Con fecha 30 de abril de 2025, la Superintendencia de Protección de Datos Personales, dispuso, mediante Resolución No. SPDP-SPD-2025-0006-R, la obligatoriedad de incorporar cláusulas de protección de datos personales en las relaciones jurídicas contractuales.

A continuación, incluimos los aspectos más importantes:

Cláusulas de Protección de Datos Personales

Se entenderán como cláusulas de protección de datos personales los textos contractuales sugeridos, no obligatorios (que no corresponden a cláusulas tipo, estándar o modelo), que sirven para estandarizar el contenido mínimo que debe garantizar el cumplimiento de la normativa, promover buenas prácticas y asegurar los derechos de los titulares.

La resolución especifica que una cláusula de protección de datos personales, principalmente, deberá evitar contener los siguientes defectos:

• Falta de transparencia: No debe omitir información importante como la identidad del responsable o encargado, los derechos del titular o las finalidades.

• Omisión de la responsabilidad en

medidas de seguridad: No debe excluir la responsabilidad de las partes de implementar medidas de seguridad.

• Excesos en la recopilación de datos: No debe permitir la recopilación indiscriminada o de datos innecesarios.

• Condiciones de transferencia o comunicación de datos sin control: No debe permitir transferencias de datos sin garantías adecuadas o sin informar al titular.

Sanciones por incumplimiento

En caso de incumplimiento, la Superintendencia de Protección de Datos Personales ha determinado que el incurrir en este tipo de prohibiciones en las cláusulas de protección de datos personales en contratos será consideradas como faltas graves, de conformidad con lo dispuesto en los Art. 68 y 70 de la Ley Orgánica de Datos Personales.

La sanción por faltas graves es de multas que pueden llegar a ser de hasta el 1% calculado sobre el volumen de negocios, correspondiente al ejercicio económico inmediatamente anterior a la imposición de la multa.

Adicionalmente, en caso de existir alguna falta, la parte contractual afectada tendrá la posibilidad de demandar indemnización por daños y perjuicios.

Cláusulas ejemplificativas

Dentro de la presente resolución, la Superintendencia de Protección de Datos Personales ha incluido un anexo con cláusulas ejemplificativas de protección de datos personales que podrían utilizarse en los contratos.

A continuación, el hipervínculo con la resolución íntegra y sus anexos:

https://spdp.gob.ec/resolucion6/

La presente resolución entró en vigencia a partir de su suscripción el día 30 de abril de 2025.