Santiago Guerra.
En septiembre de 2019, un servidor de Elasticsearch mal configurado expuso 20,8 millones de registros de ecuatorianos, 6,8 millones de ellos de menores de edad. Fue la mayor filtración de datos personales en la historia del país y ocurrió veinte meses antes de que el Ecuador contara con una ley especializada en la protección y libre circulación de datos personales.
La protección de datos nació como una defensa frente a la intromisión de particulares y del Estado en la vida privada: el llamado derecho a ser dejado en paz. La digitalización la ha convertido en algo distinto: el derecho a controlar el flujo de la información personal.
Ecuador se incorporó tarde a una conversación que comenzó en Boston en 1890, adquirió dimensión global con el reglamento europeo adoptado en 2016 y llegó a Quito en 2021. Pese a esa adopción tardía, el país acogió uno de los modelos normativos e institucionales más exigentes del mundo. Este artículo recorre ese camino y plantea una pregunta incómoda: ¿estamos ante un cambio real en la cultura de la privacidad o ante una hiperregulación sin rumbo?
Del derecho a ser dejado en paz a la autodeterminación informativa
El derecho a la privacidad surgió como una respuesta jurídica a los cambios sociales provocados por la tecnología. A finales del siglo XIX, la fotografía instantánea, y en particular la cámara portátil Kodak, facilitó que la prensa se inmiscuyera en la vida privada.
Ese contexto cobró relevancia cuando Samuel Warren contrajo matrimonio con la hija del senador estadounidense Thomas Bayard, acontecimiento que despertó el interés de la prensa y de la alta sociedad de Boston. El uso de cámaras para exponer la vida del joven matrimonio llevó a Warren y a su colega Louis Brandeis a publicar en 1890 el célebre ensayo “The Right to Privacy” en la Harvard Law Review[1].
El ensayo fue uno de los primeros esfuerzos por concebir la privacidad como un derecho autónomo, cuyo núcleo residía en la facultad de exigir que terceros se abstuvieran de intromisiones en la esfera personal: el derecho a ser dejado en paz[2].
En 1960, William Prosser observó que la jurisprudencia estadounidense surgida de aquel ensayo no había configurado un derecho unitario, sino cuatro ilícitos civiles (four torts): la intrusión en la soledad ajena, la divulgación pública de hechos privados, la presentación de una persona ante el público bajo una luz engañosa y la apropiación de su nombre o imagen.
En 1967, Alan Westin dio un paso más al sostener que la privacidad no dependía de una intromisión física. Ante el auge de la vigilancia electrónica y de los bancos de datos, la privacidad pasó a entenderse como la facultad activa de una persona para decidir cuándo, cómo y en qué medida se comunica información sobre ella[3].
Finalmente, en 1983, el Tribunal Constitucional Federal alemán consolidó esta evolución en su sentencia sobre la Ley del Censo, al reconocer el derecho a la autodeterminación informativa como una expresión de la dignidad humana. La privacidad transitó así de la simple exigencia de abstención a una facultad activa sobre la disposición y circulación de la información personal.
Europa: de la discusión conceptual a la regulación
Mientras la doctrina y la jurisprudencia afinaban estos conceptos, Europa los convirtió en regulación. En 1981, el Consejo de Europa adoptó en Estrasburgo el Convenio 108, el primer instrumento internacional vinculante para proteger a las personas frente al tratamiento automatizado de sus datos. Más tarde, la Directiva 95/46/CE procuró armonizar las legislaciones de los Estados miembros de la Unión Europea, y en 2009 la Carta de los Derechos Fundamentales de la Unión reconoció, en su artículo 8, la protección de datos como un derecho autónomo.
Sobre esas bases, la Unión Europea buscó un estándar único que dotara a todos sus miembros de un cuerpo normativo homogéneo. Así nació en 2016 el Reglamento General de Protección de Datos (RGPD), que estandarizó la materia en Europa y, paulatinamente, en el resto del mundo. El nuevo paradigma descansó sobre tres pilares:
- Principios exigibles. Los principios rectores dejaron de ser meros “mandatos de optimización” y pasaron a medirse como obligaciones de resultado que el responsable debe poder demostrar.
- Autoridades independientes. Cada Estado miembro quedó obligado a contar con una autoridad de control independiente, garantía indispensable de los derechos de las personas.
- Sanciones disuasorias. Multas de hasta el 4 % de la facturación anual global buscaron que la protección de datos fuera una realidad material y no una declaración formal.
La llegada al Ecuador
El 26 de mayo de 2021, más de un siglo después de la primera construcción académica de la privacidad, entró en vigencia la Ley Orgánica de Protección de Datos Personales (LOPDP). Con ella, el Ecuador adoptó un modelo fuertemente inspirado en el RGPD y trasladó sus conceptos, principios y obligaciones a un contexto institucional sin una cultura arraigada de protección de la privacidad.
El fundamento de la ley está en la Constitución de 2008, que reconoce entre los derechos de libertad la protección de datos de carácter personal, cuyo tratamiento requiere la autorización del titular o el mandato de la ley4, y que consagra la garantía jurisdiccional de hábeas data como mecanismo de acceso a la información personal5.
Aunque el derecho estaba reconocido desde 2008, no existía una ley que desarrollara su contenido. El detonante político que aceleró la aprobación de un proyecto que llevaba años en trámite fue precisamente la filtración de 2019.
Esa necesidad también quedó reflejada en la sentencia 2064-14-EP/21 de la Corte Constitucional, que meses antes de la publicación de la LOPDP desarrolló el alcance del concepto de dato personal, el derecho a la intimidad y los requisitos del consentimiento. Es, sin duda, una sentencia de lectura obligatoria.
La LOPDP consta de 77 artículos que pueden agruparse en cuatro pilares: i) licitud, ética y transparencia; ii) límites y alcance del tratamiento; iii) integridad y resguardo de los datos; y iv) gobernanza y control institucional.
Sin embargo, su implementación progresiva evidenció que el régimen entró en vigencia de forma prematura. El régimen sancionatorio no fue aplicable sino hasta mayo de 2023, dos años después de la publicación de la ley, y el reglamento se expidió meses más tarde. A ello se suma que, entre 2024 y 2026, la autoridad ha emitido alrededor de 42 resoluciones para desarrollar el contenido de la ley y de su reglamento.
La autoridad de control
Siguiendo el modelo europeo, la LOPDP creó la Superintendencia de Protección de Datos Personales (SPDP) como autoridad de control. Entre sus atribuciones están supervisar el cumplimiento de la ley, atender los reclamos de los titulares, emitir normativa secundaria, absolver consultas y ejercer la potestad sancionadora sobre responsables y encargados, públicos y privados.
En diciembre de 2025, esa potestad dejó de ser teórica: la SPDP impuso sus primeras sanciones administrativas a la Liga Profesional de Fútbol del Ecuador y a la Federación Ecuatoriana de Fútbol. Con ello, el régimen pasó de ser una construcción normativa a tener aplicación efectiva, y el sector empresarial recibió una señal clara.
Los titulares: a quién protege la ley
La normativa protege los datos de las personas naturales y excluye de la titularidad a las personas jurídicas. Las instituciones públicas y las compañías privadas, en tanto ficciones jurídicas, no pueden alegar la vulneración de su derecho a la protección de datos personales.
Uno de los cambios más relevantes para el titular fue el nuevo paradigma del consentimiento. Se dejó atrás el formulario firmado y desvinculado de la información necesaria para comprender el tratamiento; ahora se exige una manifestación de voluntad libre, específica, informada e inequívoca. El consentimiento, además, convive con otras bases de legitimación previstas en la ley.
A ello se suma un catálogo de derechos concebidos como herramientas prácticas: acceso, rectificación, eliminación, oposición y portabilidad, además del más contemporáneo, que responde al uso de la inteligencia artificial: el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas.
La ley establece también una protección reforzada para los datos sensibles, como los de salud, biométricos, genéticos, de convicción religiosa u orientación sexual, y para los datos de niños, niñas y adolescentes. Su tratamiento exige, por regla general, un consentimiento válido en los términos descritos.
Los responsables: donde el derecho se convierte en obligación
El ecosistema del tratamiento de datos tiene tres actores principales: el titular, la autoridad y el responsable del tratamiento. Este último será, en la mayoría de los casos, una empresa u organización pública o privada.
Su posición no es meramente formal: a cada derecho del titular le corresponde una obligación concreta que debe ejecutarse, financiarse, supervisarse y documentarse. Todo derecho reconocido se traduce, para el responsable, en una carga organizativa que demanda recursos, procedimientos, decisiones y evidencia de cumplimiento.
La mayoría de las compañías ecuatorianas carece de una cultura de gobernanza sobre los datos que maneja en el giro ordinario de su negocio. Muchas desconocen qué datos personales utilizan, cómo lo hacen y con qué fin. Lejos de afectar solo a sus indicadores de eficiencia, esa omisión configura incumplimientos de obligaciones de medios y de resultado que la ley sanciona.
Entre las obligaciones de los responsables destacan tres: i) legitimar correctamente cada tratamiento; ii) mantener actualizado el registro de actividades de tratamiento; y iii) evaluar el impacto que dichos tratamientos pueden tener sobre los derechos de los titulares.
El primer paso es determinar si la compañía actúa como responsable o como encargado, pues sus obligaciones difieren sustancialmente. Es responsable quien define la finalidad del tratamiento; es encargado quien lo realiza por cuenta del responsable.
Dentro de la estructura del responsable, el delegado de protección de datos adquiere especial relevancia. En los supuestos previstos por la ley, su designación no es facultativa, sino una obligación cuyo incumplimiento puede ser sancionado. Los requisitos de formación, independencia y registro ante la SPDP convierten al delegado en una condición formal de cumplimiento y, a la vez, en un filtro para que las decisiones de la gerencia supongan la menor injerencia posible en los derechos de los titulares.
Conclusión: ¿cambio cultural o hiperregulación?
La protección de datos personales nació de la necesidad de contrarrestar la injerencia de terceros en la esfera más íntima de la vida privada. Esa necesidad se ha vuelto global, impulsada por tecnologías que facilitan cada vez más la intromisión.
Su evolución tomó forma en los tribunales y parlamentos de Europa y culminó, en nuestro caso, en una ley orgánica que intenta incorporar aceleradamente los parámetros europeos en un país sin una cultura significativa de respeto por la privacidad. Cabe preguntarnos, entonces: ¿la adopción del estándar más exigente que existe representa un cambio real en la manera en que los ecuatorianos entienden y protegen su privacidad? ¿O se trata simplemente de una hiperregulación sin rumbo?
[1] Warren, S. D. y Brandeis, L. D. (1890). “The Right to Privacy”. Harvard Law Review, 4(5), 193-220.
[2] La fórmula “the right to be let alone” no es de Warren y Brandeis. Estos la tomaron, con cita expresa, del juez estadounidense Thomas M. Cooley, quien la empleó dos años antes en su obra A Treatise on the Law of Torts (2.ª ed., 1888). Warren y Brandeis retomaron la expresión de Cooley para darle, por primera vez, un desarrollo doctrinal sistemático como fundamento de un derecho autónomo a la privacidad
[3] Esta definición corresponde a Alan F. Westin y no a William L. Prosser, cuyo trabajo se reseña en el párrafo anterior. Westin, Alan F. Privacy and Freedom. Nueva York: Atheneum, 1967, p. 7 (Capítulo 1, “Functions of Privacy”, primer párrafo): “Privacy is the claim of individuals, groups, or institutions to determine for themselves when, how, and to what extent information about them is communicated to others”.