La información personal se ha convertido en un activo esencial para empresas, instituciones públicas y plataformas digitales. Cada compra electrónica, aplicación móvil, servicio financiero o interacción en redes sociales puede generar información susceptible de identificar, clasificar o perfilar a una persona. Por esta razón, la protección de datos ya no puede entenderse únicamente como protección de la intimidad: supone también otorgar a los individuos capacidad de decisión y control sobre el tratamiento de su información.
En Ecuador, este derecho encuentra fundamento constitucional y ha sido desarrollado principalmente mediante la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en 2021. La norma establece principios, derechos, obligaciones y mecanismos destinados a garantizar la protección de la información personal durante todo su ciclo de vida. Asamblea Nacional del Ecuador Consultar la Ley Orgánica de Protección de Datos Personales
Sin embargo, la transformación tecnológica obliga a ampliar la discusión. Actualmente no basta con conocer quién almacena los datos: es necesario analizar para qué se recopilan, durante cuánto tiempo se conservan, qué proveedores pueden acceder a ellos, si atraviesan fronteras y qué algoritmos intervienen en su utilización. La protección de datos se transforma así en un problema de gobernanza del riesgo digital.
Un dato personal es toda información que permite identificar o hacer identificable, directa o indirectamente, a una persona. Esto comprende información evidente —nombre, identificación, dirección o correo electrónico—, pero también identificadores digitales, registros de ubicación, comportamientos y combinaciones de información capaces de individualizar a alguien.
La protección aumenta cuando se utilizan datos sensibles o categorías especialmente protegidas, porque su explotación puede generar consecuencias especialmente graves. Información relacionada con salud, biometría, genética, orientación sexual, origen étnico o determinados grupos vulnerables exige controles reforzados. La legislación ecuatoriana diferencia además las categorías de información al momento de evaluar el nivel de riesgo de un tratamiento. Superintendencia de Datos
Sobre estas categorías operan principios esenciales: licitud, transparencia, finalidad, pertinencia, proporcionalidad, minimización, seguridad y responsabilidad proactiva. La consecuencia práctica es importante: que una organización pueda recopilar información no significa que pueda utilizarla indefinidamente o para cualquier propósito. La finalidad debe encontrarse determinada y el tratamiento debe limitarse a aquello que resulte necesario.
El régimen ecuatoriano se estructura principalmente sobre la LOPDP y su Reglamento General, expedido mediante Decreto Ejecutivo 904 en noviembre de 2023. Registro Oficial Consultar el Reglamento General de la LOPDP A este marco se ha incorporado progresivamente normativa secundaria expedida por la Superintendencia de Protección de Datos Personales (SPDP).
Particularmente relevante ha sido la regulación adoptada durante 2026. La SPDP ha expedido normas sobre transferencias nacionales e internacionales, tratamientos a gran escala, biometría, vulneraciones de seguridad y sistemas de inteligencia artificial. La Resolución SPDP-SPD-2026-0009-R, posteriormente reformada, establece reglas específicas para organizaciones que desarrollen, entrenen, implementen o utilicen sistemas de IA que traten datos de titulares ecuatorianos. Superintendencia de Datos Consultar las resoluciones de la SPDP
En el plano internacional, el principal referente continúa siendo el Reglamento General de Protección de Datos de la Unión Europea (RGPD). El Reglamento (UE) 2016/679 consolidó conceptos como responsabilidad proactiva, minimización, protección desde el diseño, evaluaciones de impacto y portabilidad. EUR-Lex Consultar el Reglamento General de Protección de Datos Esta convergencia demuestra que la protección de datos funciona cada vez menos como una cuestión puramente territorial y más como una disciplina vinculada con ecosistemas digitales transfronterizos.
Los titulares poseen derechos que les permiten recuperar cierto grado de control sobre la información que circula sobre ellos. Entre estos se encuentran el acceso, rectificación, actualización, eliminación, oposición y portabilidad, además de garantías relacionadas con decisiones automatizadas. La tradicional denominación ARCO sigue siendo útil como referencia comparada, aunque las legislaciones contemporáneas han ampliado considerablemente el catálogo de derechos.
Del otro lado aparecen las obligaciones de responsables y encargados. Las organizaciones deben justificar jurídicamente sus tratamientos, adoptar medidas administrativas y tecnológicas de seguridad, controlar a sus proveedores, atender derechos, documentar sus operaciones y evaluar los riesgos asociados con determinados tratamientos. La responsabilidad proactiva cambia la pregunta tradicional: ya no basta con afirmar que se cumple la normativa, sino que debe ser posible demostrar cómo se cumple.
Esta lógica resulta especialmente importante frente a una vulneración de seguridad. Una brecha puede generar fraude, robo de identidad, suplantaciones, campañas de phishing o exposición de información sensible. Por ello, gestionar datos personales implica gestionar también las consecuencias que su pérdida, alteración o divulgación podría generar sobre las personas.
La inteligencia artificial introduce una nueva capa de complejidad. Los sistemas pueden procesar enormes cantidades de información, generar inferencias, elaborar perfiles y participar en decisiones automatizadas. El European Data ProtectionBoard (EDPB) ha examinado específicamente cuestiones como la utilización de datos personales para desarrollar modelos, la anonimización y la aplicación del interés legítimo en su Opinión 28/2024 sobre modelos de IA. Junta Europea de Protección de Datos Consultar la Opinión 28/2024 del EDPB sobre IA y datos personales
El riesgo tampoco procede únicamente de la utilización legítima de IA. En septiembre de 2026, la Agencia Española de Protección de Datos informó sobre la primera notificación recibida en España de una brecha en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. La documentación analizada describe una secuencia que incluyó identificación de vulnerabilidades, utilización de credenciales válidas, exploración autónoma y posterior acceso o modificación de información. La AEPD ha utilizado posteriormente el caso para advertir sobre la capacidad de la IA ofensiva para acelerar los ataques y reducir los tiempos disponibles para responder. Agencia Española de Protección de DatosConsultar el análisis de la AEPD sobre IA y brechas de datos
Existe además otro riesgo menos visible: la cadena de suministro de datos. Servicios en la nube, CRM, call centers, plataformas publicitarias y proveedores tecnológicos pueden intervenir en un mismo tratamiento. El documento aportado para este análisis examina precisamente un incidente mexicano relacionado con la oferta de aproximadamente 12,9 millones de registros y las dificultades para determinar el origen dentro de una cadena de proveedores. La lección jurídica resulta particularmente relevante: externalizar un servicio no equivale a externalizar automáticamente la responsabilidad sobre los datos.
Uno de los mayores problemas del ecosistema digital es considerar que el consentimiento resuelve por sí mismo cualquier tratamiento. La acumulación de políticas de privacidad, banners y casillas de aceptación puede producir una apariencia formal de control sin garantizar una verdadera comprensión de las consecuencias. Por ello, la legitimidad debe analizarse conjuntamente con necesidad, finalidad, proporcionalidad y transparencia.
La inteligencia artificial hace todavía más evidente esta limitación. Resulta necesario determinar qué datos alimentan un sistema, qué inferencias produce, qué decisiones puede adoptar y qué consecuencias genera sobre los individuos. La regulación ecuatoriana específica sobre sistemas de IA responde precisamente a esa necesidad de trasladar los principios tradicionales de protección de datos a tecnologías capaces de operar de manera automatizada. Superintendencia de Datos
La discusión contemporánea, por tanto, no debería plantearse como una confrontación entre innovación y privacidad. El verdadero desafío consiste en diseñar tecnologías y modelos empresariales donde el tratamiento de datos sea jurídicamente legítimo, técnicamente seguro y proporcional al objetivo perseguido.
La protección de datos personales ha dejado de ser una obligación periférica para convertirse en un elemento estructural de la transformación digital. Inteligencia artificial, automatización, servicios en la nube y ecosistemas de terceros amplían las posibilidades de utilización de la información, pero también incrementan la superficie de riesgo.
El cumplimiento efectivo exige integrar protección desde el diseño, análisis de riesgos, controles de seguridad, gestión contractual, ejercicio de derechos y documentación. Una política de privacidad o una casilla de consentimiento pueden formar parte del sistema, pero difícilmente pueden sustituir una arquitectura integral de gobernanza.
En este escenario, la principal transformación es conceptual: proteger datos no significa impedir su utilización, sino establecer las condiciones jurídicas y técnicas para utilizarlos responsablemente. La confianza digital dependerá cada vez más de la capacidad de las organizaciones para demostrar que innovación y protección de derechos forman parte del mismo diseño.
Asamblea Nacional del Ecuador. (2021). Ley Orgánica de Protección de Datos Personales. Registro Oficial No. 459, Quinto Suplemento, 26 de mayo de 2021. Ley Orgánica de Protección de Datos Personales — fuente oficial
Presidencia de la República del Ecuador. (2023). Reglamento General de la Ley Orgánica de Protección de Datos Personales. Decreto Ejecutivo No. 904, Registro Oficial No. 435. Reglamento General de la LOPDP — Registro Oficial
Superintendencia de Protección de Datos Personales. (2026). Resolución N.º SPDP-SPD-2026-0009-R: Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial, y normativa secundaria relacionada. Repositorio oficial de resoluciones de la SPDP
Parlamento Europeo y Consejo de la Unión Europea. (2016). Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. EUR-Lex. Texto oficial del RGPD en español
European Data Protection Board. (2024). Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models. EDPB. Opinión 28/2024 sobre IA y datos personales
Agencia Española de Protección de Datos. (2026). Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA e IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos. AEPD. Publicaciones de la AEPD sobre IA y brechas de datos
La Agencia Nacional de Protección de Datos de Brasil (ANPD) impuso el 25 de agosto de 2026 una multa de R$ 153,7 millones a ByteDance, controladora de TikTok, tras identificar cinco infracciones relacionadas con el tratamiento de datos personales de niños y adolescentes. La decisión también ordenó eliminar datos recolectados irregularmente y avanzar con un plan de conformidad destinado a modificar determinadas prácticas de la plataforma.
Sin embargo, el aspecto más relevante para las empresas no está únicamente en la cuantía de la sanción. La autoridad brasileña sostuvo que los mecanismos implementados por TikTok no habían sido suficientes para impedir el tratamiento irregular desde el origen y, especialmente, que faltaban evidencias concretas sobre la efectividad de las medidas técnicas y organizativas adoptadas.
Ahí aparece una cuestión que trasciende el caso brasileño: ¿qué ocurre cuando una empresa tiene controles de privacidad, pero no puede demostrar que funcionan?
La investigación analizó tanto el acceso a TikTok sin registro como el proceso de creación de cuentas. En ambos escenarios, la ANPD determinó que existían tratamientos de datos de niños y adolescentes sin una hipótesis legal adecuada y deficiencias en las medidas destinadas a prevenir esos tratamientos.
El documento analizado destaca precisamente esa brecha entre el cumplimiento declarado y su ejecución: las herramientas para verificar edad y gestionar adecuadamente el acceso de menores resultaron insuficientes, por lo que la discusión terminó desplazándose desde la existencia formal del control hacia su efectividad práctica.
Esto cambia la lógica tradicional del compliance. Una política que establece que determinada plataforma no admite usuarios menores de cierta edad tiene poco valor regulatorio si el diseño del servicio permite que esos usuarios ingresen, sean perfilados o generen información antes de que el control actúe.
La ANPD no exigió únicamente que ByteDance dijera qué medidas había adoptado. El procedimiento puso énfasis en la capacidad de acreditar resultados.
Esta idea tiene una conexión especialmente relevante con Ecuador. La LOPDP establece el principio de responsabilidad proactiva y demostrada, según el cual el responsable debe acreditar la implementación de mecanismos de protección y revisar continuamente su eficacia.
La propia Ley va más allá: exige procesos continuos de verificación, evaluación y valoración de la eficiencia, eficacia y efectividad de las medidas implementadas. También obliga a evidenciar que las medidas adoptadas mitigan adecuadamente los riesgos identificados.
Por ello, para una empresa ecuatoriana, la pregunta ya no debería ser únicamente “¿tenemos un procedimiento?”, sino también “¿qué evidencia tenemos de que ese procedimiento funciona?”.
El caso TikTok demuestra además que verificar la edad no puede reducirse a una casilla o declaración del usuario. La investigación brasileña cuestionó precisamente la fragilidad de mecanismos que permitían que niños accedieran a servicios que formalmente no estaban dirigidos a ellos. La Nota Técnica de la ANPD incluso destacó que el uso sin registro permitía tratamiento a gran escala, incluyendo datos de menores.
Las medidas posteriores son reveladoras: configuraciones más restrictivas para menores de 16 años, fortalecimiento de la supervisión parental, reducción de datos tratados y suspensión de publicidad en el acceso sin registro.
No son simples cambios en una política de privacidad. Son modificaciones sobre funcionalidades, monetización, personalización y arquitectura del servicio.
La decisión brasileña no constituye una regla aplicable automáticamente en Ecuador. Sin embargo, resulta relevante como referencia comparada porque la normativa ecuatoriana también impone una protección reforzada.
La LOPDP considera los datos de niñas, niños y adolescentes como una categoría especial de datos personales. El Reglamento General establece, además, que para menores de 15 años el tratamiento requiere el consentimiento de su representante legal; desde los 15 años, el adolescente puede otorgar consentimiento explícito bajo determinadas condiciones de información y comprensión. El consentimiento tampoco puede menoscabar el interés superior del niño.
Hay otra consecuencia empresarial importante: cuando existe tratamiento a gran escala de categorías especiales de datos, la LOPDP contempla la evaluación de impacto como obligatoria.
Una aplicación, plataforma educativa, servicio digital, programa de fidelización o sistema de perfilamiento utilizado masivamente por menores debería, por tanto, analizar estos riesgos desde su propia arquitectura y no únicamente desde sus términos y condiciones.
La principal lección del caso TikTok es que una empresa necesita construir un expediente de cumplimiento antes de que lo solicite una autoridad.
Esto implica poder demostrar, por ejemplo, cómo funciona la verificación de edad; qué porcentaje de accesos irregulares detecta; cómo se revisan los controles; qué datos se recogen antes de identificar al usuario; cómo se configura la privacidad por defecto; qué pruebas se realizan sobre sistemas de perfilamiento; cuándo se eliminan los datos y qué decisiones fueron tomadas después de detectar fallas.
El cambio estratégico es importante: la protección de datos deja de evaluarse por la existencia de documentos y empieza a evaluarse por la capacidad de probar resultados.
Para las empresas ecuatorianas que tratan información de menores, conviene revisar no solo políticas y consentimientos, sino también flujos tecnológicos, métricas de efectividad, mecanismos de supervisión, evaluaciones de impacto y evidencia interna. Un programa de cumplimiento sólido debe poder responder no solo qué controles existen, sino por qué la organización considera que esos controles realmente protegen a los titulares.