¿Me aplica la LOPDP? Una forma rápida de saberlo
¿La LOPDP aplica a tu empresa? Tres preguntas simples para saberlo con certeza, sin importar el tamaño de tu negocio.
Esta es, probablemente, la pregunta que debería resolverse antes que cualquier otra. Antes de pensar en políticas de privacidad, en un Delegado de Protección de Datos o en qué derechos tienen tus clientes, hay algo más básico: ¿la ley te aplica a ti, específicamente, o no?
La respuesta no depende de si eres una empresa grande o pequeña. Depende de tres preguntas concretas. La respuesta depende de tres preguntas concretas. En la mayoría de empresas, puedes saberlo en pocos minutos.
Pregunta 1: ¿Manejas datos personales de alguien?:
Datos personales” es cualquier información que identifica o permite identificar, directa o indirectamente, a una persona: nombre, cédula, correo, teléfono, dirección, historial de compras, huella digital, foto, IP, lo que sea. No tiene que ser información "delicada" para contar.
Si tu empresa tiene una lista de clientes, una planilla de empleados, un CRM, un formulario de contacto en tu web, o incluso solo un WhatsApp Business con contactos guardados, la respuesta es sí.
Prácticamente ninguna empresa responde "no" aquí. Este primer filtro casi nunca saca a nadie de la ley; lo que hace es dejar claro que el punto de partida no es "¿tengo datos sensibles?", sino "¿tengo datos de personas, del tipo que sea?".
Pregunta 2: ¿Ese tratamiento cae en alguna excepción?
La LOPDP contempla algunas exclusiones específicas. Por ejemplo, ciertos tratamientos realizados exclusivamente en un ámbito personal, familiar o doméstico, así como determinados casos relacionados con actividades periodísticas, personas fallecidas, seguridad nacional o investigaciones penales.
Pero para una empresa normal, la regla práctica es bastante sencilla: si tratas datos de clientes, empleados, proveedores, leads o usuarios como parte de tu actividad empresarial, lo más probable es que estas exclusiones no te apliquen.
Un punto importante: que los datos sean públicos o fáciles de encontrar no significa que estén fuera de la LOPDP. Lo mismo ocurre con determinados datos de contacto profesional: pueden existir reglas específicas que permitan su tratamiento, pero siguen siendo datos personales sujetos a la ley.
En cambio, si los datos han sido anonimizados de forma efectiva e irreversible, de manera que ya no sea posible identificar o volver a identificar a una persona, dejan de ser datos personales y, por tanto, quedan fuera del ámbito de aplicación de la LOPDP.os muy específicos, no para el tratamiento de datos que hace un negocio en su operación normal.
Pregunta 3: ¿Hay una conexión con Ecuador?
Aquí es donde muchas empresas asumen cosas equivocadas. La ley aplica en tres escenarios, y basta con que se cumpla uno solo:
Tu empresa está domiciliada en Ecuador, sin importar dónde estén físicamente tus servidores o dónde proceses la información.
El tratamiento de datos ocurre dentro del territorio ecuatoriano, aunque la empresa matriz esté en otro país.
Tu empresa está fuera de Ecuador, pero trata datos de personas que residen en Ecuador, cuando eso está relacionado con ofrecerles bienes o servicios, o con analizar su comportamiento (por ejemplo, una tienda online extranjera que vende y hace publicidad dirigida a consumidores ecuatorianos).
Existen determinados casos adicionales en los que la legislación ecuatoriana resulta aplicable por contrato o por normas de derecho internacional.
Este tercer punto es el que más se subestima. No hace falta tener una oficina en Ecuador para estar sujeto a la LOPDP: una empresa extranjera también puede quedar sujeta a la ley cuando ofrece bienes o servicios a personas que residen en Ecuador o monitorea su comportamiento en el país.
El resultado, en una frase
Si manejas datos de personas identificables (pregunta 1), esa actividad no cae en una de las excepciones angostas de la ley (pregunta 2), y hay una conexión entre ese tratamiento y Ecuador -ya sea porque operas aquí o porque tienes clientes aquí- (pregunta 3): la LOPDP te aplica. Punto.
En la práctica, esto hace que la LOPDP sea relevante para una gran variedad de negocios que operan en Ecuador: desde una pyme con diez empleados hasta una startup digital sin oficina física en el país, pasando por comercios, clínicas, despachos profesionales, fintechs y tiendas online.
Saber que te aplica es el paso fácil
La pregunta difícil no es si la ley te aplica -eso, para la mayoría, ya quedó respondido arriba. Lo difícil es lo que viene después: saber exactamente qué datos manejas, de qué tipo, dónde están guardados, y qué tan expuesta está tu empresa hoy frente a lo que la ley exige. Esa parte no se resuelve con una lista de preguntas; requiere mirar hacia adentro del propio negocio.