Multas de la LOPDP en Ecuador: lo que LigaPro y la FEF pagaron y cómo evitar sanciones en 2026

Durante años, la pregunta sobre la LOPDP en Ecuador fue 'pero, ¿alguien va a multar?'. El 20 de enero de 2026 esa pregunta murió. La Superintendencia de Protección de Datos Personales (SPDP) emitió las resoluciones RES-SPDP-ICS-2025-0005 y RES-SPDP-ICS-2025-0006: $259.644,01 contra LigaPro y $194.856,16 contra la FEF. Las dos por la misma raíz: capturar datos personales sin medidas técnicas suficientes ni política formal. Si manejás una app, una base de clientes o un sitio que recolecta datos, este post es la radiografía exacta de qué hicieron mal y cómo no repetirlo.

Los números que ya nadie puede ignorar

Caso LigaPro: qué pasó con FAN ID

FAN ID es la aplicación que LigaPro implementó para identificar hinchas en estadios. Recolectaba datos personales y biométricos para emitir credenciales digitales de acceso. La SPDP encontró tres fallas concretas: el consentimiento solicitado en la app no cumplía los requisitos de la LOPDP, no había protección de datos por diseño ni por defecto, y las medidas de seguridad sobre los biométricos no eran ni concretas ni verificables. El consentimiento inválido contaminó toda la base: 14.398 titulares deben ser notificados y sus datos eliminados.

Caso FEF: cuando el problema es la base, no la app

La Federación Ecuatoriana de Fútbol operaba la app Fan FEF para hinchas. La SPDP determinó responsabilidad administrativa por tres motivos: Registro de Actividades de Tratamiento (RAT) desactualizado, ausencia de Política de Protección de Datos formal y consentimiento inválido del titular dentro de la aplicación. La multa de $194.856,16 no fue por la app en sí, sino por la ausencia de la infraestructura interna de cumplimiento detrás de ella.

Las 5 fallas comunes detrás de las dos multas

1. Consentimiento mal recogido

Las dos apps tenían botones de 'aceptar política' pero sin granularidad por finalidad. El consentimiento debe ser libre, específico, informado e inequívoco. Un checkbox premarcado no sirve; un único 'aceptar todo' que mete marketing, biometría y analítica en la misma casilla, tampoco. La regla práctica: una casilla por finalidad, sin marcar por defecto.

2. Sin Registro de Actividades de Tratamiento (RAT)

El RAT documenta qué datos trata la empresa, con qué finalidad, base legal, plazos de retención, encargados y transferencias. La FEF no lo tenía actualizado. Es el primer documento que la SPDP exige cuando inicia un expediente. Si no existe, la empresa entra a la mesa de negociación sin defensa.

3. Política de protección de datos genérica o inexistente

Copiar la política de un sitio español, dejarla colgada en un PDF en el footer y nunca enlazarla desde la app no es cumplir. La política debe declarar responsable real, finalidades, base legal, derechos ARCO y portabilidad, encargados de tratamiento y procedimiento de respuesta a brechas. La FEF fue sancionada justamente por no tenerla formalmente.

4. Sin protección de datos por diseño ni por defecto

El principio de privacy by design exige que el sistema minimice los datos desde el primer commit. La app FAN ID recolectaba datos biométricos sin justificar que fueran necesarios para la finalidad declarada. La SPDP penaliza tanto el exceso de recolección como la falta de medidas técnicas de protección al guardar y transmitir esos datos.

5. Medidas de seguridad imprecisas

Decir 'usamos medidas razonables' no funciona. La SPDP exige evidencia concreta: cifrado en tránsito y en reposo, control de acceso por rol, logs de auditoría, segregación de ambientes, backup cifrado, plan de respuesta a incidentes. Si no puedes probarlo con documentos y configuración real, no existe para la autoridad.

Cuánto te dolería el mismo error a tu escala

El detalle clave que se pasa por alto: la multa se calcula sobre la facturación anual del año anterior. Para LigaPro y la FEF, organizaciones grandes, el monto se ubicó en la franja alta de las infracciones graves. Para una PYME ecuatoriana con $500.000 anuales en ventas, una infracción grave del 0,85% son $4.250: suficiente para frenar la nómina de un mes.

Plan defensivo de 14 días para no terminar en la próxima resolución

1. 1Día 1 a 2: inventario de datos personales que recolectás (web, app, ERP, CRM, llamadas, WhatsApp). Listá cada formulario y campo capturado.
2. 2Día 3 a 5: redacta el RAT con finalidad, base legal, retención y encargados por cada tratamiento. Si tienes una app, declárala con su flujo de captura.
3. 3Día 6 a 7: revisa la política de privacidad. Si es plantilla copiada o genérica, reescríbela con datos reales del responsable ecuatoriano.
4. 4Día 8 a 9: auditá cada formulario y onboarding de app: checkboxes sin marcar, casillas por finalidad, doble opt-in en newsletter.
5. 5Día 10 a 11: firma DPA con Google, Meta, OpenAI, hosting, CRM y pasarelas. Documenta los que ya están firmados dentro de la cuenta.
6. 6Día 12 a 13: define canal y plantilla de respuesta a brechas. 5 días calendario para notificar a la SPDP y, si el riesgo es alto, también a los titulares.
7. 7Día 14: prueba real con un cliente piloto: pediles que ejerzan un derecho ARCO y respondé en menos de 15 días. Si fallás esa prueba, tu proceso está vivo solo en papel.

Lo que hacemos en NM Tech Studio cuando construimos apps o sistemas a medida en Ecuador es entregar el RAT base, la política de privacidad parametrizada con los datos del responsable y el módulo de consentimiento granular ya conectado al backend. Eso convierte una app que en condiciones normales tomaría meses ponerse en regla en una app que sale al aire con cumplimiento desde el primer día.

Si tu negocio recién está aterrizando el cumplimiento del sitio web base, la guía completa de qué le exige la LOPDP a tu sitio en 2026 la cubrimos en otro artículo del blog. Y si lo que estás por desplegar usa IA o decisiones automatizadas (scoring, chatbots, OCR), la norma específica que aplica es la SPDP-SPD-2026-0009-R: el detalle de obligaciones lo tenemos en el post sobre IA y LOPDP.