Un plan de 13 semanas, del diagnóstico al expediente de cumplimiento, con el entregable, el responsable y la base legal de cada paso.

Actualizado: 19 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior · Aprobado por: Ab. Juan Alberto Gómez Benalcázar

Para implementar la LOPDP en 90 días, organice el trabajo en cuatro fases: diagnóstico e inventario (semanas 1 a 3), documentos y contratos (4 a 7), riesgos y seguridad (8 a 10) y procedimientos, formación y evidencias (11 a 13). Cada fase cierra con entregables firmados que demuestran cumplimiento ante la Superintendencia de Protección de Datos Personales (SPDP).

¿Los 90 días son un plazo legal?

No. Es la metodología que TempoLegal recomienda tras más de 130 implementaciones de la LOPDP; la ley no fija un plazo de implementación porque ya está vigente.

La Ley Orgánica de Protección de Datos Personales (LOPDP) se publicó en el Quinto Suplemento del Registro Oficial 459, el 26 de mayo de 2021. Su Disposición Transitoria Primera difirió dos años las medidas correctivas y el régimen sancionador, que según la propia SPDP rigen desde el 26 de mayo de 2023.

La responsabilidad proactiva es el deber del responsable de implementar las medidas de cumplimiento y de poder demostrarlas (artículo 47 de la LOPDP). Por eso cada fase termina en un documento. Vea nuestro servicio de implementación de protección de datos personales en Ecuador y el hub LOPDP para empresas.

¿Qué entregables componen la hoja de ruta y quién responde por cada uno?

Son catorce entregables en trece semanas; cada uno se alimenta del anterior.

¿Qué se hace en las semanas 1 a 3: diagnóstico, inventario y DPD?

Se levanta qué datos trata la empresa, para qué y con quién los comparte, y se decide si hace falta un delegado.

El inventario se arma por área con una ficha por tratamiento: finalidad, categorías de datos, titulares, sistemas, proveedores y conservación.

En la semana 3 se responde la pregunta del DPD. El delegado de protección de datos es la persona que asesora y supervisa el cumplimiento dentro de la organización. Es obligatorio en los supuestos del artículo 48 de la LOPDP y en las actividades del artículo 10 de la Resolución SPDP-SPD-2025-0028-R. Si duda entre hacerlo con su equipo o con un tercero, revise implementación de datos personales frente a contratar un delegado.

¿Cuándo es obligatorio el registro de actividades de tratamiento?

El registro de actividades de tratamiento es el documento interno que describe cada tratamiento: finalidades, destinatarios, bases de legitimación, transferencias, plazos de conservación y medidas de seguridad. Lo exige el artículo 38 del Reglamento General a la LOPDP a quien tenga cien o más trabajadores.

Con menos de cien trabajadores también es obligatorio si el tratamiento puede entrañar riesgo para los derechos de los titulares, no es ocasional o incluye categorías especiales de datos (artículo 39). Vea cómo llenarlo en nuestra guía del registro de actividades de tratamiento.

¿Qué documentos y contratos se preparan en las semanas 4 a 7?

Se fija la base jurídica de cada tratamiento, se informa a los titulares y se regulariza a los proveedores que tocan datos, dentro y fuera del país.

Bases de legitimación. La base de legitimación es la razón jurídica que permite tratar un dato; el artículo 7 de la LOPDP enumera ocho, entre ellas consentimiento, obligación legal, ejecución de un contrato e interés legítimo. La matriz asigna una a cada tratamiento.

Avisos y política. El artículo 12 de la LOPDP enumera la información que debe recibir el titular. Si los datos no se obtienen de él, se le informa dentro de los treinta días siguientes o en la primera comunicación, lo que ocurra primero. Vea el detalle en aviso de privacidad para empresas.

Encargados. El encargado del tratamiento es quien trata datos por cuenta de su empresa, como el proveedor de nómina o el CRM en la nube. El artículo 34 de la LOPDP y el artículo 41 del Reglamento General exigen un contrato escrito que limite el tratamiento a sus instrucciones. La SPDP reguló además las cláusulas obligatorias en la Resolución SPDP-SPD-2025-0006-R. Vea contratos de protección de datos con proveedores.

Transferencias internacionales. Hay transferencia internacional cuando los datos se comunican a un destinatario fuera del Ecuador. La Resolución SPDP-SPD-2026-0004-R aclara que el encargo de tratamiento no constituye transferencia (artículo 23). Su Disposición Transitoria Primera da doce meses desde su vigencia para notificar a la SPDP las transferencias previas, con un plan de adecuación.

La resolución rige desde su publicación en el Tercer Suplemento del Registro Oficial 225, de 13 de febrero de 2026; por nuestro cómputo, el plazo vence el 13 de febrero de 2027. Durante esos doce meses no se sanciona la falta de regularización si la empresa notificó, presentó el plan y lo ejecuta (Disposición Transitoria Segunda).

¿Cuándo hace falta una evaluación de impacto y qué seguridad se documenta?

El análisis de riesgos se exige a todo responsable; la evaluación de impacto solo en los casos del artículo 42 de la LOPDP, y siempre antes de iniciar el tratamiento.

La evaluación de impacto (EIPD) es el análisis previo de un tratamiento de alto riesgo: describe el tratamiento, justifica su necesidad y proporcionalidad, evalúa los riesgos para los titulares y fija medidas (artículo 32 del Reglamento General). El artículo 42 de la LOPDP la exige, entre otros casos, para perfiles con efectos jurídicos, tratamiento a gran escala de categorías especiales y observación sistemática a gran escala de zonas de acceso público. Ante la duda, cabe consultar a la autoridad (artículo 31 del Reglamento General).

La Resolución SPDP-SPD-2025-0003-R, de 29 de abril de 2025, aprobó la guía de gestión de riesgos y evaluación de impacto. Su capítulo I es obligatorio; el capítulo II es referencial, y la empresa puede elegir su metodología de riesgos. Más detalle en evaluación de impacto en Ecuador.

Con el mapa de riesgos, TI redacta el plan de medidas del artículo 37 de la LOPDP, incluida la verificación periódica de su eficacia.

¿Qué procedimientos deben quedar listos antes del día 90?

Dos procedimientos escritos: atención de derechos y gestión de vulneraciones.

Derechos. Los artículos 13 a 16 de la LOPDP fijan quince días para atender las solicitudes de acceso, rectificación, eliminación y oposición. El procedimiento define canal, verificación de identidad, responsable y plantilla. Vea derechos de los titulares en la empresa.

Vulneraciones. Una vulneración de la seguridad de los datos es, en términos simples, un incidente que expone, altera o destruye datos personales sin autorización. Según la LOPDP, el responsable notifica a la SPDP y a la ARCOTEL dentro del término de cinco días desde que tuvo constancia, salvo riesgo improbable (artículo 43). El encargado avisa al responsable dentro del término de dos días. Al titular se le notifica dentro del término de tres días desde que se conoció el riesgo, salvo las excepciones del artículo 46. Además, la SPDP expidió la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales, Resolución SPDP-SPD-2026-0040-R, publicada en el Suplemento del Registro Oficial 376 de 24 de septiembre de 2026.

Ejemplo hipotético: distribuidora de insumos médicos

Insumos Clínicos del Pichincha S.A., empresa ficticia de Quito con 80 trabajadores, vende guantes, jeringas y equipos de oxigenoterapia a clínicas y farmacias, y entrega concentradores de oxígeno en domicilios de pacientes.

• Registro de actividades: tiene menos de cien trabajadores, pero trata datos de forma continua y conoce datos de salud de pacientes. Encaja en el artículo 39 del Reglamento General: debe llevarlo.
• DPD: el numeral 10.7 de la Resolución 0028-R se refiere a la salud con obligación de llevar historia clínica, que esta distribuidora no lleva. El numeral 10.8 se refiere al sector farmacéutico, y la norma no define si la distribución de dispositivos médicos sin medicamentos queda dentro. En nuestro análisis, si su portafolio incluye medicamentos, el encaje en el numeral 10.8 es más directo; con solo dispositivos médicos, la cuestión es discutible, y debe evaluarse además el artículo 48 de la LOPDP por los datos de salud. Recomendamos dejar el análisis por escrito y, ante la duda, designar.
• EIPD: debe comprobar si los datos de salud se tratan a gran escala antes de descartar la evaluación del artículo 42.
• Transferencias: su CRM aloja datos en Estados Unidos. Debe revisar si el proveedor actúa como encargado o si hay transferencia, y en este segundo caso notificar con plan de adecuación antes del 13 de febrero de 2027.

Resultado: en la semana 13, la gerencia firma el expediente con los catorce entregables.

Checklist de cierre del día 90

• ☐ Inventario de tratamientos firmado por cada jefe de área.
• ☐ Análisis escrito sobre el DPD y, si aplica, nombramiento registrado.
• ☐ Registro de actividades de tratamiento completo, o constancia de por qué no aplica.
• ☐ Matriz de bases de legitimación aprobada.
• ☐ Avisos de privacidad publicados en todos los puntos de recogida.
• ☐ Contratos o anexos firmados con cada encargado.
• ☐ Transferencias internacionales identificadas y, si existen, notificadas con plan de adecuación.
• ☐ Análisis de riesgos documentado y EIPD donde el artículo 42 la exige.
• ☐ Plan de seguridad aprobado.
• ☐ Procedimiento de derechos con plantillas y responsable.
• ☐ Procedimiento de vulneraciones y registro interno de incidentes.
• ☐ Registro de asistencia a la formación.
• ☐ Expediente archivado y plan anual con fechas.

Qué debería hacer su empresa ahora

Plazos legales (norma):

1. La LOPDP es exigible y su régimen sancionador rige desde el 26 de mayo de 2023.
2. Si realiza transferencias internacionales previas a la Resolución 0004-R, notifíquelas con su plan de adecuación antes del 13 de febrero de 2027.
3. Ante una vulneración, notifique a la SPDP y a la ARCOTEL dentro del término de cinco días y, cuando corresponda, a los titulares dentro del término de tres días.
4. Responda las solicitudes de derechos en quince días.

Recomendación operativa (TempoLegal):

5. Nombre esta semana un coordinador del proyecto con respaldo de gerencia.
6. Empiece por el inventario: los demás entregables dependen de él.
7. Resuelva la cuestión del DPD en la semana 3, con análisis escrito.
8. Revise el expediente cada año o al cambiar sistemas, proveedores o actividad.

Fuentes oficiales

• Ley Orgánica de Protección de Datos Personales, Quinto Suplemento del Registro Oficial 459, 26 de mayo de 2021
• Reglamento General a la LOPDP, Suplemento del Registro Oficial 435, 13 de noviembre de 2023
• SPDP, Resolución RES-SPDP-ICS-PASN-2025-0003 (vigencia del régimen sancionador)
• SPDP, Resolución SPDP-SPD-2025-0028-R, Reglamento del Delegado de Protección de Datos Personales
• SPDP, Resolución SPDP-SPD-2025-0006-R, cláusulas de protección de datos en los contratos
• SPDP, Resolución SPDP-SPD-2026-0004-R, Norma General de Transferencias
• Registro Oficial, Tercer Suplemento 225, 13 de febrero de 2026
• SPDP, Resolución SPDP-SPD-2025-0003-R, Guía de Gestión de Riesgos y Evaluación de Impacto
• SPDP, Resolución SPDP-SPD-2026-0040-R, Norma Técnica de Notificaciones de Vulneraciones
• Registro Oficial, Suplemento 376, 24 de septiembre de 2026

Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.