Ley Orgánica de Protección de Datos 

¿Cuándo se la expidió y cuál es su objeto? 

La ley de protección de datos se promulgó en el Quinto Suplemento del Registro Oficial 4569 del 26 de mayo de 2021 y tiene por objeto garantizar el derecho a la protección de datos personales, a poder acceder libremente a dicha información y a decidir sobre ella. Bajo este principio, la Ley “regula, prevé y desarrolla principios, derechos, obligaciones y mecanismos de tutela”. 

¿Cuál es el ámbito de aplicación de la ley? 

De acuerdo con el artículo 3, se aplicará la presente Ley en los siguientes casos:   

1. Cuando el tratamiento de datos personales se realice en cualquier parte del territorio nacional; 
2. Cuando el responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional; 
3. Cuando se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, siempre y cuando las actividades del tratamiento estén relacionadas con: 
4. i) La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o, 
5. ii) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público.

¿Qué derechos contempla la ley sobre los datos personales de las personas? 

La Ley reconoce una serie de derechos y diversos mecanismos para la protección de los mismos. Estos derechos son:  

• Derecho a la información  
• Derecho de acceso   
• Derecho de rectificación y actualización  
• Derecho de eliminación  
• Derecho de oposición  

• Derecho de portabilidad   
• Derecho a la suspensión del tratamiento  
• Derecho a no ser objeto de una decisión basada únicamente en valoraciones automatizadas  
• Derecho de consulta

¿Qué es el delegado de protección de datos (DPD)? 

De acuerdo a la Ley Orgánica de Protección de Datos Personales (LOPDP), el delegado de protección de datos ( DPD) es la “persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos”.  

El DPD tiene la obligación de garantizar que, tanto personas naturales como jurídicas, responsables o encargadas del tratamiento de datos personales, cumplan con las regulaciones aplicables. Es responsabilidad de las personas encargadas del tratamiento de los datos designar a un DPD.  

Según la LOPDP, en estos casos sería obligatorio designar a un DPD: 

• Cuando el tratamiento de datos personales se realice en instituciones del sector público. 
• Cuando las actividades del responsable o encargado del tratamiento requieran un control continuo y sistematizado debido a la cantidad, naturaleza, alcance o finalidad de los datos. 
• Cuando se traten categorías especiales de datos a gran escala, como información sobre menores de edad o información médica. Estos parámetros serán definidos por la Autoridad de Datos Personales y por el Reglamento. 
• Cuando se traten datos relacionados con la seguridad nacional y la defensa del Estado que no estén sujetos a reservas o sean secretos. 

Las organizaciones que no tengan una obligación legal de designar a un DPD deben asegurarse de implementar todas las medidas requeridas para cumplir con las regulaciones de protección de datos. No contar con un DPD no las libera de su responsabilidad en este sentido. 

¿Qué pasa con la creación del Registro Nacional de Protección de Datos? 

La LOPDP también contempla la creación de un Registro Nacional de Protección de Datos, el cual deberá ser actualizado de forma permanente por parte de los responsables de tratamiento a través del reporte a la Autoridad de Protección de Datos Personales. Las personas naturales o jurídicas cuyas actividades incluyan el tratamiento de datos personales deberán brindar información sobre el tipo de base de datos utilizada, la naturaleza de los datos tratados, el tiempo de conservación de los datos y la existencia de transferencias internacionales, entre otras cosas. 

¿Qué sanciones contempla la ley?  

En caso de una infracción leve, las multas pueden alcanzar hasta el 0,7% de la facturación de una empresa. Para infracciones graves, las multas oscilan entre el 0,7% y el 1% de la facturación.  

 ¿Cuándo entra en efecto el régimen punitivo? 

La regulación estableció un lapso de dos años de gracia antes de que el régimen punitivo entre en efecto, el cual se cumplió el pasado 26 de mayo. Bajo este régimen, la Autoridad de Protección de Datos Personales puede identificar incumplimientos a las regulaciones y aplicar medidas correctivas o multas.  

Cabe recalcar que, si bien la Autoridad de Protección de Datos Personales no ha sido designada hasta el día de hoy, esto no exime del cumplimiento de las obligaciones contempladas en la Ley.  

www.expertise.com.ec 

lawfirm@expertise.com.ec