El 19 de agosto de 2024, se marcó un hito significativo en la protección de datos personales en Ecuador con la publicación de la primera resolución de la Superintendencia de Protección de Datos Personales en el Registro Oficial. Esta resolución, signada con el No. SPDP-SPDP-2024-0001-R, aprueba el Estatuto Orgánico de Gestión Organizacional por Procesos de Arranque, que establece la estructura provisional de la Superintendencia y define los principios clave que guiarán su operación.

Principios institucionales

El Estatuto introduce principios fundamentales que regirán la protección de datos personales en el país, tales como la juridicidad, la lealtad, la transparencia, la finalidad, la pertinencia y minimización de datos personales, la proporcionalidad del tratamiento, la confidencialidad, la calidad y exactitud, la conservación, la seguridad de los datos, la responsabilidad proactiva y demostrada, la aplicación favorable al titular, y la independencia del control.

Objetivos institucionales

El Estatuto establece como objetivos estratégicos institucionales a los siguientes:

1. Establecer el marco normativo que complemente los aspectos de la Ley Orgánica de Protección de Datos Personales y Reglamento.
2. Supervisar el tratamiento seguro de los datos personales y asegurar una respuesta oportuna ante vulneraciones de seguridad y violaciones de los derechos de los titulares.
3. Fortalecer las capacidades institucionales. 

Estructura provisional

En cuanto a la estructura organizacional, el Estatuto crea tres intendencias generales:

1. Intendencia General de Innovación Tecnológica y Seguridad de Datos Personales: Estará a cargo de dirigir y coordinar las actividades técnicas especializadas en el ámbito de la protección de datos personales; y dirigir y coordinar el desarrollo y la implementación de tecnologías y sistemas que fortalezcan la protección y la seguridad de la información personal. Además, estará a cargo de la administración de:
   1. El Registro Nacional de Protección de Datos Personales;
   2. El Registro Único de Responsables y Encargados incumplidos;
   3. El Registro Estadístico sobre Vulneraciones a la Seguridad de Datos Personales; y, 
   4. El Registro de los Responsables y Encargados del Tratamiento de Datos Personales.
2. Intendencia General de Regulación de Protección de Datos Personales: Esta intendencia será responsable de dirigir y proponer la regulación en materia de protección de datos personales.
3. Intendencia General de Control y Sanción: Tendrá la tarea de dirigir el conocimiento e investigación de los reclamos, quejas o denuncias presentadas por los titulares de datos personales; dirigir los procesos de control, monitoreo, vigilancia y auditoría que garanticen la protección de datos personales; y ejercer la potestad sancionadora a través del conocimiento y sustanciación de los procedimientos administrativos.