Resolución RESOLUCIÓN No. SPDP-SPD-2026-0012-R

Año II - Nº 254 - 124 páginas

Quito, lunes 30 de marzo de 2026

Su

pleme

nt

o

SUPERINTENDENCIA DE PROTECCIÓN

DE DATOS PERSONALES

RESOLUCIÓN

No. SPDP-SPD-2026-0012-R

SE EXPIDE LA GUÍA DE GESTIÓN DE

RIESGOS Y EVALUACIÓN DE IMPACTO

DEL TRATAMIENTO

DE DATOS PERSONALES, SEGUNDA

VERSIÓN (V.2)

Suplemento Nº 254 - Registro Oficial

2

Lunes 30 de marzo de 2026

RESOLUCIÓN Nº SPDP-SPD-2026-0012-R

Página

1 de 4

RESOLUCIÓN Nº SPDP-SPD-2026-0012-R

EL SUPERINTENDENTE DE PROTECCIÓN DE DATOS PERSONALES

CONSIDERANDO:

Que el numeral 19 del artículo 66 de la Constitución de la República del Ecuador (“CRE”)

les garantiza y reconoce a las personas “[e]l derecho a la protección de datos de carácter

personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así

como su correspondiente protección (…)”;

Que el artículo 92 de la CRE consagra el derecho de toda persona a conocer de la existencia

de sus datos personales en archivos públicos o privados, así como a solicitar su acceso gratuito,

actualización, rectificación, eliminación o anulación, especialmente tratándose de datos

sensibles, con la adopción de las medidas de seguridad necesarias;

Que el artículo 213 de la CRE establece que “[l]as superintendencias son organismos

técnicos de vigilancia, auditoría, intervención y control de las actividades económicas, sociales

y ambientales, y de los servicios que prestan las entidades públicas y privadas, con el propósito

de que estas actividades y servicios se sujeten al ordenamiento jurídico y atiendan al interés

general (…)”; que forman parte de la Función de Transparencia y Control Social; y que,

conforme lo dispone el artículo 204 ídem, detentan “personalidad jurídica y autonomía

administrativa, financiera, presupuestaria y organizativa (…)”;

Que a través de la Ley Orgánica de Protección de Datos Personales (“LOPDP”) se creó la

Superintendencia de Protección de Datos Personales (“SPDP”) como un órgano de control, con

potestad sancionatoria, de administración desconcentrada, con personalidad jurídica y

autonomía administrativa, técnica, operativa y financiera, cuyo máximo titular es, de acuerdo

con el inciso primero del artículo 76 ídem, el Superintendente de Protección de Datos Personales;

Que el artículo 1 de la LOPDP declara como su objetivo y finalidad “garantizar el ejercicio

del derecho de protección de datos personales, que incluye el acceso y decisión sobre

información y datos de ese carácter, así como su correspondiente protección (...)”;

Que el inciso primero del artículo 76 de la LOPDP establece que “[l]a [Superintendencia de]

Protección de Datos Personales es el órgano de control y vigilancia encargado de garantizar a

todos los ciudadanos la protección de sus datos personales, y de realizar todas las acciones

necesarias para que se respeten los principios, derechos, garantías y procedimientos previstos

en la [Ley Orgánica de Protección de Datos Personales]”;

Que el numeral 5 de ese mismo artículo 76 de la LOPDP le confiere a la SPDP funciones,

atribuciones y facultades para “[e]mitir normativa general o técnica, criterios y demás actos

que sean necesarios para el ejercicio de sus competencias y la garantía del ejercicio del derecho

a la protección de datos personales”;

Que el artículo 40 de la LOPDP determina “(…) [p]ara el análisis de riesgos, (…) el

responsable y el encargado del tratamiento de los datos personales deberán utilizar una

metodología que considere, entre otras: 1) Las particularidades del tratamiento; 2) Las

particularidades de las partes involucradas; y, 3) Las categorías y el volumen de datos

personales objeto de tratamiento”;

Que, por un lado, el artículo 42 de la LOPDP exige al responsable del tratamiento de datos

realizar “(…) una evaluación de impacto del tratamiento de datos personales cuando se haya

identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines,

conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de

Protección de Datos Personales lo requiera”; y, por otro, determina que [l]a evaluación de

impacto relativa a la protección de los datos será de carácter obligatoria en caso de: a)

Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en

Registro Oficial - Suplemento Nº 254

3

Lunes 30 de marzo de 2026

RESOLUCIÓN Nº SPDP-SPD-2026-0012-R

Página

2 de 4

un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen

decisiones que produzcan efectos jurídicos para las personas naturales; b) Tratamiento a gran

escala de las categorías especiales de datos, o de los datos personales relativos a condenas e

infracciones penales, o c) Observación sistemática a gran escala de una zona de acceso público.

(…)”;

Que el artículo 29 del Reglamento General de la Ley Orgánica de Protección de Datos

Personales, (“RGLOPDP”), respecto a la evaluación de impacto señala que “(…) consiste en un

análisis preventivo, de naturaleza técnica, mediante el cual el responsable valora los impactos

reales del tratamiento de datos personales, a efecto de identificar y mitigar posibles riesgos

relacionados con el cumplimiento de los principios y el respeto de los derechos y de las

obligaciones establecidas en la Ley Orgánica de Protección de Datos Personales, este

Reglamento y demás normativa aplicable”;

Que el artículo 30 del RGLOPDP establece que “(…) La evaluación de impacto tiene por

objeto: 1. Identificar y describir los riesgos potenciales y probables de determinados

tratamientos de datos personales;2. Describir las acciones concretas para la gestión de los

riesgos identificados; 3. Actuar de forma preventiva en el cumplimiento de las obligaciones

establecidas en la Ley, su Reglamento y demás normativa aplicable; y, 4. Propiciar lineamientos

para la construcción de una cultura preventiva de la protección de datos personales de la

organización”;

Que el artículo 31 del RGLOPDP señala que “(…) [l]as evaluaciones de impacto del

tratamiento de datos serán obligatorias en los casos establecidos en la Ley y deberán realizarse

de forma previa al inicio del tratamiento de datos personales (…)”;

Que el artículo 32 del RGLOPDP prevé que “(…) [e]n los casos en que sea obligatoria, la

evaluación de impacto será presentada ante la Autoridad de Protección de Datos Personales y

contendrá, al menos, lo siguiente: 1. La descripción sistemática de las operaciones de

tratamiento y las finalidades de ese tratamiento; 2. La justificación de la necesidad de llevar a

cabo esas operaciones de tratamiento, así como su proporcionalidad con respecto de la

finalidad; 3. La evaluación de riesgos a los derechos y libertades de los titulares; y, 4. Las

medidas previstas para hacer frente a los riesgos, las garantías, medidas de seguridad y

mecanismos destinados a salvaguardar y demostrar el respeto al derecho de los titulares a la

protección de sus datos personales. La información otorgada en virtud de los numerales

precedentes debe limitarse a la que sea necesaria para respaldar la evaluación y no incluir

detalles potencialmente confidenciales relacionados con las implementaciones de seguridad o

la información confidencial”;

Que mediante resolución N° SPDP-SPDP-2024-0001-R del 2 de agosto del 2024, publicada

en el Tercer Suplemento del Registro Oficial N° 624 del 19 de agosto del...