarrollarse actuaciones posteriores.[xi]
Estos ejemplos no anticipan responsabilidad. Demuestran algo elemental: sin preservación inicial, no habría existido la misma evidencia física disponible para ser posteriormente analizada, contradicha y valorada.
La preservación temprana de evidencia tampoco es una idea exclusiva del proceso penal ecuatoriano.
La Decisión 486 de la Comunidad Andina permite adoptar medidas cautelares inmediatas destinadas, entre otras finalidades, a impedir una infracción y obtener o conservar pruebas, incluso antes de iniciar la acción correspondiente.[xii] Esta norma no autoriza por sí sola un allanamiento penal, pero confirma que la efectividad de la protección puede depender de actuar antes de que la prueba desaparezca.
En el ámbito multilateral, el Acuerdo sobre los ADPIC sigue una lógica similar. Su artículo 50 exige medidas provisionales prontas y efectivas para preservar evidencia relacionada con una presunta infracción y contempla situaciones en las que el retraso puede causar un daño irreparable o generar riesgo de destrucción de prueba, junto con salvaguardas frente a abusos.[xiii]
Uno de los obstáculos más complejos que hemos encontrado en la práctica no siempre proviene de la ausencia de herramientas jurídicas, sino de la forma en que estas son interpretadas y aplicadas. Todavía existen criterios según los cuales, antes de considerar una actuación urgente o solicitar una orden de allanamiento en materia de propiedad intelectual, el titular debería presentar necesariamente una denuncia formal y permitir que la investigación avance durante meses. En otros casos, se sostiene que, al existir mecanismos administrativos o civiles, estas vías deberían agotarse antes de considerar una respuesta penal.
A ello se suma una dificultad vinculada con la percepción de la materia. Cuando una investigación involucra drogas, armas, vehículos robados u otras formas tradicionales de criminalidad, la necesidad de preservar evidencia suele comprenderse inmediatamente. Cuando se trata de productos que podrían vulnerar derechos de propiedad intelectual, esa misma urgencia puede recibir una valoración distinta. Esta diferencia puede responder a una menor familiaridad con las particularidades de las infracciones marcarias y, especialmente, con la velocidad con la que la evidencia comercial puede venderse, trasladarse o desaparecer.
Sin embargo, existe una diferencia sustancial entre negar un allanamiento porque no concurren sus presupuestos jurídicos y descartarlo únicamente porque el caso involucra propiedad intelectual, porque aún no se ha presentado una denuncia ordinaria o porque existen mecanismos administrativos. Las distintas vías de protección pueden coexistir. El propio Código Ingenios reconoce que determinadas acciones deben tramitarse en jurisdicción civil o penal conforme a las competencias previstas en el ordenamiento.[xiv]
Si los hechos corresponden exclusivamente a una infracción administrativa, esa será la vía aplicable; pero si existen indicios de una conducta penalmente relevante, la existencia de mecanismos administrativos paralelos no debería impedir que Fiscalía valore las herramientas que el COIP pone a su disposición.
La discusión, por tanto, no debería centrarse en determinar si la propiedad intelectual merece mayor o menor atención que otras conductas delictivas. La pregunta jurídicamente relevante es otra: ¿existen elementos suficientes para justificar una actuación urgente y qué ocurrirá con la evidencia si no se actúa oportunamente? El criterio debe partir de los presupuestos legales del caso concreto, del riesgo para la evidencia y de la proporcionalidad de la medida, no de una valoración previa sobre la naturaleza del derecho afectado.
La protección penal marcaria presenta una característica que no puede ignorarse: la evidencia es comercial y, por tanto, se mueve.
Cuando existe información preliminar, debe verificarse. Cuando existen únicamente sospechas, deben investigarse. Pero cuando las verificaciones ya permiten identificar una posible conducta penalmente relevante, un lugar concreto y productos susceptibles de desaparecer, el sistema no debería exigir necesariamente varios meses de investigación ordinaria antes de solicitar la diligencia destinada precisamente a preservar esa evidencia.
El ordenamiento permite construir otra respuesta. Fiscalía puede ejercer la acción pública sin necesidad de denuncia previa, realizar actuaciones urgentes para preservar evidencia y solicitar una orden judicial de allanamiento cuando los objetos buscados constituyan elementos probatorios o estén vinculados con el hecho investigado.
investigar → verificar → preservar → profundizar
No: investigar → esperar → volver a investigar → llegar cuando los productos ya no están.
La urgencia no elimina garantías; el allanamiento no anticipa culpabilidad y la incautación no reemplaza la prueba; pero una investigación tampoco cumple adecuadamente su finalidad si las herramientas destinadas a preservar la evidencia se utilizan únicamente cuando ya es demasiado tarde.
Cuando existen indicios suficientes, un riesgo concreto de pérdida o desplazamiento de la evidencia y el correspondiente control judicial, preservar primero no significa investigar menos, sino darle a la investigación una posibilidad real de cumplir su finalidad.
[i] Código Orgánico Integral Penal, art. 208A. La configuración actualmente vigente fue sustituida mediante reforma publicada en el Registro Oficial Suplemento 525, de 27 de agosto de 2021. El tipo contempla pena privativa de libertad, comiso y multa y exige, entre otros elementos, conocimiento, fines de lucro y escala comercial.
[ii] Código Orgánico Integral Penal, art. 208C. Para determinar la escala comercial deben considerarse la magnitud, el valor económico, la cantidad de la mercadería o servicio y su impacto en el mercado. La norma contiene una regla específica para mercadería importada o exportada.
[iii] Policía Nacional del Ecuador, “Cae red que falsificaba el origen de prendas extranjeras: Policía identifica más de USD 345 mil en ganancias ilícitas”, 25 de junio de 2026. La publicación institucional identifica a la Unidad Nacional de Investigación de Delitos Aduaneros y Régimen de Desarrollo (UDAR) y señala su actuación bajo dirección jurídica de la Fiscalía General del Estado. https://noticias.policia.gob.ec/cae-red-que-falsificaba-el-origen-de-prendas-extranjeras-policia-identifica-mas-de-usd-345-mil-en-ganancias-ilicitas/
[iv] Código Orgánico Integral Penal, arts. 409 y 410: el ejercicio público de la acción corresponde a Fiscalía sin necesidad de denuncia previa. Constitución de la República del Ecuador, art. 195: Fiscalía dirige, de oficio o a petición de parte, la investigación preprocesal y procesal penal.
[v] Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación, arts. 364 y 367; Decisión 486 de la Comunidad Andina, arts. 154 y 155.
[vi] Código Orgánico Integral Penal, art. 444. Entre las atribuciones de Fiscalía se encuentran disponer diligencias investigativas al personal del sistema especializado, reconocer lugares y evidencias, solicitar al juzgador las medidas necesarias y ordenar las demás diligencias que considere pertinentes para la investigación.
[vii] Código Orgánico Integral Penal, art. 583, sobre actuaciones fiscales urgentes para obtener, conservar o preservar evidencias o impedir la consumación de un delito.
[viii] Código Orgánico Integral Penal, art. 480 numeral 5: allanamiento para recaudar la cosa sustraída o reclamada o los objetos que constituyan elementos probatorios o estén vinculados con el hecho investigado; para este supuesto se exige orden motivada.
[ix] Código Orgánico Integral Penal, art. 481. La orden debe expresar los motivos del registro, las diligencias por practicar y la ubicación del lugar; la norma prohíbe órdenes de registro y allanamiento arbitrarias.
[x] Como antecedente histórico: juicio penal No. 471-08, Tercera Sala Penal de la entonces Corte Provincial de Justicia de Pichincha, resuelto bajo la antigua Ley de Propiedad Intelectual y el régimen procesal penal anterior. Se utiliza únicamente como referencia histórica y no como interpretación del actual art. 208A o del vigente régimen de actuaciones urgentes.
[xi] Expedientes judiciales revisados para este artículo: en uno de ellos se documentan 2.400 pares de calzado almacenados en 40 sacas y posteriormente sometidos a informe técnico; en otro, 4.360 pares distribuidos en 218 sacos. Estas referencias ilustran la secuencia investigativa y no anticipan responsabilidad penal.
[xii] Decisión 486 de la Comunidad Andina, arts. 245 y 246. El art. 245 contempla medidas cautelares inmediatas destinadas, entre otros objetivos, a impedir la infracción, evitar sus consecuencias y obtener o conservar pruebas; permite solicitarlas antes, conjuntamente o después del inicio de la acción.
[xiii] Acuerdo sobre los Aspectos de los Derechos de Propiedad Intelectual relacionados con el Comercio (ADPIC), art. 50. El texto oficial de la OMC contempla medidas provisionales prontas y efectivas para preservar pruebas pertinentes y salvaguardias frente a abusos.
[xiv] Código Orgánico de la Economía Social de los Conocimientos, Creatividad e Innovación, arts. 547 a 550, especialmente art. 549, que reconoce que las demás acciones se tramitarán en jurisdicción civil o penal de conformidad con las competencias previstas en el ordenamiento jurídico.
Una operación aduanera demuestra cómo etiquetas, componentes y elementos de acondicionamiento pueden activar una estrategia coordinada de protección de marcas antes de que los productos lleguen al mercado.
La protección de una marca suele asociarse con la identificación de productos falsificados que ya están siendo comercializados. Sin embargo, las cadenas de infracción pueden comenzar mucho antes.
Etiquetas, envases, tapas, empaques, hologramas o determinados componentes pueden ingresar por separado y ser utilizados posteriormente para ensamblar, acondicionar o presentar productos con una apariencia que genere confusión respecto de su origen empresarial. Un reciente caso en Ecuador permite observar precisamente este escenario y, sobre todo, la importancia de intervenir antes de que los productos lleguen al mercado.
Durante el control físico de una operación de importación, la autoridad aduanera identificó mercancías que generaron indicios de una posible vulneración de derechos de propiedad intelectual. Además de los productos declarados, durante el aforo fueron encontrados otros materiales, entre ellos láminas adhesivas que incorporaban signos vinculados con una marca registrada. Frente a estos hallazgos, se suspendió temporalmente el proceso de nacionalización y se requirió información a las partes involucradas.
Uno de los elementos más relevantes del caso fue la naturaleza de las mercancías identificadas durante el control aduanero. La operación no estaba compuesta únicamente por productos terminados. Entre los bienes declarados constaban tapas y accesorios para botellas, cartuchos vacíos, depósitos de mantenimiento, cabezales de impresión reacondicionados, componentes para sistemas de impresión y equipos relacionados con el sellado de botellas.
Sin embargo, durante el aforo físico aparecieron otros elementos que no estaban detallados en la declaración aduanera. Entre ellos se encontraron láminas con adhesivos holográficos y adhesivos redondos que reproducían signos vinculados con derechos marcarios protegidos, además de otros insumos como láminas de aluminio, acoples, empaques de caucho y componentes tecnológicos.
La importancia del hallazgo no estaba únicamente en cada objeto considerado de manera aislada, sino en la relación que podía existir entre ellos. Etiquetas, tapas, materiales de sellado y determinados componentes podían ser utilizados posteriormente para ensamblar, acondicionar o presentar productos destinados al mercado. Precisamente por ello, la estrategia de protección planteó que estos materiales debían analizarse como parte de una posible cadena de elaboración y comercialización, y no simplemente como accesorios independientes.
Este aspecto permite entender una dimensión menos visible del enforcement marcario: una posible infracción puede comenzar antes de que exista un producto terminado. La legislación reconoce que la protección de una marca también puede extenderse frente a la fabricación, comercialización o tenencia de etiquetas, envases, embalajes y otros materiales que reproduzcan o contengan un signo protegido.
Por eso, la intervención en frontera adquiere especial importancia. No se trata únicamente de identificar productos que ya aparentan ser originales, sino de detectar los elementos que podrían permitir que esa apariencia sea construida posteriormente y evitar que ingresen al circuito comercial mientras las autoridades determinan si existe una vulneración de derechos.
Cuando existen indicios razonables de una posible vulneración de derechos de propiedad intelectual, la legislación ecuatoriana permite suspender una operación aduanera y someter los hechos al análisis de las autoridades competentes. En este caso, la intervención comenzó durante el control aduanero.
La información recopilada, el registro fotográfico de las mercancías y los documentos aportados permitieron que el caso avanzara hacia la autoridad nacional competente en materia de propiedad intelectual. Uno de los elementos considerados fue precisamente la presencia de mercancías relacionadas con marcas registradas y la inexistencia, dentro del procedimiento, de documentación que acreditara una autorización para determinado uso de los signos identificados.
Tras analizar la información disponible, la autoridad de propiedad intelectual confirmó la suspensión respecto de determinados componentes y de las láminas adhesivas identificadas durante el aforo, mientras que no confirmó la medida respecto de otros productos comprendidos en la misma operación.
Este último punto también es importante. Una medida en frontera no supone automáticamente que toda la carga sea infractora. La autoridad debe analizar los elementos disponibles y determinar respecto de qué mercancías existen fundamentos suficientes para mantener la suspensión.
La actuación en frontera tampoco representó necesariamente el final del caso. Una vez confirmada parcialmente la suspensión, el titular de los derechos activó la acción principal correspondiente y presentó una denuncia ante la Fiscalía General del Estado por presuntos actos lesivos a la propiedad intelectual. Con ello se inició una investigación previa.
Posteriormente se solicitaron y dispusieron diferentes diligencias encaminadas a obtener información adicional para la investigación. Entre ellas constan requerimientos dirigidos a distintas instituciones públicas y la incorporación de nueva documentación al expediente.
Estas actuaciones forman parte de una investigación en curso y no constituyen, por sí mismas, una declaración de responsabilidad. Sin embargo, muestran cómo una detección realizada durante un procedimiento aduanero puede convertirse en el punto de partida de una estrategia de observancia que involucra diferentes autoridades y vías jurídicas.
Este caso permite extraer una conclusión especialmente relevante para empresas que comercializan sus productos en Ecuador: la protección efectiva de una marca exige algo más que contar con un registro vigente. Requiere capacidad para identificar riesgos, reconocer productos y componentes sospechosos, aportar información técnica a las autoridades y reaccionar dentro de los plazos previstos por la legislación.
También demuestra que el enforcement debe mirar la cadena completa. La infracción puede encontrarse en el producto final, pero también en las etiquetas, envases, componentes o materiales que permiten construir posteriormente la apariencia de un producto legítimo.
Por ello, una estrategia integral combina registro, vigilancia aduanera, medidas en frontera, acciones administrativas y, cuando los hechos lo justifican, acciones penales. La finalidad no es únicamente retirar del mercado un producto que ya ha causado una afectación. En determinados casos, la protección más efectiva consiste en evitar que los elementos necesarios para producir esa afectación lleguen siquiera al mercado ecuatoriano.
En nuestra experiencia, como estudio jurídico, sabemos que la protección de activos de propiedad intelectual requiere coordinación, información y capacidad de reacción. Una estrategia de enforcement correctamente estructurada permite convertir una alerta aislada en una actuación integral de protección de marca.
Las transferencias internacionales de datos suelen gestionarse mediante contratos, evaluaciones de riesgo y mecanismos regulatorios. Sin embargo, el futuro del EU-U.S. Data Privacy Framework (DPF) demuestra que también dependen de algo menos visible: la estabilidad de las instituciones que garantizan su cumplimiento.
El 29 de junio de 2026, la Corte Suprema de Estados Unidos resolvió Trump v. Slaughter y declaró incompatible con la Constitución la protección que impedía remover libremente a los comisionados de la Federal Trade Commission (FTC). La decisión fue adoptada por una mayoría de 6-3 y modificó un precedente que durante décadas había respaldado la autonomía de la agencia frente al Poder Ejecutivo.
La cuestión trasciende el derecho administrativo estadounidense. La FTC es una de las piezas centrales del sistema que permitió a la Comisión Europea considerar adecuado el nivel de protección ofrecido por Estados Unidos para las organizaciones participantes en el DPF.
El DPF permite transferir datos personales desde el Espacio Económico Europeo hacia empresas estadounidenses certificadas sin recurrir, para esas transferencias, a mecanismos adicionales del Capítulo V del GDPR. El sistema se apoya en compromisos asumidos por las empresas, la administración del Departamento de Comercio y la capacidad de autoridades como la FTC para investigar y exigir el cumplimiento de esos compromisos.
Trump v. Slaughter no modificó directamente el GDPR ni la Decisión de Ejecución (UE) 2023/1795. Lo que cambió fue uno de los elementos institucionales evaluados por Europa al reconocer la adecuación estadounidense.
La Corte Suprema concluyó que la FTC ejerce poder ejecutivo y que, por ello, sus comisionados deben estar sujetos al control presidencial, incluida la posibilidad de remoción. Ese cambio abre una pregunta incómoda para Europa: ¿puede seguir considerándose independiente, a efectos de una decisión de adecuación, una autoridad cuya composición puede depender en mayor medida de las decisiones del Ejecutivo?
Este es probablemente el punto más importante para las empresas. Una decisión de adecuación no evalúa únicamente leyes escritas o políticas corporativas. El artículo 45 del GDPR exige analizar si el sistema extranjero ofrece, en la práctica, un nivel de protección esencialmente equivalente, incluyendo mecanismos efectivos de supervisión y tutela.
La propia decisión del DPF destacó la estructura e independencia de las autoridades estadounidenses. Además, obliga a la Comisión Europea a monitorear continuamente los cambios jurídicos o prácticos que puedan alterar esa evaluación y contempla incluso la modificación, suspensión o derogación de la adecuación si el nivel de protección deja de ser suficiente.
Por eso, el problema generado por Trump v. Slaughter no consiste en que el DPF haya desaparecido. Consiste en que uno de los hechos jurídicos sobre los que descansó la evaluación europea ha cambiado.
El 31 de julio de 2026, el European Data Protection Board (EDPB) llevó formalmente la cuestión ante la Comisión Europea. Recordó que la existencia y funcionamiento efectivo de autoridades supervisoras independientes constituye un elemento relevante de la evaluación de adecuación y señaló expresamente que la decisión de 2023 había tomado en consideración las protecciones de los comisionados de la FTC.
El EDPB no declaró inválido el DPF. Solicitó a la Comisión evaluar de cerca si la sentencia afecta su funcionamiento y adoptar las acciones que correspondan.
A septiembre de 2026, la posición jurídica sigue siendo esa: la Comisión Europea continúa incluyendo a Estados Unidos —respecto de organizaciones participantes en el DPF— entre las jurisdicciones cubiertas por una decisión de adecuación.
Por tanto, abandonar preventivamente el DPF no es una obligación derivada de la sentencia. Ignorar la posibilidad de un cambio futuro tampoco sería una buena estrategia de gestión de riesgos.
Aquí aparece la consecuencia empresarial más relevante. Las compañías que mantienen flujos intensivos entre Europa y Estados Unidos deberían conocer exactamente qué transferencias dependen del DPF, qué proveedores están involucrados y qué impacto tendría una modificación o eventual pérdida de la adecuación.
El documento analizado propone precisamente auditar los flujos, verificar certificaciones y preparar mecanismos alternativos. Esa recomendación es razonable como estrategia de continuidad, pero debe evitarse una conclusión automática: las Standard Contractual Clauses (SCCs) no son hoy un requisito adicional para una transferencia válidamente amparada por el DPF.
Lo recomendable es preparar contingencias. Si en el futuro una transferencia tuviera que apoyarse en SCCs, la empresa debería analizar el régimen aplicable en el país receptor y determinar si son necesarias medidas complementarias conforme a la metodología desarrollada después de Schrems II.
La revisión también debe alcanzar a la cadena tecnológica. Antes de transferir información bajo el DPF, el EDPB exige comprobar que el destinatario estadounidense mantiene una certificación activa y que esta cubre la categoría de datos correspondiente; existen consideraciones específicas para información de recursos humanos.
Esto convierte la supervisión de proveedores en una cuestión dinámica. Servicios de nube, CRM, analítica, inteligencia artificial, recursos humanos o procesamiento empresarial pueden formar parte de cadenas internacionales cuya legitimidad depende de mecanismos regulatorios susceptibles de evolucionar.
La lección de Trump v. Slaughter es, por tanto, más amplia que el futuro del DPF: las transferencias internacionales ya no pueden administrarse como una decisión contractual tomada una sola vez. Requieren trazabilidad, monitoreo regulatorio y capacidad de sustituir mecanismos jurídicos sin paralizar la operación.
La confianza institucional también forma parte de la infraestructura de datos. Cuando esa confianza cambia, el cumplimiento empresarial debe estar preparado para cambiar con ella.
Supreme Court of the United States. Trump v. Slaughter, No. 25-332, decisión de 29 de junio de 2026. Consultar sentencia oficial
European Data Protection Board. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31 de julio de 2026. Consultar documento oficial
Comisión Europea. Commission Implementing Decision (EU) 2023/1795 on the adequate level of protection under the EU-U.S. Data Privacy Framework, 10 de julio de 2023. Consultar decisión en EUR-Lex
Comisión Europea. Data protection adequacy for non-EU countries, estado de las decisiones de adecuación. Consultar información oficial
European Data Protection Board. EU-U.S. Data Privacy Framework F.A.Q. for European businesses – Version 2.0, 23 de enero de 2026. Consultar guía del EDPB
European Data Protection Board. Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, versión final, 18 de junio de 2021. Consultar recomendaciones
Comisión Europea. Standard Contractual Clauses (SCCs) for international data transfers, 2021. Consultar cláusulas y orientación oficial
El 6 de junio de 2025, Rosalía Vila Tobella solicitó ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) el registro de la marca denominativa LUX, destinada a proteger, entre otros, grabaciones musicales, productos electrónicos, prendas de vestir y servicios de entretenimiento en las clases 9, 25 y 41.
El 8 de julio de 2026, la EUIPO denegó la solicitud en su totalidad al considerar que, para el público rumanohablante, “LUX” sería entendido como una referencia al lujo, la calidad superior o la exclusividad, y no como un indicador de origen empresarial. La decisión se fundamentó en los artículos 7.1.b), 7.1.c) y 7.2 del Reglamento sobre la Marca de la Unión Europea y es susceptible de recurso.
Más allá de la notoriedad de la artista, el caso plantea una cuestión especialmente relevante para cualquier empresa que pretenda internacionalizar una marca: una denominación puede ser jurídicamente sólida en un mercado y perder su capacidad distintiva cuando cambia el idioma o el territorio.
La marca de la Unión Europea tiene carácter unitario. El artículo 7.2 del Reglamento establece que un motivo absoluto de denegación puede impedir el registro aunque exista únicamente en una parte de la Unión. En términos prácticos, no es necesario que “LUX” sea descriptivo o laudatorio en todos los Estados miembros. Bastaba con que el problema se produjera respecto de una parte relevante del público.
Eso explica uno de los aspectos más interesantes del procedimiento. La primera objeción de la EUIPO, formulada en julio de 2025, consideraba tanto al público angloparlante como al rumanohablante. Tras las observaciones de la solicitante, la Oficina restringió posteriormente su razonamiento al público de habla rumana. Aun así, ese único frente lingüístico resultó suficiente para mantener la denegación.
La consecuencia empresarial es importante: una estrategia paneuropea de marcas no puede construirse únicamente a partir de una búsqueda de signos idénticos o similares. También exige estudiar qué significa el signo en los distintos mercados donde producirá efectos.
Muchas empresas realizan correctamente una búsqueda de marcas anteriores antes de lanzar un producto. Sin embargo, esa revisión responde principalmente a una pregunta: ¿existen derechos de terceros que podrían impedir el registro?
El caso LUX demuestra que existe una segunda pregunta igual de importante: ¿el propio signo tiene suficiente capacidad jurídica para convertirse en marca?
Una denominación puede estar completamente disponible y, aun así, ser objetada de oficio porque describe una característica, comunica una cualidad o funciona simplemente como mensaje promocional. En este caso, la EUIPO consideró que el público rumanohablante interpretaría “LUX” como una referencia positiva a productos o servicios selectos o de elevada calidad.
Por ello, la debida diligencia marcaria debería incorporar un componente semántico y cultural antes de que marketing, diseño y comercialización conviertan una denominación en una inversión difícil de modificar.
Otro aspecto relevante es que la registrabilidad no depende de la intención con la que se crea una marca ni de la notoriedad de quien la solicita.
Durante el procedimiento se argumentaron otros significados posibles de “LUX”, incluida su utilización como unidad de iluminancia y su origen latino relacionado con la luz. También se mencionaron registros previos y la aceptación de una solicitud equivalente en Reino Unido. La EUIPO consideró que estos elementos no modificaban la percepción relevante del término en el mercado rumano ni vinculaban jurídicamente su propio examen.
Para empresas vinculadas con artistas, influencers, deportistas o fundadores reconocidos, esta distinción resulta especialmente útil. La capacidad comercial para popularizar un nombre y su capacidad jurídica para funcionar como marca son dos cuestiones diferentes.
La lógica de la distintividad tampoco es ajena al régimen aplicable en Ecuador. La Decisión 486 de la Comunidad Andina exige que una marca sea apta para distinguir productos o servicios y prohíbe registrar signos carentes de distintividad, así como aquellos que describan características de los productos o incluyan expresiones laudatorias.
Sin embargo, la consecuencia territorial del caso europeo no debe trasladarse automáticamente al sistema ecuatoriano. La particularidad está en el carácter unitario de la marca de la Unión Europea: una dificultad localizada puede afectar una solicitud destinada a cubrir todo el bloque.
Para una empresa ecuatoriana que proyecte entrar en Europa, Estados Unidos o distintos mercados latinoamericanos, haber registrado exitosamente una denominación ante SENADI no significa que esa misma marca vaya a superar el examen en otros territorios. La expansión requiere revisar nuevamente idioma, significado, productos, público relevante y estrategia de presentación.
El caso LUX revela que la internacionalización de una marca no empieza cuando se presenta una solicitud en el extranjero. Empieza cuando se escoge el nombre.
Una denominación diseñada exclusivamente desde la perspectiva comercial del mercado de origen puede esconder debilidades cuando atraviesa fronteras lingüísticas. Identificarlas antes del lanzamiento permite decidir si conviene modificar el signo, reforzarlo con otros elementos distintivos, desarrollar una arquitectura de marcas complementarias o reconsiderar la estrategia territorial de protección.
Para los titulares de derechos, la enseñanza es esencialmente preventiva: una marca verdaderamente internacional debe poder viajar no solo comercialmente, sino también jurídicamente. Integrar análisis legal, lingüístico y comercial desde la etapa de naming reduce el riesgo de invertir en identidades que, al llegar a un nuevo mercado, resulten mucho más difíciles de proteger.
La Agencia Nacional de Protección de Datos de Brasil (ANPD) impuso el 25 de agosto de 2026 una multa de R$ 153,7 millones a ByteDance, controladora de TikTok, tras identificar cinco infracciones relacionadas con el tratamiento de datos personales de niños y adolescentes. La decisión también ordenó eliminar datos recolectados irregularmente y avanzar con un plan de conformidad destinado a modificar determinadas prácticas de la plataforma.
Sin embargo, el aspecto más relevante para las empresas no está únicamente en la cuantía de la sanción. La autoridad brasileña sostuvo que los mecanismos implementados por TikTok no habían sido suficientes para impedir el tratamiento irregular desde el origen y, especialmente, que faltaban evidencias concretas sobre la efectividad de las medidas técnicas y organizativas adoptadas.
Ahí aparece una cuestión que trasciende el caso brasileño: ¿qué ocurre cuando una empresa tiene controles de privacidad, pero no puede demostrar que funcionan?
La investigación analizó tanto el acceso a TikTok sin registro como el proceso de creación de cuentas. En ambos escenarios, la ANPD determinó que existían tratamientos de datos de niños y adolescentes sin una hipótesis legal adecuada y deficiencias en las medidas destinadas a prevenir esos tratamientos.
El documento analizado destaca precisamente esa brecha entre el cumplimiento declarado y su ejecución: las herramientas para verificar edad y gestionar adecuadamente el acceso de menores resultaron insuficientes, por lo que la discusión terminó desplazándose desde la existencia formal del control hacia su efectividad práctica.
Esto cambia la lógica tradicional del compliance. Una política que establece que determinada plataforma no admite usuarios menores de cierta edad tiene poco valor regulatorio si el diseño del servicio permite que esos usuarios ingresen, sean perfilados o generen información antes de que el control actúe.
La ANPD no exigió únicamente que ByteDance dijera qué medidas había adoptado. El procedimiento puso énfasis en la capacidad de acreditar resultados.
Esta idea tiene una conexión especialmente relevante con Ecuador. La LOPDP establece el principio de responsabilidad proactiva y demostrada, según el cual el responsable debe acreditar la implementación de mecanismos de protección y revisar continuamente su eficacia.
La propia Ley va más allá: exige procesos continuos de verificación, evaluación y valoración de la eficiencia, eficacia y efectividad de las medidas implementadas. También obliga a evidenciar que las medidas adoptadas mitigan adecuadamente los riesgos identificados.
Por ello, para una empresa ecuatoriana, la pregunta ya no debería ser únicamente “¿tenemos un procedimiento?”, sino también “¿qué evidencia tenemos de que ese procedimiento funciona?”.
El caso TikTok demuestra además que verificar la edad no puede reducirse a una casilla o declaración del usuario. La investigación brasileña cuestionó precisamente la fragilidad de mecanismos que permitían que niños accedieran a servicios que formalmente no estaban dirigidos a ellos. La Nota Técnica de la ANPD incluso destacó que el uso sin registro permitía tratamiento a gran escala, incluyendo datos de menores.
Las medidas posteriores son reveladoras: configuraciones más restrictivas para menores de 16 años, fortalecimiento de la supervisión parental, reducción de datos tratados y suspensión de publicidad en el acceso sin registro.
No son simples cambios en una política de privacidad. Son modificaciones sobre funcionalidades, monetización, personalización y arquitectura del servicio.
La decisión brasileña no constituye una regla aplicable automáticamente en Ecuador. Sin embargo, resulta relevante como referencia comparada porque la normativa ecuatoriana también impone una protección reforzada.
La LOPDP considera los datos de niñas, niños y adolescentes como una categoría especial de datos personales. El Reglamento General establece, además, que para menores de 15 años el tratamiento requiere el consentimiento de su representante legal; desde los 15 años, el adolescente puede otorgar consentimiento explícito bajo determinadas condiciones de información y comprensión. El consentimiento tampoco puede menoscabar el interés superior del niño.
Hay otra consecuencia empresarial importante: cuando existe tratamiento a gran escala de categorías especiales de datos, la LOPDP contempla la evaluación de impacto como obligatoria.
Una aplicación, plataforma educativa, servicio digital, programa de fidelización o sistema de perfilamiento utilizado masivamente por menores debería, por tanto, analizar estos riesgos desde su propia arquitectura y no únicamente desde sus términos y condiciones.
La principal lección del caso TikTok es que una empresa necesita construir un expediente de cumplimiento antes de que lo solicite una autoridad.
Esto implica poder demostrar, por ejemplo, cómo funciona la verificación de edad; qué porcentaje de accesos irregulares detecta; cómo se revisan los controles; qué datos se recogen antes de identificar al usuario; cómo se configura la privacidad por defecto; qué pruebas se realizan sobre sistemas de perfilamiento; cuándo se eliminan los datos y qué decisiones fueron tomadas después de detectar fallas.
El cambio estratégico es importante: la protección de datos deja de evaluarse por la existencia de documentos y empieza a evaluarse por la capacidad de probar resultados.
Para las empresas ecuatorianas que tratan información de menores, conviene revisar no solo políticas y consentimientos, sino también flujos tecnológicos, métricas de efectividad, mecanismos de supervisión, evaluaciones de impacto y evidencia interna. Un programa de cumplimiento sólido debe poder responder no solo qué controles existen, sino por qué la organización considera que esos controles realmente protegen a los titulares.