La economía digital funciona mediante infraestructuras distribuidas. Plataformas de almacenamiento, sistemas de gestión de clientes, servicios de inteligencia artificial, herramientas de colaboración y soluciones de ciberseguridad pueden procesar información ecuatoriana desde servidores ubicados en múltiples países. En este escenario, las transferencias transfronterizas dejaron de ser operaciones excepcionales y se convirtieron en una práctica cotidiana. El problema jurídico consiste en garantizar que el desplazamiento territorial de los datos no reduzca los derechos reconocidos a sus titulares.
La Ley Orgánica de Protección de Datos Personales establece que los datos pueden transferirse hacia países u organizaciones con un nivel adecuado de protección o mediante garantías que aseguren estándares equivalentes a los ecuatorianos. La Resolución SPDP-SPD-2026-0004-R desarrolla estos mecanismos y regula sus condiciones contractuales, técnicas, administrativas y registrales. El documento de análisis que sirve de base para este artículo identifica como dificultades centrales la ambigüedad respecto de los encargos internacionales, la carga documental, la determinación de países adecuados y la adaptación práctica de las cláusulas contractuales modelo.
La tesis principal es que el desafío de la norma no radica en la ausencia de instrumentos jurídicos, sino en su aplicación dentro de arquitecturas tecnológicas complejas. Una organización puede suscribir cláusulas aparentemente adecuadas y, aun así, desconocer dónde se almacenan los datos, qué subcontratistas intervienen, qué legislación extranjera resulta aplicable o qué autoridades pueden acceder a la información. Por ello, el cumplimiento no debe entenderse como una formalidad contractual aislada, sino como un sistema continuo de gobernanza y supervisión.
El régimen ecuatoriano se sustenta en el principio de continuidad de la protección: los datos no pierden su tutela jurídica por abandonar el territorio nacional. Cuando el país receptor ha sido reconocido por la Superintendencia de Protección de Datos Personales como poseedor de un nivel adecuado, la transferencia puede efectuarse sin recurrir a mecanismos contractuales adicionales. Esta decisión debe considerar la legislación del país receptor, la independencia de su autoridad de control, los derechos de los titulares, las reglas sobre transferencias ulteriores, la existencia de recursos judiciales y los límites al acceso estatal.
Cuando no existe una decisión de adecuación, la Resolución permite emplear garantías adecuadas. Entre ellas se encuentran las cláusulas contractuales modelo, las normas corporativas vinculantes, los códigos de conducta y los mecanismos de certificación. Estas garantías deben ser jurídicamente exigibles, reconocer derechos equivalentes a los establecidos en Ecuador y prever mecanismos de supervisión, reparación y control de transferencias posteriores. La simple inclusión de cláusulas en un contrato no resulta suficiente si el destinatario no puede demostrar que dispone de condiciones técnicas, institucionales y jurídicas para cumplirlas.
Las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos constituyen una herramienta central del sistema. La guía regional contempla modelos para relaciones entre responsables y para vínculos entre responsables y encargados. Sin embargo, la Resolución ecuatoriana establece que el encargo de tratamiento no constituye transferencia o comunicación internacional y señala que las cláusulas responsable-encargado no son obligatorias, aunque su utilización puede considerarse una buena práctica.
Esta diferenciación tiene importantes consecuencias. En los servicios en la nube, el proveedor suele presentarse como encargado porque procesa información siguiendo instrucciones del cliente. No obstante, los datos permanecen físicamente en otro país, pueden ser tratados por subencargados y pueden quedar sometidos a normas extranjeras de acceso gubernamental. La exclusión formal del encargo no elimina esos riesgos materiales, lo que obliga a desarrollar contratos y controles equivalentes a los exigidos para una transferencia.
El primer desafío consiste en identificar los flujos internacionales reales. Las organizaciones suelen conocer el domicilio de sus proveedores, pero no necesariamente la ubicación de los servidores, los centros de respaldo o los equipos de soporte que acceden remotamente a la información. Un proveedor domiciliado en Ecuador puede utilizar infraestructura extranjera, mientras que una plataforma internacional puede replicar datos en varias regiones. En consecuencia, el inventario debe construirse desde el recorrido del dato y no exclusivamente desde el contrato.
Este inventario debe determinar qué información se transfiere, quiénes son los titulares, cuál es la finalidad, a qué país llega, qué proveedor interviene, durante cuánto tiempo se conserva y qué mecanismo legitima la operación. También debe identificar subencargados, transferencias ulteriores y accesos remotos. Sin esta trazabilidad no es posible cumplir adecuadamente las obligaciones de información, análisis de riesgos, evaluación de impacto o registro.
El segundo desafío se relaciona con la correcta calificación de los actores. La denominación contractual de “responsable” o “encargado” no siempre coincide con las funciones reales. Un proveedor puede actuar como encargado respecto del almacenamiento, pero como responsable independiente cuando utiliza registros técnicos para seguridad, analítica o mejora de sus servicios. Las organizaciones deben analizar las decisiones efectivamente adoptadas por cada participante y no limitarse a aceptar las categorías incluidas en condiciones generales predispuestas.
El tercer problema es la efectividad de las garantías contractuales. Los grandes proveedores tecnológicos suelen utilizar contratos estandarizados, limitar su responsabilidad, modificar unilateralmente la lista de subencargados o rechazar la jurisdicción ecuatoriana. En tales circunstancias, la firma de cláusulas no asegura por sí sola una protección equivalente. La organización debe evaluar si las limitaciones pueden compensarse mediante cifrado, seudonimización, minimización, control de llaves, segmentación de bases de datos, restricciones de acceso o selección de centros de procesamiento regionales.
También debe evaluarse el marco jurídico del país receptor. Las cláusulas obligan a las partes, pero no pueden impedir que una legislación extranjera ordene al proveedor entregar información a autoridades públicas. La jurisprudencia europea desarrollada a partir del caso Schrems II demuestra que las garantías contractuales deben complementarse con un análisis del ordenamiento del país de destino y, cuando sea necesario, con medidas técnicas adicionales. Aunque este procedimiento no aparezca expresamente con la misma denominación en la normativa ecuatoriana, constituye una manifestación razonable del principio de responsabilidad proactiva.
Finalmente, la Resolución impone obligaciones administrativas continuas. Las organizaciones deben conservar contratos, análisis de riesgos, evaluaciones de impacto y evidencia de las medidas de seguridad. Asimismo, deben diferenciar entre transferencias sometidas a inscripción individual y aquellas sujetas a reporte agregado. El cumplimiento exige coordinación entre las áreas jurídicas, tecnológicas, de contratación, seguridad de la información y gestión de proveedores; no puede quedar limitado al delegado de protección de datos.
La Resolución busca equilibrar la protección de los titulares con la necesidad de mantener flujos internacionales indispensables para la economía digital. Un régimen demasiado flexible permitiría trasladar información hacia jurisdicciones con bajos niveles de protección, mientras que un sistema excesivamente restrictivo dificultaría el acceso a servicios tecnológicos y mercados internacionales. La pluralidad de mecanismos habilitantes pretende resolver esta tensión, pero su efectividad depende de la capacidad de las organizaciones para seleccionar y aplicar correctamente cada herramienta.
La exclusión del encargo internacional como transferencia merece especial atención. Desde una lectura formal, el encargado no decide las finalidades del tratamiento y permanece subordinado a las instrucciones del responsable. Sin embargo, desde una perspectiva de riesgo, el titular puede verse igualmente afectado por la ubicación extranjera de los servidores, la intervención de subcontratistas o la aplicación de leyes de vigilancia. Por ello, la exclusión no debería interpretarse como una dispensa para no evaluar, documentar o controlar al proveedor.
La experiencia de Argentina y Uruguay demuestra que las cláusulas de la RIPD pueden utilizarse tanto entre responsables como entre responsables y encargados. Ecuador ha elegido una interpretación más restrictiva, aunque reconoce el modelo responsable-encargado como buena práctica. Esta divergencia revela que todavía no existe una armonización regional completa y que las empresas que operan en varios países deben adaptar sus contratos a cada legislación nacional.
El régimen aplicable dentro de la Comunidad Andina también reduce determinadas barreras, pero no elimina las obligaciones de diligencia. Una presunción de adecuación no significa que todas las entidades o infraestructuras de un país sean automáticamente seguras. Las organizaciones siguen obligadas a informar, contratar, evaluar riesgos, controlar proveedores y adoptar medidas de seguridad proporcionadas.
La Norma SPDP-SPD-2026-0004-R representa un avance significativo en la regulación ecuatoriana de las transferencias transfronterizas. Su principal aporte consiste en convertir los principios de la LOPDP en mecanismos concretos de adecuación, garantías contractuales, autorizaciones, registros y controles. No obstante, su aplicación exige capacidades técnicas y organizativas que muchas entidades todavía deben desarrollar.
El cumplimiento debe comenzar con un mapa actualizado de los flujos internacionales. Este instrumento debe integrarse con el registro de actividades de tratamiento, las políticas de privacidad, los contratos, las evaluaciones de impacto y la gestión de proveedores. La falta de trazabilidad convierte cualquier cláusula contractual en una garantía incompleta.
La exclusión de los encargos internacionales no elimina la obligación de proteger los datos. Cuando las cláusulas modelo responsable-encargado no operen como mecanismo obligatorio, sus contenidos pueden utilizarse como referencia para regular subcontratación, auditorías, incidentes, eliminación de información, cooperación con la SPDP y acceso de autoridades extranjeras.
En definitiva, el verdadero sentido de la Resolución consiste en superar una visión documental del cumplimiento. Las transferencias internacionales requieren vigilancia continua, revisión periódica de proveedores, evaluación del entorno jurídico extranjero y capacidad de demostrar que las garantías permanecen efectivas durante todo el tratamiento. La cláusula es solamente el punto de partida; la protección real depende de la gobernanza que la acompaña.
Red Iberoamericana de Protección de Datos. (2021). Guía de implementación de cláusulas contractuales modelo para la transferencia internacional de datos personales.
Consultar documento
República del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento No. 459.
Consultar ley
Superintendencia de Protección de Datos Personales. (2026). Resolución No. SPDP-SPD-2026-0004-R: Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales.
Consultar resolución
Tribunal de Justicia de la Unión Europea. (2020). Data Protection Commissioner v. Facebook Ireland Ltd. and Maximillian Schrems, asunto C-311/18.
Consultar sentencia
La protección de datos personales se ha desplazado desde los márgenes del derecho informático hacia el centro de la regulación económica, tecnológica y constitucional. En la actualidad, casi toda interacción social, comercial o institucional deja una huella digital: una búsqueda en internet, una compra en línea, una geolocalización, una conversación con un asistente virtual, una publicación en redes sociales o una solicitud de crédito. Esa información, cuando permite identificar directa o indirectamente a una persona, activa un conjunto de garantías jurídicas que buscan evitar que la vida privada sea transformada en materia prima ilimitada para la vigilancia, la segmentación comercial o la toma automatizada de decisiones. El GDPR europeo define el dato personal como información relativa a una persona física identificada o identificable, fórmula que ha influido en múltiples legislaciones comparadas.
El problema central no reside únicamente en la existencia de datos, sino en las condiciones bajo las cuales son recolectados, utilizados, compartidos, inferidos y conservados. Una base de datos aparentemente inocua puede adquirir un enorme poder cuando se combina con otras fuentes, se analiza con sistemas de inteligencia artificial o se utiliza para perfilar comportamientos. Por ello, el derecho de protección de datos no se limita a proteger secretos, sino que regula relaciones de poder informacional. Su finalidad es asegurar que las personas conserven capacidad de decisión sobre el uso de su información y que las organizaciones adopten límites jurídicos, técnicos y éticos en el tratamiento de datos.
En Ecuador, la Ley Orgánica de Protección de Datos Personales fue publicada en el Quinto Suplemento del Registro Oficial No. 459, de 26 de mayo de 2021, y constituye el punto de partida normativo para reconocer y garantizar el derecho a la protección de datos personales. Posteriormente, el Reglamento General de la Ley desarrolló aspectos de aplicación práctica, incluyendo derechos de los titulares, autoridad de control, responsables, encargados y delegado de protección de datos.
Este artículo propone una lectura integral: la protección de datos no debe ser vista como una carga documental ni como una política de privacidad genérica, sino como una forma de gobernanza. En contextos digitales, proteger datos exige evaluar riesgos, documentar decisiones, diseñar productos seguros, limitar finalidades, informar con claridad, implementar controles de seguridad y responder frente a incidentes. La privacidad, en consecuencia, no es un obstáculo a la innovación, sino una condición para que la innovación sea jurídicamente sostenible y socialmente confiable.
El concepto de dato personal comprende toda información que identifica o puede identificar a una persona natural. Esto incluye datos evidentes, como nombre, número de identificación, dirección, correo electrónico o imagen, pero también datos menos obvios, como direcciones IP, identificadores de dispositivos, patrones de navegación, metadatos, ubicación, historial de compras o perfiles de comportamiento. En el entorno digital, la identificación no depende únicamente de saber el nombre de alguien: basta con que un conjunto de datos permita singularizar, rastrear o inferir características de una persona para que exista relevancia jurídica. El GDPR y las legislaciones inspiradas en él han consolidado esta visión amplia del dato personal.
Dentro de esta categoría general se encuentran los datos sensibles, que merecen una protección reforzada porque su uso indebido puede generar discriminación, exclusión, daño reputacional o afectación directa a derechos fundamentales. Entre ellos suelen incluirse datos de salud, datos biométricos, datos genéticos, orientación sexual, convicciones religiosas, opiniones políticas, origen étnico o racial, discapacidad y otra información íntima o especialmente vulnerable. La razón de su protección especial no es únicamente su carácter privado, sino su capacidad de impactar en decisiones laborales, financieras, educativas, aseguradoras, migratorias o de acceso a servicios esenciales. En el GDPR, las categorías especiales de datos reciben un régimen más estricto de tratamiento.
La protección de datos se organiza alrededor de principios jurídicos que operan como criterios de validez del tratamiento. El principio de licitud exige una base jurídica; el consentimiento debe ser libre, específico, informado e inequívoco; la finalidad obliga a recolectar datos para propósitos determinados; la proporcionalidad y minimización impiden recoger más información de la necesaria; la transparencia exige informar de forma clara; la seguridad impone medidas técnicas y organizativas; y la responsabilidad proactiva obliga a demostrar cumplimiento. Las Directrices 05/2020 del Comité Europeo de Protección de Datos desarrollan el consentimiento como una manifestación válida de voluntad bajo condiciones exigentes, no como una simple aceptación formal o ambigua.
Estos principios transforman la protección de datos en una disciplina preventiva. No basta con reaccionar cuando ocurre una filtración o una queja del titular; las organizaciones deben diseñar sus procesos desde el inicio con criterios de privacidad. La protección de datos desde el diseño y por defecto implica que los productos, servicios y sistemas tecnológicos incorporen límites de recolección, configuraciones seguras, controles de acceso, plazos de conservación, trazabilidad y mecanismos de ejercicio de derechos antes de salir al mercado. El Comité Europeo de Protección de Datos ha señalado que la protección de datos desde el diseño y por defecto constituye una obligación de los responsables del tratamiento conforme al artículo 25 del GDPR.
En Ecuador, la Ley Orgánica de Protección de Datos Personales reconoce la protección de datos como un derecho vinculado al acceso y decisión sobre la información personal. Su existencia marca un cambio relevante: las empresas, instituciones públicas, organizaciones privadas, plataformas digitales y demás actores que tratan datos deben justificar sus tratamientos, informar a los titulares, respetar derechos y adoptar medidas de seguridad. El Reglamento General, expedido mediante Decreto Ejecutivo No. 904, desarrolla la aplicación de la Ley y precisa aspectos relativos a responsables, encargados, delegado de protección de datos, autoridad de control y procedimientos para el ejercicio de derechos.
El Ministerio de Telecomunicaciones de Ecuador ha explicado que el Reglamento desarrolla el contenido y procedimiento para solicitar derechos como acceso, rectificación y actualización, eliminación, oposición y portabilidad; además, regula la autoridad de protección de datos y establece reglas para responsables, encargados y delegado de protección de datos. Esta estructura aproxima el modelo ecuatoriano a los estándares contemporáneos de gobernanza de datos, en los que la organización debe demostrar que su tratamiento es lícito, seguro, transparente y proporcional.
A nivel internacional, el Reglamento General de Protección de Datos de la Unión Europea es una de las referencias más influyentes. Su importancia no radica solo en su aplicación dentro del Espacio Económico Europeo, sino en su efecto normativo global: muchas empresas adoptan estándares compatibles con el GDPR para operar internacionalmente, reducir riesgos y facilitar transferencias de datos. El GDPR regula principios, bases jurídicas, derechos de los titulares, obligaciones de responsables y encargados, transferencias internacionales, evaluaciones de impacto, seguridad y sanciones.
Junto al GDPR, otros instrumentos completan el panorama internacional. El Convenio 108+ del Consejo de Europa moderniza el primer tratado internacional vinculante en materia de protección de datos; las Directrices de Privacidad de la OCDE establecen principios sobre limitación de recolección, calidad de datos, especificación de finalidad, seguridad y responsabilidad; y los Estándares Iberoamericanos de Protección de Datos Personales ofrecen un marco de referencia para armonizar legislaciones en la región.
La regulación digital reciente también amplía el campo de la protección de datos. La Ley de Servicios Digitales de la Unión Europea exige a plataformas accesibles a menores adoptar medidas apropiadas y proporcionales para garantizar altos niveles de privacidad, seguridad y protección; el Reglamento de Inteligencia Artificial de la Unión Europea introduce un enfoque basado en riesgos para sistemas de IA; y la OCDE ha actualizado sus recomendaciones sobre niños en el entorno digital, destacando el equilibrio entre protección, participación y beneficios del ecosistema tecnológico.
Los principales riesgos asociados al uso indebido de datos personales pueden agruparse en cuatro niveles. El primero es el riesgo individual: robo de identidad, fraude, acoso, exposición no autorizada, daño reputacional o pérdida de control sobre información íntima. El segundo es el riesgo colectivo: discriminación algorítmica, exclusión financiera, manipulación política o segmentación abusiva. El tercero es el riesgo organizacional: sanciones, litigios, pérdida de confianza, daño de marca y paralización operativa. El cuarto es el riesgo sistémico: normalización de prácticas de vigilancia, erosión de la autonomía y debilitamiento de la confianza en el entorno digital.
Frente a esos riesgos, los titulares cuentan con derechos que permiten recuperar cierto control sobre su información. Entre los más relevantes se encuentran el acceso, la rectificación, la cancelación o eliminación, la oposición, la portabilidad y la supresión. El acceso permite saber qué datos se tratan; la rectificación corrige información inexacta; la eliminación permite solicitar el borrado cuando proceda; la oposición permite resistir determinados tratamientos; la portabilidad facilita recibir o transferir datos en formato estructurado; y la supresión conecta con el llamado derecho al olvido. En el caso Google Spain, el Tribunal de Justicia de la Unión Europea reconoció la relevancia de la desindexación frente a resultados de búsqueda que afectaban derechos de protección de datos, privacidad y reputación.
Las obligaciones de los responsables del tratamiento incluyen definir finalidades legítimas, informar de manera comprensible, obtener una base jurídica adecuada, limitar la conservación, aplicar medidas de seguridad, atender derechos, documentar tratamientos y evaluar riesgos. En tratamientos de alto riesgo, como los que involucran datos sensibles, vigilancia sistemática, menores o decisiones automatizadas, las evaluaciones de impacto se vuelven herramientas centrales de prevención. En el modelo europeo, la responsabilidad no se agota en cumplir formalmente, sino en poder demostrar cumplimiento ante autoridades, titulares y terceros interesados.
Los encargados del tratamiento, por su parte, no deciden necesariamente las finalidades, pero procesan datos por cuenta del responsable. Esto ocurre, por ejemplo, con proveedores de nube, plataformas de mailing, servicios de analítica, software de gestión de clientes, procesadores de pago, empresas de ciberseguridad o proveedores de inteligencia artificial empresarial. Su rol exige contratos, instrucciones documentadas, confidencialidad, medidas de seguridad, apoyo en el ejercicio de derechos, asistencia en incidentes y restricciones para subencargar servicios sin autorización. En entornos de nube, esta relación se vuelve especialmente delicada porque los datos pueden circular entre jurisdicciones, infraestructuras, subprocesadores y centros de datos.
Las transferencias internacionales de datos añaden otro nivel de complejidad. Cuando la información cruza fronteras, el titular puede quedar expuesto a marcos de protección distintos o a accesos estatales incompatibles con el nivel de protección esperado. En el caso Schrems II, el Tribunal de Justicia de la Unión Europea invalidó la Decisión 2016/1250 sobre el Escudo de Privacidad UE-EE. UU., reforzando la necesidad de evaluar el nivel de protección en transferencias internacionales y no asumir que una cláusula contractual resuelve por sí sola todos los riesgos.
El primer desafío contemporáneo es la inteligencia artificial. Los sistemas de IA dependen de grandes volúmenes de datos para entrenar, ajustar, personalizar o automatizar decisiones. Esto genera tensiones con los principios de minimización, finalidad, transparencia y exactitud, especialmente cuando los datos se reutilizan para fines distintos a los originalmente informados. El Reglamento de Inteligencia Artificial de la Unión Europea introduce un enfoque basado en niveles de riesgo, pero no sustituye las obligaciones de protección de datos: más bien las complementa cuando el sistema procesa información personal.
El segundo desafío se relaciona con redes sociales, publicidad conductual y economía de la atención. Las plataformas digitales no solo almacenan información declarada por los usuarios, sino que infieren intereses, emociones, hábitos, vulnerabilidades y patrones de comportamiento. En el caso de niños, niñas y adolescentes, estos riesgos se intensifican porque la capacidad de comprender las consecuencias del tratamiento puede ser limitada. El documento cargado sobre privacidad infantil destaca que la verificación de edad, el diseño seguro desde el principio, la protección en dispositivos conectados y las obligaciones de auditoría son dimensiones críticas en la regulación comparada de la UE, el G7 y China.
El tercer desafío es el comercio electrónico. Comprar en línea implica entregar datos de identidad, contacto, dirección, medios de pago, historial de consumo, preferencias, ubicación y, en algunos casos, información biométrica para autenticación. El riesgo no se limita al robo de datos: también incluye patrones oscuros, consentimiento forzado, reutilización de datos para publicidad no esperada, transferencia a terceros y conservación excesiva. En este contexto, la transparencia debe ser material y no meramente formal: una política de privacidad extensa, incomprensible o escondida no garantiza una decisión informada.
El cuarto desafío se encuentra en los servicios en la nube. La nube permite eficiencia, escalabilidad y reducción de costos, pero obliga a revisar ubicación de servidores, subencargados, cifrado, copias de seguridad, control de accesos, notificación de incidentes, transferencias internacionales y reversibilidad de la información. La contratación tecnológica ya no puede limitarse a precio y funcionalidad; debe incorporar cláusulas de protección de datos, seguridad, auditoría, continuidad, eliminación segura y cooperación ante solicitudes de titulares o autoridades.
El quinto desafío es cultural e institucional. Muchas organizaciones creen cumplir porque tienen una política de privacidad publicada, pero la protección de datos exige procesos vivos: inventario de tratamientos, matrices de riesgo, capacitación interna, protocolos de respuesta, revisión de proveedores, gestión de consentimiento, seguridad técnica y actualización permanente. La tendencia internacional apunta hacia modelos de responsabilidad proactiva, seguridad por diseño y cooperación regulatoria. Los principios del G7 sobre un espacio digital más seguro para menores, por ejemplo, refuerzan la idea de seguridad y privacidad desde el diseño, verificación de edad respetuosa de derechos y sistemas de recomendación que prioricen bienestar sobre mera interacción.
La protección de datos personales debe entenderse como una garantía de autonomía en sociedades profundamente digitalizadas. Su propósito no es impedir el uso de información, sino asegurar que dicho uso sea legítimo, necesario, transparente, seguro y compatible con los derechos de las personas. En este sentido, los datos personales no son un recurso neutro: pueden habilitar innovación, eficiencia y nuevos servicios, pero también vigilancia, discriminación y manipulación si se tratan sin límites adecuados.
El marco ecuatoriano, especialmente a partir de la Ley Orgánica de Protección de Datos Personales y su Reglamento General, incorpora una lógica moderna de derechos, obligaciones y autoridad de control. Sin embargo, el verdadero reto no está únicamente en la existencia de la norma, sino en su implementación organizacional. Las empresas e instituciones deben pasar de una cultura de cumplimiento documental a una cultura de gobernanza de datos, donde cada tratamiento tenga finalidad, base jurídica, responsables, controles y evidencia de cumplimiento.
En el plano internacional, el GDPR, los estándares de la OCDE, el Convenio 108+, los Estándares Iberoamericanos, la DSA y el AI Act muestran que la protección de datos se está integrando con otras áreas: ciberseguridad, inteligencia artificial, comercio digital, infancia, consumo, competencia y derechos humanos. Esta convergencia confirma que la privacidad ya no puede tratarse como un asunto aislado del departamento legal, sino como una responsabilidad transversal que involucra tecnología, diseño, comunicación, negocio y ética.
Finalmente, el futuro de la protección de datos dependerá de la capacidad de equilibrar innovación y dignidad humana. Las organizaciones que integren privacidad desde el diseño, minimización, transparencia real, seguridad efectiva y rendición de cuentas no solo reducirán riesgos legales, sino que construirán confianza. En una economía donde la confianza es un activo estratégico, proteger datos personales no es simplemente cumplir la ley: es demostrar respeto por las personas que hacen posible el ecosistema digital.
Asamblea Nacional del Ecuador. 2021. Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento No. 459, 26 de mayo de 2021. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2021/06/Ley-Organica-de-Datos-Personales.pdf
Presidencia de la República del Ecuador / Ministerio de Telecomunicaciones y de la Sociedad de la Información. 2023. Decreto Ejecutivo No. 904: Reglamento General de la Ley Orgánica de Protección de Datos Personales. MINTEL. Link: https://www.telecomunicaciones.gob.ec/wp-content/uploads/2023/11/Decreto-Ejecutivo-No.-904.pdf
Ministerio de Telecomunicaciones y de la Sociedad de la Información. 2023. Reglamento a Ley Orgánica de Protección de Datos Personales. MINTEL. Link: https://www.telecomunicaciones.gob.ec/ley-y-reglamento-de-la-ley-de-proteccion-de-datos-personales/
Superintendencia de Protección de Datos Personales del Ecuador. 2026. Sitio institucional de la autoridad de control de protección de datos personales. SPDP. Link: https://spdp.gob.ec/
Unión Europea. 2016. Regulation (EU) 2016/679: General Data Protection Regulation. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
European Data Protection Board. 2020. Guidelines 05/2020 on consent under Regulation 2016/679. EDPB. Link: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en
European Data Protection Board. 2020. Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. EDPB. Link: https://www.edpb.europa.eu/documents/guideline/guidelines-42019-on-article-25-data-protection-by-design-and-by-default_en
Unión Europea. 2022. Regulation (EU) 2022/2065: Digital Services Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng
Comisión Europea. 2025. Guidelines on measures to ensure a high level of privacy, safety and security for minors online, pursuant to Article 28 of the Digital Services Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/C/2025/5519/oj/eng
Unión Europea. 2024. Regulation (EU) 2024/1689: Artificial Intelligence Act. EUR-Lex. Link: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
Consejo de Europa. 2018. Convention 108+: Modernised Convention for the Protection of Individuals with regard to the Processing of Personal Data. Council of Europe. Link: https://www.coe.int/en/web/data-protection/home
OECD. 2013. Recommendation concerning Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. OECD Legal Instruments. Link: https://legalinstruments.oecd.org/public/doc/114/114.en.pdf
OECD. 2021. Recommendation on Children in the Digital Environment. OECD Legal Instruments. Link: https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389
Red Iberoamericana de Protección de Datos. 2017. Standards for Personal Data Protection for Ibero-American States. RIPD. Link: https://www.redipd.org/sites/default/files/2022-04/standars-for-personal-data.pdf
Tribunal de Justicia de la Unión Europea. 2014. Case C-131/12, Google Spain SL and Google Inc. v Agencia Española de Protección de Datos and Mario Costeja González. InfoCuria. Link: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-131%2F12
Tribunal de Justicia de la Unión Europea. 2020. Case C-311/18, Data Protection Commissioner v Facebook Ireland and Maximillian Schrems. InfoCuria. Link: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-311%2F18
Comisión Europea. 2026. Commission welcomes G7 agreement on common principles for protecting minors online. European Commission, Digital Strategy. Link: https://digital-strategy.ec.europa.eu/en/news/commission-welcomes-g7-agreement-common-principles-protecting-minors-online
UNICEF. 2026. First-ever G7 principles to protect children online. UNICEF. Link: https://www.unicef.org/press-releases/note-correspondents-first-ever-g7-principles-protect-children-online
La reciente sanción impuesta por la Superintendencia de Protección de Datos Personales (SPDP) de Ecuador a LIGAPRO, una multa de USD 95,502.63 y la obligación de rediseñar su aplicación FAN ID en un plazo de 30 días, no es simplemente una noticia regulatoria. Es una señal de alerta contundente para todo el tejido empresarial del país: la protección de datos personales dejó de ser un tema técnico para convertirse en un imperativo estratégico.
Y los casos recientes van mucho más allá: la Federación Ecuatoriana de Fútbol (FEF) enfrentó una multa de casi USD 200,000 por deficiencias en su gestión de riesgos, mientras que ambas entidades ya habían recibido sanciones previas superiores a los USD 250,000 por fallas estructurales en el tratamiento de datos biométricos.
¿Qué nos enseñan estos precedentes? Que el cumplimiento normativo no es opcional, ni tampoco un trámite burocrático. Es el cimiento sobre el cual se construye la confianza digital, la sostenibilidad operativa y la reputación corporativa en un mercado cada vez más exigente.
El corazón de la sanción a LIGAPRO radica en un concepto fundamental: la protección de datos debe integrarse desde el diseño y por defecto (Privacy by Design & by Default). La SPDP no sancionó un error puntual, sino la ausencia de una arquitectura preventiva. La aplicación FAN ID manejaba datos biométricos, considerados datos sensibles según la Ley Orgánica de Protección de Datos Personales (LOPDP), sin garantizar, de forma verificable, el cumplimiento de principios esenciales como la minimización, la pertinencia y la finalidad.
Para las empresas, esto implica un cambio de paradigma:
Ignorar este principio no solo expone a multas, que pueden alcanzar hasta el 2% del volumen de negocio según la gravedad, sino a la obligación de reconstruir sistemas enteros bajo presión regulatoria, con el consiguiente impacto operativo y financiero.
El caso de la FEF revela otra brecha: tener una metodología de gestión de riesgos no equivale a gestionar riesgos efectivamente. La institución presentó evaluaciones de impacto que concluyeron erróneamente en "riesgo cero", evidenciando una aplicación mecánica y descontextualizada de herramientas que deberían ser dinámicas y realistas.
Las empresas deben entender que:
Las sanciones económicas, aunque significativas, representan solo una fracción del costo total del incumplimiento:
| Componente | Impacto |
| Multas regulatorias | Desde el 0,1% hasta el 2% del volumen de negocio (infracciones leves a graves) |
| Costos correctivos | Rediseño de sistemas, eliminación de datos, notificaciones masivas a titulares |
| Daño reputacional | Pérdida de confianza de clientes, patrocinadores y socios estratégicos |
| Riesgo legal | Demandas individuales o colectivas por vulneración de derechos fundamentales |
| Paralización operativa | Medidas cautelares que pueden suspender servicios críticos para el negocio |
En el caso de LIGAPRO, además de pagar una multa, debió notificar a más de 14,000 usuarios que su consentimiento era inválido y eliminar sus datos. Esta operación masiva, además de costosa, erosionó la base de usuarios de su aplicación y generó titulares negativos en medios nacionales.
La SPDP está enviando un mensaje inequívoco: el derecho a la protección de datos personales es fundamental, no negociable, y su tutela es una prioridad institucional. Pero más allá de la coerción regulatoria, existe una oportunidad estratégica: las empresas que adopten la privacidad como valor diferencial ganarán la confianza de consumidores cada vez más conscientes de sus derechos digitales.
En un entorno donde los datos son el nuevo petróleo, quien los gestione con rigor, transparencia y respeto no solo evitará sanciones. Construirá ventaja competitiva sostenible, fidelizará clientes y posicionará su marca como referente de responsabilidad digital. La protección de datos ya no es un costo operativo: es una inversión en confianza, y la confianza es el activo más valioso de cualquier empresa en el siglo XXI.
Superintendencia de Protección de Datos Personales del Ecuador (SPDP), Boletines de Prensa Nros. 1 al 5, 2025-2026. Ley Orgánica de Protección de Datos Personales (LOPDP), Ecuador.
En el complejo entramado empresarial contemporáneo, la convergencia entre los Recursos Humanos (RRHH) y el cumplimiento normativo ha adquirido una relevancia sin precedentes. En este escenario, la ética empresarial y el acatamiento de las regulaciones no son simples formalidades, sino pilares esenciales que sustentan la solidez y el éxito sostenible de cualquier empresa.
Los profesionales de RRHH ocupan una posición estratégica que va más allá de la gestión de personal; se erigen como guardianes de la integridad corporativa y catalizadores de una cultura organizacional arraigada en valores éticos y legales. Su papel no se limita a la implementación de políticas y procedimientos, sino que se extiende a la promoción activa de conductas éticas, al fomento de la transparencia y al aseguramiento del cumplimiento normativo en todos los niveles de la organización.
En este contexto, el departamento de RRHH no puede ser pasivo ante los desafíos del cumplimiento normativo; por el contrario, debe asumir un rol proactivo en la conformación de una cultura de integridad y responsabilidad. Más que simplemente responder a las demandas regulatorias, los profesionales de RRHH tienen la responsabilidad de liderar iniciativas que fortalezcan la ética empresarial, promuevan el respeto a las normativas legales y fomenten un ambiente laboral donde la honestidad y la rectitud sean valores no negociables.
En este artículo, exploraremos en detalle el papel crítico que desempeñan los profesionales de RRHH en la gestión del cumplimiento normativo, analizando las herramientas y estrategias clave que pueden emplear para fomentar una cultura de cumplimiento en la organización. Desde la implementación de canales de denuncia confidencial hasta la mitigación de riesgos internos, examinaremos cómo los profesionales de RRHH pueden contribuir significativamente al establecimiento de una empresa ética, responsable y en cumplimiento de las regulaciones.
Canales de Denuncia Confidencial: Establecer canales seguros y anónimos para que los empleados reporten conductas inapropiadas es fundamental para mantener la integridad y la transparencia en el lugar de trabajo. Los profesionales de RRHH deben liderar la implementación y promoción de estos sistemas, asegurando que estén fácilmente accesibles y que se garantice la confidencialidad de quienes denuncian.
La confianza en la confidencialidad es esencial para la efectividad de estos mecanismos, por lo que es crucial que se promueva la sensación de seguridad entre los empleados al utilizarlos. Además, es importante que el departamento de RRHH tenga protocolos claros para manejar las denuncias recibidas, garantizando una investigación justa y una acción apropiada en caso de irregularidades.
Mitigación de Riesgos Internos: El departamento de RRHH desempeña un papel fundamental en la mitigación de los riesgos internos que pueden afectar la integridad y el cumplimiento normativo de la organización. Esto implica la adopción de medidas preventivas para reducir la probabilidad de incidentes éticos o legales, como el soborno, el favoritismo, la discriminación o la falta de transparencia en los procesos de selección y gestión del personal.
Para lograr esto, los profesionales de RRHH deben enfocarse en promover la diversidad e inclusión en el lugar de trabajo, garantizar que los procesos de contratación y promoción sean transparentes y basados en el mérito, y establecer un ambiente de trabajo que fomente la honestidad y la ética. Es esencial que se establezcan procesos claros y transparentes, y que se asegure el apego al Código de Conducta de la empresa en todas las interacciones y decisiones relacionadas con el personal.
Además, el departamento de RRHH debe ofrecer formación y capacitación periódica a los empleados sobre ética empresarial, cumplimiento normativo y los valores fundamentales de la organización. Esto ayudará a crear una cultura en la que el cumplimiento y la integridad sean valores fundamentales compartidos por todos los miembros del equipo, desde los niveles más altos de liderazgo hasta el personal de nivel de entrada.
La sinergia entre el cumplimiento normativo y el crecimiento profesional de los empleados se vuelve cada vez más crucial. En este contexto, los departamentos de recursos aparecen para garantizar la ética y el cumplimiento dentro de una organización.
Aquí hay algunas formas en que los recursos humanos contribuyen al cumplimiento corporativo:
En el entorno empresarial actual, la integración entre los Recursos Humanos (RRHH) y el cumplimiento normativo se ha convertido en un elemento crucial para el éxito y la estabilidad de las organizaciones. La ética empresarial y el acatamiento de las regulaciones ya no son simplemente requisitos formales, sino fundamentos esenciales que sustentan la integridad y el progreso sostenible de cualquier empresa.
Los profesionales de RRHH ocupan una posición estratégica que va más allá de la simple gestión de personal; se han convertido en guardianes de la integridad corporativa y en catalizadores de una cultura organizacional arraigada en valores éticos y legales. Su papel no se limita únicamente a la implementación de políticas y procedimientos, sino que se extiende a la promoción activa de conductas éticas, al fomento de la transparencia y a la garantía del cumplimiento normativo en todos los niveles de la organización.
En este escenario, el departamento de RRHH no puede adoptar una postura pasiva frente a los desafíos del cumplimiento normativo; más bien, debe asumir un rol proactivo en la forja de una cultura de integridad y responsabilidad. Más allá de simplemente responder a las exigencias regulatorias, los profesionales de RRHH tienen la responsabilidad de liderar iniciativas que fortalezcan la ética empresarial, promuevan el respeto a las normativas legales y fomenten un ambiente laboral donde la honestidad y la rectitud sean valores innegociables.
La colaboración estrecha entre los departamentos de RRHH y el compliance se revela como una pieza fundamental para el éxito empresarial en la era contemporánea. La labor de los profesionales de RRHH como impulsores del cumplimiento corporativo no solo asegura el acatamiento de las regulaciones, sino que también fortalece la integridad organizacional, promueve una cultura ética y contribuye a la creación de entornos laborales más transparentes y equitativos. En última instancia, esta sinergia entre RRHH y cumplimiento normativo no solo beneficia a la empresa en términos de reputación y cumplimiento legal, sino que también nutre el crecimiento y el bienestar de sus empleados, estableciendo así las bases para un éxito sostenible a largo plazo.
Homann, M. (12 de 12 de 2022). RRHH y Compliance: lo que los profesionales de RRHH deben saber.
Chow, A. (20 de Octubre de 2018). RECURSOS HUMANOS Y COMPLIANCE: UNA ALIANZA NECESARIA.
Komm, A., Pollner, F., Schaninger, B., & Sikka, S. (12 de Marzo de 2021). El nuevo posible: cómo Recursos Humanos puede ayudar a construir la organización del futuro.
Olhovich, A. (07 de Diciembre de 2022). Humanizar el talento, el futuro de Recursos Humanos.
En el actual panorama empresarial, caracterizado por un entorno regulatorio cada vez más complejo y exigente, la cultura de cumplimiento y el valor estratégico del compliance se han convertido en aspectos fundamentales para las organizaciones. El cumplimiento normativo, entendido como el conjunto de medidas adoptadas por una empresa para asegurar su adhesión a las leyes, regulaciones y estándares de buenas prácticas aplicables, no solo se ha vuelto indispensable para evitar sanciones y litigios, sino que también se ha convertido en una ventaja competitiva y un factor clave para el éxito empresarial.
El compliance ha adquirido una importancia creciente en el ámbito del derecho, ya que las empresas y organizaciones enfrentan cada vez más regulaciones y normativas complejas que deben cumplir. El incumplimiento de estas normas puede tener graves repercusiones legales y financieras, por lo que contar con un programa de compliance sólido es fundamental para mitigar riesgos y garantizar la legalidad de las operaciones.
Uno de los aspectos clave del compliance es la implementación de programas de cumplimiento normativo. Estos programas consisten en la adopción de políticas y procedimientos internos que aseguren el cumplimiento de las leyes y regulaciones aplicables a la empresa. Además, se establecen controles internos para prevenir y detectar posibles violaciones legales, así como canales de denuncia para que los empleados puedan reportar conductas ilícitas de manera confidencial.
El cumplimiento normativo es una práctica proactiva que busca asegurar que las empresas y organizaciones operen dentro del marco legal establecido por las autoridades competentes. Al implementar programas de compliance sólidos, las empresas pueden identificar, prevenir y mitigar los riesgos legales a los que se enfrentan. Una de las principales ventajas del cumplimiento normativo es la capacidad de evitar sanciones legales y financieras significativas. Las regulaciones y leyes actuales imponen multas considerables a las empresas que no cumplen con los estándares requeridos.
Un componente esencial del programa de compliance es la designación de un responsable de cumplimiento, conocido como compliance officer. Esta figura es la encargada de supervisar y coordinar las actividades relacionadas con el cumplimiento normativo. El compliance officer debe contar con conocimiento de las leyes y regulaciones aplicables a la empresa, así como de las mejores prácticas en materia de cumplimiento. Para asegurar que los programas de cumplimiento sean efectivos y adaptados a las necesidades de cada empresa, es fundamental que sean específicos para cada organización. Cada empresa opera en un contexto único, con diferentes industrias, áreas de negocio y regulaciones aplicables.
El programa de compliance requiere de la realización de auditorías internas periódicas. Estas auditorías tienen como objetivo evaluar la eficacia de las políticas y controles implementados, identificar posibles áreas de riesgo y tomar las medidas correctivas necesarias. Además, las auditorías internas ayudan a demostrar el compromiso de la empresa con el cumplimiento normativo frente a terceros, como reguladores y autoridades. El compliance es especialmente relevante en áreas como el derecho penal económico, donde las empresas pueden enfrentar cargos por delitos como el fraude, la corrupción o la competencia desleal.
También cobra importancia en la protección de datos personales, en vista de las regulaciones cada vez más estrictas en materia de privacidad y seguridad de la información. Otros aspectos clave del compliance incluyen la prevención del lavado de dinero, la seguridad laboral y la protección del medio ambiente. Estos aspectos resaltan la importancia de implementar programas de cumplimiento normativo para garantizar la integridad y el buen funcionamiento de las empresas en un entorno legal y ético. El cumplimiento normativo se convierte así en una herramienta fundamental para minimizar riesgos y salvaguardar la reputación y el éxito a largo plazo de las organizaciones.
Una empresa que se destaca por su cumplimiento normativo y su cultura de ética empresarial tiene una ventaja competitiva significativa en el mercado actual. La reputación de una organización es un activo intangible valioso y el cumplimiento normativo es un pilar fundamental para construir y mantener una buena reputación. Los clientes, cada vez más conscientes de la importancia de la responsabilidad corporativa, buscan asociarse con empresas que operan de manera ética y transparente. El cumplimiento normativo sólido genera confianza en los clientes, lo que puede resultar en lealtad, retención y referencias positivas, lo que a su vez impulsa el crecimiento y la rentabilidad de la empresa.
Además, el cumplimiento normativo efectivo permite a las organizaciones identificar y mitigar riesgos potenciales antes de que se conviertan en problemas legales. Al estar al tanto de las regulaciones aplicables y mantenerse actualizada sobre los cambios en el entorno normativo, una empresa puede anticiparse a posibles sanciones, demandas y litigios. Esto no solo evita costos financieros significativos, sino que también protege la reputación y la imagen de la empresa. La capacidad de tomar decisiones informadas y basadas en datos también mejora, lo que facilita la planificación estratégica y la adaptación a las dinámicas del mercado.
El cumplimiento normativo bien gestionado abre oportunidades para el crecimiento empresarial. Al estar en cumplimiento de las regulaciones, una empresa puede acceder a nuevos mercados y ampliar su alcance geográfico. Muchos países y regiones exigen el cumplimiento normativo como requisito para hacer negocios en su territorio, por lo que tener programas sólidos de cumplimiento brinda a las organizaciones la capacidad de aprovechar estas oportunidades. Asimismo, el cumplimiento normativo es a menudo un factor determinante en la toma de decisiones de inversión. Los inversores buscan empresas responsables y éticas para proteger su capital y asegurar un retorno sostenible. El cumplimiento normativo adecuado puede ayudar a atraer inversores y socios comerciales estratégicos.
Una cultura de cumplimiento sólida promueve la ética empresarial, fortalece la reputación, genera confianza en los clientes y otros actores del mercado, y mejora la relación con los empleados. Además, el cumplimiento normativo permite a las empresas identificar y mitigar riesgos, tomar decisiones informadas, acceder a nuevos mercados y atraer inversiones.
Además de las multas, las empresas también pueden enfrentar daños a su reputación debido a infracciones legales. En la era digital, donde la información fluye rápidamente y las redes sociales desempeñan un papel crucial en la difusión de noticias, la reputación de una empresa puede verse afectada en cuestión de minutos. Los escándalos legales y las violaciones éticas pueden tener un impacto devastador en la imagen y credibilidad de una empresa, y en muchos casos, llevar a una pérdida significativa de clientes y oportunidades de negocio.
Como lo mencionamos, el cumplimiento normativo no solo ayuda a evitar infracciones legales y sanciones financieras, sino que también juega un papel clave en la protección de la reputación de una empresa. Al implementar un programa de compliance efectivo, las empresas pueden demostrar su compromiso con la ética y la transparencia, generando confianza tanto entre sus clientes como en el público en general.
Un componente esencial del compliance es la implementación de políticas y procedimientos internos claros y bien definidos. Estos mecanismos garantizan que todas las partes involucradas en la empresa comprendan las regulaciones aplicables y los estándares de conducta esperados. Asimismo, se deben establecer canales de denuncia confidenciales para que los empleados puedan reportar posibles violaciones de manera segura y sin temor a represalias.
La capacitación y concientización también son fundamentales para el éxito del programa de compliance. Los empleados deben recibir formación regular sobre las regulaciones pertinentes, así como sobre las políticas y procedimientos internos de la empresa. Esto garantiza que todos los miembros del equipo estén al tanto de las expectativas y sepan cómo actuar de manera ética y legal.
En Ecuador, la reciente reforma del Código Orgánico Integral Penal (COIP) ha reconocido la importancia de estos programas y ha establecido una serie de requisitos mínimospara su implementación. A continuación, se explorarán los aspectos clave de estos programas y su relevancia para el entorno empresarial ecuatoriano.
La implementación de programas de cumplimiento en Ecuador es un paso fundamental para promover una cultura empresarial ética y responsable. La reciente reforma del COIP ha reconocido la importancia de estos programas y ha establecido requisitos específicos para su implementación. Cumplir con estos requisitos no solo ayuda a prevenir delitos y atenuar la responsabilidad penal de las personas jurídicas, sino que también contribuye a fortalecer la confianza en el sector empresarial y a mejorar la imagen del país a nivel nacional e internacional.
Sin embargo, es importante destacar que la efectividad de estos programas depende de su correcta implementación y cumplimiento por parte de las organizaciones. No basta con tener un programa de cumplimiento en papel, sino que es necesario garantizar su aplicación efectiva y su monitoreo continuo. Además, se requiere de un enfoque integral que combine la implementación de programas de cumplimiento con una cultura empresarial ética y responsable.
Los programas de cumplimiento en Ecuador, con el tiempo, obtendrán un papel crucial en el desarrollo de un entorno empresarial más seguro y confiable. Si se implementan y cumplen adecuadamente, pueden prevenir delitos, atenuar la responsabilidad penal de las personas jurídicas y fomentar una cultura de cumplimiento en las organizaciones. Tanto las empresas como las autoridades deben comprometerse en promover y supervisar el cumplimiento normativo, con el objetivo de lograr resultados concretos en la prevención y sanción de delitos en el ámbito empresarial.
En resumen, el compliance se va convirtiendo en una pieza fundamental en el ámbito legal y empresarial. Las empresas que implementan programas de compliance efectivos pueden evitar sanciones legales, daños a su reputación y otras consecuencias negativas derivadas del incumplimiento de la ley. Asimismo, el cumplimiento normativo contribuye a crear una cultura empresarial ética, transparente y responsable, fortaleciendo la confianza de los clientes, empleados y socios comerciales en la organización. Como abogados, es nuestra responsabilidad asesorar a nuestros clientes sobre la importancia y beneficios del compliance, y ayudarles a implementar programas de cumplimiento robustos y adaptados a sus necesidades específicas.
Araujo, M. (2014). La nueva teoría del delito económico y empresarial en Ecuador: La responsabilidad penal de las personas jurídicas y el Código Orgánico Integral Penal. Quito: Corporación de Estudios y Publicaciones.
Ayala de la Torre, J. (2016). Claves prácticas Compliance. Madrid: Lefebvre.
Bacigalupo Sagesse, S. (1998). La Responsabilidad penal de las personas jurídicas. Barcelona: Editorial Bosch.
Carnicero, J. (s.f.). Qué es el compliance en derecho y por qué apostar por el cumplimiento normativo.
Código Orgánico Integral Penal. (2014). Registro Oficial Suplemento No. 180 de 10 de febrero de 2014.
Dexia Abogados. (11 de Marzo de 2022). ¿Qué es el compliance penal y para qué sirve?
Ley Orgánica de Prevención, Detección y Erradicación de Delito de Lavado de Activos y Financiamiento de Delitos . (2016). Registro Oficial Suplemento 802, de 21 de julio de 2016.
Ley orgánica reformatoria del Código Orgánico Integral Penal en materia anticorrupción. (2021). Registro Oficial del Ecuador n. 392 de 17 de febrero de 2021.
Puyol, J. (2017). El funcionamiento práctico del canal de compliance Whistleblowing. Valencia: Tirant lo Blanch.
Ramírez, H. (2021). La investigación interna en las empresas.