Ecuador cuenta desde septiembre de 2026 con una norma técnica específica para la notificación de vulneraciones de seguridad de datos personales. La Resolución N.º SPDP-SPD-2026-0040-R, emitida por la Superintendencia de Protección de Datos Personales (SPDP), regula el proceso de reporte por parte de responsables y encargados del tratamiento y el tratamiento posterior de esas notificaciones por la autoridad. La resolución fue emitida el 9 de septiembre de 2026 y entró en vigencia con su publicación en el Registro Oficial el 24 de septiembre de 2026.
La regulación no modifica únicamente el canal mediante el cual se reporta un incidente. También define cómo se clasifican las vulneraciones, establece requisitos para la comunicación a los titulares y formaliza el uso de AIxSPDP, un sistema basado en inteligencia artificial que asiste a la SPDP en el análisis de las notificaciones, pero que no toma decisiones de manera automatizada.
Para las organizaciones, esto exige conectar tres procesos que no deberían funcionar de manera aislada: la detección técnica del incidente, la evaluación de su impacto sobre los datos personales y la decisión regulatoria sobre las notificaciones que correspondan.
¿Cuánto tiempo hay para notificar una brecha de datos personales en Ecuador?
La normativa ecuatoriana establece plazos diferentes según quién comunica la vulneración y quién debe recibir esa comunicación.
El encargado del tratamiento debe informar al responsable en un plazo máximo de dos días. La Norma Técnica establece además que esa comunicación debe enviarse por correo electrónico, salvo que responsable y encargado hayan acordado otro medio electrónico en el contrato de encargo.
El responsable debe notificar la vulneración a la autoridad tan pronto como sea posible y, como máximo, dentro del término de cinco días desde que tenga constancia de ella, salvo que sea improbable que la vulneración constituya un riesgo para los derechos y libertades de las personas. Esa obligación surge del artículo 43 de la Ley Orgánica de Protección de Datos Personales (LOPDP).
La Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada el 22 de mayo de 2026, reformó ese artículo y amplió los destinatarios de la comunicación: además de la autoridad de protección de datos, contempla al organismo de regulación y control competente y, para fines informativos y de coordinación técnica, al CSIRT correspondiente.
Por su parte, cuando una vulneración conlleva un riesgo para los derechos fundamentales y libertades individuales del titular, el responsable debe comunicarla al titular sin dilación y dentro del término de tres días desde que tuvo conocimiento del riesgo, con las excepciones previstas por la propia LOPDP.
Estos plazos responden a obligaciones diferentes. La normativa no los presenta como un único período acumulativo. Para la gestión interna, resulta por eso relevante documentar cuándo se detectó el incidente, cuándo el encargado tuvo conocimiento de él, cuándo el responsable tuvo constancia de la vulneración y cuándo se identificó un riesgo para los titulares.
¿Cómo se notifican las vulneraciones ante la SPDP?
La Resolución N.º SPDP-SPD-2026-0040-R establece que las notificaciones a la Superintendencia de Protección de Datos Personales deben realizarse por medios digitales a través del Sistema Nacional de Registro de Datos Personales (SISPDP).
Una vez enviado el formulario, el SISPDP genera automáticamente una constancia de recepción, que se remite al correo electrónico desde el cual se realizó la notificación.
La norma contempla otros canales o medios oficiales únicamente de manera excepcional, cuando el sistema previsto por la SPDP no se encuentre disponible o en funcionamiento. La propia autoridad debe verificar esa circunstancia para convalidar una notificación presentada por una vía alternativa.
Desde una perspectiva organizacional, esto vuelve relevante conservar no solo la información sobre el incidente, sino también la evidencia del envío y recepción de la notificación.
Qué tipos de vulneraciones reconoce la normativa
La Norma Técnica clasifica las vulneraciones de seguridad de los datos personales en tres categorías:
- Vulneraciones de confidencialidad, cuando existe acceso no autorizado a los datos personales.
- Vulneraciones de integridad, relacionadas con la afectación de la integridad de los datos o de los sistemas que los procesan.
- Vulneraciones de disponibilidad, vinculadas con la imposibilidad de acceder a los datos personales.
Un mismo incidente puede producir más de un tipo de vulneración. La norma también distingue dimensiones temporales, permanentes o irreversibles según el tipo de afectación y la posibilidad de recuperar o restablecer los datos o sistemas involucrados.
Esta clasificación tiene una consecuencia práctica: antes de reportar un incidente, Tecnología, Seguridad de la Información, Legales y quienes tengan responsabilidades en materia de protección de datos necesitan trabajar sobre una caracterización común de lo ocurrido.
No se trata únicamente de determinar si existió un incidente de ciberseguridad. El análisis debe establecer específicamente si se vio comprometida la confidencialidad, integridad o disponibilidad de datos personales.
¿Qué es AIxSPDP y qué función cumple en las notificaciones?
AIxSPDP es un sistema experto auxiliar utilizado por la SPDP para gestionar y analizar las notificaciones de vulneraciones de seguridad. No es un sistema de toma automatizada de decisiones.
La Norma Técnica lo define como un sistema basado en inteligencia artificial agéntica, con intervención humana en todas sus instancias. Su finalidad es contribuir a reducir la incertidumbre de los funcionarios de la SPDP al analizar la probabilidad y el impacto que una vulneración podría generar sobre los derechos y libertades de los titulares.
Entre sus funciones se encuentran:
- procesar la información recibida
- asignar un número de trámite
- generar trazabilidad
- identificar formularios que no correspondan a vulneraciones de seguridad
- validar notificaciones según los requisitos regulatorios
- descomponer elementos relevantes del incidente
- contribuir a estimar los posibles niveles de riesgo
Después de ese procesamiento, el caso pasa a análisis, revisión y supervisión humana por parte de la Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales (IIT). Esa instancia determina si corresponde recomendar su remisión a la Intendencia General de Control y Sanción (ICS). Los casos que no son derivados permanecen en monitoreo bajo supervisión de la IIT.
La diferencia es importante: la inteligencia artificial interviene como herramienta de análisis y apoyo, pero la norma mantiene la evaluación y las decisiones posteriores bajo responsabilidad humana.
¿Qué debe contener la comunicación a los titulares afectados?
Cuando corresponda comunicar una vulneración a los titulares, la Norma Técnica exige que la información se presente con un lenguaje claro, accesible, transparente y sencillo.
Como mínimo, la comunicación debe incluir:
- la naturaleza de la vulneración
- la fecha de detección o el período estimado del evento, cuando sea posible
- las medidas adoptadas por el responsable del tratamiento
- recomendaciones para los titulares
La norma establece que esa comunicación puede realizarse mediante los canales habituales que la organización tenga establecidos, anuncios en su página web, correo electrónico u otros mecanismos de comunicación directa.
Cuando el responsable no tenga un canal oficial de comunicación preestablecido con los titulares, la norma dispone la publicación en un medio de difusión masiva, respetando los principios de minimización y pertinencia.
Esto implica que la gestión de una brecha no termina con la comunicación al regulador. Las organizaciones también necesitan prever cómo informar de manera comprensible a las personas cuando la normativa exige hacerlo.
Qué deberían revisar las organizaciones frente al nuevo procedimiento
La Norma Técnica vuelve especialmente relevante la coordinación entre los equipos que detectan el incidente y quienes deben evaluar sus consecuencias regulatorias.
Para revisar la preparación interna, las organizaciones pueden considerar al menos cinco aspectos:
1. Circuito de detección y escalamiento. Definir cómo una alerta técnica llega a quienes deben determinar si involucra datos personales y qué responsabilidades tiene cada área.
2. Relación con encargados del tratamiento. Revisar si los contratos y mecanismos de comunicación permiten recibir oportunamente la información necesaria cuando un proveedor o tercero que actúa como encargado detecta una vulneración.
3. Evaluación documentada del incidente. Registrar qué ocurrió, qué datos fueron afectados, qué tipo de vulneración se identificó y qué elementos sustentaron la evaluación del riesgo.
4. Responsables de las notificaciones. Determinar previamente quién prepara, revisa y presenta las comunicaciones ante la SPDP y, cuando corresponda, ante otros destinatarios previstos por la normativa.
5. Evidencia del proceso. Conservar registros de las comunicaciones, decisiones, medidas adoptadas y constancias de presentación.
Estas medidas no sustituyen el análisis jurídico aplicable a cada incidente. Funcionan como criterios organizativos para reducir el riesgo de que una vulneración quede detenida entre áreas mientras transcurren los términos regulatorios.
La principal implicancia para Compliance, Legales y Tecnología
El cambio regulatorio ecuatoriano coloca el foco sobre la capacidad de respuesta de la organización.
Los plazos previstos por la LOPDP y el procedimiento desarrollado por la SPDP hacen que detectar una vulneración sea solo el primer paso. La empresa debe poder convertir rápidamente información técnica en una evaluación comprensible, determinar qué obligaciones de comunicación se activan y conservar evidencia de cómo tomó esas decisiones.
La incorporación de AIxSPDP agrega además un procesamiento estructurado de la información recibida por la autoridad. Pero no reemplaza la intervención humana ni modifica la responsabilidad de las organizaciones sobre la calidad y consistencia de la información presentada.
Para Compliance, Legales, Tecnología, Auditoría y Alta Dirección, el punto a evaluar es concreto: si hoy se produjera una vulneración de datos personales, ¿la organización podría identificarla, evaluarla, escalarla y documentar sus decisiones dentro de los términos exigidos?
