La Superintendencia de Protección de Datos Personales acaba de emitir la SPDP-SPD-2026-0040-R, mediante la cual aprueba la nueva Norma Técnica de Notificación de Vulneraciones de Seguridad de los Datos Personales. Aunque a primera vista podría parecer una norma meramente procedimental, su importancia va mucho más allá.
La resolución no crea nuevas obligaciones de notificación, ya previstas en la Ley Orgánica de Protección de Datos Personales (LOPDP) y su reglamento, pero sí establece cómo espera la autoridad que se gestionen, documenten y reporten los incidentes de seguridad que afecten datos personales.
Entre los aspectos más relevantes destacan:
• La formalización del Sistema Nacional de Registro de Datos Personales (SISPDP) como canal para la notificación de vulneraciones a la autoridad»
• La confirmación de que la falta de notificación a la Superintendencia o a los titulares puede constituir una infracción grave.
• La incorporación de AIxSPDP, un sistema de análisis basado en inteligencia artificial que permitirá a la autoridad generar trazabilidad, métricas y modelos de riesgo para la gestión de incidentes, manteniendo supervisión humana en todas las etapas.
• La clasificación de las vulneraciones según afecten la confidencialidad, integridad o disponibilidad de los datos, así como su posible carácter temporal, permanente o irreversible.
• El establecimiento de requisitos mínimos para las comunicaciones dirigidas a los titulares afectados, exigiendo información clara sobre la naturaleza del incidente, las medidas adoptadas y las recomendaciones de protección correspondientes.
Más allá de su contenido técnico, la resolución deja entrever algo importante: la autoridad está evolucionando hacia un modelo de supervisión más estructurado, basado en la recopilación sistemática de información, análisis de riesgo y seguimiento continuo de las vulneraciones notificadas.
Para las organizaciones, el mensaje es claro: ya no basta con reaccionar frente a una brecha de seguridad. Resulta imprescindible contar con procedimientos documentados de gestión de incidentes, canales internos de escalamiento, cláusulas contractuales adecuadas con encargados del tratamiento y modelos previamente definidos para la comunicación a los titulares y a la autoridad.
La gestión de vulneraciones de seguridad se consolida como uno de los principales focos de cumplimiento bajo la normativa ecuatoriana de protección de datos personales. Quienes se preparen ahora estarán en mejor posición para demostrar diligencia, responsabilidad proactiva y cumplimiento ante eventuales actuaciones de control.
Esta información es un resumen de novedades jurídicas de interés, y por tanto no podrá ser considerada como asesoría provista. Cualquier inquietud, comunícate con el equipo de AVL.