Registro Oficial del día: SPDP expide norma técnica de notificación de vulneraciones de datos

La Superintendencia de Protección de Datos Personales expidió la Norma Técnica de Notificaciones de Vulneraciones de la Seguridad de los Datos Personales mediante la Resolución SPDP-SPD-2026-0040-R, suscrita el 09 del septiembre del 2026 y publicada en el Registro Oficial Año ll Primer Suplemento No. 376 del 24 de septiembre de 2026. Esta regulación establece el marco procedimental obligatorio para que responsables y encargados del tratamiento reporten incidentes que afecten la confidencialidad, integridad o disponibilidad de la información personal en Ecuador.

Plazos y canales oficiales para la gestión de incidentes

El reglamento dispone que los encargados del tratamiento deben informar sobre cualquier vulneración al responsable en un plazo máximo de dos días, mientras que el responsable debe notificar a la autoridad de control en el término de cinco días. Los reportes a la institución se efectúan mediante el Sistema Nacional de Registro de Datos Personales en el enlace oficial de la entidad, sancionando la omisión de este reporte como una infracción grave según la ley de la materia.

Integración de inteligencia artificial en la evaluación de riesgos

La gestión institucional de los reportes emplea el sistema auxiliar denominado AIxSPDP, un mecanismo experto sustentado en inteligencia artificial agéntica con intervención humana en todas sus etapas. Dicha herramienta técnica permite descomponer los elementos sustanciales de las incidencias, medir niveles de riesgo, generar métricas analíticas y asegurar la trazabilidad de los expedientes sin constituir un sistema de decisión automatizada.

Requisitos y deberes de comunicación a los titulares

La norma técnica exige que las comunicaciones dirigidas a los titulares de los datos contengan información sobre la naturaleza del incidente, fechas estimadas, medidas de mitigación aplicadas y recomendaciones de seguridad. El responsable debe utilizar canales directos o medios masivos de comunicación, garantizando los principios de celeridad, objetividad, confidencialidad, interoperabilidad institucional y cooperación internacional durante la tramitación del evento.

Antecedentes del proceso normativo y plazos de implementación

El proceso regulatorio incluyó una etapa de socialización ciudadana efectuada desde el 04 del mayo del 2026 hasta el 01 del junio del 2026, respaldada por informes de la Intendencia General de Innovación Tecnológica y la Dirección de Asesoría Jurídica. La autoridad dispuso un plazo de seis meses para la publicación de los modelos de riesgo y ontologías del sistema experto, así como para la adecuación de los manuales de procesos internos.

Fuente: Registro Oficial Año ll Primer Suplemento No. 376 del 24 de septiembre de 2026