Consulta
4.1.- Primera pregunta reformulada
Para efectos de la aplicación de las multas previstas en los artículos 71 y 72 de la Ley Orgánica de Protección de Datos Personales, ¿la expresión “volumen de negocio” definida en el artículo 73 de la misma Ley debe entenderse como el volumen total de negocio del responsable o encargado del tratamiento correspondiente al ejercicio económico inmediatamente anterior, o admite una delimitación territorial restringida al volumen generado dentro del Ecuador?
4.2.- Segunda pregunta reformuladaEn los supuestos en que un responsable o encargado del tratamiento se encuentre sujeto a la Ley Orgánica de Protección de Datos Personales conforme al artículo 3, pero no esté domiciliado en el Ecuador, ¿el “volumen de negocio” previsto en el artículo 73 debe interpretarse como el volumen global del operador económico, como el volumen generado en el Ecuador, o como el volumen atribuible a las operaciones o actividades de tratamiento sujetas a la LOPDP?
Análisis
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 3 de la LOPDP establece lo siguiente:
“Ámbito de aplicación territorial.- Sin perjuicio de la normativa establecida en los instrumentos internacionales ratificados por el Estado ecuatoriano que versen sobre esta materia, se aplicará la presente Ley cuando:
1. El tratamiento de datos personales se realice en cualquier parte del territorio nacional;
2. El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional;
3. Se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las actividades del tratamiento estén relacionadas con: 1) La oferta de bienes o servicios a dichos titulares, independientemente de si a estos se les requiere su pago, o, 2) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y,
4. Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional público.” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Autoridad de Protección de Datos Personales: Autoridad pública independiente encargada de supervisar la aplicación de la presente Ley, reglamento y resoluciones que ella dicte, con el fin de proteger los derechos y libertades fundamentales de las personas naturales, en cuanto al tratamiento de sus datos personales. (…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 71 de la LOPDP establece lo siguiente:
“Sanciones por infracciones leves.- La Autoridad de Protección de Datos Personales impondrá las siguientes sanciones administrativas, en el caso de verificarse el cometimiento de una infracción leve, según las siguientes reglas:
1. Servidores o funcionarios del sector público por cuya acción u omisión hayan incurrido en alguna de las infracciones leves establecidas en la presente Ley, serán sancionados con una multa de uno (1) a diez (10) salarios básicos unificados del trabajador en general, sin perjuicio de la responsabilidad extracontractual del Estado, la cual se sujetará a las reglas establecidas en la normativa correspondiente;
2. Si el responsable o el encargado del tratamiento de datos personales o de ser el caso un tercero es una entidad de derecho privado o una empresa pública, se aplicará una multa de entre el 0.1% y el 0.7% calculada sobre su volumen de negocio correspondiente al ejercicio económico inmediatamente anterior al de la imposición de la multa. La Autoridad de Protección de Datos Personales establecerá la multa aplicable en función del principio de proporcionalidad, para lo cual deberá verificar los siguientes presupuestos:
a) La intencionalidad, misma que se establecerá en función a la conducta del infractor;
b) Reiteración de la infracción, es decir cuando el responsable, el encargado del tratamiento de datos personales o de ser el caso un tercero, hubiese sido previamente sancionado por dos o más infracciones precedentes, que establezcan sanciones de menor gravedad a la que se pretende aplicar; o cuando hubiesen sido previamente sancionados por una infracción cuya sanción sea de igual o mayor gravedad a la que se pretende aplicar;
c) La naturaleza del perjuicio ocasionado, es decir, las consecuencias lesivas para el ejercicio del derecho a la protección de datos personales; y,
d) Reincidencia, es decir, cuando la infracción precedente sea de la misma naturaleza de aquella que se pretende sancionar.” (énfasis agregado).
El artículo 72 de la LOPDP dispone lo siguiente:
“Sanciones por infracciones graves.- La Autoridad de Protección de Datos Personales impondrán las siguientes sanciones administrativas, en el caso de verificarse el cometimiento de una infracción grave, conforme a los presupuestos establecidos en el presente Capítulo:
Los servidores o funcionarios del sector público por cuya acción u omisión hayan incurrido en alguna de las infracciones graves establecidas en la presente Ley serán sancionados con una multa de entre 10 a 20 salarios básicos unificados del trabajador en general; sin perjuicio de la Responsabilidad Extracontractual del Estado, la cual se sujetará a las reglas establecidas en la normativa correspondiente;
1) Si el responsable, encargado del tratamiento de datos personales o de ser el caso un tercero, es una entidad de derecho privado o una empresa pública se aplicará una multa de entre el 0.7% y el 1% calculada sobre su volumen de negocios, correspondiente al ejercicio económico inmediatamente anterior al de la imposición de la multa. La Autoridad de Protección de Datos Personales establecerá la multa aplicable en función del principio de proporcionalidad, para lo cual deberá verificar los siguientes presupuestos:
a) La intencionalidad, misma que se establecerá en función a la conducta del infractor;
b) Reiteración de la infracción, es decir, cuando el responsable, encargado del tratamiento de datos personales o de ser el caso, de un tercero hubiese sido previamente sancionado por dos o más infracciones precedentes que establezcan sanciones de menor gravedad a la que se pretende aplicar; o cuando hubiesen sido previamente sancionados por una infracción cuya sanción sea de igual o mayor gravedad a la que se pretende aplicar;
c) La naturaleza del perjuicio ocasionado, es decir, las consecuencias lesivas para el ejercicio del derecho a la protección de datos personales; y,
d) Reincidencia, es decir, cuando la infracción precedente sea de la misma naturaleza de aquella que se pretende sancionar.
En el caso de que el responsable, encargado del tratamiento de datos personales a un tercero de ser el caso; sea una organización sin domicilio ni representación jurídica en el territorio ecuatoriano, se deberá notificar de la resolución con la cual se establezca la infracción cometida la Autoridad de Protección de Datos Personales, o quien hiciera sus veces, del lugar en donde dicha organización tiene su domicilio principal, a fin de que sea dicho organismo quien sustancia las acciones o procedimientos destinados al cumplimiento de las medidas correctivas y sanciones a las que hubiere lugar.” (énfasis agregado).
El artículo 73 de la LOPDP dispone lo siguiente:
“Art. 73.- Volumen de negocio.- A efectos del régimen sancionatorio de la presente Ley, se entiende por volumen de negocio, a la cuantía resultante de la venta de productos y de la prestación de servicios realizados por operadores económicos, durante el último ejercicio que corresponda a sus actividades, previa deducción del Impuesto al Valor Agregado y de otros impuestos directamente relacionados con la operación económica.” (énfasis agregado).
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R (Estatuto de Arranque de la SPDP) y en ejercicio de la competencia administrativa delegada a esta Intendencia General de Regulación prevista en el literal c) del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir el análisis técnico-jurídico vinculante en atención a las consulta formulada respecto del alcance de los artículo 71 y 72 de la LOPDP en lo que respecta a la frase “volumen de negocio”, particularmente respecto de si dicho concepto admite limitaciones territoriales o funcionales para el cálculo de las multas administrativas.
Al respecto, corresponde señalar que los artículos 71 y 72 de la LOPDP establecen que las sanciones aplicables a entidades de derecho privado o empresas públicas serán calculadas sobre su “volumen de negocio correspondiente al ejercicio económico inmediatamente anterior al de la imposición de la multa”. Por su parte, el artículo 73 de la misma Ley define expresamente que:
“A efectos del régimen sancionatorio de la presente Ley, se entiende por volumen de negocio, a la cuantía resultante de la venta de productos y de la prestación de servicios realizados por operadores económicos, durante el último ejercicio que corresponda a sus actividades, previa deducción del Impuesto al Valor Agregado y de otros impuestos directamente relacionados con la operación económica.”
De la lectura integral de esta disposición se observa que el legislador estableció una definición legal específica del término “volumen de negocio”, identificándolo con la cuantía resultante de la venta de productos y la prestación de servicios realizados por el responsable o encargad del tratamiento durante el último ejercicio correspondiente a sus actividades.
En este sentido, la definición contenida en el artículo 73 no incorpora criterios de segmentación territorial, geográfica o funcional que permitan distinguir entre ingresos obtenidos dentro o fuera del Ecuador, ni entre ingresos derivados de determinadas actividades económicas y otros provenientes de actividades distintas. Por el contrario, la norma hace referencia al “volumen de negocio” del responsable o encargado del tratamiento como una magnitud económica global correspondiente al ejercicio económico inmediatamente anterior.
Adicionalmente, en materia de sanciones administrativas rige el principio de tipicidad, conforme al cual las infracciones y sanciones deben encontrarse expresamente previstas por la ley, sin que resulte jurídicamente procedente introducir limitaciones, excepciones o criterios de cálculo que el legislador no contempló de manera expresa. En consecuencia, no corresponde a la SPDP incorporar mediante interpretación restricciones territoriales o materiales al concepto legal de volumen de negocio cuando éstas no se encuentran previstas en el texto de la LOPDP.
Por otra parte, el artículo 3 de la LOPDP determina el ámbito de aplicación territorial y, por ende, los supuestos en los cuales la normativa ecuatoriana resulta aplicable a responsables o encargados del tratamiento, incluyendo aquellos no domiciliados en el Ecuador cuando realicen actividades de tratamiento relacionadas con titulares ubicados en territorio ecuatoriano o cuando les resulte aplicable la legislación nacional conforme a dicha disposición. Sin embargo, esta norma regula exclusivamente el ámbito de aplicación territorial de la Ley y no establece reglas especiales ni excepciones para la aplicación de sanciones.
De igual manera, el propio artículo 72 contempla expresamente la posibilidad de que existan responsables o encargados sin domicilio ni representación jurídica en el territorio ecuatoriano, disponiendo mecanismos de cooperación con autoridades extranjeras para la ejecución de las sanciones correspondientes. La inclusión de esta previsión evidencia que el legislador contempló la aplicación del régimen sancionatorio a responsables y encargados del tratamiento extranjeros, sin establecer para estos casos una definición diferenciada o especial del concepto “volumen de negocio”.
En consecuencia, esta autoridad considera que, para efectos de la aplicación de las multas previstas en los artículos 71 y 72 de la LOPDP, la expresión “volumen de negocio” debe entenderse conforme a la definición contenida en el artículo 73 de la misma Ley, esto es, como la cuantía resultante de la venta de productos y de la prestación de servicios realizados por el responsable o encargado del tratamiento durante el último ejercicio correspondiente a sus actividades, previa deducción del Impuesto al Valor Agregado y de los demás impuestos directamente relacionados con la operación económica.
Asimismo, al no existir en la LOPDP una disposición que establezca limitaciones territoriales, geográficas o funcionales para la determinación de dicho volumen de negocio, esta autoridad considera que la definición legal no admite una delimitación restringida al volumen generado en el Ecuador ni únicamente a las operaciones de tratamiento sujetas a la LOPDP.
En este sentido, dando contestación a la primera pregunta, para efectos de la aplicación de las multas previstas en los artículos 71 y 72 de la LOPDP, la expresión “volumen de negocio” prevista en el artículo 73 debe entenderse como la cuantía resultante de la venta de productos y de la prestación de servicios realizados por el responsable o encargado del tratamiento durante el último ejercicio correspondiente a sus actividades, de conformidad con definición legal expresamente establecida por la Ley, sin que la normativa contemple una delimitación territorial restringida al volumen generado dentro del Ecuador.
Respecto a la segunda pregunta, en los casos en que un responsable o encargado del tratamiento se encuentre sujeto a la LOPDP conforme a su artículo 3 y no esté domiciliado en el Ecuador, el concepto de “volumen de negocio” aplicable para efectos sancionatorios continúa siendo el definido en el artículo 73 de la Ley. En virtud de que la normativa vigente no establece una regla especial que limite dicho cálculo al volumen generado en el Ecuador ni a las operaciones de tratamiento sometidas a la LOPDP, la determinación del volumen de negocio deberá efectuarse conforme a la definición legal prevista por el legislador, sin hacer una interpretación extensiva de lo que menciona la LOPDP.
Pronunciamiento
En atención a los términos de la consulta realizada mediante oficio S/N de 04 de junio de 2026, del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
“4.1.- Primera pregunta reformulada
Para efectos de la aplicación de las multas previstas en los artículos 71 y 72 de la Ley Orgánica de Protección de Datos Personales, ¿la expresión “volumen de negocio” definida en el artículo 73 de la misma Ley debe entenderse como el volumen total de negocio del responsable o encargado del tratamiento correspondiente al ejercicio económico inmediatamente anterior, o admite una delimitación territorial restringida al volumen generado dentro del Ecuador?”
Para efectos de la aplicación de las multas previstas en los artículos 71 y 72 de la Ley Orgánica de Protección de Datos Personales, la expresión “volumen de negocio” debe interpretarse conforme a la definición contenida en el artículo 73 de la misma Ley, esto es, como la cuantía resultante de la venta de productos y/o de la prestación de servicios realizados durante el último ejercicio correspondiente a sus actividades, previa deducción de los impuestos expresamente previstos en dicha disposición. En consecuencia, al no contemplar la LOPDP una regla que establezca una delimitación territorial específica para el cálculo de dicho volumen, no corresponde restringir su alcance únicamente al volumen generado dentro del territorio ecuatoriano.
“4.2.- Segunda pregunta reformulada
En los supuestos en que un responsable o encargado del tratamiento se encuentre sujeto a la Ley Orgánica de Protección de Datos Personales conforme al artículo 3, pero no esté domiciliado en el Ecuador, ¿el “volumen de negocio” previsto en el artículo 73 debe interpretarse como el volumen global del operador económico, como el volumen generado en el Ecuador, o como el volumen atribuible a las operaciones o actividades de tratamiento sujetas a la LOPDP?”
En los casos en que un responsable o encargado del tratamiento se encuentre sujeto a la Ley Orgánica de Protección de Datos Personales conforme a su artículo 3, aun cuando no esté domiciliado en el Ecuador, el concepto de “volumen de negocio” aplicable para efectos del régimen sancionatorio continúa siendo el previsto en el artículo 73 de la LOPDP. En tal sentido, y dado que la normativa vigente no establece una regla especial que limite el cálculo al volumen generado en el Ecuador ni exclusivamente a las actividades de tratamiento sometidas a la Ley, la determinación del volumen de negocio deberá realizarse conforme a la definición legal expresamente establecida por el legislador.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales. Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.