¿Qué debo saber para entender la Ley Orgánica de Protección de Datos Personales?

En el mundo digital actual, la privacidad y la #proteccióndedatospersonales han adquirido una importancia sin precedentes. No es de sorprenderse que la normativa ecuatoriana, en particular la Ley Orgánica de Protección de Datos Personales (#LOPD), se haya preocupado de dicha dinámica social a escala global. 

El Ecuador lleva menos de tres meses desde la entrada en vigencia de la Ley, aún sin resultados visibles a gran escala y con tareas pendientes y complementarias. Sin embargo, es innegable la necesidad de adaptarse a la regulación normativa sobre el tema, tal y como se ha venido haciendo en otras legislaciones.

Para ello, ha dado pasos para establecer un marco legal especial que por el momento se encuentra en un periodo de adaptación y busca salvaguardar derechos fundamentales de todos los ciudadanos que de una u otra forma nos vemos expuestos al manejo erróneo de nuestros datos personales, que por la dinámica digital se ha potenciado en su vulneración.

En las próximas líneas, me permitiré poner en su conocimiento los principales aspectos de la normativa, los derechos de las personas, las obligaciones de los responsables y delegados de tratamiento de datos personas , la diferencia entre protección de datos y privacidad, los derechos #ARCO (Acceso, Rectificación, Cancelación y Oposición), el #derechoalolvido, los #datossensibles, la #diligencia y #previsibilidad, y los demás principios aplicables que le son exigibles a su empresa.

1.     Introducción y Contexto

El pilar central de la #proteccióndedatos en Ecuador es la Ley Orgánica de Protección de Datos Personales (#LOPD), que establece los principios y procedimientos para el tratamiento adecuado de los datos personales. La LOPD es aplicable a todas las empresas y organizaciones que procesan datos personales en Ecuador, independientemente de su ubicación física. Esta ley establece principios fundamentales que deben guiar el tratamiento de datos personales: legalidad, equidad y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del almacenamiento, integridad y confidencialidad.

2.     Derechos de las Personas

La LOPD otorga a los individuos una serie de derechos para proteger su privacidad y controlar el uso de sus datos personales. Estos derechos incluyen el derecho a ser informados sobre el tratamiento de datos, el derecho de acceso a sus datos personales, el derecho a la rectificación de información inexacta, el derecho a la cancelación de datos o como internacional se conoce ("derecho al olvido"), y el derecho a oponerse o restringir el procesamiento en ciertas circunstancias.

3.     Obligaciones del Responsable y Delegado de Tratamiento

El #responsabledeltratamiento es la persona natural o jurídica que determina los fines y medios del procesamiento de datos personales. Debe cumplir con una serie de obligaciones, como obtener el consentimiento válido de los individuos antes de procesar sus datos, implementar medidas de seguridad adecuadas para proteger la información, notificar violaciones de datos a la autoridad estatal supervisora, que al momento aún no ha sido creada. No obstante, esto último no implica que el responsable no deba cumplir dese ya con sus obligaciones legales previstas en la ley.

Además, de acuerdo al volumen de datos manejados algunas organizaciones deben designar un #DelegadodeProteccióndeDatos (DPO) para garantizar el cumplimiento interno de la normativa.

4.     Protección de Datos vs. Privacidad

Es esencial diferenciar entre #proteccióndedatos y #privacidad. Mientras que la protección de datos se refiere al conjunto de medidas y principios legales que buscan proteger la información personal de los individuos, la privacidad es un concepto más amplio que abarca el control y la intimidad de la vida de una persona. La protección de datos es una herramienta clave para salvaguardar la privacidad de las personas en el contexto digital.

5.     Datos Sensibles y categorías especiales de datos

La LOPD establece una #categoríaespecialdedatos llamados "#datossensibles" o "datos personales especiales", que incluyen información sobre origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, salud, orientación sexual, y datos genéticos y biométricos.

Estos datos tienen una mayor protección y solo pueden ser tratados bajo condiciones específicas y con el consentimiento explícito del interesado. En este punto, es preciso hacer referencia a que las condiciones personales del sujeto sobre el cual se están tratando sus datos, como por ejemplo las personas con discapacidad, los niños niñas y adolescentes, etc.

Esto supone que el estándar de cumplimiento previsto en la ley exige al responsable actuar con mayor diligencia.

6.     Derecho al Olvido

El derecho al olvido es un derecho controvertido y poderoso que permite a los individuos solicitar la eliminación de datos personales que ya no son necesarios para la finalidad original del tratamiento o cuando el consentimiento ha sido retirado. Sin embargo, este derecho no es absoluto y puede entrar en conflicto con otros derechos o intereses legítimos, como la libertad de expresión o el derecho a la información pública.

7.     Diligencia y Previsibilidad en el Tratamiento de Datos Personales

La diligencia y previsibilidad son principios fundamentales en el tratamiento de datos personales bajo la normativa de protección de datos en Ecuador. La diligencia implica la adopción de medidas proactivas y la implementación de controles adecuados para garantizar la protección de los datos personales. Los responsables del tratamiento deben evaluar y comprender los riesgos asociados con el procesamiento de datos y tomar las medidas necesarias para mitigarlos. Esto implica la identificación de puntos débiles en los sistemas de información, la implementación de políticas de seguridad, la capacitación del personal y la creación de procedimientos para gestionar los datos personales de manera segura.

La previsibilidad se refiere a la transparencia y claridad en las prácticas de tratamiento de datos. Los individuos deben tener una comprensión clara de cómo se recopilan, utilizan, comparten y almacenan sus datos personales. Los responsables del tratamiento deben proporcionar información detallada y fácilmente comprensible sobre estas prácticas a través de políticas de privacidad, avisos y otras comunicaciones relevantes. Además, los datos personales solo se deben utilizar para las finalidades específicas para las cuales se obtuvo el consentimiento, evitando el uso excesivo o inesperado de la información. La previsibilidad también exige que los responsables comuniquen a los interesados cualquier cambio en las prácticas de tratamiento de datos y obtengan su consentimiento nuevamente si es necesario.

8.     Identificación de Riesgos y el Reto de Adaptar la Norma a las Actividades de cada Empresa o Industria

Identificar los riesgos asociados con el tratamiento de datos personales es un paso crítico para garantizar el cumplimiento de la Ley Orgánica de Protección de Datos Personales en Ecuador. Cada empresa o industria puede enfrentar riesgos específicos, por lo que es esencial realizar una evaluación de impacto en la protección de datos (EIPD) en determinadas situaciones, especialmente cuando el procesamiento de datos pueda implicar un alto riesgo para los derechos y libertades de los individuos.

La persona natural  jurídica responsable del tratamiento debe analizar y documentar los riesgos identificados, así como las medidas de mitigación implementadas. Esto permite a la empresa demostrar su cumplimiento y la diligencia en la protección de datos ante la autoridad supervisora. La adaptación de la normativa a las actividades de cada empresa implica que las organizaciones deben ser flexibles y estar preparadas para ajustar sus prácticas de tratamiento de datos a medida que cambien sus operaciones o surjan nuevos riesgos.

El reto de adaptar la norma a las actividades de cada empresa o industria radica en mantener un equilibrio entre el cumplimiento legal y la eficiencia operativa. Es importante que las organizaciones consideren tanto los aspectos técnicos como los legales al diseñar sus políticas de protección de datos. Además, la colaboración con profesionales legales y expertos en protección de datos puede ser de gran ayuda para garantizar una adaptación adecuada y cumplir con los requisitos legales.

9.     Tipo de Información que las Empresas Deben Identificar para ser Aplicable la Norma

Para que la Ley Orgánica de Protección de Datos Personales en Ecuador sea aplicable, las empresas deben identificar y clasificar correctamente los datos personales que procesan. Esto incluye datos personales, datos sensibles, datos de menores, datos de empleados, datos de clientes y proveedores, así como datos utilizados con fines de marketing y publicidad. Además, deben considerar cómo se transfieren los datos fuera de Ecuador y garantizar que se cumplan los principios de protección de datos en todas las operaciones de tratamiento de información. Al hacerlo, las empresas pueden asegurar el cumplimiento de la normativa y proteger los derechos y libertades de los individuos cuyos datos son procesados.

En conclusión, la Ley Orgánica de Protección de Datos Personales en Ecuador establece una estructura legal que ha adaptado figuras previstas en legislaciones internacionales, principalmente de la legislación comunitaria europea. De manera adicional, están pendientes la creación de la entidad estatal de control y el reglamento a la ley, estos dos eventos requerirán que tanto el Estado como los responsables privados, entiendan las bondades y la necesidad de esta ley, a fin de mantener una relación jurídica armónica y no una aplicación en exceso del régimen sancionatorio contra los particulares.

Bajo este orden de cosas, considero que es un momento oportuno para que los sujetos responsables, personas naturales o morales, empiecen a adoptar acciones preparatorias en cumplimiento de la ley, a fin de ganar tiempo y experiencia en el manejo normativo hasta el momento de entrada en vigencia del reglamento y de la autoridad competente.

Finalmente, la diligencia y previsibilidad en el tratamiento de datos personales, junto con la identificación de riesgos y la adaptación de la norma a las actividades de cada empresa, son elementos esenciales para garantizar el cumplimiento legal y la protección efectiva de los derechos de los individuos en el contexto del tratamiento de sus datos personales.