Mediante Resolución No. SPDP-SPD-2026-0003-R, de 26 de enero de 2026, la Superintendencia de Protección de Datos Personales expidió la Norma General para el Tratamiento de Datos Personales en Actividades Familiares o Domésticas. Esta resolución desarrolla y delimita el alcance de la excepción prevista en la Ley Orgánica de Protección de Datos Personales (LOPDP) y su reglamento, respecto del tratamiento de datos personales realizado en contextos familiares o domésticos, particularmente en entornos digitales.
Objeto y ámbito de aplicación de la norma
La norma tiene por objeto regular los criterios, directrices y parámetros que permiten identificar cuándo un tratamiento de datos personales puede considerarse realizado dentro del ámbito familiar o doméstico y, por tanto, cuándo queda fuera del ámbito de aplicación de la LOPDP y del RGLOPDP.
Su aplicación es obligatoria para los integrantes del sistema de protección de datos personales, y corresponde a la SPDP evaluar caso por caso si una determinada actividad de tratamiento se mantiene dentro de dicho ámbito o si lo excede.
Definiciones relevantes introducidas por la resolución
La resolución incorpora definiciones clave para interpretar el alcance de la excepción doméstica:
- Difusión pública: Se configura cuando los datos personales son puestos a disposición de un número indeterminado de personas, son accesibles a través de bases de datos de acceso público (físicas o digitales) o se difunden mediante repositorios de direcciones, redes sociales o plataformas digitales.
- Entorno digital doméstico: Se entiende como el espacio virtual en el que los contenidos (publicaciones, fotografías, videos, mensajes o similares) son accesibles únicamente por el círculo personal o familiar del usuario, esto es, un grupo reducido de personas con vínculos de amistad, parentesco o confianza.
Criterios para determinar si una actividad excede el ámbito familiar o doméstico
La resolución establece tres criterios principales que la SPDP deberá considerar al analizar cada caso concreto, tomando en cuenta los fenómenos tecnológicos, sociales y culturales involucrados:
- Finalidad: El tratamiento pierde su carácter familiar o doméstico cuando tiene como finalidad la comunicación o transferencia de datos con fines comerciales.
- Alcance: La difusión de datos personales a un número indeterminado de personas constituye un tratamiento sujeto a la LOPDP y al RGLOPDP, aun cuando la actividad se haya iniciado en un entorno familiar o doméstico.
- Impacto: El tratamiento deja de ser doméstico cuando genera una violación directa de los derechos y libertades de los titulares de los datos personales.
Cuando, a partir de este análisis, la SPDP determine que el tratamiento excede los límites del ámbito familiar o doméstico, se continuará con la sustanciación de los procedimientos administrativos conforme a la LOPDP, su reglamento y la normativa emitida por la propia Superintendencia.
Reglas procedimentales y tutela de derechos
La resolución reitera que, para la tutela de los derechos de protección de datos personales, deberán observarse los parámetros y requisitos previstos en la LOPDP, el RGLOPDP y la normativa de la SPDP, incluso en aquellos casos en los que el tratamiento tenga origen en actividades inicialmente domésticas.
Reformas al reglamento de denuncias y solicitudes ante la SPDP
La resolución introduce reformas relevantes a la Resolución No. SPDP-SPDP-2024-0013-R, expedida el 25 de octubre de 2024 y publicada en el Registro Oficial No. 683 de 14 de noviembre de 2024, que aprobó el Reglamento para la Presentación, Recepción y Trámite de Denuncias y Solicitudes. Entre los principales cambios se destacan:
- Clarificación conceptual entre denuncia y solicitud:
- La denuncia se define como el medio para poner en conocimiento de la SPDP presuntas infracciones a la normativa de protección de datos, sin que ello implique el ejercicio directo de derechos por parte del titular.
- La solicitud tiene por finalidad tutelar los derechos del titular y activar la competencia de control y sanción de la SPDP, siempre que exista falta de respuesta, respuesta extemporánea, negativa expresa o una respuesta que el titular considere vulneratoria de sus derechos.
- Requisitos formales de presentación:
- Toda denuncia o solicitud deberá presentarse mediante los formularios oficiales correspondientes.
- Las presentaciones físicas requerirán firma manuscrita, y las digitales deberán contar con firma electrónica verificable a través de FirmaEC.
- Plazos procedimentales:
- Se establece un plazo máximo de seis (6) meses para notificar la decisión de inicio del procedimiento administrativo sancionador, contado desde la notificación del inicio de las actuaciones previas, conforme al COA.
- Orden específico para solicitudes en casos que excedan el ámbito doméstico:
- Primero, el titular deberá dirigirse al responsable del tratamiento que publicó o difundió los datos.
- En segundo lugar, podrá acudir ante la SPDP, de persistir la vulneración o de configurarse los supuestos previstos en la normativa.
- Derecho a la defensa del responsable:
- Una vez admitida la solicitud, la SPDP notificará al responsable del tratamiento para que ejerza su derecho a la defensa en el término de cinco (5) días.
- Reordenamiento del procedimiento:
- Se precisan las reglas sobre medidas correctivas, conforme a los artículos 65 y 66 de la LOPDP, y se establece que el procedimiento administrativo sancionador se regirá por el COA, en lo que no se oponga a la normativa especial de protección de datos.
Entrada en vigencia
La Resolución No. SPDP-SPD-2026-0003-R entrará en vigencia a partir de su publicación en el Registro Oficial, y fue dada y firmada en Quito, Distrito Metropolitano, el 26 de enero de 2026.
