Plazos legales de la LOPDP, separados del cronograma operativo, con árbol de decisión, checklist y modelo de aviso a titulares.
Actualizado: 19 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior · Aprobado por: Ab. Juan Alberto Gómez Benalcázar
Ante una filtración de datos personales, su empresa debe contenerla, evaluar el riesgo y, salvo que ese riesgo sea improbable, notificarla a la Superintendencia de Protección de Datos Personales (SPDP) y a la ARCOTEL en el término de cinco días. A los titulares les avisa sin dilación, en el término de tres días, si hay riesgo para sus derechos.
Si el incidente lo sufrió un proveedor que trata datos por cuenta suya, este debe avisarle en dos días. Las primeras 48 horas no son un plazo legal, pero deciden si cumple los demás.
¿Qué es una vulneración de seguridad de datos personales?
La vulneración de seguridad de datos personales es el incidente que afecta la confidencialidad, la integridad o la disponibilidad de los datos que su empresa trata, sea por un ataque, un error interno o una falla de un proveedor.
El artículo 24 del Reglamento General a la LOPDP considera que hay riesgo cuando los datos se destruyeron o no están disponibles; cuando se alteraron o están incompletos; cuando se perdió su control o acceso, o cuando hubo acceso o tratamiento no autorizado.
Vea nuestro servicio de protección de datos personales en Ecuador.
¿Qué norma regula hoy la notificación de filtraciones?
Los plazos están en los artículos 43, 46 y 47.8 de la Ley Orgánica de Protección de Datos Personales (LOPDP, Quinto Suplemento del Registro Oficial 459, 26 de mayo de 2021); el contenido, en los artículos 24 a 28 del Reglamento General (Registro Oficial Suplemento 435, 13 de noviembre de 2023). La SPDP expidió además la Resolución SPDP-SPD-2026-0040-R, Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales, que se lee junto con la ley, publicada en el Suplemento del Registro Oficial 376, de 24 de septiembre de 2026.
¿A quién debe notificar y en qué plazo?
A la SPDP y a la ARCOTEL en cinco días, a los titulares en tres días si hay riesgo, y su proveedor a usted en dos días. Los tres son "términos" según la LOPDP.
Un término es un cómputo en días que excluye sábados, domingos y feriados (artículo 159 del Código Orgánico Administrativo); el artículo 158 lo cuenta desde el día hábil siguiente al hecho. Contarlo en días calendario da menos tiempo, no más: es la lectura prudente.
| Quién notifica | A quién | Término legal | Desde cuándo | Norma |
|---|---|---|---|---|
| Encargado (proveedor que trata datos por cuenta de su empresa) | Su empresa | Tan pronto sea posible, máximo 2 días | Desde que tuvo conocimiento | Art. 43 LOPDP, último inciso; art. 27 del Reglamento |
| Su empresa (responsable) | SPDP y ARCOTEL | Tan pronto sea posible, máximo 5 días | Desde que tuvo constancia de la vulneración | Art. 43 LOPDP; art. 24 del Reglamento |
| Su empresa (responsable) | Titulares, si hay riesgo para sus derechos | Sin dilación, máximo 3 días | Desde que tuvo conocimiento del riesgo | Art. 46 LOPDP; art. 28 del Reglamento |
Su reloj no espera al informe del proveedor: los cinco días corren desde que su empresa "haya tenido constancia", aunque se entere por un cliente. Si notifica tarde, igual debe hacerlo e indicar los motivos de la dilación (artículo 43). La ARCOTEL (Agencia de Regulación y Control de las Telecomunicaciones) figura en el artículo 43 y en el 24 del Reglamento.
¿Cómo se notifica a la SPDP y qué debe contener?
En línea y sin costo, por el Sistema Nacional de Registros de Datos Personales (SISPDP). Según la ficha oficial del trámite en gob.ec, se ingresa desde www.spdp.gob.ec al SISPDP, opción "Vulneración de Datos", y se llena el formulario.
El artículo 26 del Reglamento fija el contenido mínimo: naturaleza y tipo de vulneración; titulares afectados; detalle preliminar de los sistemas comprometidos; causa presunta; volumen y tipos de datos; medidas adoptadas y previstas; evaluación del riesgo para los titulares; y lo que determine la autoridad.
El aviso del proveedor lleva lo mismo, salvo la evaluación de riesgo (artículo 27); exíjalo en su contrato con cada proveedor que trata datos.
¿Cuándo no hay que notificar?
A la SPDP no se notifica cuando sea improbable que la vulneración genere riesgo para los derechos y libertades de las personas (artículo 43). Al titular no se le notifica en tres casos del artículo 46:
- Medidas de protección apropiadas y efectivas ya aplicadas, que su empresa pueda demostrar (por ejemplo, datos cifrados cuya clave no se comprometió).
- Medidas posteriores que garantizan que el riesgo no se materializará.
- Esfuerzo desproporcionado. No libera del todo: obliga a una comunicación pública, por cualquier medio, que informe de la vulneración.
Los casos 1 y 2 los califica la SPDP una vez informada (artículo 46), y el artículo 28 del Reglamento exige aplicarlos de forma restringida y justificada. En nuestra lectura, la excepción se documenta e informa; no se decide en silencio.
Árbol de decisión: ¿hay que notificar?
- ¿Se afectaron datos personales? No: regístrelo como incidente de seguridad. Sí: pase a la 2.
- ¿Ocurrió en un proveedor? Sí: exija su aviso (artículo 27). Siga a la 3.
- ¿Es improbable el riesgo para las personas y puede justificarlo por escrito? Sí: documéntelo. No, o hay duda: notifique a la SPDP y a la ARCOTEL en cinco días.
- ¿Hay riesgo para los titulares (fraude, suplantación, datos sensibles)? No: documente. Sí: pase a la 5.
- ¿Aplica una excepción del artículo 46? Casos 1 o 2: no avisa, sujeto a calificación de la SPDP. Caso 3: comunicación pública. Ninguna: avise a cada titular en tres días.
Ejemplo hipotético: una tienda online de electrodomésticos y su proveedor de envíos
Una tienda online de electrodomésticos de Quito entrega con una empresa de logística. El martes 10 de noviembre de 2026, a las 22:00, la empresa de logística detecta que un tercero descargó su base de guías: nombres, cédulas, teléfonos, direcciones y contenido de los paquetes de 8.000 compradores.
- Proveedor: debe avisar a la tienda a más tardar el jueves 12 (dos días). Avisa el miércoles 11 a las 09:00.
- SPDP y ARCOTEL: la tienda tuvo constancia el miércoles 11; el término de cinco días vence el miércoles 18 de noviembre.
- Titulares: riesgo alto. Un tercero sabe quién compró un televisor y dónde vive, y puede enviar mensajes falsos de "reprogramación de entrega" para cobrar. El término de tres días vence el lunes 16 de noviembre.
- Excepciones: ninguna; los datos no estaban cifrados y avisar por correo y WhatsApp no es desproporcionado.
Las fechas cuentan desde el día hábil siguiente, sin fines de semana. Recomendación operativa: notificar a la SPDP y avisar a los compradores el jueves 12.
Cronograma de las primeras 48 horas (recomendación operativa)
No es un plazo legal: es el orden de trabajo para llegar con margen.
| Momento | Qué hacer | Quién |
|---|---|---|
| Hora 0-2 | Frenar el incidente: desconectar los equipos comprometidos, revocar accesos y contraseñas, y guardar copia de los registros antes de tocar nada | TI |
| Hora 2-4 | Convocar al comité: gerencia, TI, legal, delegado de protección de datos (DPD) | Gerencia |
| Hora 4-12 | Alcance: qué datos, cuántos titulares, desde cuándo, qué proveedor | TI y DPD |
| Hora 12-24 | Evaluación de riesgo por escrito y decisión con el árbol | DPD y legal |
| Hora 24-36 | Redactar la notificación (artículo 26) y el aviso a titulares | Legal y DPD |
| Hora 36-48 | Presentar en el SISPDP, notificar a la ARCOTEL y enviar los avisos | Representante legal |
Después, complete la información y atienda las solicitudes de los titulares (vea cómo responder derechos ARCO-POL).
Checklist de las primeras 48 horas
- ☐ Incidente contenido y registros técnicos preservados.
- ☐ Hora de constancia identificada: desde ahí corren los términos.
- ☐ Aviso escrito del proveedor, si está involucrado, con el contenido del artículo 27.
- ☐ Evaluación de riesgo y decisión de notificar, por escrito.
- ☐ Notificación en el SISPDP con el contenido del artículo 26, y aviso a la ARCOTEL.
- ☐ Aviso a titulares en lenguaje claro, o excepción documentada.
- ☐ Incidente anotado en el registro interno con fechas, decisiones y evidencias.
Modelo breve de aviso a titulares
El artículo 28 del Reglamento exige lenguaje claro y sencillo. Modelo base, para adaptar:
Asunto: Aviso sobre un incidente de seguridad que afecta sus datos personales
Estimado/a (nombre): el (fecha), (empresa o nuestro proveedor de envíos) detectó un acceso no autorizado a (sistema). Los datos comprometidos son (nombre, teléfono, dirección, detalle del pedido). No se comprometieron (datos de tarjetas o contraseñas), según lo verificado.
Ya hemos (bloqueado el acceso, cambiado credenciales y notificado a la Superintendencia de Protección de Datos Personales).
Le recomendamos no pagar valores adicionales por entregas y desconfiar de mensajes a nuestro nombre. No le pediremos pagos por WhatsApp.
Para consultas o para ejercer sus derechos, escriba a (correo del DPD) o llame al (teléfono).
¿Qué arriesga si no notifica a tiempo?
El artículo 46 de la LOPDP sanciona la notificación no oportuna o injustificada, y trata como atenuante la notificación oportuna con medidas de respuesta. Vea el cálculo en nuestra guía de multas por incumplir la LOPDP y, si vende en línea, la de protección de datos en ecommerce.
En nuestras más de 130 implementaciones LOPDP, el protocolo de respuesta a vulneraciones es un documento base.
Qué debería hacer su empresa ahora
Plazos legales (norma):
- SPDP (por el SISPDP) y ARCOTEL: término de cinco días desde la constancia, salvo riesgo improbable (artículo 43 LOPDP).
- Titulares: sin dilación y en el término de tres días desde que conoce el riesgo, salvo excepciones del artículo 46.
- Proveedores encargados: aviso a su empresa en el término de dos días (artículo 43 LOPDP).
Recomendaciones operativas:
- Aprobar un protocolo con el cronograma de 48 horas y un comité con nombres y teléfonos.
- Revisar los contratos con proveedores: aviso en horas y contenido del artículo 27.
- Llevar un registro interno de incidentes, también de los no notificados, como prueba de las medidas aplicadas (artículo 36 del Reglamento).
- Tener listos el modelo de aviso, el guion de atención y un simulacro anual.
Fuentes oficiales
- LOPDP, Quinto Suplemento del Registro Oficial 459, 26 de mayo de 2021 (texto de la SOT)
- Reglamento General a la LOPDP, Registro Oficial Suplemento 435, 13 de noviembre de 2023 (texto de COSEDE)
- SPDP, Resolución SPDP-SPD-2026-0040-R, Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales
- Registro Oficial, Suplemento 376, 24 de septiembre de 2026
- Gob.ec, Notificación de Vulneración de Seguridad de Datos Personales
- Código Orgánico Administrativo, artículos 158 y 159
Si gestiona un incidente o quiere su protocolo listo antes de necesitarlo: Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.