Reglamento a la Ley Orgánica de Protección de Datos Personales

El 6 de noviembre de 2023 el Presidente de la República suscribió el Decreto Ejecutivo número 904 mediante el cual se emite el Reglamento a la Ley Orgánica de Protección de Datos Personales (en adelante el “Reglamento”).

A continuación, resaltamos los puntos más importantes:

I. Definiciones:

El Reglamento incorpora definiciones relevantes para la aplicación de la Ley Orgánica de Protección de Datos Personales (en adelante “LOPDP”). De dichas definiciones destacamos el término “tratamiento a gran escala” que comprende el tratamiento de datos que afecta a un gran número de titulares. Para determinar que existe un “tratamiento a gran escala” se deberá considerar el número de titulares, el volumen y variedad de datos, la duración o permanencia de la actividad de tratamiento y el alcance geográfico.

Específicamente el Reglamento considera como “tratamiento a gran escala” los siguientes:

1. 1. Datos de pacientes de hospitales e instituciones de salud.
   2. Datos de desplazamiento de personas que utilizan el sistema de transporte público.
   3. Datos de geolocalización en tiempo real.
   4. Datos de clientes de compañías de seguros o de instituciones financieras.
   5. Datos para publicidad comportamental por un motor de búsqueda.
   6. Datos de contenido, tráfico y ubicación por proveedores de servicios de telefonía o internet.

II. Obligaciones de los responsables y encargados que se encuentren fuera del territorio ecuatoriano:

Los responsables y encargados del tratamiento de datos personales que no estén establecidos en Ecuador y que traten datos personales de residentes en Ecuador deberán designar un apoderado especial en el país.

III. Evaluación de impacto del tratamiento de datos personales:

La LOPDP establece la obligación de realizar una evaluación de impacto del tratamiento de datos personales cuando se identifique que dicho tratamiento conlleva un alto riesgo para los derechos y libertades del titular.

El Reglamento define a la evaluación de impacto como un análisis preventivo mediante el cual, el responsable, valora el impacto real del tratamiento de datos.

La evaluación de impacto deberá ser presentada ante la Autoridad de Protección de Datos y contendrá los siguientes elementos:

1. 1. La descripción de las operaciones y finalidades del tratamiento;
   2. La justificación de la necesidad de llevar a cabo el tratamiento;
   3. Evaluación de riesgos a los derechos de los titulares; y,
   4. Las medidas de seguridad para hacer frente a los riesgos.

IV. Registro de Actividades de Tratamiento:

Se encuentran obligados a contar con un Registro de Actividades de Tratamiento, los responsables del tratamiento de datos personales que cuenten con 100 o más colaboradores, los responsables que traten categorías especiales de datos personales y aquellos encargados del tratamiento de datos cuando el responsable esté obligado a contar dicho registro.

El Registro deberá contener:

1. 1. Nombre y datos de contacto del responsable;
   2. Fines del tratamiento;
   3. Categorías de destinatarios a los que se han comunicado los datos;
   4. Categorías de datos personales de los titulares;
   5. Uso de perfiles;
   6. Transferencias internacionales;
   7. Bases legitimadoras;
   8. Plazos de retención de los datos; y,
   9. Descripción general de las medidas técnicas, jurídicas, administrativas y organizativas.

V. Delegado de protección de datos:

Podrán ser delegados de protección de datos personales (en adelante “DPO”) aquellas personas que tengan título de tercer nivel en Derecho, Sistemas de Información, de Comunicación o de Tecnologías; y, acrediten experiencia profesional de mínimo 5 años.

El DPO podrá realizar otras actividades relacionadas a protección de datos que no supongan un conflicto con las responsabilidades inherentes a sus actividades.

Se podrá contratar al DPO bajo relación de dependencia o a través de un contrato de prestación de servicios.

Aquellos responsables o encargados que no estén obligados a designar un DPO pueden hacerlo de manera voluntaria. Esto será considerado una buena práctica y prueba del cumplimiento del principio de responsabilidad proactiva.

VI. Responsabilidad conjunta:

Se consideran responsables conjuntos a aquellos responsables del tratamiento de datos que tengas los mismos fines y medios. Estos responsables conjuntos definirán sus tareas y responsabilidades en materia de protección de datos a través de un contrato, al que los titulares de los datos podrán tener acceso si así lo requieren.

VII. Transferencias internacionales:

La Autoridad de Protección de Datos definirá los países u organizaciones que cuentan con un nivel adecuado de protección de datos para la ejecución de transferencias internacionales de datos personales.

Si el país o la organización a la cual se realiza la transferencia internacional de datos no ha sido calificado por la Autoridad, solo será admisible el envío si existen ciertos instrumentos jurídicos que sustenten la transferencia.

El Reglamento establece los siguientes criterios para determinar si un país u organización posee un nivel adecuado de protección de datos:

1. 1. Legislación y normativa sectorial del país en protección de datos.
   2. Normativa ulterior de datos personales por parte de las autoridades.
   3. Jurisprudencia en protección de datos.
   4. Reconocimiento de derechos y mecanismos para su ejercicio en favor de los titulares de datos.
   5. Establecimiento de derechos y deberes de los responsables y encargados de tratamiento.
   6. Autoridad independiente y autónoma.
   7. Compromisos internacionales asumidos por el país u organización en materia de protección de datos personales.
   8. Legislación en materia de seguridad nacional, pública, y en general aquella que tenga relación con la defensa y seguridad del Estado.

En el Registro Nacional de Protección de Datos se registrará:

1. 1. El país donde se ubica el destinatario de los datos;
   2. Las categorías objeto de la transferencia;
   3. Las finalidades de la transferencia;
   4. Los datos de identificación del destinatario; y,
   5. El mecanismo de autorización o criterio de excepción para realizar la transferencia.

VIII. Vulneraciones de seguridad:

El Reglamento establece que se deben notificar las vulneraciones de seguridad a la Autoridad de Protección de Datos y a la Agencia de Regulación y Control de las Telecomunicaciones, en los siguientes casos:

1. 1. Cuando los datos personales fueron destruidos, no existen o dejan de estar disponibles para el responsable;
   2. Cuando los datos personales fueron alterados, corrompidos o no son íntegros;
   3. Cuando el responsable ha perdido el control o acceso, o los datos personales ya no están en su poder;
   4. Cuando el tratamiento no ha sido autorizado o es ilícito, incluyendo la divulgación o acceso no autorizados por parte de destinatarios.

El Reglamento entrará en vigor a partir de su publicación en el Registro Oficial.

Rafael Serrano, associate at CorralRosales
rserrano@corralrosales.com
+593 2 2544144