Resolución. RESOLUCIÓN No. SPDP-SPD-2025-0003-R

Año I - Nº 41 - 125 páginas

Quito, lunes 19 de mayo de 2025

Cu

ar

to Su

pleme

nt

o

SUPERINTENDENCIA

DE PROTECCIÓN DE DATOS

PERSONALES

RESOLUCIÓN

No. SPDP-SPD-2025-0003-R

SE EXPIDE LA GUÍA DE

GESTIÓN DE RIESGOS Y

EVALUACIÓN DE IMPACTO

DEL TRATAMIENTO DE DATOS

PERSONALES

Cuarto Suplemento Nº 41 - Registro Oficial

2

Lunes 19 de mayo de 2025

RESOLUCIÓN Nº SPDP-SPD-2025-0003-R

Página 1 de 5

RESOLUCIÓN Nº SPDP-SPD-2025-0003-R

EL SUPERINTENDENTE DE PROTECCIÓN DE DATOS PERSONALES

CONSIDERANDO:

Que el numeral 19 del artículo 66 de la Constitución de la República del Ecuador garantiza y

reconoce a las personas “[e]l derecho a la protección de datos de carácter personal, que incluye el

acceso y la decisión sobre información y datos de este carácter, así como su correspondiente

protección (…)”;

Que el artículo 1 de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) declara, como

su objetivo y finalidad, “(…) garantizar el ejercicio del derecho de protección de datos personales,

que incluye el acceso y decisión sobre información y datos de ese carácter, así como su

correspondiente protección (…)”;

Que a través de la LOPDP se creó la Superintendencia de Protección de Datos Personales,

(“SPDP”), como un órgano de control, con potestad sancionatoria, de administración desconcentrada,

con personalidad jurídica y autonomía administrativa, técnica, operativa y financiera, cuyo máximo

titular es, de acuerdo con el inciso primero del artículo 76 ídem, el Superintendente de Protección de

Datos Personales;

Que el artículo 40 de la LOPDP determina “(…) [p]ara el análisis de riesgos, (…) el responsable

y el encargado del tratamiento de los datos personales deberán utilizar una metodología que

considere, entre otras: 1) Las particularidades del tratamiento; 2) Las particularidades de las partes

involucradas; y, 3) Las categorías y el volumen de datos personales objeto de tratamiento”;

Que, por un lado, el artículo 42 de la LOPDP exige al responsable del tratamiento de datos realizar

“(…) una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la

probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo

para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales

lo requiera”; y, por otro, determina que [l]a evaluación de impacto relativa a la protección de los

datos será de carácter obligatoria en caso de: a) Evaluación sistemática y exhaustiva de aspectos

personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de

perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas

naturales; b) Tratamiento a gran escala de las categorías especiales de datos, o de los datos

personales relativos a condenas e infracciones penales, o c) Observación sistemática a gran escala

de una zona de acceso público. (…)”;

Que el artículo 29 del Reglamento General de la Ley Orgánica de Protección de Datos Personales,

(RGLOPDP), respecto a la evaluación de impacto señala que “(…) consiste en un análisis preventivo,

de naturaleza técnica, mediante el cual el responsable valora los impactos reales del tratamiento de

datos personales, a efecto de identificar y mitigar posibles riesgos relacionados con el cumplimiento

de los principios y el respeto de los derechos y de las obligaciones establecidas en la Ley Orgánica

de Protección de Datos Personales, este Reglamento y demás normativa aplicable”;

Que el artículo 30 del RGLOPDP establece que “(…) La evaluación de impacto tiene por objeto:

1. Identificar y describir los riesgos potenciales y probables de determinados tratamientos de datos

personales;2. Describir las acciones concretas para la gestión de los riesgos identificados; 3. Actuar

de forma preventiva en el cumplimiento de las obligaciones establecidas en la Ley, su Reglamento y

demás normativa aplicable; y, 4. Propiciar lineamientos para la construcción de una cultura

preventiva de la protección de datos personales de la organización”;

Que el artículo 31 del RGLOPDP señala que “(…) [l]as evaluaciones de impacto del tratamiento

de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse de forma previa

al inicio del tratamiento de datos personales (…)”;

Que el artículo 32 del RGLOPDP prevé que “(…) [e]n los casos en que sea obligatoria, la

evaluación de impacto será presentada ante la Autoridad de Protección de Datos Personales y

contendrá, al menos, lo siguiente: 1. La descripción sistemática de las operaciones de tratamiento y

las finalidades de ese tratamiento; 2. La justificación de la necesidad de llevar a cabo esas

Registro Oficial - Cuarto Suplemento Nº 41

3

Lunes 19 de mayo de 2025

RESOLUCIÓN Nº SPDP-SPD-2025-0003-R

Página 2 de 5

operaciones de tratamiento, así como su proporcionalidad con respecto de la finalidad; 3. La

evaluación de riesgos a los derechos y libertades de los titulares; y, 4. Las medidas previstas para

hacer frente a los riesgos, las garantías, medidas de seguridad y mecanismos destinados a

salvaguardar y demostrar el respeto al derecho de los titulares a la protección de sus datos

personales. La información otorgada en virtud de los numerales precedentes debe limitarse a la que

sea necesaria para respaldar la evaluación y no incluir detalles potencialmente confidenciales

relacionados con las implementaciones de seguridad o la información confidencial”;

Que el numeral 5 del artículo 76 de la LOPDP dispone que “(…) [l]a Autoridad de Protección

de Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los

ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias para

que se respeten los principios, derechos, garantías y procedimientos previstos en la presente Ley y

en su reglamento de aplicación, para lo cual le corresponde las siguientes funciones, atribuciones y

facultades: (…) 5) Emitir normativa general o técnica, criterios y demás actos que sean necesarios

para el ejercicio de sus competencias y la garantía del ejercicio del derecho a la protección de datos

personales (…)”;

Que el numeral 16 del artículo 76 de la LOPDP le confiere a la SPDP funciones, atribuciones y

facultades para “(…) [p]romover e incentivar el ejercicio del derecho a la protección de datos

personales, así como la concientización en las personas y la comprensión de los riesgos, normas,

garantías y derechos, en relación con el tratamiento y uso de sus datos personales, con especial

énfasis en actividades dirigidas a grupos de atención prioritaria tales como niñas niños y

adolescentes (…)”;

Que el numeral 7 del artículo 80 del RGLOPDP prescribe que “(…) [l]a Autoridad de Protección

de Datos Personales, además de las [atribuciones] señaladas en la Ley de la materia, tendrá las

siguientes: (…) 7. Emitir guías de referencias que ayuden a los responsables y encargados del

tratamiento de datos en el proceso de adecuación y cumplimiento de la normativa de protección de

datos personales (…)”;

Que mediante resolución Nº SPDP-SPDP-2024-0001-R, publicada en el Tercer Suplemento del

Registro Oficial Nº 624 de agosto 19 de 2024, se aprobó el Estatuto Orgánico de Gestión

Organizacional por Procesos de Arranque de la SPDP (“Estatuto SPDP”);

Que el artículo 1 del Estatuto SPDP, en su Anexo 1, declara que “[l]a Superintendencia de

Protección de Datos Personales se alinea con su...