La legislación que regula la protección de datos personales en el Ecuador es la Ley Orgánica de Protección de Datos Personales, publicada el 26 de mayo del 2021 y cuyo régimen sancionatorio está vigente desde el 26 de mayo del 2023.

Un dato personal es un dato que identifica o hace identificable a una persona natural (titular del dato personal), directa o indirectamente. Por ejemplo los nombres, número de cédula, número de tarjeta de crédito, estado de salud física o mental, identidad ideológica.

Es cualquier operación, uso de da datos personales o conjunto de operaciones realizadas sobre los datos personales, ya sea a través de procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado

Los principales derechos de los titulares de los datos personales son: información, acceso, rectificación, actualización, eliminación, oposición al tratamiento, portabilidad, suspensión del tratamiento y no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas

La entidad de control y regulación de los datos personales en el Ecuador es la Superintendencia de Protección de Datos Personales.

El consentimiento es la manifestación de voluntad libre, específica, informada e inequívoca, para que el titular de los datos personales autoriza el responsable del tratamiento de los datos personales a tratar los mismo.

El responsable del tratamiento de datos personales es la persona natural o jurídica, pública o privada, que solo o conjuntamente con otros decide sobre la finalidad y tratamiento de datos personales.

El encargado del tratamiento de datos personales es la persona natural o jurídica, pública o privada, que solo o conjuntamente con otros, trata datos personales a nombre y por cuenta de un responsable del tratamiento de datos personales.

Un dato personal sensible es el referente a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento puedan dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.

Un dato relativo a la salud es el referente a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.

Las principales obligaciones de los responsables y encargados de protección de datos personales son:

• Contar con el consentimiento del titular de los datos personales, para su tratamiento.
• Implementar una Política de Protección de datos personales.
• Implementar procesos de verificación periódica de las herramientas técnicas, físicas, organizativas y jurídicas para proteger los datos personales.
• Implementar mecanismos de protección de datos personales, desde el diseño y por defecto.
• Elaboración de un proceso de atención de reclamos de los titulares de datos personales.
• Notificar cualquier tipo de vulneración de seguridad de los datos personales a la autoridad de regulación y control.
• Suscribir cláusulas de confidencialidad con los empleados o contratistas que traten datos personales.

Si, los responsables del tratamiento de datos personales deben notificar a la Superintendencia de Protección de Datos Personales y Agencia de Regulación y Control de las Telecomunicaciones ARCOTEL, todo evento de vulneración de los datos personales.

Un evento de vulneración de los datos personales, es un incidente que afecte la confidencialidad, disponibilidad o integridad de los datos personales.

Las sanciones por incumplimiento de la Ley, son de dos tipos, leves y graves. Las leves tienen una multa de entre el 0.1% y el 0.7% de los ingresos brutos del año anterior al de la imposición de la sanción. Las graves tienen una multa de entre el 0.71% y el 1% de los ingresos brutos del año anterior al de la imposición de la sanción.

Son las medidas adecuadas y necesarias, aceptadas por el estado de la técnica, sean estas organizativas, técnicas o de cualquier índole, para proteger los datos personales frente a cualquier riesgo, amenaza, vulnerabilidad, atendiendo a la naturaleza de los datos de carácter persona, al ámbito y contexto.