EquadorLOPDP
Lei Orgânica de Proteção de Dados Pessoais
A Lei Orgânica de Proteção de Dados Pessoais (Ley Orgánica de Protección de Datos Personales ou LOPDP) do Equador estabelece a estrutura do país para proteger os dados pessoais e regular seu tratamento por organizações públicas e privadas.
A LOPDP foi promulgada em 2021 e é complementada pelo Regulamento Geral da LOPDP, expedido por meio do Decreto Executivo nº 904 e publicado em 13 de novembro de 2023. A estrutura regulatória estabelece requisitos sobre consentimento, direitos dos titulares de dados, segurança, transferências internacionais, responsabilização e outros aspectos do tratamento de dados pessoais.
A LOPDP do Equador exige que as organizações identifiquem uma base legal adequada antes de tratar dados pessoais. Quando o consentimento é utilizado, ele deve ser livre, específico, informado e inequívoco. Certas categorias de dados pessoais sensíveis estão sujeitas a requisitos reforçados.
A estrutura também confere às pessoas direitos sobre seus dados pessoais e estabelece obrigações relativas à segurança, à transparência, às transferências internacionais, às avaliações de impacto sobre a proteção de dados e à governança da conformidade.
Equador
Promulgada em 2021
A LOPDP foi promulgada em 2021, e seu Regulamento Geral de aplicação foi expedido em 2023. A estrutura de proteção de dados do Equador é atualmente administrada e supervisionada pela Superintendencia de Protección de Datos Personales (SPDP).
Américas
Quem deve cumprir a LOPDP?
A LOPDP e seu Regulamento se aplicam a pessoas físicas e jurídicas, entidades públicas e privadas e organizações que tratam dados pessoais no âmbito da estrutura equatoriana.
O Regulamento Geral abrange expressamente controladores e operadores nacionais e estrangeiros quando suas atividades de tratamento estão dentro do âmbito territorial aplicável. Ele também pode se aplicar a organizações que tratam dados pessoais de não residentes quando o tratamento em questão ocorre no Equador.
Por isso, as organizações devem avaliar:
- Onde o tratamento ocorre
- Onde estão as pessoas envolvidas
- Se atuam como controlador ou operador
- Se oferecem bens ou serviços envolvendo pessoas no Equador
- Se monitoram ou tratam de outra forma dados pessoais no Equador
- Se é necessário um representante no Equador
Sanções previstas na LOPDP
A LOPDP estabelece sanções administrativas para violações da estrutura equatoriana de proteção de dados pessoais.
As sanções variam conforme o tipo e a gravidade da infração e, para certas organizações, podem ser calculadas com base na receita ou no faturamento.
A sanção aplicável depende da violação específica, da organização envolvida e das circunstâncias estabelecidas pela autoridade competente.
Por isso, as organizações devem tratar a conformidade em privacidade como uma obrigação contínua de governança, em vez de depender apenas de uma política de privacidade ou de um banner de consentimento.
Principais obrigações previstas na LOPDP
As organizações que tratam dados pessoais no Equador devem:
- Identificar uma base legal adequada para cada finalidade de tratamento.
- Obter consentimento válido quando o consentimento for a base legal aplicável.
- Garantir que o consentimento seja livre, específico, informado e inequívoco.
- Aplicar requisitos adicionais ao tratar dados pessoais sensíveis.
- Fornecer informações transparentes sobre as atividades de tratamento.
- Respeitar os direitos dos titulares de dados.
- Implementar medidas de segurança técnicas e organizacionais adequadas.
- Manter documentação e evidências adequadas de conformidade.
- Realizar avaliações de impacto sobre a proteção de dados quando exigido.
- Gerenciar transferências internacionais de acordo com os requisitos aplicáveis.
- Notificar os incidentes de segurança de dados pessoais que se enquadrem nos requisitos.
- Nomear um encarregado de proteção de dados quando exigido.
- Manter procedimentos adequados para responder às solicitações dos titulares de dados.
Base legal e requisitos de consentimento
O consentimento é uma das bases legais disponíveis na LOPDP do Equador.
Quando o consentimento é utilizado, ele deve ser:
- Livre
- Específico
- Informado
- Inequívoco
A LOPDP define o consentimento como uma manifestação de vontade livre, específica, informada e inequívoca por meio da qual o titular dos dados autoriza o controlador a tratar seus dados pessoais.
No entanto, as organizações não devem presumir que o consentimento é necessário para toda atividade de tratamento.
A LOPDP reconhece várias bases legais para o tratamento de dados pessoais. Por isso, as organizações devem determinar a base legal adequada para cada finalidade de tratamento antes de implementar sua estratégia de consentimento.
Em sites, essa distinção é especialmente importante ao gerenciar análises, publicidade, personalização e outras tecnologias de rastreamento.
Dados pessoais sensíveis
A LOPDP oferece proteção reforçada às categorias especiais de dados pessoais.
As organizações que tratam informações sensíveis devem avaliar a base legal aplicável e os requisitos adicionais antes de iniciar o tratamento.
Os mecanismos de consentimento devem identificar claramente o tratamento de dados sensíveis em questão quando o consentimento for exigido e não devem agrupar o consentimento para dados sensíveis em permissões pouco claras ou excessivamente amplas.
Direitos dos titulares de dados
A LOPDP confere às pessoas direitos sobre seus dados pessoais.
Entre eles estão:
Direito de acesso
As pessoas podem solicitar informações sobre seus dados pessoais e as atividades de tratamento relacionadas.
Direito de retificação e atualização
As pessoas podem solicitar a correção ou atualização de dados pessoais imprecisos, incompletos ou desatualizados.
Direito de eliminação
As pessoas podem solicitar a eliminação de seus dados pessoais quando os requisitos legais aplicáveis forem atendidos.
Direito de oposição
As pessoas podem se opor a certas atividades de tratamento quando se aplicarem as condições estabelecidas pela lei.
Direito à portabilidade
Nas condições aplicáveis, as pessoas podem solicitar seus dados pessoais em formato estruturado e exercer seu direito à portabilidade dos dados.
Outros direitos
A LOPDP também prevê direitos e proteções adicionais, incluindo direitos relacionados a decisões automatizadas e ao tratamento de dados pessoais.
As organizações devem manter um processo documentado para receber, autenticar, acompanhar e responder a essas solicitações.
Avisos de privacidade e transparência
As organizações devem fornecer às pessoas informações claras e compreensíveis sobre como seus dados pessoais são tratados.
Um aviso de privacidade deve explicar informações relevantes, como:
- Identidade do controlador
- Categorias de dados pessoais coletados
- Finalidades do tratamento
- Base legal aplicável
- Destinatários ou categorias de destinatários
- Transferências internacionais, quando aplicável
- Informações sobre a retenção de dados
- Direitos dos titulares de dados
- Como as pessoas podem exercer seus direitos
- Informações de contato para solicitações relacionadas à privacidade
A transparência deve ser mantida durante todo o ciclo de vida dos dados e não se limitar à etapa inicial de coleta.
Segurança dos dados
A LOPDP exige que controladores e operadores implementem medidas de segurança adequadas para proteger os dados pessoais.
A lei exige especificamente que as medidas de segurança levem em conta fatores como a natureza dos dados pessoais, o contexto do tratamento, os riscos, as ameaças e as vulnerabilidades.
As medidas de segurança podem incluir:
- Salvaguardas técnicas
- Controles organizacionais
- Gestão de acessos
- Criptografia, quando apropriado
- Monitoramento
- Minimização de dados
- Resposta a incidentes
- Medidas de continuidade de negócios
- Conscientização e treinamento de funcionários
As organizações devem avaliar periodicamente se suas salvaguardas continuam adequadas à medida que as atividades de tratamento e os riscos mudam.
Avaliações de impacto sobre a proteção de dados
A estrutura equatoriana inclui avaliações de impacto sobre a proteção de dados (DPIAs) para atividades de tratamento que possam gerar riscos significativos para as pessoas.
Uma DPIA pode ajudar as organizações a identificar:
- A natureza e a finalidade do tratamento
- Os riscos potenciais para as pessoas
- Os controles de segurança e privacidade
- A necessidade e a proporcionalidade do tratamento
- As medidas para reduzir os riscos identificados
As organizações que realizam tratamentos de alto risco devem avaliar se uma DPIA é necessária antes de iniciar o tratamento.
Encarregado de proteção de dados
A estrutura equatoriana estabelece requisitos relativos à nomeação de um encarregado de proteção de dados (DPO) para certas organizações e atividades de tratamento.
A função de DPO pode incluir responsabilidades como:
- Orientar sobre as obrigações de proteção de dados
- Monitorar a conformidade
- Apoiar as DPIAs
- Cooperar com a autoridade supervisora
- Orientar sobre os direitos dos titulares de dados
- Promover a governança da privacidade dentro da organização
As organizações devem avaliar se seu porte, suas atividades, as categorias de dados ou suas operações de tratamento geram a obrigação de nomear um DPO.
Notificação de violações de dados
A estrutura da LOPDP estabelece obrigações relativas a violações da segurança de dados pessoais.
As organizações devem manter procedimentos para:
- Detectar incidentes de segurança.
- Avaliar se dados pessoais foram afetados.
- Documentar o incidente.
- Determinar os requisitos de notificação aplicáveis.
- Notificar a autoridade competente quando exigido.
- Comunicar-se com as pessoas afetadas, quando aplicável.
- Implementar medidas corretivas.
Por isso, um programa de privacidade deve conectar a gestão de incidentes de segurança à conformidade em proteção de dados.
Transferências internacionais de dados
A estrutura equatoriana regula a transferência e a comunicação de dados pessoais, incluindo as transferências internacionais.
A SPDP expediu em 2025 regulamentos específicos sobre transferências ou comunicações nacionais e internacionais de dados pessoais. As regras exigem que as organizações apliquem as disposições pertinentes da LOPDP e de seu Regulamento Geral ao realizar transferências internacionais de dados.
As organizações devem avaliar:
- Para onde os dados pessoais estão sendo transferidos
- Quem recebe os dados
- A finalidade da transferência
- As categorias de dados envolvidas
- O país de destino
- As salvaguardas aplicáveis
- Os requisitos contratuais
- A base legal da transferência
Os fluxos internacionais de dados devem ser documentados como parte do programa mais amplo de mapeamento de dados da organização.
Retenção e eliminação de dados
Os dados pessoais não devem ser retidos indefinidamente sem uma finalidade adequada.
As organizações devem estabelecer períodos de retenção com base em:
- Finalidade do tratamento
- Obrigações legais aplicáveis
- Requisitos contratuais
- Considerações de segurança
- Direitos dos titulares de dados
- Requisitos regulatórios
Quando os dados pessoais não forem mais necessários, as organizações devem aplicar medidas adequadas de eliminação, anonimização ou outras medidas exigidas por lei.
A SPDP do Equador também expediu um regulamento específico sobre a anonimização, bloqueio, suspensão e eliminação de dados pessoais, desenvolvendo ainda mais esse aspecto da estrutura.
Cookies e rastreamento on-line
Cookies, pixels, rastreadores de publicidade, ferramentas de análise e outras tecnologias podem envolver o tratamento de dados pessoais.
Por isso, as organizações que operam sites no Equador devem identificar:
- Os cookies e rastreadores implantados
- Os dados coletados por cada tecnologia
- As finalidades do tratamento
- Os destinatários terceiros
- As transferências internacionais
- As bases legais aplicáveis
- Se o consentimento é necessário
- Se os rastreadores devem ser bloqueados antes do consentimento
Quando o consentimento for a base legal aplicável, a ConsentX pode ajudar as organizações a obter um consentimento válido antes que as tecnologias de rastreamento aplicáveis sejam ativadas.
Como a ConsentX ajuda na conformidade com a LOPDP
A ConsentX ajuda as organizações a colocar em prática os principais requisitos de privacidade e consentimento em sites e experiências digitais.
Consentimento livre, específico e informado
Crie experiências de consentimento projetadas para capturar as características exigidas quando o consentimento é a base legal aplicável.
Consentimento por finalidade
Explique com clareza as finalidades associadas a cookies, rastreadores, análises, publicidade e outras atividades de tratamento.
Consentimento para dados sensíveis
Ofereça suporte ao tratamento separado de categorias sensíveis quando se aplicarem consentimento reforçado ou outros requisitos legais.
Gestão de cookies e rastreadores
Faça varreduras em sites para identificar cookies e rastreadores e impedir que as tecnologias não essenciais aplicáveis sejam ativadas antes do consentimento.
Recibos de consentimento
Mantenha registros auditáveis das escolhas de consentimento dos usuários e das informações contextuais relevantes.
Gestão de solicitações dos titulares de dados
Ofereça suporte a fluxos de trabalho para solicitações de acesso, retificação, eliminação, oposição, portabilidade e outras solicitações de privacidade aplicáveis.
Conformidade regional
Use o Region Rule Engine da ConsentX para configurar experiências de consentimento de acordo com a jurisdição aplicável.
Prepare-se para a LOPDP com a ConsentX
Faça a varredura do seu site → Identifique os rastreadores → Mapeie as finalidades → Configure o consentimento → Bloqueie os rastreadores aplicáveis → Registre o consentimento → Gerencie as solicitações de privacidade
Crie uma experiência de privacidade mais transparente e auditável para os usuários no Equador.
Como cumprir a LOPDP com a ConsentX
- 1
Faça a varredura do seu site
Faça a varredura do seu site para identificar cookies, rastreadores, pixels, scripts e tecnologias de terceiros.
- 2
Mapeie as finalidades do tratamento
Identifique por que cada tecnologia trata dados pessoais e determine a base legal adequada.
- 3
Configure um banner de consentimento adequado para o Equador
Quando o consentimento for a base legal aplicável, configure um banner que forneça informações claras e capture um consentimento livre, específico, informado e inequívoco.
- 4
Bloqueie os rastreadores aplicáveis antes do consentimento
Impeça que cookies e rastreadores não essenciais aplicáveis sejam ativados até que o consentimento necessário tenha sido obtido.
- 5
Registre as evidências de consentimento
Mantenha recibos de consentimento com informações relevantes sobre a escolha do usuário e o evento de consentimento.
- 6
Gerencie as solicitações dos titulares de dados
Centralize as solicitações de acesso, retificação, eliminação, oposição, portabilidade e outros direitos aplicáveis.
- 7
Monitore seu site
Faça novas varreduras regulares do seu site para detectar novos rastreadores, scripts, fornecedores ou mudanças nas atividades de tratamento.
Perguntas frequentes
País sujeito à LOPDP
Ecuador
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Aviso legal
Esta página oferece um resumo em linguagem simples da estrutura de proteção de dados pessoais do Equador para fins informativos gerais e não constitui aconselhamento jurídico. As organizações devem avaliar suas atividades de tratamento específicas e consultar um advogado equatoriano qualificado quando necessário.