‘Cambié de número dos veces, pero empresas que ofrecen servicios lo consiguen’: sanciones por mal manejo de datos empezarán a regir en mayo del 2023

Luego de más de un año y seis meses de la aprobación de la Ley Orgánica de Protección de Datos Personales (LOPDP) en Ecuador en la ciudadanía hay poco conocimiento de la normativa y un número importante de empresas no ha aplicado mecanismos para cuidar de mejor forma la información de sus usuarios. Este escenario se da cuando faltan seis meses para que las sanciones impuestas en esta ley empiecen a regir (mayo del 2023).

Carlos Maldonado afirma desconocer la existencia de la LOPDP y añade que aunque exista siente que las empresas siguen compartiendo datos personales sin consentimiento de sus usuarios. Afirma que en los últimos tres meses le han llegado mensajes de texto, de WhatsApp, correos electrónicos de empresas e instituciones financieras, de las cuales no es cliente, para ofrecerle servicios.

‘Me llaman y me escriben para ofrecerme servicios. Yo no he dado mi número’: a un año de vigencia de ley, datos personales e información financiera sigue filtrándose en Ecuador

“También llaman. En ocasiones hay grabadoras de voz, en otras son personas hasta de otros países y son muy incisivos. A veces sale el nombre de “Finanzas” y esos números los tengo bloqueados para que pasen al buzón de voz, pero creo que se han dado cuenta de eso y ahora llaman de otros números. Yo no les he dado mi contacto ni mi número, pero ellos lo consiguen con una facilidad increíble y eso que cambié de número dos veces en estos tres últimos años”, dice.

Si bien la ley está vigente, todavía falta la aprobación de su reglamento, la designación del superintendente de Protección de Datos Personales y que las empresas e instituciones, públicas y privadas, establezcan la figura del delegado de protección de datos. Sin embargo, esto no significa que la normativa no pueda ser aplicada y, en especial, respetada, afirman analistas consultados.

Diego Beltrán Bastidas, abogado y socio de la firma Solines & Asociados y docente especializado en protección de datos de la Universidad Internacional SEK, lamenta que muchas de las empresas no están adaptadas a la (LOPDP) y que en el sector público solo han aplicado algunas directrices que emitió la Dirección Nacional de Registro de Datos Públicos (Dinarp) para sus sitios web.

El docente afirma que en las empresas públicas realmente no ha habido procesos de adaptación “serios, estructurados, orgánicos” para dar cumplimiento a la normativa. En tanto, en las compañías privadas hay sectores que han dado “pasos importantes” como el financiero.

“Vemos con un grado de preocupación que se observa que muchas empresas están apostando a la inexistencia del reglamento y a la falta del superintendente. Es muy especulativo en este momento hablar de un número, pero hay un gran número de empresas que están reguladas por esta ley que no están adaptadas a la misma”, señala.

Dado que la ley es bastante técnica y compleja el tipo de adaptación varía de acuerdo al volumen y tipo de datos que maneja una empresa para el giro de su negocio. Beltrán también asegura que la percepción ciudadana de que la LOPDP no ha servido debido a que su información sigue filtrándose hay que analizarla de dos maneras.

“Es cierto que se siguen filtrando los datos, pero en la protección de esta información tenemos a las entidades que hacen el tratamiento, a la autoridad de control y a los titulares de los datos (ciudadanía). Son estos últimos los que deben ejercer sus derechos más allá de los controles y crear una cultura de hacer ejercer la normativa, empoderarse”, añade.

¿Cuál es el perfil de un delegado de protección de datos?, especialización que tendrá gran demanda por parte de las empresas en Ecuador

No solo se debe exigir que se borren los datos en las bases de empresas en las cuales no se es cliente, sino que también se debe pedir a las compañías y entidades de las que sí se es usuario que se haga un uso correcto y responsable de la información.

Cecilia Parra, experta en manejo de datos personales y country manager de Pridatect en Ecuador, indica que hay muchos empresarios en el país que conocen la existencia de la LOPDP y que están analizando opciones, pero se quejan de que no ha habido suficiente comunicación y socialización de la norma.

“Saben que hay la ley, muchos estudios jurídicos se han acercado a los empresarios para comentarles la situación, pero desde un punto de vista fatalista aunque los empresarios lo que están buscando es las oportunidades que también les brinda la ley. También he observado empresas empezando programas para el cumplimiento de la ley”, dice.

Una de las oportunidades para el empresariado, según Parra, es que la LOPDP, a nivel de Sudamérica, está llamando la atención de otras naciones para mejorar sus relaciones con la Unión Europea, ya que el continente europeo está buscando socios comerciales que tengan una seguridad digital respaldada en leyes.

Para Parra, hubiese sido ideal que el país empiece una normativa menos rígida o con menos puntos a valorar porque la cultura ecuatoriana es muy diferente a la europea.

“Por ejemplo, en Estados Unidos la ley busca proteger los datos, pero también dan la oportunidad a los empresarios a trabajar con los datos siempre que se informe bien de la situación. En Ecuador debimos haber empezado uno o dos escalones menos e ir incrementando la rigidez de la normativa de a poco”, asegura.

La falta de conocimiento y aplicación de la normativa que existe actualmente hará que las empresas y entidades traten de cumplirla de forma “mediocre”, una vez que las sanciones se encuentren en vigencia.

Pese que a mediados de este año Angie Jijón, directora de la Dinarp, aseguró que el superintendente de Datos sería designado por el Consejo de Participación Ciudadana y Control Social (CPCCS) este año, a días de que finalice el 2022 la terna ni siquiera ha sido enviada por el Ejecutivo lo que significa que esto se realizaría en 2023. EL UNIVERSO solicitó entrevista con Jijón, pero hasta el cierre de este reportaje no se obtuvo respuesta.

Se creará la Superintendencia de Protección de Datos Personales, tras aprobación de ley en la Asamblea Nacional

Para Beltrán, la carencia de esta autoridad será un problema grande si se llega a mayo del 2023 sin superintendente, ya que será el encargado de aplicar las sanciones que entrarán en vigencia en ese mes.

Es por esto que el Ejecutivo debe agilizar la presentación de la terna para que una vez elegida la autoridad esta empiece a estructurar la Superintendencia, ya que esta figura fue creada con la normativa. “Si no hay quien sancione, el ciudadano solo tendrá el camino civil, constitucional y penal hasta que se designe”, explica.

Sin embargo, Parra considera que si el reglamento y la figura del superintendente entran en vigencia en 2023 no habría problema alguno ni tampoco causaría algún motivo que retrase la entrega en vigencia de las sanciones.

Además, indica que se debe evitar lo que pasa en mercados como el europeo que a pesar de establecer multas y sanciones millonarias las empresas simplemente las pagan para seguir usando de forma discrecional la información personal de sus usuarios.

Sanciones de la Ley de Protección de Datos Personales que entrarán en vigencia desde mayo del 2023

Sanciones por infracciones leves

1. Servidores o funcionarios del sector público por cuya acción u omisión hayan incurrido en alguna de las infracciones leves establecidas en la presente ley serán sancionados con una multa de uno a diez salarios básicos unificados del trabajador en general, sin perjuicio de la responsabilidad extracontractual del Estado, la cual se sujetará a las reglas establecidas en la normativa correspondiente;
2. Si el responsable o el encargado del tratamiento de datos personales o de ser el caso un tercero es una entidad de derecho privado o una empresa pública, se aplicará una multa de entre el 0,1 % y el 0,7 % calculada sobre su volumen de negocio correspondiente al ejercicio económico inmediatamente anterior al de la imposición de la multa.

Sanciones para infracciones graves

1. Los servidores o funcionarios del sector público por cuya acción u omisión hayan incurrido en alguna de las infracciones graves establecidas en la presente ley serán sancionados con una multa de entre 10 a 20 salarios básicos unificados del trabajador en general; sin perjuicio de la responsabilidad extracontractual del Estado, la cual se sujetará a las reglas establecidas en la normativa correspondiente;
2. Si el responsable, encargado del tratamiento de datos personales o de ser el caso un tercero es una entidad de derecho privado o una empresa pública, se aplicará una multa de entre el 0,7 % y el 1 % calculada sobre su volumen de negocios, correspondiente al ejercicio económico inmediatamente anterior al de la imposición de la multa. (I)