Multas de la Superintendencia de Protección de Datos Personales (SPDP) en Ecuador, bajo la Ley Orgánica de Protección de Datos Personales (LOPDP)
Multas SPDP 2025-2026: cuánto puede costar no proteger los datos de salud de tus pacientes
La Superintendencia de Protección de Datos Personales (SPDP) de Ecuador tiene desde 2024 plenas facultades sancionatorias. El régimen de multas de la LOPDP es significativo: se calcula como porcentaje del volumen de negocio anual de la organización, lo que en la práctica puede representar montos considerables incluso para clínicas dentales medianas.
En 2025, la SPDP publicó la Resolución SPDP-SPD-2025-0022-R, que establece la metodología para determinar el monto específico de las sanciones. Esto hace que el régimen sancionatorio sea más predecible, pero también más aplicable.
Además, las clínicas odontológicas tratan datos de salud, considerados una categoría especial de datos personales por la LOPDP. Debido a su mayor sensibilidad, la ley exige medidas de protección reforzadas para garantizar su confidencialidad, integridad y disponibilidad.
Estructura del régimen sancionatorio
⚠ Infracciones leves
🚨 Infracciones graves
Infracciones más probables en clínicas dentales
| Infracción | Clasificación |
|---|---|
| No tener política de privacidad ni avisos de información | Leve |
| No responder las solicitudes dentro de los plazos legales establecidos por la LOPDP. | Leve o grave, según el caso y la reincidencia |
| No designar DPD siendo obligatorio | Leve a grave según impacto |
| Brecha de seguridad no notificada a la SPDP | Grave |
| Tratamiento de datos sin base legal (ej. vender datos de pacientes) | Grave |
| Transferencia de datos a terceros sin autorización ni base legal | Grave |
| No aplicar medidas de seguridad adecuadas para datos de salud | Grave |
| Incumplimiento de la normativa sanitaria sobre conservación de historias clínicas. | Puede generar responsabilidad administrativa y otras consecuencias legales. |
Cómo se calcula exactamente la multa
La Resolución SPDP-SPD-2025-0022-R establece que el cálculo considera:
- Volumen de negocio: ingresos brutos del último ejercicio económico cerrado
- Gravedad de la infracción: el daño causado, el número de afectados, la sensibilidad de los datos
- Intencionalidad o negligencia
- Medidas correctivas adoptadas antes o durante el procedimiento sancionatorio
- Historial de cumplimiento: si es la primera infracción o hay antecedentes
- Cooperación con la SPDP durante la investigación
Medidas correctivas adicionales a las multas
Además de las multas económicas, la SPDP puede imponer:
- Orden de cesar el tratamiento de determinados datos
- Orden de regularizar políticas y procedimientos en un plazo determinado
- Orden de suprimir datos tratados ilegalmente
- Orden de notificar a los afectados sobre una brecha de seguridad
Cómo prevenir sanciones: las acciones de mayor impacto
- Política de privacidad visible y actualizada: que los pacientes puedan leerla en recepción o en la web de la clínica
- Procedimiento documentado para solicitudes ARCO+: con responsable designado y registro de gestión
- DPD designado y registrado si tu clínica está obligada
- Acceso a datos clínicos por roles: que solo quien debe ver la historia clínica pueda acceder
- Plan de respuesta a brechas: qué hacer si hay un acceso no autorizado o pérdida de datos
- Auditoría interna anual del cumplimiento de la LOPDP
Las clínicas odontológicas deben evaluar si están obligadas a designar un Delegado de Protección de Datos conforme a la LOPDP y al Reglamento del DPD. Dado que manejan datos de salud —una categoría especial de datos personales— muchas clínicas privadas pueden encontrarse dentro de los supuestos de obligatoriedad, especialmente cuando realizan tratamientos a gran escala o desarrollan actividades de control permanente y sistemático.
Preguntas frecuentes
¿La SPDP puede inspeccionar una clínica sin denuncia previa?
Sí. La SPDP tiene facultades de inspección de oficio. Puede iniciar investigaciones propias basadas en análisis sectorial, noticias de brechas de datos, o como parte de su plan anual de supervisión.
¿Una microempresa o consultorio pequeño tiene las mismas obligaciones?
La LOPDP establece obligaciones para todos los responsables del tratamiento, independientemente del tamaño. Algunas obligaciones específicas (como el DPD) tienen excepciones, pero las obligaciones básicas de protección aplican a todos.
Dentexis está construido con cumplimiento LOPDP integrado: control de accesos, auditoría de datos, políticas de privacidad configurables y herramientas para atender solicitudes de pacientes.