Multas SPDP 2025-2026: cuánto puede costar no proteger los datos de salud de tus pacientes

La Superintendencia de Protección de Datos Personales (SPDP) de Ecuador tiene desde 2024 plenas facultades sancionatorias. El régimen de multas de la LOPDP es significativo: se calcula como porcentaje del volumen de negocio anual de la organización, lo que en la práctica puede representar montos considerables incluso para clínicas dentales medianas.

En 2025, la SPDP publicó la Resolución SPDP-SPD-2025-0022-R, que establece la metodología para determinar el monto específico de las sanciones. Esto hace que el régimen sancionatorio sea más predecible, pero también más aplicable.

Además, las clínicas odontológicas tratan datos de salud, considerados una categoría especial de datos personales por la LOPDP. Debido a su mayor sensibilidad, la ley exige medidas de protección reforzadas para garantizar su confidencialidad, integridad y disponibilidad.

Estructura del régimen sancionatorio

⚠ Infracciones leves

Multa calculada entre el 0,1% y el 0,7% del volumen de negocios de la entidad.

🚨 Infracciones graves

Multa calculada entre el 0,7% y el 1% del volumen de negocios

⛔ En perspectiva Para una clínica dental con ingresos anuales de $200,000, una infracción grave puede representar una multa de hasta $2,000 (1%). Para una clínica con $800,000 anuales, hasta $8,000. Adicionalmente, la SPDP puede imponer medidas correctivas que implican costos operativos propios.

Infracciones más probables en clínicas dentales

Infracción	Clasificación
No tener política de privacidad ni avisos de información	Leve
No responder las solicitudes dentro de los plazos legales establecidos por la LOPDP.	Leve o grave, según el caso y la reincidencia
No designar DPD siendo obligatorio	Leve a grave según impacto
Brecha de seguridad no notificada a la SPDP	Grave
Tratamiento de datos sin base legal (ej. vender datos de pacientes)	Grave
Transferencia de datos a terceros sin autorización ni base legal	Grave
No aplicar medidas de seguridad adecuadas para datos de salud	Grave
Incumplimiento de la normativa sanitaria sobre conservación de historias clínicas.	Puede generar responsabilidad administrativa y otras consecuencias legales.

Cómo se calcula exactamente la multa

La Resolución SPDP-SPD-2025-0022-R establece que el cálculo considera:

Volumen de negocio: ingresos brutos del último ejercicio económico cerrado
Gravedad de la infracción: el daño causado, el número de afectados, la sensibilidad de los datos
Intencionalidad o negligencia
Medidas correctivas adoptadas antes o durante el procedimiento sancionatorio
Historial de cumplimiento: si es la primera infracción o hay antecedentes
Cooperación con la SPDP durante la investigación

Medidas correctivas adicionales a las multas

Además de las multas económicas, la SPDP puede imponer:

Orden de cesar el tratamiento de determinados datos
Orden de regularizar políticas y procedimientos en un plazo determinado
Orden de suprimir datos tratados ilegalmente
Orden de notificar a los afectados sobre una brecha de seguridad

El factor reputacional Una resolución sancionatoria de la SPDP es pública. Para una clínica dental, donde la confianza del paciente es el activo más valioso, la exposición pública de una infracción de datos puede tener un costo mayor que la multa misma.

Cómo prevenir sanciones: las acciones de mayor impacto

Política de privacidad visible y actualizada: que los pacientes puedan leerla en recepción o en la web de la clínica
Procedimiento documentado para solicitudes ARCO+: con responsable designado y registro de gestión
DPD designado y registrado si tu clínica está obligada
Acceso a datos clínicos por roles: que solo quien debe ver la historia clínica pueda acceder
Plan de respuesta a brechas: qué hacer si hay un acceso no autorizado o pérdida de datos
Auditoría interna anual del cumplimiento de la LOPDP

Las clínicas odontológicas deben evaluar si están obligadas a designar un Delegado de Protección de Datos conforme a la LOPDP y al Reglamento del DPD. Dado que manejan datos de salud —una categoría especial de datos personales— muchas clínicas privadas pueden encontrarse dentro de los supuestos de obligatoriedad, especialmente cuando realizan tratamientos a gran escala o desarrollan actividades de control permanente y sistemático.

✓ La SPDP valora la buena fe La SPDP puede valorar circunstancias como la cooperación del responsable, las medidas correctivas implementadas y otros criterios previstos en la normativa al determinar las sanciones.

Preguntas frecuentes

¿La SPDP puede inspeccionar una clínica sin denuncia previa?

Sí. La SPDP tiene facultades de inspección de oficio. Puede iniciar investigaciones propias basadas en análisis sectorial, noticias de brechas de datos, o como parte de su plan anual de supervisión.

¿Una microempresa o consultorio pequeño tiene las mismas obligaciones?

La LOPDP establece obligaciones para todos los responsables del tratamiento, independientemente del tamaño. Algunas obligaciones específicas (como el DPD) tienen excepciones, pero las obligaciones básicas de protección aplican a todos.

Dentexis está construido con cumplimiento LOPDP integrado: control de accesos, auditoría de datos, políticas de privacidad configurables y herramientas para atender solicitudes de pacientes.

Multas de la Superintendencia de Protección de Datos Personales (SPDP) en Ecuador, bajo la Ley Orgánica de Protección de Datos Personales (LOPDP)