Mediante la Resolución No. SPDP-SPD-2026-0040-R, la Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales, que regula cómo y por qué canal los responsables del tratamiento deben informar los incidentes de seguridad, y cómo la SPDP los gestiona.
La notificación se realiza obligatoriamente por medios digitales a través del Sistema Nacional de Registro de Datos Personales (SISPDP), y su ausencia constituye infracción grave conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP). Entrará en vigencia con su publicación en el Registro Oficial.
Tipos de vulneración
La norma distingue tres tipos de vulneración —de confidencialidad, de integridad y de disponibilidad— y aclara que un mismo incidente puede ocasionar vulneraciones de más de un tipo. Cada tipo se clasifica además según su dimensión:
| Tipo | Cuándo es temporal | Cuándo es permanente o irreversible |
| Integridad | Cuando las medidas técnicas y organizativas permiten verificar, recuperar y restaurar la integridad de los sistemas, los respaldos y los propios datos. | Permanente si no es posible recuperar la integridad de los datos; irreversible si no existe posibilidad técnica de restablecerlos a su estado íntegro. |
| Disponibilidad | Cuando las medidas de continuidad, recuperación, respaldo y redundancia permiten restablecer la disponibilidad. | Permanente si no es posible recuperar los datos y restablecer su disponibilidad para el titular; irreversible si no existe posibilidad técnica de recuperarlos. |
| Confidencialidad | No aplica: son esencialmente permanentes, porque una vez accedidos sin autorización los datos pueden utilizarse, distribuirse o publicarse en cualquier momento. | Irreversible cuando el titular no puede cambiar los datos comprometidos, especialmente si se trata de datos sensibles o de categorías especiales. |
Canal de notificación
Los responsables del tratamiento deben notificar a la SPDP a través del SISPDP, alojado en servicios.spdp.gob.ec. Solo de manera excepcional, cuando el sistema no estuviere disponible o en funcionamiento, la notificación puede realizarse por otros canales o medios oficiales; la SPDP verifica ese hecho excepcional para convalidarla.
Enviado el formulario, el SISPDP genera automáticamente una constancia de recepción que se remite al correo electrónico desde el cual se cursó la notificación.
Plazos
- El encargado del tratamiento debe comunicar la vulneración al responsable en un plazo máximo de dos días, por correo electrónico, salvo que las partes hubieren designado otro medio electrónico en el contrato de encargo.
- El responsable, una vez recibida esa comunicación, debe notificar a la SPDP en el término de cinco días.
Notificación a los titulares
La notificación a los titulares debe realizarse en lenguaje claro, accesible, transparente y sencillo, y contener al menos:
- La naturaleza de la vulneración.
- La fecha de detección o el período estimado del evento, cuando fuere posible.
- Las medidas adoptadas por el responsable del tratamiento.
- Las recomendaciones para los titulares.
Se efectúa por los canales habituales de comunicación, anuncios en la página web, correo electrónico u otro mecanismo de comunicación directa. La publicación en un medio de difusión masiva procede únicamente cuando el responsable no tuviere un canal oficial preestablecido con los titulares, y debe cumplir los principios de minimización y pertinencia.
La ausencia o falta de notificación a los titulares también constituye infracción grave.
Gestión de las notificaciones
La norma incorpora el AIxSPDP, un sistema experto de gestión basado en inteligencia artificial con intervención humana en todas sus instancias, que la propia norma define como sistema informativo y analítico y no como un sistema de toma automatizada de decisiones.
El AIxSPDP asigna número de trámite, filtra los formularios que no corresponden a notificaciones de vulneración y descompone los elementos del incidente para estimar el nivel de riesgo. El análisis pasa luego a revisión y supervisión humanas a cargo de la Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales, que determina si corresponde remitirlo a la Intendencia General de Control y Sanción mediante informe motivado. Las notificaciones que no se remitan a control quedan en estado de monitoreo.
La norma prevé además la gestión coordinada con otras instituciones, como la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) y los equipos de respuesta a incidentes, y la cooperación con autoridades de protección de datos de otros países cuando la vulneración tenga alcance internacional.
Dentro de los seis meses siguientes a la entrada en vigencia, la SPDP publicará en su portal web los modelos de riesgo y las ontologías de los agentes de inteligencia artificial utilizados en el AIxSPDP.
