Una denuncia ante la SPDP o la solicitud de un titular ya se presenta solo por el canal digital. Explicamos qué le notificarán a su empresa, cuánto tiempo tiene para defenderse y cuánto puede durar la actuación previa.
Actualizado: 26 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior · Aprobado por: Ab. Juan Alberto Gómez Benalcázar
Si un cliente reclama ante la Superintendencia de Protección de Datos Personales (SPDP), su empresa tiene un término de cinco días para defenderse desde que le notifican la solicitud. Si, en cambio, hay una denuncia y la SPDP abre una actuación previa, tendrá un término de diez días para responder al informe preliminar.
Desde la reforma publicada el 24 de septiembre de 2026, además, denuncias y solicitudes se presentan por el canal digital.
¿Qué cambió con la Resolución SPDP-SPD-2026-0038-R?
La reforma redefine la denuncia, la solicitud y la constancia de recepción, y obliga a presentar todo en línea.
El reglamento base es la Resolución SPDP-SPDP-2024-0013-R, de 25 de octubre de 2024. Primero lo reformó la disposición reformatoria de la Resolución SPDP-SPD-2026-0003-R (26 de enero de 2026). Después llegó la Resolución SPDP-SPD-2026-0038-R, publicada en el Registro Oficial 376, del 24 de septiembre de 2026.
Entre otros cambios, según el texto publicado, la 0038-R trae tres que su empresa notará:
- Canal único digital (art. 2, nuevo art. 5). Todo se presenta en el canal web de la SPDP o en su sistema en línea (SISPDP), con firma electrónica; la manuscrita digitalizada es una excepción. La presentación "se entenderá efectuada únicamente" cuando queda registrada en el canal.
- Constancia digital (art. 1, nuevo 4.3). La SPDP emite una certificación con fecha y hora, y la envía al correo del denunciante o solicitante.
- Formulario con campos fijos (art. 3, nuevo art. 6). La denuncia debe identificar al responsable o encargado denunciado, exponer hechos y fundamentos y señalar la presunta infracción.
Si su empresa aún no tiene un proceso para atender a los titulares, empiece por un programa de cumplimiento de protección de datos personales en Ecuador.
¿Denuncia ante la SPDP o solicitud del titular: cuál le llegará?
Dependerá de quién reclame y por qué. La solicitud protege un derecho del titular; la denuncia, en cambio, informa a la autoridad de una posible infracción.
Una solicitud es el pedido del titular a la SPDP para que tutele sus derechos frente al tratamiento que hace el responsable (nuevo art. 4.2). Una denuncia es el acto por el que cualquier persona, natural o jurídica, pone en conocimiento de la SPDP hechos que podrían constituir una infracción; además, la reforma aclara que no implica ejercer derechos del titular (nuevo art. 4.1).
| Aspecto | Solicitud del titular | Denuncia ante la SPDP |
|---|
| Quién la presenta | El titular afectado o su representante | Cualquier persona, natural o jurídica |
| Requisito previo | Haber acudido antes a su empresa sin respuesta, con negativa o con respuesta insatisfactoria | Ninguno ante su empresa |
| Primer acto que recibe su empresa | Notificación para ejercer su defensa | Si la SPDP decide investigar, el acto que ordena la actuación previa |
| Término de su empresa | 5 días para defenderse (art. 19.i) | 10 días para responder al informe preliminar (art. 11) |
| Resultado posible | Informe que recomienda medidas correctivas o un procedimiento sancionador (art. 21) | Decisión de iniciar o no el procedimiento sancionador (art. 12) |
Un mismo hecho puede abrir las dos vías. Sin embargo, la denuncia, por sí misma, no obliga a la SPDP a iniciar un procedimiento, salvo que existan elementos suficientes (art. 7).
¿Puede un titular ir directo a la SPDP sin reclamarle a su empresa?
Para una solicitud, no: el reglamento ordena acudir "en primer lugar" al responsable y, después, a la SPDP (art. 15.i, añadido por la 0003-R). La denuncia, en cambio, no exige ese paso.
La solicitud procede cuando su empresa no contesta el pedido del titular o lo contesta negativamente; también cuando el titular considera vulnerados sus derechos con la respuesta recibida (art. 15, reformado por la 0003-R). Por eso, su mejor defensa empieza antes: en cómo atiende el pedido original.
Los derechos de acceso, rectificación, eliminación y oposición deben atenderse en quince días, según los artículos 13 a 16 de la Ley Orgánica de Protección de Datos Personales (LOPDP). Esos artículos dicen "plazo", pero el artículo 64 habla del "término establecido en la presente Ley"; por eso, lo prudente es contar días calendario. Además, su empresa puede pedir aclaraciones una sola vez, en el término de cinco días (Reglamento General a la LOPDP, art. 14). Vea cómo responder cada derecho en nuestra guía de solicitudes de datos personales y sus plazos.
¿Qué pasa cuando la SPDP admite la solicitud contra su empresa?
La SPDP revisa los requisitos y, si se cumplen, le notifica para que se defienda en el término de cinco días. Luego puede abrir prueba y emitir un informe.
El trámite sigue este orden:
- Revisión y archivo. La SPDP archiva la solicitud si los mismos hechos ya se conocieron, con identidad de sujeto, objeto y causa (art. 18). Si falta un requisito, el titular tiene un término de cinco días para completarla o se archiva (art. 19).
- Defensa de su empresa. Admitida la solicitud, la SPDP le notifica para que "ejerza su derecho a la defensa" en el término de cinco días (art. 19.i).
- Prueba. Puede abrirse un término de prueba de hasta treinta días (art. 20).
- Informe. En un término no mayor a veinte días tras la prueba, la SPDP emite un informe que puede recomendar el procedimiento sancionador o medidas correctivas (art. 21).
Un término se cuenta en días hábiles, sin sábados, domingos ni feriados (Código Orgánico Administrativo, art. 159). El reglamento, por su parte, los hace correr desde el día siguiente a la notificación (disposición general séptima).
¿Cómo funciona la actuación previa tras una denuncia ante la SPDP?
Es una fase de investigación antes de cualquier sanción. Su empresa recibe el acto que la ordena, atiende diligencias y responde al informe preliminar en diez días.
La actuación previa es la etapa en que la SPDP identifica al presunto responsable, establece las circunstancias del caso y valora si conviene iniciar un procedimiento sancionador (art. 9). Puede ordenar investigaciones, averiguaciones, auditorías o inspecciones (art. 10).
| Etapa | Qué ocurre | Tiempo |
|---|
| Inicio | Acto administrativo que ordena la actuación, notificado al sujeto investigado si está identificado | No fijado |
| Diligencias | Investigación, averiguación, auditoría o inspección | No fijado |
| Informe preliminar | Su empresa presenta su criterio y descargos | Término de 10 días desde la notificación (art. 11) |
| Informe final | La SPDP valora el criterio presentado y concluye la actuación (art. 11) | No fijado |
| Decisión | Notificación de si se inicia o no el procedimiento sancionador | Plazo de hasta 6 meses desde que se notificó el acto de inicio (art. 12) |
Los seis meses son un "plazo", es decir, corren en días calendario. Si no presenta descargos a tiempo, su empresa pierde la ocasión de corregir el informe antes de la decisión.
Ejemplo hipotético: una paciente reclama a una red de clínicas dentales de Cuenca
Sonrisa Andina Odontología Cía. Ltda. (empresa ficticia) tiene cuatro clínicas dentales en Cuenca. El lunes 5 de octubre de 2026, una paciente pide por correo una copia de sus datos, incluida su historia clínica. Además, pide dejar de recibir promociones por WhatsApp.
- Pedido original: los quince días de la LOPDP vencen el martes 20 de octubre. El correo llega a un buzón que nadie revisa y la clínica no responde.
- Solicitud ante la SPDP: el lunes 26 de octubre, la paciente presenta su solicitud en el canal digital, con la captura de su correo como prueba del pedido original.
- Defensa: si la SPDP notifica a la clínica el miércoles 11 de noviembre, su término de cinco días corre del jueves 12 al miércoles 18 de noviembre, sin contar el sábado ni el domingo.
- Denuncia paralela: la paciente sigue recibiendo promociones y presenta, además, una denuncia ante la SPDP por tratamiento sin base legal. Si la SPDP ordena una actuación previa y la notifica el 1 de diciembre de 2026, debe notificar su decisión hasta el 1 de junio de 2027.
Por eso, la mejor defensa de la clínica es entregar la copia de inmediato, documentar la baja publicitaria y explicarlo con anexos. No borra el retraso, pero demuestra corrección. Además, la historia clínica tiene reglas sanitarias propias. Vea también cuándo enviar publicidad por correo electrónico y WhatsApp y nuestra guía de protección de datos en clínicas y laboratorios.
¿Cómo prepararse antes de recibir una denuncia ante la SPDP?
Con un canal de derechos que funcione y evidencia de cada respuesta. El Reglamento General obliga a registrar todas las solicitudes de derechos (art. 15).
☐ Canal visible para que los titulares ejerzan sus derechos, revisado a diario.
☐ Registro de solicitudes con fecha de entrada, plazo y fecha de respuesta.
☐ Respuestas modelo para acceso, rectificación, eliminación y oposición.
☐ Persona responsable de recibir las notificaciones de la SPDP y de calcular el término.
☐ Firma electrónica vigente del representante legal o del apoderado.
☐ Carpeta de evidencias: aviso de privacidad, bases legales, contratos con proveedores y registro de actividades.
☐ Procedimiento de baja de publicidad que llegue a todos los sistemas de envío.
En nuestro trabajo con más de 250 organizaciones vemos que muchos reclamos empiezan por un correo sin respuesta. Por eso conviene que el delegado de protección de datos vigile ese canal (vea sus funciones en la empresa).
¿Qué debería hacer su empresa ahora?
Plazos legales (norma):
- Atender los derechos del titular en quince días (LOPDP, arts. 13 a 16) y, si hace falta, pedir aclaraciones una sola vez, en el término de cinco días (Reglamento General, art. 14).
- Si la SPDP le notifica una solicitud, ejercer su defensa en el término de cinco días (reglamento de denuncias, art. 19.i).
- Si le notifican un informe preliminar en una actuación previa, presentar su criterio y descargos en el término de diez días (art. 11).
- Tener presente que la decisión de iniciar un procedimiento sancionador debe notificarse en el plazo de hasta seis meses (art. 12).
Recomendaciones operativas:
- Revisar hoy las solicitudes de titulares abiertas y contestar las que pasaron de quince días.
- Definir quién recibe las notificaciones de la SPDP y enviar la respuesta dos días hábiles antes del vencimiento.
- Preparar la defensa con anexos numerados: qué se corrigió y cuándo.
- Por último, pedir revisión legal si el caso involucra datos de salud, menores o publicidad masiva.
Fuentes oficiales sobre la denuncia ante la SPDP
- Reforma de 2026: SPDP, Resolución SPDP-SPD-2026-0038-R, reforma al reglamento de denuncias y solicitudes
- Publicación: Registro Oficial 376, 24 de septiembre de 2026 (sumario)
- Reglamento base: SPDP, Resolución SPDP-SPDP-2024-0013-R, Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes
- Primera reforma: SPDP, Resolución SPDP-SPD-2026-0003-R, disposición reformatoria
- Ley: LOPDP, Quinto Suplemento del Registro Oficial 459, 26 de mayo de 2021
- Reglamento General: Registro Oficial Suplemento 435, 13 de noviembre de 2023
- Trámite de denuncias: Gob.ec, Atención de denuncias por incumplimiento de la LOPDP
- Cómputo de términos: Código Orgánico Administrativo, art. 159
Si le notificaron una solicitud o una actuación previa de la SPDP: Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.
