Blog · Actualizado el 17 de septiembre de 2026
Registro de actividades de tratamiento (RAT) en Ecuador: qué es, quién debe llevarlo y cómo armarlo
El RAT es el documento interno que la Superintendencia pide primero. Con menos de 100 empleados también aplica si tu tratamiento no es ocasional, y una tienda online no es ocasional.
Qué es el RAT
El registro de actividades de tratamiento es un documento interno donde una organización describe cada tratamiento de datos personales que realiza: qué datos, de quién, para qué, con qué base legal, con quién los comparte, cuánto tiempo los guarda y cómo los protege. Lo exigen los arts. 38 y 39 del Reglamento General a la LOPDP. Es lo primero que la Superintendencia pide cuando abre un expediente, y en la sanción a la Federación Ecuatoriana de Fútbol (diciembre 2025) una de las medidas correctivas fue justamente actualizarlo.
Quién debe llevarlo
El Reglamento lo hace obligatorio en dos situaciones:
- Organizaciones con 100 o más trabajadores.
- Organizaciones con menos de 100 trabajadores cuando el tratamiento entrañe riesgo, no sea ocasional o incluya categorías especiales de datos.
La segunda condición atrapa a casi cualquier negocio con presencia digital. Una tienda online recoge datos en cada pedido; un consultorio en cada cita; un formulario de contacto, cada vez que alguien escribe. Eso no es ocasional, es la operación. Si tienes un sitio web que recoge datos, asume que te aplica.
Qué debe contener
Nueve campos por cada tratamiento (Reglamento art. 39):
- Identificación del responsable y, si existe, del delegado de protección de datos.
- Fines del tratamiento.
- Categorías de destinatarios (encargados, terceros, autoridades).
- Categorías de titulares y de datos personales.
- Si se elaboran perfiles.
- Transferencias internacionales y sus garantías.
- Base legal de cada tratamiento (art. 7 de la ley).
- Plazos de conservación o criterios para fijarlos.
- Descripción general de las medidas de seguridad.
Puede ser escrito o electrónico. Debe estar actualizado y disponible para la SPDP cuando lo pida.
Ejemplo: tienda online chica
| Tratamiento | Datos | Fin | Base legal | Destinatarios | Conservación |
|---|---|---|---|---|---|
| Pedidos y entregas | Nombre, cédula, dirección, teléfono, email, detalle de compra | Vender y entregar | Ejecución de contrato | Courier (Ecuador), pasarela de pago (Ecuador) | 7 años (obligación tributaria) |
| Facturación | Nombre, RUC o cédula, dirección | Emitir factura al SRI | Obligación legal | Proveedor de facturación electrónica, SRI | 7 años |
| Newsletter | Email, nombre | Enviar promociones | Consentimiento | Plataforma de email (EE.UU., transferencia internacional) | Hasta la baja |
| Analítica web | IP, cookies, páginas vistas | Medir y mejorar el sitio | Consentimiento (cookies) | Google Analytics (EE.UU., transferencia internacional) | 14 meses |
| Atención por WhatsApp | Número, nombre, conversación | Responder consultas | Consentimiento | Meta (EE.UU.) | 12 meses |
Cinco filas resuelven la mayoría de las tiendas. Lo importante es que cada fila coincida con lo que dice la política de privacidad: si el RAT declara una transferencia a EE.UU., la política tiene que informarla (punto 10 del art. 12).
RAT no es lo mismo que Registro Nacional
Son dos cosas con nombres parecidos. El RAT es interno. El Registro Nacional de Protección de Datos Personales (arts. 47.12 y 51 de la ley; Reglamento arts. 84 a 86) es una inscripción ante la SPDP de cada base de datos o tratamiento, con nueve elementos, que debe hacerse en 10 días término desde que empieza el tratamiento. No inscribirse es infracción grave (arts. 68.10 y 68.11).
El portal del Registro Nacional todavía no está operativo. La Res. SPDP-SPD-2026-0004-R dio a la SPDP 12 meses desde enero de 2026 para implementarlo, es decir hasta inicios de 2027. Cuando abra, decenas de miles de empresas van a tener que inscribir sus tratamientos en días. Quien ya tenga el RAT armado tendrá el expediente listo; quien no, va a correr.
Cómo armarlo sin abogado
- Lista los puntos donde entran datos: formularios, checkout, registro, newsletter, WhatsApp, cookies, contratos.
- Para cada uno, responde los nueve campos. Si dudas de la base legal: contrato para vender, obligación legal para facturar, consentimiento para marketing y cookies.
- Lista tus proveedores y marca cuáles procesan datos fuera de Ecuador. Esos son transferencias internacionales y necesitan cláusulas contractuales (Res. SPDP-SPD-2025-0006-R).
- Fija plazos de conservación. Siete años es el ancla tributaria; para marketing, hasta que la persona se dé de baja.
- Revísalo cada vez que agregues un proveedor o una finalidad, y como mínimo una vez al año.
El mismo cuestionario que genera la política de privacidad contiene todo lo que necesita el RAT. Por eso en Cumplo se arman con el mismo cuestionario, así que contestas una vez y revisas lo que cambie.
Fuentes
- LOPDP, arts. 7, 12, 47.12, 51 y 68.
- Reglamento General a la LOPDP (Decreto Ejecutivo 904), arts. 38, 39 y 84 a 86.
- Res. SPDP-SPD-2025-0006-R, cláusulas de protección de datos en contratos.
- Res. SPDP-SPD-2026-0004-R, Norma general de transferencias (disposición transitoria sobre el Registro Nacional).
- Resolución RES-SPDP-ICS-PASN-2025-0003 (FEF), medidas correctivas.
Genera tu política de privacidad con el mismo cuestionario que alimenta el RAT.
Generar mi política gratisEste artículo es información general con base en la LOPDP, su Reglamento y las resoluciones publicadas por la SPDP a la fecha indicada. No es asesoría legal.