Un número de cédula, una dirección, información financiera, datos médicos o incluso el teléfono de un cliente pueden parecer registros cotidianos dentro de una empresa. Cuando esa información queda expuesta, se comparte sin una justificación válida o termina en manos equivocadas, el problema puede superar rápidamente el ámbito tecnológico.

En Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) protege el derecho de las personas a decidir sobre el uso de su información y obliga a quienes la administran a implementar medidas adecuadas de seguridad. La norma se encuentra vigente desde 2021 y cuenta con su Reglamento General desde 2023.

La consecuencia para una organización puede involucrar investigaciones administrativas, medidas correctivas, multas y, dependiendo de lo ocurrido con la información, eventuales responsabilidades en otras vías legales.

¿Cuándo existe un problema con los datos personales?

La protección comienza desde algo esencial: identificar qué información permite reconocer directa o indirectamente a una persona.

Nombres, correos electrónicos, direcciones, números de identificación y determinados registros financieros forman parte de este universo. Existen además categorías que requieren especial atención por su sensibilidad, como información relacionada con salud, genética o biometría.

El riesgo tampoco aparece únicamente después de un ciberataque.

Una empresa puede exponerse cuando utiliza información para una finalidad diferente a aquella para la que fue recopilada, mantiene accesos internos innecesarios, comparte bases de clientes sin una base legitimadora o conserva datos durante más tiempo del requerido.

La LOPDP exige, entre otros aspectos, informar al titular sobre la finalidad del tratamiento, su base legal, el período de conservación, posibles transferencias y los mecanismos disponibles para ejercer sus derechos.

Una filtración puede convertirse en un riesgo para la persona

En el contexto actual de seguridad, conocer determinados datos de una persona puede facilitar intentos de suplantación, ingeniería social, fraude o extorsión.

Por eso, la discusión va mucho más allá de la privacidad.

Una organización que almacena información de clientes, trabajadores o proveedores adquiere una responsabilidad sobre su custodia. La propia LOPDP establece que responsables y encargados deben implementar medidas organizativas y técnicas adecuadas para proteger los datos frente a riesgos, amenazas y vulnerabilidades.

Esto vuelve especialmente importantes prácticas como controlar privilegios de acceso, revisar periódicamente las bases de datos, establecer políticas de conservación, gestionar incidentes y evaluar los riesgos asociados a cada tratamiento.

El costo de una gestión deficiente puede ser significativo

Para las empresas privadas y empresas públicas, las infracciones leves pueden generar multas equivalentes a entre 0,1 % y 0,7 % del volumen de negocio del ejercicio económico anterior.

Cuando se configura una infracción grave, la sanción puede ubicarse entre 0,7 % y 1 % del volumen de negocio. La autoridad considera factores como intencionalidad, reiteración, naturaleza del perjuicio y reincidencia para establecer la sanción correspondiente.

Y estas disposiciones ya tienen aplicación práctica.

En enero de 2026, la Superintendencia de Protección de Datos Personales (SPDP) informó una sanción de USD 95.502,63 a LigaPro relacionada con el tratamiento de datos biométricos mediante FAN ID. La autoridad determinó incumplimientos vinculados con la protección de datos desde el diseño y por defecto y dispuso, además de la multa, el rediseño de la solución.

Es una señal clara para el sector empresarial: la protección de datos dejó de permanecer únicamente en el papel.

¿Qué ocurre si una empresa sufre un incidente?

Un ataque exitoso no significa automáticamente que una organización haya actuado con negligencia.

La diferencia puede encontrarse en lo que hizo antes del incidente.

Una empresa capaz de demostrar análisis de riesgos, controles de acceso, protocolos internos, medidas de seguridad, capacitación y procedimientos de respuesta se encuentra en una situación distinta de aquella que nunca evaluó cómo protegía la información bajo su responsabilidad.

De hecho, la SPDP actualizó en marzo de 2026 su Guía de Gestión de Riesgos y Evaluación de Impacto del Tratamiento de Datos Personales, reforzando precisamente el enfoque preventivo que deben adoptar las organizaciones. 

Que un dato sea público no significa que pueda utilizarse para cualquier cosa

Este punto resulta especialmente relevante para las empresas.

Encontrar información en registros públicos no elimina automáticamente las obligaciones relacionadas con su tratamiento. Deben analizarse la finalidad para la cual esa información fue publicada, la base jurídica utilizada para tratarla posteriormente y los principios establecidos por la normativa.

Una cosa es consultar información necesaria para verificar determinados antecedentes empresariales; otra muy diferente es construir una base de datos, reutilizarla y explotarla comercialmente sin analizar si existe legitimación para hacerlo.

El principio de transparencia debe convivir con el derecho a la protección de los datos personales.

La prevención empieza antes de una filtración

Esperar a que ocurra un incidente para revisar cómo se administran los datos puede resultar demasiado tarde.

Para una empresa, implementar correctamente la LOPDP implica conocer qué datos posee, dónde están almacenados, quién puede acceder a ellos, para qué se utilizan, cuánto tiempo se conservan y con quién se comparten.

Ese diagnóstico permite detectar brechas y establecer controles proporcionales al riesgo real de cada organización.

La protección de datos personales se ha convertido así en una cuestión de cumplimiento, reputación y seguridad. Una base de datos puede representar un activo valioso para una compañía; administrarla deficientemente también puede convertirla en una de sus mayores vulnerabilidades.

Protegerla significa proteger a las personas que confiaron su información y, al mismo tiempo, preservar la continuidad y confianza de la propia empresa.

Fuente: Diario Expreso