Multas de la LOPDP en Ecuador: cuánto cuestan, cómo se calculan y las primeras sanciones

Quién sanciona y desde cuándo

La autoridad es la Superintendencia de Protección de Datos Personales (SPDP), creada por los arts. 75 a 77 de la LOPDP. El régimen sancionador rige desde el 26 de mayo de 2023 (dos años después de la publicación de la ley), pero la SPDP recién empezó a operar en octubre de 2024, con su primer Superintendente posesionado en abril de ese año. Las primeras sanciones salieron en diciembre de 2025.

Cuánto cuestan

Los arts. 71 a 73 fijan las multas como porcentaje del volumen de negocio del ejercicio anterior (ventas sin IVA):

No hay tope ni piso en dólares. Para una pyme que factura USD 300.000 al año, una infracción leve cuesta entre USD 300 y 2.100, y una grave entre USD 2.100 y 3.000. La metodología de cálculo está en la Res. SPDP-SPD-2025-0022-R y en los modelos MPRIV-1 y MPUB-1 publicados por la SPDP; en los casos resueltos hasta ahora la Superintendencia tomó el valor medio del rango como referencia.

La multa suele ser la parte barata. Las medidas correctivas que la acompañan (borrar bases de datos, notificar a todos los titulares, rehacer la política, actualizar el registro de tratamiento) cuestan más en tiempo y reputación.

Qué se sanciona

Infracciones leves (art. 67)

• No tramitar, o tramitar fuera de plazo, las solicitudes de acceso, rectificación, eliminación, oposición o portabilidad.
• No implementar protección de datos desde el diseño y por defecto.
• No mantener disponible la política de protección de datos.
• Elegir un encargado (proveedor) sin garantías suficientes.
• Incumplir medidas correctivas.

Infracciones graves (art. 68)

• Tratar datos sin base legal o sin consentimiento válido.
• Usar los datos para fines distintos de los informados.
• No aplicar medidas de seguridad; no usar una metodología de análisis de riesgos.
• No hacer la evaluación de impacto cuando era obligatoria.
• No notificar una vulneración de seguridad a la SPDP o al titular.
• No firmar contratos de confidencialidad y protección de datos con encargados y personal.
• No inscribirse en el Registro Nacional; no designar delegado cuando es obligatorio.
• Reincidir en infracciones leves.

Las primeras sanciones

Más de USD 744.000 en dos meses, por cosas que suenan administrativas: un consentimiento mal recogido, una política que no existía, un análisis de riesgos que nadie hizo. A septiembre de 2026 no hay sanciones publicadas contra pymes. Eso no significa que no lleguen; significa que la SPDP empezó por los casos visibles.

Cómo funciona el procedimiento

1. La persona reclama primero al negocio (art. 62). El negocio tiene 10 días término para responder.
2. Si no hay respuesta o no está conforme, reclama ante la SPDP (art. 64). Desde 2025 se puede denunciar en línea.
3. La SPDP dicta medidas correctivas (arts. 65 y 66). Si se incumplen o se cumplen a medias, abre el procedimiento sancionador bajo el Código Orgánico Administrativo.

Dato de realidad: en 2025 la SPDP recibió 350 denuncias y abrió 7 procedimientos sancionadores, con 34 funcionarios. No inspecciona 100.000 sitios web. El riesgo real de una pyme no es la inspección, es el cliente molesto que denuncia, y también el cliente corporativo o la pasarela que pide ver el cumplimiento antes de firmar.

Cómo evitarlas

• Política de privacidad con los 17 puntos del art. 12. La SPDP confirmó en enero de 2026 que sin los 17, el consentimiento no es válido.
• Consentimiento con acción afirmativa (art. 8): casilla sin marcar, separada para marketing, y prueba de cuándo y qué aceptó la persona.
• Un canal para ejercer derechos que responda en 15 días, con registro de cada solicitud.
• Registro de actividades de tratamiento, aunque tengas menos de 100 empleados. Cómo armarlo.
• Cláusulas de protección de datos en los contratos con proveedores y confidencialidad con el personal.
• Delegado si estás en un sector obligado. Quién está obligado.

Fuentes

• LOPDP, arts. 62 a 77.
• Res. SPDP-SPD-2025-0022-R y modelos de cálculo de multas MPRIV-1 y MPUB-1 (spdp.gob.ec/model_spdp).
• Resoluciones RES-SPDP-ICS-2025-0002, 0005 y RES-SPDP-ICS-PASN-2025-0003, 0006 (spdp.gob.ec/sanciones).
• Informe de rendición de cuentas 2025 de la SPDP (abril 2026).
• Oficio SPDP-IRD-2026-0028-O sobre el alcance del deber de información.