La nueva Resolución emitida el 16 de julio de 2025, busca estimar, de manera justificada y objetiva, el monto de las multas administrativas impuestas por la Superintendencia de Protección de Datos Personales (SPDP) en Ecuador, en el marco de la Ley Orgánica de Protección de Datos Personales (LOPDP). El objetivo es proporcionar un cálculo calibrado y transparente.
La protección de datos personales en Ecuador es un derecho fundamental, reconocido en el numeral 19 del artículo 66 de la Constitución, y regulado en detalle por la Ley Orgánica de Protección de Datos Personales (LOPDP). Desde la entrada en vigor de la LOPDP, las empresas, entidades públicas y cualquier organización que trate datos personales tienen la obligación de cumplir rigurosamente con las normas, o enfrentarán importantes sanciones económicas.
Con esta Resolución, que si bien no está enfocada a los Responsables o Titulares, pero si de manera interna, la Superintendencia de Protección de Datos Personales (SPDP) busca que sus procesos sean modelos claros y transparentes para calcular las sanciones administrativas por infracciones a la LOPDP, tanto para el sector privado como para el público. ¿En qué consisten estos modelos? ¿Cuáles son los factores clave para determinar la cuantía de las multas? A continuación, te lo explicamos en detalle.
El modelo ecuatoriano parte de la premisa de gestión de riesgos. Es decir, no todas las infracciones son iguales ni generan el mismo impacto. Por eso, la SPDP utiliza una metodología que considera factores estáticos (fijados en la Ley) y factores dinámicos (circunstancias concretas del caso). El objetivo es que el cálculo de la sanción sea objetivo, proporcional y justificado, evitando arbitrariedades.
La base de todo cálculo está en dos ejes:
◦ Determinístico: Se usa cuando hay certidumbre razonable en los valores de entrada, aplicando la fórmula PERT.
◦ Estocástico (Análisis de Monte Carlo): Se emplea cuando existe considerable incertidumbre. Permite generar múltiples escenarios y obtener un intervalo de acierto confiable para el monto de la multa. La media simulada es cercana al cálculo determinístico.
La LOPDP clasifica las infracciones en leves y graves.
Por ejemplo, si una empresa tiene un volumen de negocios de 1 millón de dólares y comete una infracción grave, la multa puede ir desde USD 7.000 hasta USD 10.000. Para un ministerio, la sanción puede alcanzar hasta USD 9.400 (20 SBU de USD 470).
El monto final de la sanción no es automático:
La SPDP analiza, caso por caso, la gravedad de la infracción, la intencionalidad, el impacto en los derechos de los titulares y si hubo reiteración o reincidencia.
Estos valores se integran mediante fórmulas inspiradas en la metodología PERT, para ponderar la incertidumbre en cada factor y obtener una sanción objetiva. El resultado puede ser un solo valor (determinista) o un rango (usando el análisis de Monte Carlo para casos de alta incertidumbre).
La SPDP, como autoridad independiente, debe justificar cada sanción conforme a los principios de proporcionalidad y objetividad, basándose en criterios técnicos y normativos claros.
La metodología y los anexos son públicos, y la ciudadanía puede conocer y opinar sobre su aplicación.
El Reglamento recientemente expedido (2025) deja claro que cualquier ajuste o mejora a la metodología será previamente justificado y publicado, promoviendo así la transparencia institucional y el respeto al debido proceso.
Para empresas y responsables del tratamiento:
Comprender estos modelos es esencial para la gestión de riesgos, la definición de políticas de cumplimiento y la adopción de medidas correctivas rápidas en caso de incidentes. La reincidencia y la falta de medidas preventivas o reactivas pueden aumentar sustancialmente el monto de la multa.
Para entidades públicas:
Los funcionarios responsables pueden recibir sanciones personales importantes, por lo que es imprescindible implementar sistemas de gestión de datos sólidos y capacitar al personal.
Para titulares de datos:
La existencia de modelos claros y sanciones proporcionales es garantía de que sus derechos no solo están reconocidos, sino protegidos por una autoridad técnica y transparente.
El modelo ecuatoriano para el cálculo de sanciones en materia de protección de datos personales es uno de los más técnicos y detallados de la región. Apostar por el cumplimiento y la gestión de riesgos no solo evita sanciones, sino que fortalece la confianza con clientes, usuarios y ciudadanía.
En resumen, este modelo funciona como un sistema de coordenadas GPS para calcular multas. Así como un GPS utiliza múltiples puntos de referencia (satélites, mapas) para precisar una ubicación, estos modelos usan varios factores (volumen de negocio/salario, gravedad y seriedad de la infracción, impacto, intencionalidad) para fijar el monto exacto de la multa. Permiten a la autoridad no solo llegar a un número, sino también justificar cómo se llegó a ese número, e incluso explorar un rango de posibles multas cuando hay mucha incertidumbre.
Importante señalar, que no se podrán superar bajo ningún entendido los máximos fijados por la Ley; es decir no se podrá imponer una sanción por debajo del mínimo ni superando el tope.
En KahuData Solutions ofrecemos asesoría especializada en protección de datos personales en Ecuador. Puedes contactarnos en info@kahudata.com o al +593 99 881 5397. Ayudamos a empresas a implementar la LOPDP de forma práctica y alineada con mejores estándares.
Necesitas o tienes dudas sobre el cumplimiento de la LOPDP, estamos listos para ayudarte.
Contacta hoy y descubre cómo convertir el cumplimiento en una ventaja competitiva.
Primera consulta GRATUITA ¡Agéndala ahora!
Suscríbete a nuestro boletín para recibir noticias y consejos sobre protección de datos.
