¿Cuáles son las implicaciones legales de la exposición de datos privados en Ecuador?

La información personal de miles de ecuatorianos permanece almacenada en instituciones públicas, empresas privadas y plataformas digitales. Nombres, números de cédula, direcciones, correos electrónicos, datos financieros e información médica pueden quedar expuestos por ataques informáticos, fallas de seguridad o un manejo inadecuado.

El debate también alcanza a los portales públicos que permiten consultar información sobre accionistas, representantes legales, balances o declaraciones patrimoniales. Aunque algunos de estos documentos responden al principio de transparencia, su difusión abre una discusión sobre qué información debe estar disponible y qué datos deberían protegerse.

En un país atravesado por extorsiones, secuestros y suplantaciones de identidad, esta exposición no representa únicamente una afectación a la privacidad. Los datos también pueden ser utilizados para identificar a una persona, conocer su patrimonio o ubicarla.

Felipe Dueñas, abogado especializado en protección de datos, explica que el uso no autorizado de esta información puede generar responsabilidades administrativas y, dependiendo de sus consecuencias, derivar en acciones civiles o penales.

¿Qué información está protegida en Ecuador?

Un dato personal es cualquier información que permita identificar directa o indirectamente a una persona. Dentro de esta categoría pueden encontrarse el nombre, la dirección, el tipo de sangre, la información genética y otros elementos relacionados con la identidad.

La legislación establece una protección reforzada para determinados datos, como aquellos correspondientes a niñas, niños y adolescentes, así como la información relacionada con la salud, las opiniones políticas y otros aspectos sensibles de la vida de una persona.

“Nadie tiene por qué conocer si una persona tiene una enfermedad o una condición”, señala Dueñas al explicar por qué esta información exige mayores cuidados durante su recopilación, almacenamiento y utilización.

Aunque considera que la Ley Orgánica de Protección de Datos Personales ofrece herramientas suficientes, advierte que Ecuador todavía atraviesa un proceso de adaptación. Empresas, instituciones y ciudadanos deben desarrollar una cultura que permita manejar la información ajena conforme a la normativa.

Dueñas recuerda que la afectación no ocurre únicamente durante filtraciones masivas. También puede presentarse cuando una empresa utiliza los datos de sus clientes para finalidades que no fueron autorizadas o cuando una persona comienza a recibir llamadas y ofertas comerciales que nunca solicitó.

Lea también|Seguridad digital durante el Mundial: claves para identificar plataformas confiables

¿Cuándo la exposición de datos se vuelve ilegal?

La utilización de datos personales debe estar respaldada por una base legal. Esta puede derivarse del consentimiento del titular, de una obligación contractual, de una disposición legal o de una orden judicial, según cada caso.

Cuando se solicita el consentimiento, la persona debe conocer qué información será recopilada, con qué finalidad será utilizada, durante cuánto tiempo permanecerá almacenada y si puede revocar la autorización posteriormente.

“Si no se cumple con esos requisitos, sería técnicamente ilegal”, sostiene Dueñas.

Para presentar una denuncia no es indispensable que la exposición haya provocado una pérdida económica. El titular puede reclamar si sus datos fueron utilizados sin autorización, si contienen errores o si la información difundida es incompleta.

En esos casos, la persona puede acudir primero ante la institución, empresa o página responsable para solicitar la eliminación, rectificación o actualización de los datos. También puede presentar directamente una denuncia ante la Superintendencia de Protección de Datos Personales.

Una filtración puede generar responsabilidades administrativas, civiles y penales

Cuando una institución pública o privada permite la exposición de información que estaba bajo su custodia, puede enfrentar una responsabilidad administrativa y las sanciones previstas en la legislación de protección de datos.

La gravedad de las consecuencias dependerá de la información comprometida, la magnitud de la exposición y las medidas preventivas que hubiera aplicado la entidad.

Dueñas señala que debe diferenciarse entre un ataque informático que logra superar los controles de seguridad y una filtración facilitada por negligencia. Una organización podría demostrar que mantenía sus sistemas actualizados, realizaba auditorías, limitaba los accesos internos y cumplía los protocolos exigidos. El escenario cambia cuando no existían esas precauciones.

“No es lo mismo que una institución demuestre que cumplió con todos los protocolos a que no haya hecho nada”, explica. La falta de controles o el incumplimiento de las obligaciones correspondientes podría influir en la severidad de la sanción.

Además, la institución debe informar el incidente a la Superintendencia y al titular de los datos, junto con las acciones adoptadas para contenerlo.

Si la información expuesta termina siendo utilizada para estafar, falsificar documentos o suplantar una identidad, el caso puede pasar del ámbito administrativo al penal. Asimismo, cuando existe un daño demostrable, el afectado podría reclamar una indemnización por los perjuicios ocasionados.

Un dato público no puede utilizarse sin límites

La presencia de información en un registro de acceso público no significa necesariamente que cualquier persona pueda descargarla, almacenarla y difundirla con una finalidad diferente.

Esta discusión alcanza a portales como el de la Superintendencia de Compañías, donde se puede consultar información sobre representantes legales y accionistas. 

Dueñas reconoce que en este ámbito existe una “línea gris”: la ciudadanía puede tener un interés legítimo en conocer quién controla una compañía, especialmente cuando mantiene relaciones contractuales con el Estado, pero los accionistas también conservan derechos sobre sus datos personales.

El análisis debe considerar la finalidad de la publicación y su relevancia para el interés público. También debe distinguir entre los datos necesarios para transparentar las actividades de una empresa y aquellos cuya exposición podría afectar injustificadamente a una persona.

Transparencia y privacidad de los funcionarios públicos

La protección de datos tampoco debe utilizarse para impedir la fiscalización de quienes ejercen cargos públicos. Dueñas sostiene que los funcionarios están sujetos a un mayor escrutinio cuando la información se relaciona con sus funciones o con la administración de recursos estatales.

Sin embargo, eso no implica que todos los aspectos de su vida deban quedar expuestos. La información familiar, médica, genética o relacionada con sus hijos debe conservarse como privada cuando no tenga incidencia en la gestión pública.

En el caso de una declaración patrimonial, el desafío consiste en garantizar el control sobre los bienes y posibles variaciones patrimoniales del funcionario sin divulgar información innecesaria que pueda aumentar sus riesgos de seguridad.

Para Dueñas, la normativa ecuatoriana brinda actualmente una protección adecuada, aunque su aplicación debe evolucionar conforme avanza la tecnología. También considera necesario evaluar las capacidades de cada organización, pues una empresa grande no dispone de los mismos recursos que un pequeño negocio.

El reto para las autoridades será encontrar un equilibrio: exigir controles suficientes sin imponer cargas desproporcionadas y actuar con firmeza cuando la exposición de información coloque a los ciudadanos frente a amenazas reales. En medio del incremento de extorsiones y secuestros, proteger los datos ya no constituye solamente una discusión sobre privacidad, sino también sobre seguridad personal.