LOPDP

合法依据与同意要求

同意是厄瓜多尔 LOPDP 规定的可用合法依据之一。

在使用同意的情况下，同意必须是：

• 自由的
• 具体的
• 知情的
• 明确的

LOPDP 将同意定义为一种自由、具体、知情且明确的意思表示，数据主体据此授权控制者处理其个人数据。

然而，组织不应认为每项处理活动都需要取得同意。

LOPDP 承认处理个人数据的多种合法依据。因此，组织应在实施其同意策略之前，为每项处理目的确定适当的法律依据。

对于网站而言，在管理分析、广告、个性化以及其他跟踪技术时，这一区分尤为重要。

敏感个人数据

LOPDP 为特殊类别个人数据提供了更高程度的保护。

处理敏感信息的组织应在开始处理之前评估适用的法律依据和额外要求。

在需要取得同意的情况下，同意机制应清楚标明相关的敏感数据处理，并且不应将敏感数据同意捆绑在含糊不清或过于宽泛的授权之中。

数据主体权利

LOPDP 赋予个人与其个人数据相关的权利。

这些权利包括：

组织应维持一套有文档记录的流程，用于接收、验证、跟踪和回应这些请求。

隐私声明与透明度

组织应向个人提供有关其个人数据如何被处理的清晰易懂的信息。

隐私声明应说明以下相关信息：

• 控制者的身份
• 所收集的个人数据类别
• 处理目的
• 适用的法律依据
• 接收方或接收方类别
• 跨境传输（如适用）
• 数据保留信息
• 数据主体权利
• 个人如何行使其权利
• 隐私相关请求的联系信息

透明度应在整个数据生命周期内保持，而不仅限于最初的收集阶段。

数据安全

LOPDP 要求控制者和处理者实施适当的安全措施以保护个人数据。

该法特别要求安全措施考虑个人数据的性质、处理背景、风险、威胁和漏洞等因素。

安全措施可以包括：

• 技术保护措施
• 组织控制措施
• 访问管理
• 适当情况下的加密
• 监控
• 数据最小化
• 事件响应
• 业务连续性措施
• 员工意识与培训

随着处理活动和风险的变化，组织应定期评估其保护措施是否仍然适当。

数据保护影响评估

厄瓜多尔的框架包括针对可能对个人造成重大风险的处理活动开展的数据保护影响评估（DPIA）。

DPIA 可以帮助组织识别：

• 处理的性质和目的
• 对个人的潜在风险
• 安全和隐私控制措施
• 处理的必要性和相称性
• 降低已识别风险的措施

开展高风险处理的组织应在开始处理之前评估是否需要进行 DPIA。

数据保护官

厄瓜多尔的框架针对某些组织和处理活动规定了任命数据保护官（DPO）的要求。

DPO 的职能可以包括以下职责：

• 就数据保护义务提供建议
• 监督合规情况
• 支持 DPIA
• 与监管机构合作
• 就数据主体权利提供指导
• 在组织内部推动隐私治理

组织应评估其规模、活动、数据类别或处理操作是否触发任命 DPO 的要求。

数据泄露通报

LOPDP 框架规定了与个人数据安全泄露相关的义务。

组织应维持以下程序：

1. 1检测安全事件。
2. 2评估个人数据是否受到影响。
3. 3记录事件。
4. 4确定适用的通报要求。
5. 5在需要时通报主管机关。
6. 6在适用时与受影响的个人沟通。
7. 7实施纠正措施。

因此，隐私计划应将安全事件管理与数据保护合规相衔接。

跨境数据传输

厄瓜多尔的框架规范个人数据的传输和传递，包括跨境传输。

SPDP 于2025年发布了专门规定，涉及个人数据在境内和跨境的传输或传递。这些规则要求组织在进行跨境数据传输时适用 LOPDP 及其通用条例的相关规定。

组织应当评估：

• 个人数据被传输到何处
• 谁接收这些数据
• 传输的目的
• 所涉及的数据类别
• 目的地国家
• 适用的保护措施
• 合同要求
• 传输的法律依据

跨境数据流动应作为组织更广泛的数据映射计划的一部分进行记录。

数据保留与删除

在没有适当目的的情况下，不应无限期保留个人数据。

组织应根据以下因素确定保留期限：

• 处理目的
• 适用的法律义务
• 合同要求
• 安全考虑
• 数据主体权利
• 监管要求

当个人数据不再需要时，组织应采取适当的删除、匿名化或其他法律要求的措施。

厄瓜多尔 SPDP 还发布了关于个人数据的匿名化、封存、暂停和清除的专门规定，进一步完善了该框架的这一方面。

Cookie 与在线跟踪

Cookie、像素、广告跟踪器、分析工具以及其他技术可能涉及个人数据的处理。

因此，在厄瓜多尔运营网站的组织应当识别：

• 所部署的 Cookie 和跟踪器
• 每项技术收集的数据
• 处理目的
• 第三方接收方
• 跨境传输
• 适用的合法依据
• 是否需要取得同意
• 是否应在取得同意前拦截跟踪器

在同意是适用的合法依据时，ConsentX 可以帮助组织在适用的跟踪技术启用之前取得有效同意。