No tengo políticas de privacidad ni tratamiento de datos

¿Tienes razón?

Si aún no tiene políticas de privacidad ni registros de tratamiento, su situación depende de tres cuestiones clave:

1. Qué datos recoge. Datos básicos como nombre y correo exigen menos requerimientos que datos sensibles (salud, datos biométricos, afiliación política). Cuantos más datos sensibles y personales recoja, mayor será el riesgo y la obligación de documentar tratamientos.

1. Finalidad y base legal. Debe poder explicar para qué usa los datos (prestación del servicio, marketing, análisis) y bajo qué base legal: consentimiento, ejecución de contrato o deber legal. Si usa datos para fines distintos sin un nuevo consentimiento, tendrá problema.

1. Medidas de seguridad y acceso. Debe poder demostrar que ha tomado medidas técnicas y organizativas adecuadas para proteger los datos: control de accesos, cifrado, políticas internas. La ausencia de políticas internas hace difícil justificar diligencia.

En Ecuador la normativa no es tan desarrollada en algunos aspectos como en otras jurisdicciones, pero las obligaciones de protección y el riesgo reputacional y administrativo son reales. El mapa de tratamientos y una política pública clara son la primera defensa frente a reclamos y auditorías.

Cómo se soluciona

1. Haga un inventario de datos. Liste las categorías de datos que recoge en cada punto del servicio: formularios, registro de usuarios, logs, cookies, sistemas de pago, bases de datos de clientes y proveedores. Identifique quién accede a cada dato y con qué propósito.

1. Defina la base legal para cada tratamiento. Para cada categoría, especifique si se basa en consentimiento, ejecución de contrato, cumplimiento de una obligación legal o interés legítimo. Para marketing y comunicaciones comerciales obtenga un consentimiento inequívoco cuando corresponda.

1. Redacte una política de privacidad pública. Incluya qué datos recoge, para qué, cómo se comparte (si aplica), el tiempo de conservación, derechos del titular (acceso, rectificación, supresión), y cómo ejercerlos. Haga la política accesible desde todas las pantallas de captura de datos.

1. Redacte un registro interno de tratamientos. Documente flujos, responsables, medidas de seguridad técnicas y organizativas y evaluaciones de riesgo. Este registro es la evidencia de diligencia ante una inspección o reclamación.

1. Consentimientos y avisos. Implemente mecanismos de consentimiento claros: cajas no premarcadas para comunicaciones comerciales, banners de cookies si procede y formularios que recojan la aceptación de la política con fecha y versión.

1. Contratos con terceros. Si comparte datos con proveedores (hosting, analítica, pasarelas de pago), firme acuerdos de tratamiento que limiten el uso y exijan medidas de seguridad.

1. Formación y procedimientos internos. Establezca protocolos para brechas de seguridad, solicitudes de titulares y eliminación de datos; forme al personal que maneja información.

1. Revisión y adaptación. Actualice políticas y registros cuando lance nuevas funciones o recoja nuevas categorías de datos.

Qué puede hacer usted solo: inventario inicial, política básica y mecanismos de consentimiento sencillos. Cuándo necesita abogado: redactar acuerdos con procesadores, evaluar riesgos legales en transferencias internacionales o responder a reclamaciones regulatorias.

Qué puede pasar

1. Se normaliza con una política y procedimientos. La mayoría de las startups regularizan su situación con una política pública, registros internos y acuerdos con proveedores; esto reduce riesgo administrativo y mejora confianza de usuarios.

1. Acuerdo con usuario o mitigación. Si hay una queja, puede resolverse con rectificación, eliminación de datos o compensación operativa. Un proceso ordenado y documentación clara facilita acuerdos rápidos.

1. Sanción administrativa o litigio. Si hay una brecha de seguridad o uso indebido de datos sensibles, podría derivar en acciones administrativas o demandas por protección de derechos. El resultado dependerá de la gravedad, la diligencia demostrada y si hubo comunicación de la brecha.

Y si gana, ¿cobra? En caso de sentencia favorable por vulneración, la compensación dependerá del daño real y de la capacidad de la parte responsable; una sentencia no garantiza liquidez inmediata.

Errores que arruinan el caso

• Crear una política copiada sin reflejar la práctica real: eso se vuelve evidencia de engaño.
• No documentar el consentimiento: sin registros no puede demostrar que obtuvo permiso para usos posteriores.
• Compartir datos con proveedores sin contrato que limite usos y seguridad.
• No preparar un plan de respuesta a brechas: reaccionar mal a una filtración agrava el daño reputacional y legal.