La responsabilidad administrativa, civil y penal derivada del incumplimiento de la Ley Orgánica de Protección de Datos Personales en instituciones educativas particulares del Ecuador
La protección de datos personales constituye un derecho fundamental cuya vulneración puede generar consecuencias jurídicas de distinta naturaleza. En las instituciones educativas particulares del Ecuador, esta problemática adquiere especial relevancia debido al tratamiento permanente de información perteneciente a niños, niñas y adolescentes, así como de categorías especiales de datos relacionados con salud, discapacidad, biometría, psicología, religión y situación socioeconómica. El presente artículo analiza el régimen de responsabilidad derivado del incumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento General y las regulaciones expedidas por la Superintendencia de Protección de Datos Personales, diferenciando las dimensiones administrativa, civil y penal. Se examinan las obligaciones de los responsables y encargados del tratamiento, el régimen de infracciones y sanciones administrativas, las posibles consecuencias patrimoniales derivadas de la afectación de los derechos de los titulares y las conductas que, independientemente de la infracción administrativa, pueden configurar delitos previstos en el Código Orgánico Integral Penal. Finalmente, se propone un modelo de prevención de responsabilidad para instituciones educativas particulares basado en la responsabilidad proactiva, la gestión de riesgos, la privacidad desde el diseño y la gobernanza institucional de datos personales.
Palabras clave: protección de datos personales, LOPDP, responsabilidad administrativa, responsabilidad civil, responsabilidad penal, instituciones educativas, datos sensibles, menores de edad.
1. Introducción
Durante décadas, la gestión de información en las instituciones educativas fue concebida fundamentalmente como una actividad administrativa. Los establecimientos almacenaban expedientes académicos, fichas de matrícula, información de representantes y documentos relacionados con la trayectoria escolar.
La transformación digital modificó radicalmente esta realidad.
Actualmente, una institución educativa puede administrar simultáneamente:
- Sistemas académicos;
- Plataformas educativas;
- Aplicaciones móviles;
- Sistemas biométricos;
- Cámaras de videovigilancia;
- Expedientes médicos;
- Información psicológica;
- Sistemas de transporte;
- Plataformas de comunicación;
- Información financiera;
- Sistemas de control de acceso;
- Herramientas de inteligencia artificial.
La consecuencia es evidente: la institución educativa se ha convertido en un importante centro de tratamiento de datos personales.
La LOPDP establece obligaciones específicas para responsables y encargados del tratamiento. Entre ellas se encuentra la obligación de implementar medidas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, así como metodologías de análisis y gestión de riesgos y mecanismos de evaluación periódica de la eficacia de dichas medidas.
Por tanto, el incumplimiento ya no puede ser entendido simplemente como una deficiencia administrativa interna.
Puede convertirse en una fuente de responsabilidad jurídica.
2. Problema de investigación
El problema central que aborda este artículo puede formularse de la siguiente manera:
¿Qué consecuencias administrativas, civiles y penales pueden derivarse del incumplimiento de la normativa de protección de datos personales por parte de una institución educativa particular del Ecuador y cómo puede la institución prevenir dichas responsabilidades?
La pregunta adquiere especial relevancia cuando el tratamiento involucra:
- Menores de edad;
- Datos biométricos;
- Información médica;
- Información psicológica;
- Información relacionada con discapacidad;
- Información religiosa;
- Fotografías y videos;
- Geolocalización;
- Inteligencia artificial.
3. La institución educativa como responsable del tratamiento
La institución educativa particular generalmente actúa como responsable del tratamiento, dado que determina las finalidades y medios de numerosos tratamientos relacionados con sus estudiantes, representantes, docentes y trabajadores.
Sin embargo, también puede contratar encargados del tratamiento, por ejemplo:
- Proveedores de plataformas educativas;
- Empresas de software;
- Proveedores de almacenamiento en la nube;
- Empresas de seguridad;
- Proveedores de sistemas biométricos;
- Empresas de transporte escolar;
- Proveedores de servicios médicos;
- Proveedores de correo electrónico.
La LOPDP exige que el acceso de terceros esté regulado contractualmente y que el encargado trate los datos únicamente conforme a las instrucciones del responsable. La propia normativa establece responsabilidad del tercero por las infracciones derivadas del incumplimiento de las condiciones de tratamiento.
Esto significa que tercerizar el tratamiento no elimina la responsabilidad de gestionar adecuadamente los riesgos.
4. Primera dimensión: responsabilidad administrativa
La responsabilidad administrativa constituye la consecuencia más directamente vinculada con el incumplimiento de la LOPDP.
La SPDP posee potestad sancionadora respecto de responsables, encargados, delegados y terceros, dentro del marco establecido por la Ley.
La institución educativa puede quedar sometida a actuaciones de supervisión y, cuando corresponda, a un procedimiento administrativo sancionador.
5. ¿Qué conductas pueden generar responsabilidad administrativa?
Entre las situaciones relevantes para una institución educativa encontramos:
5.1 Falta de medidas de seguridad
No implementar medidas administrativas, técnicas, físicas, organizativas y jurídicas adecuadas.
5.2 Falta de gestión de riesgos
No contar con una metodología adecuada para identificar y gestionar los riesgos derivados del tratamiento.
5.3 Falta de privacidad desde el diseño
Implementar una plataforma tecnológica sin incorporar medidas de protección de datos desde su concepción.
5.4 Tratamiento sin base legitimadora adecuada
Recopilar o utilizar información personal sin una base jurídica válida.
5.5 Tratamiento excesivo
Recopilar información que no sea necesaria para la finalidad educativa.
5.6 Incumplimiento de los derechos de los titulares
No atender adecuadamente solicitudes de acceso, rectificación, eliminación, oposición u otros derechos reconocidos por la legislación.
5.7 Falta de Delegado de Protección de Datos
Este punto adquiere especial importancia para el sector educativo.
La regulación vigente establece que las instituciones de educación inicial, educación general básica y bachillerato, incluidas las particulares, están dentro de los supuestos que deben designar un Delegado de Protección de Datos; también contempla a las instituciones de educación superior y a quienes tratan categorías especiales relacionadas con menores.
La falta de designación cuando existe obligación legal constituye una infracción grave.
6. El régimen económico de las sanciones
Uno de los elementos que demuestra que la protección de datos ha dejado de ser una obligación meramente declarativa es la existencia de multas vinculadas al volumen de negocio.
Para responsables privados, una infracción leve puede ubicarse dentro del rango de 0,1 % a 0,7 % del volumen de negocio correspondiente al ejercicio económico anterior, mientras que una infracción grave puede situarse entre 0,7 % y 1 %, conforme a los parámetros aplicados por la SPDP.
Esto resulta especialmente importante para las instituciones educativas particulares, porque significa que el impacto económico puede ser considerable.
7. Precedentes sancionatorios: una advertencia para el sector educativo
El régimen sancionatorio ya está siendo aplicado.
En diciembre de 2025, la SPDP informó sobre sus primeras sanciones por infracciones graves a la LOPDP. En uno de los casos, LIGAPRO recibió una multa de USD 259.644,01; en otro, la FEF recibió una multa de USD 194.856,16, además de medidas correctivas.
Posteriormente, en enero de 2026, la SPDP informó de una sanción a LIGAPRO por no implementar protección de datos desde el diseño y por defecto en el tratamiento de datos biométricos, con una multa de USD 95.502,63.
Estos precedentes son particularmente relevantes para las instituciones educativas.
¿Por qué?
Porque muchas utilizan precisamente:
biometría + plataformas digitales + menores de edad + información académica.
La conclusión es clara:
La ausencia de un incidente de seguridad no significa que una institución esté cumpliendo la LOPDP.
Una organización puede ser sancionada por no implementar adecuadamente las medidas exigidas, incluso antes de que ocurra una filtración.
8. Segunda dimensión: responsabilidad civil
La responsabilidad administrativa no necesariamente excluye otras formas de responsabilidad.
Una vulneración de datos personales puede ocasionar daños al titular, generando potencialmente obligaciones de reparación conforme al ordenamiento jurídico aplicable.
En el ámbito educativo pueden presentarse, por ejemplo:
Daño patrimonial
Cuando una filtración provoca:
- Fraude;
- Suplantación;
- Pérdidas económicas;
- Utilización indebida de información financiera.
Daño extrapatrimonial
Cuando la vulneración produce:
- Afectación a la honra;
- Afectación a la privacidad;
- Angustia;
- Exposición pública;
- Estigmatización;
- Afectación psicológica.
El riesgo es particularmente elevado cuando la víctima es un menor.
9. Ejemplo hipotético de responsabilidad civil
Supongamos que una institución educativa sufre una filtración que expone:
- Diagnóstico psicológico de un estudiante;
- Informe de discapacidad;
- Información médica;
- Fotografías;
- Dirección domiciliaria.
Posteriormente, esa información se difunde en redes sociales.
Aunque la institución alegue que la filtración fue provocada por un ataque informático externo, deberá analizarse:
- ¿Existía una metodología de gestión de riesgos?
- ¿Se había identificado ese riesgo?
- ¿Existían controles adecuados?
- ¿Se había aplicado cifrado?
- ¿Existía control de accesos?
- ¿Se habían realizado auditorías?
- ¿Existían respaldos?
- ¿El personal estaba capacitado?
- ¿Se había realizado una EIPD cuando correspondía?
- ¿Existía un protocolo de gestión de incidentes?
La existencia de un ataque externo no necesariamente elimina la responsabilidad.
Lo determinante será, entre otros elementos, determinar si la institución cumplió razonablemente sus obligaciones preventivas.
10. Tercera dimensión: responsabilidad penal
Aquí debemos establecer una distinción fundamental.
La LOPDP no convierte automáticamente cualquier incumplimiento en delito.
La responsabilidad penal surge cuando la conducta concreta encaja en un tipo penal previsto por el Código Orgánico Integral Penal (COIP).
El COIP contempla delitos que pueden relacionarse directamente con situaciones de tratamiento o divulgación indebida de información personal.
11. Violación a la intimidad
El artículo 178 del COIP sanciona a quien, sin consentimiento o autorización legal, acceda, intercepte, examine, retenga, grabe, reproduzca, difunda o publique determinados datos personales e información privada, con pena privativa de libertad de uno a tres años.
En un colegio podría presentarse una situación de este tipo, por ejemplo, si una persona accede deliberadamente a información privada de estudiantes sin autorización y posteriormente la difunde.
12. Revelación de secreto
El artículo 179 del COIP establece responsabilidad para quien, debido a su estado, oficio, empleo, profesión o arte, conozca un secreto cuya divulgación pueda causar daño y lo revele.
La pena prevista es de seis meses a un año.
Esta disposición tiene especial relevancia en instituciones educativas porque determinadas personas tienen acceso profesional o laboral a información altamente confidencial.
Por ejemplo:
- Psicólogos;
- Médicos;
- Orientadores;
- Trabajadores sociales;
- Autoridades;
- Docentes;
- Personal administrativo.
13. Revelación ilegal de bases de datos
El artículo 229 del COIP contempla el delito de revelación ilegal de base de datos.
Cuando una persona, en beneficio propio o de un tercero, revela información contenida en archivos, ficheros o bases de datos mediante sistemas electrónicos, informáticos, telemáticos o de telecomunicaciones, vulnerando voluntaria e intencionalmente el secreto, intimidad o privacidad, puede enfrentar una pena de uno a tres años.
Esto resulta especialmente relevante en instituciones educativas digitalizadas.
14. Responsabilidad individual y responsabilidad institucional
Otro aspecto que debe analizarse cuidadosamente es la diferencia entre:
Responsabilidad de la institución
Puede producirse en el ámbito administrativo y civil conforme al marco jurídico aplicable.
Responsabilidad de una persona natural
Un empleado, docente, administrador, proveedor o tercero puede incurrir individualmente en responsabilidad administrativa o incluso penal si su conducta reúne los elementos de la infracción o delito correspondiente.
Por ello, una política institucional no debe limitarse a decir:
"Los empleados deben proteger los datos personales."
Debe establecer:
- Quién puede acceder;
- A qué información;
- Con qué finalidad;
- Durante cuánto tiempo;
- Mediante qué sistemas;
- Bajo qué controles;
- Qué ocurre ante incumplimiento.
15. El papel del Delegado de Protección de Datos
En el sector educativo ecuatoriano, el Delegado de Protección de Datos adquiere una importancia estratégica.
Su función no consiste simplemente en "tener un DPD registrado".
Debe participar en la construcción y supervisión del sistema de cumplimiento.
Entre sus funciones se encuentran:
- Asesorar a la institución;
- Supervisar el cumplimiento;
- Participar en análisis de riesgos;
- Asesorar sobre evaluaciones de impacto;
- Supervisar políticas;
- Cooperar con la autoridad de control;
- Actuar como punto de contacto.
La normativa ecuatoriana establece expresamente que el DPD debe ejercer sus funciones de manera independiente.
16. Modelo de prevención de responsabilidad
A partir del análisis realizado, se propone el siguiente modelo:
Fase 1 — Gobierno
Definir:
- Responsables;
- DPD;
- Comité de protección de datos;
- Políticas.
Fase 2 — Inventario
Identificar:
- Qué datos se procesan;
- De quién;
- Dónde;
- Quién accede;
- Para qué finalidad.
Fase 3 — Evaluación jurídica
Determinar:
- Base legitimadora;
- Categoría del dato;
- Finalidad;
- Plazo de conservación;
- Transferencias.
Fase 4 — Gestión de riesgos
Evaluar:
Probabilidad × Impacto = Riesgo
Considerando especialmente:
- Menores;
- Datos sensibles;
- Biometría;
- Salud;
- Psicología;
- Tecnologías emergentes.
Fase 5 — Seguridad
Implementar:
- Cifrado;
- Autenticación multifactor;
- Control de accesos;
- Segregación de funciones;
- Registros de auditoría;
- Respaldos;
- Monitoreo.
Fase 6 — Gestión de terceros
Evaluar proveedores y formalizar contratos de encargado.
Fase 7 — Incidentes
Establecer:
- Detección;
- Contención;
- Análisis;
- Notificación;
- Recuperación;
- Documentación.
Fase 8 — Auditoría
Realizar evaluaciones periódicas para demostrar cumplimiento.
17. Matriz de exposición jurídica
|
Situación |
Riesgo |
Posible consecuencia |
|
No contar con DPD cuando corresponde |
Alto |
Responsabilidad administrativa |
|
Biometría sin análisis adecuado |
Muy alto |
Sanción administrativa y medidas correctivas |
|
Filtración de expedientes médicos |
Muy alto |
Administrativa + posible civil |
|
Empleado divulga información confidencial |
Muy alto |
Administrativa/civil y potencialmente penal |
|
Venta de bases de datos |
Crítico |
Administrativa + potencial penal |
|
Acceso no autorizado a expedientes |
Alto |
Administrativa y potencial penal |
|
Plataforma sin controles adecuados |
Alto |
Administrativa + medidas correctivas |
|
No atender derechos de titulares |
Alto |
Responsabilidad administrativa |
|
Falta de gestión de riesgos |
Alto |
Sanción administrativa |
|
Publicación indebida de información de menores |
Crítico |
Administrativa + posibles responsabilidades adicionales |
18. Discusión
El principal hallazgo de este estudio es que el riesgo jurídico de una institución educativa no se encuentra exclusivamente en la ocurrencia de una filtración.
Existe también un riesgo de incumplimiento estructural.
Una institución puede no haber sufrido todavía un incidente y, sin embargo, presentar:
- Ausencia de inventario;
- Inexistencia de políticas;
- Ausencia de análisis de riesgos;
- Inexistencia de eipd;
- Falta de contratos con encargados;
- Inexistencia de procedimientos para derechos;
- Falta de capacitación;
- Ausencia de controles tecnológicos.
Los precedentes de la SPDP demuestran precisamente esta tendencia.
En el caso de la FEF, la autoridad consideró insuficiente una metodología de riesgos que no estaba adecuadamente adaptada a la naturaleza del tratamiento.
Esto introduce una idea fundamental:
La documentación formal no equivale a cumplimiento efectivo.
Una institución no puede limitarse a elaborar políticas y archivarlas.
Debe poder demostrar que las aplica.
19. Conclusiones
La responsabilidad derivada del incumplimiento de la normativa de protección de datos personales en las instituciones educativas particulares debe analizarse desde una perspectiva multidimensional.
La primera dimensión corresponde a la responsabilidad administrativa, cuya relevancia ha aumentado significativamente debido a la actuación efectiva de la SPDP y a la aplicación de multas y medidas correctivas.
La segunda corresponde a la responsabilidad civil, que puede surgir cuando el tratamiento indebido ocasiona daños patrimoniales o extrapatrimoniales a los titulares.
La tercera corresponde a la responsabilidad penal, que no deriva automáticamente de cualquier incumplimiento de la LOPDP, sino de aquellas conductas que además encajen en los tipos penales previstos por el COIP, como la violación a la intimidad, revelación de secreto o revelación ilegal de bases de datos.
En las instituciones educativas, el riesgo es particularmente elevado debido a la combinación de menores de edad + datos sensibles + plataformas digitales + terceros proveedores + tecnologías biométricas.
Por ello, la estrategia jurídicamente más adecuada no consiste en esperar una inspección, una denuncia o una filtración.
Consiste en demostrar, antes de que ocurra un incidente, que la institución ha adoptado un verdadero Sistema de Gestión de Protección de Datos Personales.
El siguiente Paper recomendado: el Paper 5: “Gobierno de datos y privacidad desde el diseño en instituciones educativas particulares del Ecuador”. Ese artículo puede ser especialmente potente porque nos permitiría conectar la LOPDP con ISO 27001, ISO 27701, gestión de riesgos, privacidad por diseño, DPD, RAT, EIPD, seguridad de la información y arquitectura de cumplimiento, convirtiendo la serie en una propuesta metodológica completa y no solamente jurídica.
