Mediante Decreto Ejecutivo No. 904, el Presidente de la República del Ecuador expidió el Reglamento General de la Ley Orgánica de Protección de Datos Personales (LOPDP), con la finalidad de aclarar y complementar ciertas obligaciones que toda personal natural o jurídica (Responsable), nacional o extranjera, que realice tratamiento¹ de datos personales² en el Ecuador o de ecuatorianos debe cumplir. Dentro de los puntos más importantes están:

a. Designación de Apoderado Especial en el Ecuador

• Cuando el Responsable no tenga domicilio en el país, deberá designar un Apoderado Especial en el Ecuador que tenga amplias facultades de representación, tanto en sede administrativa como judicial.
• La designación de un Apoderado Especial no es necesaria si el tratamiento es ocasional y no incluye el manejo a gran escala de categorías especiales de datos personales y sea improbable una afectación a los derechos y libertades de los titulares.

b. Definiciones de términos

• El Reglamento define términos importantes para entender la aplicación de las obligaciones de la LOPDP; como actividades familiares o domésticas, normas corporativas vinculantes y, tal vez la más relevante, lo que debe entenderse por tratamiento de datos a gran escala.

c. Recogida del consentimiento

• El Reglamento aclara la obligación del Responsable de informar a los titulares sobre todas las actividades que realiza dentro del ciclo de vida del dato personal, al señalar que el consentimiento puede otorgarse por una clara acción afirmativa, la cual deberá demostrar consentimiento libre, informado, inequívoco y específico.

d. Aclaraciones sobre fuentes de tratamiento lícito

• El Reglamento incluyó expresamente la regla de ponderación como un elemento esencial del interés legítimo, estableciendo los factores necesarios para este análisis.
• En caso de fuentes de acceso público, esta norma limita a que el tratamiento que el Responsable le puede dar sea compatible con la finalidad que justificó su publicación.

e. Conservación de Datos Personales

• Se obliga al Responsable a establecer procedimientos para la conservación, revisión periódica y eliminación de los datos personales, así como las excepciones para mantener los datos, una vez transcurrido el plazo de conservación.

f. Herramientas para el ejercicio de derechos

• Se establece la obligación al Responsable de habilitar herramientas simplificadas y de fácil acceso para que los Titulares puedan dirigir comunicaciones al Responsable y ejercer los derechos reconocidos en la LOPDP, estableciendo, además, el contenido de la solicitud.
• Se establece la obligación al Responsable de mantener un registro de las solicitudes de ejercicio de derechos, incluyendo detalle de la atención dada a las mismas.

g. Vulneraciones a la seguridad de los datos personales

• El Reglamento aclara cuándo una vulneración a la seguridad conlleva un riesgo para los derechos y libertades de los Titulares
• Determina el contenido de la notificación obligatoria que los Responsables deben dirigir a la Autoridad de Protección de Datos y la ARCOTEL en caso de que existan dichas vulneraciones.

h. Obligación de realizar una evaluación de impacto en el tratamiento de datos personales

• El Reglamento define el objeto y los requisitos que debe contener la evaluación de impacto.
• El Reglamento no termina de aclarar los escenarios en los que una evaluación de impacto es obligatoria; sin embargo, establece la posibilidad de dirigir consultas a la Autoridad de Protección de datos para que sea esta entidad la que defina si el Responsable está obligado o no a realizarla.

i. Prueba de medidas de protección

• El Reglamento establece que los Responsables deben demostrar la aplicación de medidas necesarias para la protección de datos personales, generado indicadores clave de rendimiento que pueden incluir métricas cualitativas o cuantitativas.

j. Registro de actividades de tratamiento de datos personales

• El Reglamento establece la obligación de los Responsable de llevar un registro de todas las actividades de tratamiento de datos personales, cuando: 1) tenga más de cien trabajadores, 2) el tratamiento pueda entrañar un riesgo para los derecho y libertades de los titulares, 3) no se trate de tratamiento ocasional, y 4) el tratamiento incluya categorías especiales de datos personales.

k. Encargados del tratamiento de datos personales

• El Reglamento aclara respecto al contenido del contrato que debe suscribirse entre Responsable y Encargado.
• Extiende la obligación de registro de actividades de tratamiento de datos personales al Encargado, cuando el Responsable esté obligado.

l. Delegado del tratamiento de datos personales

• El Reglamento aclara que los Delegados deben ser personas naturales y pueden ser contratadas por servicios profesionales o por relación de dependencia; así mismo establece los requisitos e impedimentos para ser designados.
• Este cuerpo legal aclara los escenarios en los que existe una necesidad de control permanente y sistematizada de datos, es decir cuándo debe nombrarse a un Delegado de Protección de Datos.
• En caso de grupos de empresas, se podrá nombrar designar a un único Delegado que cumpla estas funciones para todas las compañías que conforman el grupo.

m. Transferencia Internacional de Datos Personales

• El Reglamento establece los criterios estándares de nivel adecuado de protección para los países, organizaciones o personas jurídicas receptoras de la información.
• En base a estos criterios, la Autoridad calificará a los países, organizaciones y personas jurídicas que garanticen un nivel adecuado de protección, los cuales constarán en un registro. También establece criterios para autorizar de manera previa la transferencia en caso de que el destinatario no contare con una calificación previa.
• El Reglamento aclara respecto al contenido obligatorio de este tipo de contratos y la obligación de registro de las transferencias internacionales de datos personales.

n. Procedimiento Administrativo Sancionatorio

• El Reglamento no establece un proceso especial para la sustanciación de procedimientos administrativos sancionatorios, por lo que el procedimiento se regirá bajo el Código Orgánico Administrativo.

1. Definido como el conjunto de operaciones o procedimientos técnicos, automatizados o no, que permiten la recogida, registro, organización, conservación, adaptación o modificación, extracción, consulta, utilización, difusión o cualquier otra forma que facilite el acceso a información, cotejo o interconexión, así como su bloqueo, supresión o destrucción.↩
2. Cualquier tipo de información que se pueda utilizar para identificar directa o indirectamente a una persona natural (titular).↩