Ley Orgánica de Protección de Datos Personales

Articulo 1.- Objeto y finalidad.- El objeto y finalidad de }a presente ley es garantizar el ejercicio del derecho a la protecciôn de datas personales, que incluye el accesc y decisiôn sobre informaci6n y datas de este carâcter, asi como su correspondiente protecci6n. Para dicho efecto regula, prevé y desarrolla principios, derechos, obligaciones y mecanismos de tutela.

Articulo 2.- Âmbito de aplicaciôn material.- La presente '1ey se aplicarâ al tratamiento de datas personales contenidos en cualquier . tipo de soporte, automatizados o no, asi coma a toda modalidad de uso posterior. La ley no serâ aplicable a: a) Personas naturales que utilicen estas datas en la realizackm de actividades familiares o domésticas; b) Personas fallecidas, sin perJmc10 de lo establecido en el articula 28 de la presente Ley; c) Datos anonimizados, en tanto no sea posible identificar a su titular. Tan pronto los datos dejen de estar disociados o de ser anônimos, su tratamiento estarâ sujeto al cumplimiento de las obligaciones de esta ley, especialmente la de contar con una base de licitud para continuar tratando los datos de manera no anonimizada o disociada; d) Actividades periodisticas y otros contenidos editoriales; 9 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial e) Datos personales cuyo tratamiento se encuentre regulado en normativa especializada de igual o mayor jerarquia en materia de gestiôn de riesgos por desastres natura.les; y, seguridad -y üdecsa del Estado, en cualquiera de estos casos deberâ darse cumplimientc- a los estandares internacionales en la materia de derechos humanos y a los principios de esta ley, y como minimo a los criterios de legalidad, proporcionalidad y necesidad; f) Datos o bases de datos establecidos para la prevenciôn, investigaci6n, detecci6n o enjuiciamiento de infracciones penales o de ejecuciôn de sanciones penales, llevado a cabo por los organismos estatales competentes en cumplimiento de sus funciones legales. En cualquiera de estos casos debera darse cumplimiento a los estândares interr~acionales en la materia de derechos humanos y a los principios de esta ley, y como minimo a los criterios de legalidad, proporcionalidad y necesidad; y g) Datos que identifican o hacen identificable a personas juridicas. Son accesibles al pûblico y susceptibles de tratamiento los datos personales referentes al contacta de profesionales y los datos de comerciantes, representantes y socios y accionistas de personas juridicas y servidores pûblicos , siempre y cuando se refieran al ejercicio de su profesi6n, oficio, giro de negocio, competencias, fac1lltades, atribuciones o cargo y se trate de nombres y apellidos, funciones o puestos desempenados, direcci6n postal o electrônica, y, nûmero de teléfono profesional. En el caso de lm: servidores pûblicos, ademas serân de acceso pûblico y susceptibles de tratamiento de datos , el historico y vigente de la declaraciôr. patrimonial y de su remuneraciôn.

Articulo 3.- Âmbito de aplicaciôn territorial.• Sin perJmc10 de la normativa establecida en los instrumentas internacionales ratificados por el Estado ecuatoriano que versen sobre esta materia, se aplicarâ la presente Ley cuando: 1. El tratamiento de datos personales se realice en cualquier parte del territorio nacional; 2. El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en c1.:c1iquier parte del territorio nacional; 3 . Se realice t 1:::itamiento de datos pe:·sonales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador, cuando las activiclades del tratarniento estén relacionadas con: 1) La oferta de 10 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 bienes o serv1c10s a dichos titulares, independientemente de si a estos se les requiere su pago, o, 2) del control de su comportamiento, en la medida en que este tenga lugar en el Ecuador; y, 4. Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislaciôn nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional pûblico.

Articulo 4.- Términos y definiciones.- Para los efectos de la aplicaciôn de la presente Ley se establecen las siguientes definiciones: Autoridad de Proteccion de Datos Personales: Autoridad pùblica independiente encargada de supervisar la aplicaciôr.. de la presente ley, reglamento y resoluciones que ella dicte, con el fin de proteger los derechos y libertades fundamentales de las personas naturales, en cuanto al tratamiento de sus datos personales. Anonimizaciôn: La aplicaci6n de medidas dirigidas a impedir la identificaciôn o reidentificaciôn de una persona natural, sin esfuerzos desproporcionados. Base de datos o fichero: Conjunto estructurado de datos cualquiera que fuera la forma, modaîidad de creaciôn, almacenamiento, organizaciôn, tipo de soporte , tratamiento , procesamiento, localizaci6n o acceso, centralizado, descentralizado o repartido de forma funcionaî o geografica. Consentimiento: Manifestaci6n de la voluntad libre, espedfica, informada e inequivoca, por el que el titular de los datos personales autoriza al responsable del tratamiento de los datos persona.les a tratar los mismos. Dato biométrico: Dato personal ûnico, relative a las carac teristicas fisicas o fisiol6gicas, o conductas de una persona natural que perrni ta o confirme la identificaciôn ûnica de clicha persona, como imagenes faciales o datos dactiloscôpicos, en tre otros. Dato genético: Dato persona! ûnico relacionado a caracteristicas genéticas heredadas o adquiridas de una persona natural que proporcionan informaciôn ûnica sobre la fisiologia o salud de un individuo. Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectarnente. 11 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Datos personales crediticios: Datos que integran el comportamienta ecanômica de personas naturales, para analizar su capacidad financiera. Datos relativos a: etnia, identidad de gênera, identidad cultural, religiôn, ideologia, filiaci6n politica, pasado judicial, candiciôn migrataria, orientaci6n sexual, salud, datos biométricos, datos genéticos, datos relativos a las personas apatridas y refugiados que requieren protecciôn intemacional, y aquellos cuyo tratamiento indebido pueda dar origen a discriminaci6n, atenten o puedan atentar contra los derechos y libertades fundamentales. Datos relativos a la salud: datos personales relativos a la salud fisica o mental de una persona, incluida la prestaci6n de servicios de atenciôn sanitaria, que revelen informaci6n sobre su estado de salud. Datos sensibles: Datos relativos a: etnia, identidad de gênero , identidad cultural, religion, idealogîa, filiaci6n polîtica, pasado judicial, candici6n migrataria, orientaciôn sexual, salud, datos biométricas, datos genéticcs y aquellos cuyo tratamiento indebido pueda dar origen a discriminaci6n, atenten o puedan atentar contra los derechos y libertades fundamentales. Delegado de protecciôn de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protecci6n de dates, asî como de velar o supervisar el cumplimiento normativo al respecta, y de cooperar con la Autoridad de Protecci6n de Datas Personales, sirviendo coma punto de contacta entre esta y la entidad responsable del tratamiento de dates. Destinatario: Persona natural o juridica que ha sido comunicada con datos personales. Elaboraciôn de perfiles: Todo tratamienta de dates personales que permite evaluar, analizar o predecir aspectas de una persona natural para determinar comportamientos o estandares relatives a: rendimiento profesional, situaci6n econ6mica, salud, preferencias personales, intereses, fiabilidad, ubicaci6n, movimiento fisico de una persona, entre otros . Encargado del tratamiento de datos personales: Persona natural o juridica, pû.blica o privada, autoridad pû.blica, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamienta de datos personales. 12 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 Entidad Certificadora: Entidad reconocida por la Autoridad de Protecciôn de Datos Personales, que podrâ, de manera no exclusiva, proporc10nar certificaciones en materia de protecciôn de datas personales. Fuente accesible al pûblico: Bases de datos que pueden ser consultadas por cualquier persona, cuyo acceso es publico, incondicional y gencralizado. Responsable de tratamiento de datos personales: persona natural o jurîdica, publica o privada, autoridad publica, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos pernonales. Sellos de proteccion de datos personales: Acreditaci6n que otorga la entidad certificadora al responsable o al encargado del tratamiento de datos personales, de haber implementado mejores prâcticas en sus procesos, con el objetivo de promover la confianza del titular, de conformidad con la normativa técnica emitida por la Autoridad de Protecci6n de Datas Personales. Seudonimizaciôn: Tratamiento de datos personales de manera tal que ya no puedan atribuirse a un titular sin utilizar informaci6n adicional, siempre que <licha informaciôn adicional, figure por separado y esté sujeta a medidas técnicas y organizativas df;stinadas a garantizar que los datos personales no se atribuyan a una persona fisica identificada o identificable. Titular: Persona natural cuyos datos son objeto de tratamiento. Transferencia o comunicaciôn: Manifestaciôn, declaraciôn, entrega, consulta, interconexi6n, cesiôn, transmisiôn, difusiôn, divulgaciôn o cualquier forma de revelaciôn de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados. Tratamiento: Cualquier operaciôn o conjunto de operacioncs realizadas sobre datos personales, ya sea por procedimientos técnicos de caracter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilaci6n, obtenci6n, registra, organizaciôn, estructuraci6n, conservaci6n, custodia, adaptaciôn, modificaciôn, eliminaciôn, indexaciôn, extracciôn, consulta, elaboraciôn, utilizaciôn, poses1on, aprovechamiento, distribuciôn, cesiôn, comunicaciôn o transferencia, o cualquier otra forma de habilitaciôn de acceso, cotejo, interconexi6n, limitaciôn, supresiôn, destrucciôn y, en general, cualquier uso de datas personales. 13 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Vulneraciôn de la seguridad de los datos personales: Incidente de seguridad que afecta la confidencialidad, disp0nibilidad o integridad de los datos personales. Artîculo 5.- Integrantes del sistema de protecciôn de datos personales.- Son parte del sistema de protecci6n de datos personales, los siguientes: 1) Titular; 2) Responsable del tratamiento; 3) Encargado del tratamiento ; 4) Destinatario; 5) Autoridad de Protecci6n de Dat(Js Personales; y, 6) Delegado de protecci6n de datos personales.

Articulo 6.- Normas aplicables al ejercicio de derechos. - El ejercicio de los derechos previstos en esta Ley se canalizarâ a través del responsable del tratamiento, Autoridad de Protecc16n de Datos Personales o jueces competentes, de conformidad con el procedimiento establecido en la presente Ley y su respectivo Reglamento de aplicaciôn. El Reglamento a esta Ley u otra norma secundaria no poctran limitar al ejercicio de los derechos. Artîculo 7.- Tratamiento legitïmo de datos personas.- El tratamiento serâ legitimo y lîcito si se cumple con alguna de las siguientes condiciones: 1) Por consenlnniento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas; 2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligaci6n legal; 3) Que sea realizado por el responsable del tratamiento, pcr orden judicial, debiendo observarse los principios de la presente ley; 4) Que el tratmniento de datas personales se sustente en el cumplimiento de una misiôG realizaàa en interés pùblico o en el ejercicio de poderes pûblicos conferidos al responsable, denvados de una competencia atribuida por una norma ;:;on rango de ley, sujeto al cumplimiento de los estandares ir!ternacicnales de derechos humanos aplicables a la materia:, ai cumplirni.ento de los principios de esta ley y a ios criœrios de legalidad, p:i:oporcionalidad y necesidad ; 5) Para la ejes'...lci6n de medidas preccmtractuales a peticiôn del titular o para ei cumplimiento de obligaciones contractuales perseguidas por el 14 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 responsable del tratamiento de datos personales, encargado del tratamiento de datos personales () ?Or 1m tercera legalmcnte habilitado; 6) Para proteger intereses vitale~;, clel interesado o de otra persona natural, como su vida, salud o integridad; 7) Para tratarniento de datos persoI1.ales que consten en bases de datos de acceso pùblico; u. 8) Para satisfacer un interés legitirno del responsable dé; tratamiento o de tercera, siempre que no prevalezca ei interés o de:cechos fundamentales de los titulares al arnparo de lo dispuesto en esta norma. Artîculo 8 .- Consentïmiento.- Se podriin trnt2.r y comunicur datos personales cuando se cuente con la manifestaci6n de la v0luntad del titular para hacerlo. El consentimientc serâ vâlido, cuando la rn.anifestaciém de la voluntad sea: 1) Libre, es decir, cuando se encuentre exenta de vicios del consentimiento; 2) Especiîica, en cuanto a la determinaci6n concreta de los medios y fines del tratamiento; 3) Informada., de modo que cuIY.pla con el principio de transparencia y efectiv1ce el derecho a la transpare11cia, 4) Inequivoca, de manera que no pr~ser.te dudas sobre el alc2.nce de la autorizaci6n otorgada por el titular. El consentimiento podra revocarse en cualquier momento sin que sea necesaria una justificaciôE. para lo cua.1 el responsable del tratamiento de datos personales establecerâ mecrülisrr..os que garariticen ~:eleridad, eficiencia, e:ticacia y gratuidad, asi como un prccedimiento sencillo, s1:tr1iia.r al proceder con d cual recabé el consen11mien to. El trata:niento re.;Jizado antes de revocar el consentimiento e~ licito, en virtud de que este no tic:~e dectos ret:--oact~vos . Cuando se preten-:-fa fundar el tratamier:.co de los datos en ei consentimiento del a.fectado t:Jara um.: pluralidad de fin2.lichtde's ;;erâ preciso quf' cons te que die ho consentiŒienw s~ otorga para todas c-:,!J.af. Articufo 9.-· Intt~rès iegitimo .- Cüé,:1èo d tr.,,_të.n::iento àe d&.to.s personales tiene como fundc1men1:e; el mterés legitimo : aj Ûnicamente _podran ser tratados los rla.tt)S que sea.n estricto.n;.ente necesarios para la realiz8.ci6n de la finalidad . 15 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial b) El respons8ble debe garantizar Ol;.e el tratarniento sea t::ansparente para el titular. c) La Autoridad d e Protecci6n de Da'.:'.)::; 1Jucde requerir al responsable un informe con de riesgo p::i.ra la protecciôn cle cb.rn.s , en el cual se vcrificarâ si no hay amenaz2.s con-::reL:a.s a. las expectatiY8.s 1.egitirnas de los titula1r:-s y a sus derechos fundamer:.tales . CAPÎTULO II PRINCXPIOS Artîculo 10.- Principios,.- Sin p~-rjUic;c de otros pnncipio;=; e,,tablecidas en la Constît"J,:ion de ~a Repûblica, los :nstrurnentos internacicnai,~s ratifi.cadas par el .Lo#~ &:.l -..-~ '-' J. -,y · H"·st•'.:>do ·, · "t+•as 1·J. ~,.. ..,·rr:1as3·,,r;ct;,,.,s ]-::,c:.. - ~ -l - J.\..•ct ; pr.c...,,=.1· '-.-\Jv 1 . C: _a po1· t··'-,, î ""\' S"' recr1"r .1...1,_, ..,, ...., - 6 l"")C;_ _pr· '1nr1"p1·as ri e· . .1..U .1. ~ ... ...... . . a) Juridicidad . • Los datos pcrsonaks de ben tratarse cor. estrictc, a.pego y cumpiimiento 2. los principios. derecï-..os y abliga.cior..es 1~stablecid.as en la ConstitLl~'iôn. los ;nstrumentos interna.cioGalès, la presenre i...-ey, su Reglamento y la demas r::ormat_iva y _ju.risprudencü.=-. aphcable. 'b) Lealtad . • Sl CE1.tamiento ci.e dEtk~ peisanale s deberà ser lea~, por lo que para los titulares t~ebe quedar claro que se estâ.n recogiendo, utilizci.11do, consultando a tratando de otra manera, datas pf;!'sonales que lés cancieîntn, asi como las formas en que d;chos datos son o sera~ tratados . En ningû.n c'3.so Loc,; datos personr1.!e5,. po.:fr,3.t •. ser trat2.das a ir-21.vés de medios o para fines , ilkitos o desleales . c) 'f.ransparencia ... El. trataLÜentc, de ëurns p·::rsona.les ·C:.ebcn't ser transparente, por lo que tcda infr,rmaciôn o c:cm1:.nic.acié.•n r:::iaüva a este t:raJG.miento deberâ ser facilmer;te accesibi.t· y fa.cil de er~tend,e:-- y se deber'i utilizar -:..211 ie.nguaje sencillo y claro . Las rela.ciones d.erivadas del trëüa.mit>,îto de datas oersor:.alt:s deben ser transparentes y 8e rigën er;_ funcièE ci.~ las t.!isposic.i ones contenidas en la presente Le:y , s1.: ri:>giamen to y demis ncrrr1ativ2. a.~inente a la n,:iteria. d) Finalidad.- L,~s D.n&ildades <:el lratarn:-~1:.to deberan ~eî determinadas, explicitas, legfü~1as y cornunicad;~s '~Ï tüulac rw podra.n L::atarse datas personales con fines distintos p8.rrt ;os .::ualê:s fueron recopilados, 8. men.os que 16 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legitirn.n sP-nr.1 l~dos en esta ley. El tratamiento de datos personales con fi nes distintos de aquellos para los que hayan sida recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. Para · elle, habra de considerarse el con texto en el que se recogieron los datos. la ir.formaciôn facüita:da al .tltular en ese proceso y , en particular, las expectativas razonables del titular basadas en su relaci6n con el responsable en cuanto a su uso posterior, la naturaleza de los datas personales, las consecuencias pata los titulares del tratamiento ulterior previsto y la existencia de garantias adec"J.adas tanto en la operaciôn de tratamien.to original como en la operaciôn de tra tamiento ulterior prevista. e) Pertinencia y minimizaciôn de datos personales.- Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimier.to de la finalidad del tratamiento. f) Proporcionalidad del tratamiento.- El tratamiento debe ser adecuado, necesario, oportuno, relevante y no excesivo con relaciôn a ias finalidades para las cuales hayan sido recogidos o a la naturaleza mis:rr.R de las categorias especiales de ·datas. g) Confidencialidad.- El tratamiento de datas personales debe concebirse sobre la base del debido sigilo y secreto, es decir, no debe tratarse o comunicarse para un fin distinto para el cual fueron recogidos, a menas que concurra una de las causales que habiliten un nuevo tratamlento conforme los supuestos de tratamiento legitimo senalados en esta Iey. Para tal efecto, el responsable del tratamiento deberà adecuar las medidas técnicas organizativas para cumplir coa este principio. h) Calidad y exactitud. - Los datos personales que sean objeto de tratamiento àeben ser exactos, integros, precisos, cornpletos, comprobables, claros ; y, de ser el caso, debidamente actualizados; de tal forma que no se altere su veracidad. Se adoptaran todas las medidas razonables para que se suprimm'1 o rectifiquen sin dilaciôn los datos persona.les quE.: sean inexactos con respecta a los fines para los que se tratan. En caso de tratamiento por parte de un encargado, la calidad y exactitud sera obligaciôn del responsable del tratamiento de datas personales. 17 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Siempre que el responsable del tratamiento haya adoptado todas las medidas razonables para que se suprimé\î1 o rf.!'.~tifi(11icn sin dilaciôn, no le serâ imputable la inexactitud de los datos personales, con respecta a los fines para los que se tratan, cuando los datos inexactos: a) Hubiesen sido obtenidos por el responsable directamente del titular. b) Hubiesen sido obtenidos por el responsable de un intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervenciôn de un intermediario que recoja en nombre propio los datos çle los afectados para su transmisiôn al responsable. c) Fuesen obtenidos de un registro pub~ico por el responsable. i) Conservaciôn.- Los datos personale serân conservados durante un tiempo no mayor al necesario para cumplir con la finalidad de su tratam1ento. Para garantizar que los datos pers nales no se conserven mâs tiempo del necesario, el responsable del tratamieJ to establecerâ plazos para su supresi6n o revisiôn periôdica. La conservaciôn ampliada de tratamtnto de datos personales unicamente se realizarâ con fines de archiva en inter9s publico, fines de investigaciôn cientîfica, histôrica o estadistica, siempre y 9uando se establezcan las garantias de seguridad y protecciôn de datos pd!rsonales, oportunas y necesarias, para salvaguardar los derechos previstos en esta norma. j) Seguridad de datos personalel- Los responsables y encargados de tratamiento de los datos personales dfberân implementar todas las medidas de seguridad adecuadas y necesarias, eniendiéndose por tales las aceptadas por el 1 estado de la técrnca, sean estas organi ativas, técnicas o de cuaiquier otra indole, para proteger los datos personales frente a cualquier riesgo, amenaza, vulnerabilidad, atendiendo a la naturJ leza de los datos de carâcter personal, al ambito y el contexto. k) Responsabilidad proactiva y demo trada.- El responsable del tratamiento de datas personales deberâ acreditar el aber implementado mecanismos para la protecciôn de datos personales; es ecir, el cumplimiento de los principios, derechos y obligaciones establecidos e la presente Ley, para lo cual, ademâs de 18 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 lo establecido en la normativa aplicable, podrâ valerse de estândares, meJores prâcticas, esquemas de auto y coregula,:iôü, c6digos de protecci6n, sistemas de certificaciôn, sellos de protecciôn de datos personales o cualquier otro mecanismo que se determine adecuado a los fines, la naturaleza del dato personal o el riesgo del tratamiento. El responsable del tratamiento de datos personales estâ obligado a rendir cuentas sobre el tratamiento al titular y a la Autoridad de Protecci6n de Datos Personales. El responsable del tratamiento de datos personales deberâ evaluar y revisar los mecanismos que adopte para cumplir con el principio de responsabilidad de forma continua. y permanente, con el objeto de mejorar su nivel de eficacia en cuanto a la aplicaci6n de la presente Ley. 1) Aplicacion favorable al titular.- En caso de duda sobre el alcance de las disposiciones del ordenamiento jurîdico o contractuales, aplicables a la protecci6n de datos personales, los funcionarios judiciales y administrativos las interpretarar.. y aplicarân en el sentido mâs favorable al titular de dichos datos. m) Independencia del control.- Para el efectivo ejercicio del derecho a la protecci6n de datas personales, y en cumplimiento de las obligaciones de protecci6n de los derechos que tiene el Estado , la Autoridad de Protecci6n de Datos deberâ ejercer un control independiente, imparcial y aut6nomo, asî como llevar a cabo las respectivas acciones de prevenci6n, investigaciôn y sanci6n. CAPÎTULO III DERECHOS Articula 11.- Normativa especializada.- Los datos personales cuyo tratamiento se encuentre regulado en normativa especia.lizada en materia de ejercicio de la libertad de expresi6n, sectores regulados por normativa especifica, gestion de riesgos, desastres naturales, seguridad nacional y defensa del Estado; y, los datos personales que deban proporcionarse a autoridades administrativas o judiciales en virtud de solicitudes y ôrdenes amparadas en competencias atribuidas en la normativa vigente, estarân sujetos a los principios establecidos en sus propias normas y los principios establecidos en esta Ley, en los casos que corresponda y sea de aplicaciôn favorable. En todo caso deberâ. darse cumplimiento a los estândares internacionales en la materia de derechos humanos y a los principios 19 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial de esta ley, y como minima a los criterios de legalidad, proporcionalidad y necesida.d. Articula 12.- Derecho a la informaciôn.- El titular de datos personales tiene derecho a ser informado conforme los principios de lealtacl y transparente por cualquier medio sobre: 1) Los fines del tratamiento; 2) La base legal para el tratamiento; 3) Tipos de tratamiento; 4) Tiempo de conservaciôn; 5) La existencia de una base de datos en la que constan sus datos personales; 6) El origen de los datos personales cuando no se hayan obtenido directamente del titular; 7) Otras finalidades y tratamientos ulteriores; 8) Identidad y datos de contacta del responsable del tratamiento de datos personales, que incluirâ: direcciôn del domicilia legal, mimera de teléfono y correo electrônico; 9) Cuando sea del caso, identidaà y datos de contacta del delegado de protecciôn de datos personales , que incluirâ: direcciôn domiciliaria, nùmero de teléfono y correo electrônico; 10) Las transferencias o comunicaciones, nacionales o intet nacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, asi como las finalîdades que motivan la realizaôôn de estas y las g2rantîas de protecdôn establecidas; 11) Las c)nsecuencias para el titular de los datos personales de su entrega o negativa a ello; 12) El efecto de suministrar datos personales err6neos o inexactos; 13) La pos1bilidad de revocar el consentimiento; 14) La ex1stf:ncia y forma en que pucden hacerse efecti·.,os sus derechos de acceso, eliminaciôri, rectificaciôn :1 actualizaciôn, oposiciôn, anulaciôn, limit2_cjôn del t::atamiento y a no ser objeto de una decisiôn basada ûnicarnente en valoracicnes am:omatizadas. 15) Los mecanismos para hacer efectivo su derecho 2. la portabilidad, cuando el titular lo solicite; 20 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 16) Dônde y c6mo realizar sus reclamos ante el respons8.ble del tratamiento de datos personales y 1,~. J\lïtr:,rici.':1.(1 de Protecci6n de Datas Personales, y; 17) La ex~stencia de valoraciones y decisiones automatizadas, incluida la elaboraci6n de perfiles. En el ce.so que los datos se obtengan directamente del titulnr, la informaci6n deberâ ser com1-.micada de forma previa a este, es decir, en el œ.omento rnismo de la recogida del dato personal. Cuando los dat.os personales no se obtuvieren de forma directa del titular o fueren obteni~os de una fuente acc(-sibJe al pû.blico, el titular deberâ ser informado dentro de los siguientes treinta (30) dfas o al mor 1ento de la primera 1 comunicaciôn c:;n el titular, cualquiera de las è.os circunstancias que ocurra primera. Se le deberâ proporcionar informaciôn expresa, inequîvoca, transpare!1te, i!1tdigible, concisa, precisa y sin barreras técnicas. La informaci6n proporcionaè.a a1 : itular podrâ transmitirse cle cualqu1er modo comprobable en l ~n lenguaje claro, sencillo y de facil comprensi6n, de preferencia propend.iendo a que pueda ser accesiblc en ia lengua de su elr::cciôn. En el caso de productos o sen1icios dirigidos, utilizados o que pudieran ser utüizaàos por niüas, ~11iios y adc1escente3, la informaci6n a la que h2.ce referencia . =!l presrnte articnlo serâ propor:icriacia 8. sü representante lçgal conforme a lo dispuesto en la pr~sente :.,ey. Artfoulo 13.- Dcrecho de acceso.- El titular tiene derecho 2. conocer y a obtener, g!"atuitamente_. del responsable de tratar11iento acceso n todos s us datas personales y a la informaciém detal!a.da elJ '~-'- artîculo precede!lte Sin necesidad de presentar justificacién algu.n2;.. El lï:sponsa ble del tratamic~~1to de datas person&les de.oerâ establece!' rnétodc s !'a6ona~;les que permitérn el ejercicio de este dereche;, el cual de berâ ser atendido de::-"!.~rc dei plazo de quin..:::e (1 S) dias El derec.h.o de acceso 110 podrà ejerœtse de forma. tal que c:onstituya abuso del derech-'.). Articu1o 14.-- D~recho de rectificacién y actualizacîôn .-- El ~itular tiene el derechc a obtee::: del responsable del tt8.t8r..1iento la rectifica.uôn y act1miizaciôn de s1.1s Jatos personales inexactos o incompletos. 21 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Para tal efecto, el titular deberâ presentar los justificativos del caso, cuando sea pertinente. E! responsable de tn:1 ta:11~F"'tr- rleberâ atender el requenmiento en un plazo de quince (15) dias y en este rnis::10 plazo, àeberâ infcrmar al destinatario de los datos, de ser el caso , sobre la :cectificaciôn, a fin de que io actualice. Artîculo 15. - Derecho de eliminaciôn.~ El titular tiene derecho a que el responsable del !ratamient-o ~uprirn2. sus datr)s pe;rsonales, cu 2ndo: 1) El •i:rnt2.miento no cumpla c:.n los principios establecidos en la presente ley: 2) El t::alamiento no sea necesGrio o pertinente par2. el cumplimiento de la finalidad; 3) Los datos personales hayg_n -::umplido con la fin alidad para la cual fueron ï ecogi.dos o tratados; 4) Haya vencido el plazo de conservaci6n de los datas pé>rsu, ::i.lf5; 1 5) El tratamiento afecte derechos fondamentales o libertades incli·1i...i uales; 6) Revoque el consentimiento pre.stado o sen.ale no haberlo otorgado para uno 1) varias fines especîficos, sin necesidad de que medie justificaci6n alguna; o, 7) Exista obligaci6n legal. Ei responsable del tratamiento dt datos personales implemèntara métodos y técr.icas orientaàas a eliminar, hacer ilegible , o dejar irreconocible-s de forma definit:va y segurn los datas personales . Esta obligaciém la deberâ cu mpiir en el piazo de quince (15) <lias de recibida la solicitud por par te del titular y sera gratuito.

Articulo 16.- D~recho de oposici6n,·· Sl ti.tular tlene el den::chc a oponcrse o negarse al tratarniento de sus datos personaks, en los siguie:ntes casas: 1) No se afr:cten derechos y libertades fondamentales de terceras, la ley se lo permita y no se trate de inforrnaciô:n publica, de inti:.rés publico o cuyo tratarr:i.ento estâ ordenado par la l.ey. 2) . El tra~arn1ento de datos personales tenga por objeto la mercadotecnia airecta; d interesado tendrâ der2cho a oponerse e!1 todo momento al tratarrtier!to ·de los datos personales que le conciernan, incluida la elaboracôn de perfiles; en cuyo casa los datos personales dejarâ.n de ser t:catados para dichos fines. 22 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 3) Cuando no sea necesano su consentimiento para el tratamiento como consecuencia de la concurrencia de un interés legitimo, previsto en el articula 7, y se justifique en una situaciôn concreta personal del titular, siempre que una ley no disponga lo contrario. El responsable de tratamiento dejara de tratar los datos personales en estos casos, salvo que acredite motivas legîtimos e imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del titular, o para la formulaci6n, el ejercicio o la defensa de reclamaciones. Esta solicitud debera ser atendida dentro del plazo de quince (15) dîas Artîculo 17.- Derecho a la portabilidad.- El titular tiene el ùerecho a recibir del responsable del t.ratamiento, sus datos personales en un formata compatible, actualizado, estructurado, comùn, inter-operable y de lectura mecanica, preservando sus caracterîsticas; o a transmitirlos a otros responsables . La Autoridad de Protecci6n de Datas Personales debera dictar la normativa para el ejercicio del derecho a la portabilidad. El titular podr2. solicitar que el responsable del tratamiento realice la transferencia o comunicaci6n de sus datos personales a otro responsable del tratamiento en cuanto fuera técnicamente posible y sin que el responsable pueda aducir impedimento de cualquier orden con el fin de ralcntizar el acceso , la transmisi6n o reutilizaci6n de datos por parte del titular o de otro responsable del tratamiento. Luego de completada la transferencia de datos, ei responsable que lo haga procedera a su eliminaci6n, salvo que el titular disponga su conservaci6n. El responsable que ha recibido la informacién asumira las responsabilidades contempladas en esta Ley. Para que proceda el derecho a la portabilidad de datos es necesano que se produzca al menos una de las siguientes condiciones: 1) Que el titular haya otorgado su consentimiento para el tratamiento de sus datos personales para uno o varias fines especîficos. La transferencia o comunicaci6n se hara entre responsabies del tratamiento de datos personales cuando la operaci6n sea técnicameme posible; en caso contrario los datos deberan ser transmitidos directamente al titular. 2) Que el tratamicnto se efectûe por medios automatizados; 23 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial 3) Que se trate de un volumen relevante de datas personales, segûn los parâmetros definidos en el reglamento de la presente ley; o, 4) Que el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos del responsable o encargado del tratamiento de datas personales, o del titular en el âmbito del derecho laboral y seguridad social. Esta transferencia o comunicaci6n debe ser econômica y financieramente eficiente, expedita y sin trabas. No procederâ este derecho cuando se t.rate de informaciôn inferida, derivada, creada, generada u obtenida a partir del anâlisis o tratamiento efectuado por el responsable del tratamiento de datas personales con base en los datos personales proporcionados por el titular, coma es el casa de los datas personales que hubieren sida sometidos a un proceso de personalizaciôn , recomendaciôn_, categorizaciôn o creaci6n de perfiles.

Articulo 18.- Excepciones a los derechos de rectificaciôn, actualizaciôn, eliminaciôn, oposici6n, anulaci6n y portabilidad.- Excepciones a los derechos de rectificaciôn, actualizaciôn, eliminaciôn, oposiciôn, anulaciôn y portabilidad. No proceden los derechos de rectificaciôn , actualizaciôn, eliminaciôn , oposiciôn, anulaciôn y portabilidad, en los siguientes casos: 1) Si el solicitante no es el titular de los datas personales o su representante legal no se encuentre debidamente acreditado; 2) Cuando los dë,tos son necesarios para el cumplimiento de nna obligaciôn lega:l o contractual; 3) Cuando los datos son necesarios para el cumplimiento de una orden judicial, resoluciôn o mandata motivado de autoridad publica competente; 4) Cuando los ciatos son necesarios para la formulaciôn, ejercicio o defensa de reclamos o recursos; 5) Cuando se pueda causar pefJU1C1os a derechos o afectaciôn a intereses legitimos de terceros y ello sea acreditado por el responsable de la base de datas al momento de dar respuesta al titular a su solicitud de ej ercicio del derecho respectivo; 24 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 6) Cuando se pueda obstaculizar actuaciones judiciales o administrativas en curso, debidamente notificadas; 7) Cuando los datos son necesanos para eJercer el derecho a la libertad de .. . ... expres1on y opm10n; 8) Cuando los datas son necesarios para proteger el interés vital del interesado o de otra persona natural; 9) En los casos en Ios que medie el interes publico, sujeto al cumplimiento de lm, estandares internacionales de derechos humanos aplicable~ a la materia, al cumplimiento de los principios de esta ley y a los criterios de legalidad, proporcionalidad y necesidad; 10) En el tratamiento de datas personales que sean necesario~, para el archivo de informac1ôn que constituya patrimonio del Estado, investigaciôn cientifica, histôrica o estadîstica.

Articulo 19.- Derecho a la suspensiôn del tratamiento.- El titular tendra derecho a obtener del responsable del tratamiento la suspensiôn del tratamiento de los datos, cuando se cumpla alguna de las condiciones siguientes : 1) Cuando el titular impugne la exactitud de los datos personales, mientra;S el responsable de tratamiento verifica 12. exactitud de los m1smos; 2) E-1 tratarniento sea ilicito y el interesado se oponga a 18 supresiôn de los datos personales y solicite en su lugar la lirnitaciôn de .su uso; 3) El responsable ya no necesite los datas personales para los fines del tratam~ento, pero ei interesado los necesite para la formulaciôn, el 1 ejercicib o la defensa àe reclama,~:i:111es; y. 4) Cuandc {:;} interesado se haya opuesto al tratamiemo en virtud del articu1o 31 de la presente iey: mientras se verifica si los motivas legitimôs del responsable prevaiecen sobre los del intcre:sado. 1 De exisür negativa por parte del responsable o encargado del tratamiento de datos personalesL. y el titu.lar recurra por <licha decisi6n ante la Autoridad de 1 Protecciôn de Datos Personales, esta s""-1spensi6n se extenderâ hasta la resoluciôn del procedimiento 2tdministrativo. 25 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Cuando el titular impugne la exactitud de los datas personales, rnientras el responsable de tratamiento verifica la exactitud de los mismos, debera colocarse en la base de datas, en dande conste ia iuïormaciôn impugnmla, que ésta ha sida objeto de inconformidad par parte del t1tular. El responsable clc: tratamiento podrâ tr:3.tar ios datos personales, que han sido objeto del ejercicio del presente derecho por parte del titular , ùnicamente, en los siguient,~s supuestos: para la formulaciôn, el ejercicio o la defensa de reclamaciones ; con el objeto de proteger los derechos de otrn. persona natural o juridica o por razones de interés pùblic1..: ~mportante.

Articulo 20.- Derecho a no ser objeto de una decisiôn basada ûnica o parcialmente en valoraciones automatizadas.- Ei titular tie1ic derecho a no ser sometidc- a una ô~cisi6n basada ûn:c3 o pç_.rcialment.e en VéÙ".' 1·aciones que sean producto de proœsos aütomatizado~, inc]u:da la elaboracié-.::1 de perfiles, que produzcsm efect'.)f_, jundicos en èl ù que a:,~nten contra sus dere::hos y !ibertades fune1· ~-me., ·L'· ~l~s C: , ,.-. t"'t.·,r•> l 0 c 11 al podrii. .... J. Cl..;. .. - ...... .,.._ ~A 1 vol ¼• a. Solicitar al r-<:;sponsable del tra.tarniento una explicaci6n motivada sobre la dedsion tom'.:lda por el responsable ·:: encargado del trmamiento de datas pe: scnctles: b. Prf;s~nrn.r nbservacianes; c. Solicitar lo~~ Giterios de valoraciôn sobre ei programa automatizado; o. d. Solicitar al responsable informaciC,n s 1::ibre los tipos de dates utilizados y la fuente r.ie îa cuai han sido obterl.idos los .misrnos; e. Impugnar 12. decisi6n ante el respnnsai.,le o enca;gado del tra.tamiento No se aphcara este derecho cuando · 1. La d'.;cisi6n es necesaria para la celebraciôn a ejecuci6n d(~ un c0ntrato entre el tituiar y ei responsable o encargado del tratamiento de datas personales; 2. Esta auto:-hada por la normativa. a.;Jlicable, arden judicial, resoluci6n o mandata mo~ivado de autoridact técrüca competente , para. .io cual se debera establecer medidas adecuada.s para salvag1.1ardar los derechas funda:nent2Jes y libertades del t1mlai:; c, 3. Se ba:::;e en E-i consentimiento exphcito àel titular. 4 . La decisi6r1 ne conlleve impactos g::-a1~es o riesgos verificabJèE> para el titular. No se pudrà e}:igir ia renuncia a esté derecho en forma adelanrnda a través de contratos de adhesi6r. masivos A mât: t;ardar en el rnomen to de 18. primera 26 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 comunicaci6n con el titular de los d&tos persona1es, para infot rnar una decisi6n basada ûnicamente en valoracionts a.utomatizadas, este derecho le sera informado explküamente por cualqu1eï nJ.ediu idor..eo. _ Artîculo 21.- Derecho de ninas, niftos y adolescentes a no ser objeto de una decisiôn basada unica o parcialmente _en valoraciones automatizadas.- Ademâs de los presupuestos establecidos en el derecho a 1:0 ser objeto de unà decisi6n basada ûnica o parcialmentc en valoracione·s automatizadas, no se podran tratar datos sensibles o datos de ~i.fias, nifi.os y adolescentes a menas que se cuente con l,~ autorizaci6n expresa dei ti.tular o de su representante legal; o, cuando. d1cho tratamiento esté destinado a salvaguardar ur: interés pûblico esencial, el cual se evalûe en atenci6n a ios estândares internacionales de derechos humanos, y como rnînirnn satisfaga los criter:os de legalidad, proporcionalidad y neces1dad, y ademâs incluya salvaguardas especificas para pràteger los derechos fundamentales de los interesados. Los adolescentes , en ejercicio progresivo de sus derechos, a. partir de los 15 ano$, podran otorgar, en calidad de titulares, su consentimiento explicita para el tratamiento de sus da..tos personales, siempre que se les especitlque con claridad sus fines.

Articulo 22.- Derecho de consulta.- Las personas tienen den:cho a la consulta pûblica y gratuita ante el Registra Naci0r;al de Protecci6n de Da.tas Personales, de conformidad con ia presente Ley. Articula 23,- Derecho a la educaciôn digital.- Las personas tienen derecho al acceso / disponibilidad del conocimiento, aprendizaje, preparaci6n, estudio, formaci6n , capêJ:itacion, enseiianza e instn1cci6n relacion2.dos con el uso y manejc adect:.aclo: sana, constructive, seguro y responsable de ias tecnologias de !a informaci6n y comunicaci6n, en e,:;tric::to apego a la dignidad e integridad humana: los de, ·e chos fundamenta.les y libertades individuales con especial énfasis en la intir::-üdad, la vida privada: ai..:todderminaci6n inf-Jrmativa, identidad y reputaci6n en li:1ea, ciudadania digital y el derecho a la protecci6n de datos personales, asi como promover 1na cultura sensibilizad2 en el derecho de 1 protecc1ôn de datos personales. El dere,:ho 2. la e .iucaci6r! digital œndra un carâcter ir1clu3ivo sobre todo en lo 1 que respecta a l~:S personas con necesidades educativas espediales. 27 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial El sistema eclucativo nacional, incluyendo el sistema de cducaci6n superior, garantizara la educaci6n digital ne solo a favor de los estudiantes de todos los niveles sino también de los doccntes, debiendo incluir <licha temâtica en su proceso de formaci6n.

Articulo 24.- EJercicio de derechos.- El Estado, enticlades educativas, organizaciones de la sociedad civil, proveedorcs de servicios de la sociedad de la informaciôn y el ·conocimiento, y otros entes relacionados, dentro del â.mbito de sus relaciones, estân obligados a proveer informaci6n y capacitaciôn relacionadas con el uso y tratamiento responsable , adecuado y seguro de datas personales de ninas, ninos y adolescentes, tanto a s1.1s titulares como a sus representantes legales, de conformidad con la normativa técnica emitida por la Autoridad de Protecciôn de Datos Personales. Los adolescentes mayores de doce (12) aüos y menores de quince (15) an.os, asi como las ninas y ninos, para el ejercicio de sus derechos necesitaran de su representante legal. Los adolescentes mayores de quince (15) an.os y menores de dieciocho (18) af10s, podrâ.n ejercitarlos de forma directa ante la Autoridad de Protecci6n de Datos Personales o ante el responsable de la ba se de datos personales del tratamiento. Los derechos del titular son irrenuncia.bles. Serâ nula toda estipuiaciôn en cornrano. CAPÎTULO IV CATEGORÏAS ESPECIALES DE DATOS

Articulo 25.- Categorîas especiales de datos personales.- 1 Se consideraran categorias especiales de datos personalcs, los siguientes: a) Datos sensibles;· b) Datas de ninas, ninos y adolescentP.s: c) Datos d~ salud; y, d) Datos de personas con discapacidad y de sus sustitl~tos, relativos a la discapacidad.

Articulo 26.- Tratamiento de datos sensibles.- Queda prohib~do el tratamiento de datos personales sensibles salvo que concurra alguna tj.e las siguientes circunstancias: 28 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 a) El titular haya dado su consentimiento explicito para el tratamiento de sus datos personales, especificandose claramente sus fines. b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos especificos del responsable del tratamiento o del titular en el âmbito del Derecho laboral y de la seguridad y protecciôn social. c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, fisica o juridicamente, para dar su consentimiento. d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente pûblicos. e) El tratamiento se lo realiza por orden de autoridad judicial. D El tratamiento es necesario con fines de archivo en intcrés pûblico, fines de investigaciôn cientifica o histôrica o fines estadisticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protecci6n de datas y establecer medidas adecuadas y especificas para proteger los intereses y derechos fundamentales del titular. g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente ley. Artîculo 27.- Datos personales de personas fallecidas,- Los titulares de derechos sucesorios de las personas fallecidas, podrân dirigirse al responsable del tratamiento de datos personales con el objeto de solicitar el accesci, rectificaciôn y actualizaciôn o eliminaciôn de los datos personales del causante, siempre que el titular de los datos no haya, en vida, indicado otra utilizaci6n o destino para sus datos. Las personas o instituciones que la o el faUccido haya designado expresamente para ello: podran también solicitar con arreglo a las instrucciones recibidas, el acceso a los datos personales de éste; y, en su caso, su rectificaci6n, actualizaciôn o eliminaci6n. En case de falit>cimiento de nmas, nmos, adolescentes o personas que la ley reconozca corne incapaces, las facultades de acceso, rectificaci6n, actualizaci6n b eliminaci6n, podran ser ejercidas por quien hubiese sido su ùltimo representante legal. El Reglamento a la presente ley establecera los mecanismos para el ejercicio de las facultades enunciadas en el presente articulo. 29 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Artîculo 28 .- Datos crediticios.- Salvo prueba en contrario serâ legîtimo y lîcito el tratamiento de datos destinados a informar sobre la solvencia patrimonial o crediticia, incluyendo aquellos relati\'Gs ai cumplimiento o incumplimiento de obligaciones de carà.cter comerc1al o crediticia que pennitan evaluar la concertaciôn de negocios en general, la conducta comercial o la capacidad de pago del titular de los datos, en aquellos casos en que los mismos sean obtenidos de fuentes de acceso publico o procedentes de informaciones facilitadas por el acreedor. Tales datas pueden ser utilizados solamente para esa finalidad de anâlisis y no serân comurücados o difundidos, ni podran tener cualquier finalidad secundaria. La protecci6n de datos personal~s crediticios se sujetarâ. a lo previsto en la presente ley, en la legislaci6n especializada sobre la materia y demâ.s normativa dictada por la Au toridad de Protecci6n de Datas Personales. Sin perjuicio de lo anterior, en ningùn caso podran coml:!.nicarse los datos crediticios relatives a obligaciones de carâcter econ6mico , fina.nciero , bancario o comercial una vc~ transcurridos cinco afios desde que la obligaci6n a la que se refieran se haya hecho exigible.

Articulo 29- Derechos de los Titulares de Datos Crediticios.- 1. Sin perj-:iicio à.e los derechcs reconocidos en esta Ley, los Titulares de Datas Crediticios tienen los siguientes derec.r.os : a) Ac:ceder d1: forma personal a 12. mfon::1aci6n de la cuai :;~>n titulares; b) Que ei rcoorte de crédi.to permita. con ocer de manera clara y precisa la conciiciôn e:n que se encuentra su historia! crediticio; y, c) Que las fu.e11tes de informaci6n actualicen, rect1fiquen c eliminen, segun el case, la informaciôn que foese ilîcita, falsa , inexacta, errônea, incompleta o caduca 2. Sobr~ el deecbo de acceso pot el Titular del Dato Crediticio, ,.;ste sera gratuito, cuantaE' ve,:es lo requiera, respecto de la i_nformaci6n que sobre si mismos esté registraàa 2..~·!.te lû.s prestadores de servicios de referencia crediticia y a través de los siguier.tes meccmismos: a) Observaciôn directa a travês de pai1tallas que los prestadores del serv1c10 de referencia crediticia pondrân a disposici6n de dichos titulares; y, 30 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 b) Entrega de '.mpresiones de los reportes que a fin de qu e cl Titular del Dato C:rediticio compruebe la verac:id a d y P-Xacütud de su contenido , sin que pueda ser utilizado con fines r.n:';_Ülicws o comerciales_ 3. Sobre los derechos de actualizac1ôn. : :·ect.ificaciôn o elimina ciôn, el Titular del Dato Crediticio podrâ exigir estos derecho& frente a las fuentes de informaciôn mediante solicitud escrita. Las fuent~s de i:!1formaci6n, dentro del plazo de quince <lias de prestntacl.a la soiicitud, deberân res~)lverla admitiéndola o rechazandola motivadamen te. El Titular del Dato Crediticio tiene derecho a solicitar a los prestado:!:"es dei servicio de referencias cred.1ticias que, en tanto se sigue el proceso de revisi6n, senal~n en los repcrtes de crédita que emitan ; que la informaci6n materia de la soïicitud esta siendo re-.1 is2da a. pedido del titubr.

Articulo 30.- Datos relatives a la salud.- Las institt1.ciones que conforman el Sistema Naciona.l de Salud y los profesiona les de la salud pueden recolectar y tratar los datos relativos a la salud de sus pacientes que estén o hubiesen estado bajo tratamiento de aquellos, de acue::dc a lo previsto en la presente ley, en la legislaciôn especlalizada sobre la mat.er-ia y dernâs normativa dictada por la Autoridad de Proi:ècciôn de Datos Perscnales en cocrdinaciôn con la autoridad sanitaria nacional__ Los responsables y encargados del trat.2.mir.nto de clatos u~;i como todas las personas que i.nt.ervengan en cualquieï fase de este, estarân sujetas al deber de confidendalidad, de tal manera que se gara.:;1tice una seguridad adecuada de los datos per-sonalcs , incluida la protecci6n codra el tratamier~ tn no 2.utorizado o ilicito y contra ~;u pérdida, destruccié,!1 c dafto a ccid enta], medi a nte la aplicaciôn de medidas t~cnicas orgar..izativa s a propiadas . Esta obligaci6n sera complemE;ntarif; dèl secreto profcsic!ls.l de confr)rmidad con cada caso . Las obligaciorn~~~ establecîdas en 10s aparta.d.os anteriores se m a ntcndran aun cuando hubiese finalizado ia relaciôn del r,bligado cor. el respon sable o encargado del trn_tamiento. No se :-equerirâ el consent1miento dei titula r para el trata.~1.1.iento de datas de salud cuar:do eJ.1.·;. sea :11ecesari.CJ par r2z ones de imerés pùhlko esencial en el àmbitû de la saiud, el que en todo case deberâ ser propo;:-.:ionai al objetivo perseguido, respe"èar en îo esenciaJ el d erecho a la protecci6n de datos y estable :::er medidas adecuadas y especîficas para p!"oteger los intereses y derechos fundame:1ta les de! titular; 31 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Asimismo, tampoco se requerir:i el consentimiento del titular cuando el tratamiento sea necesario por rnzor.i.t=::8 r:lf. i.nterés pûblico en el ambito de la salud publicai coma en el caso de amenazas !ransfronterizas graves para la salud, o para garantizar elevados niveles de c2.Edad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, siernpre y cuando se establezcan medidas adecuadas y especîficas para proteger los derechos y libertadts dei titular y, en particular. el secreto profesional.

Articulo 31.- Tratamiento de datos relativos a la salud.- Todo tratamiento de datos relativos a la salud deberâ. cumplir con los siguientes parametros minimas y aquellos que determine la Autoridad de Protecciôn de Datos Personales en la normativa emitida para el efecto: 1. Los datos relativos a la salud generados en establecimientos de salud püblicos o privados, serân tratados cumpliendo los principios de confid1~ncialidad y secreto profesional. El üralar de la informaciôn ciebera brindar su consentimiento previo conforme lo determina esta Ley, salvo en los casas en que d tratamiento sea necesario para proteger intereses vitales del interesado, en el supuesto de que el interesado no esté capacitado, fisica 0 jurîdicamente, para da.r su consentimiento; o sea necesario para fines de medicina preventiva o labora.1, evaluaciôn de la capacidad iaboral del trabajador, diagn6stico médico, prestaciôn de asistencia o tratamiento de t:ipo sanitario o social, o gestion de los _sistemas y servicios de asistencia sanitaria. y social, sobre la base de la legislaci6n espcciallzada sobre la materia o en vfrh1d de un contrato con :...m profesional sanitarlo. En este ultimo caso el tratamiento solo podrà ser realizado por un profc:s~ona.l sujeto a la obligaciôn de se.c:.-eto profesional, o bajo su responsabiiidad, de acuerdo con la legisladôn especi2.lizada sobre la materia o con las demas nor:11as que al respecta pueda establecer la Autoridaà. 2. Los dates reJativos a la salud que se traten, siempre que sea posible, deberan ser previamentt a:ionimizados o seudonimizados, evitandc la posibilidad de identificar a los titulares àe los mismos. 3. Todo tratami.ento de datas de salud anonimizados debera ser autorizado previamente por la Autoridad de Protecciôn de Datas Personales. Para obtener la autorizaci6n mencionada, el interesado deberà presentar un protocolo técnico que contenga los parametros necesarios que garanticen la protecciém de dichos datas y el informe previo favorable emitido por 18. Autoridad Sanitaria. 32 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 Artîculo 32.- Tratamiento de datos de salud por entes privados y pûblicos con fines de investigaciôn.- J.,os rl,:itc-~: relativos a salud que consten en las instituciones que conforman el Sistema Nacional de Salud, podrân ser tratados par personas naturales y juridicas privadas y publicas con fines de investigaciôn cientifica, siempre que segun el casa encuentren anonimizados, o dicho tratamiento sea autorizado por la Autoridad de Protecciôn de Datos Personales, previo informe de la Autoridad Sanitaria Nacional. CAPÎTULO V TRANSFERENCIA O COMUNICACIÔN Y ACCESO A DATOS PERSONALES POR TERCEROS

Articulo 33.- Transferencia o comunicaciôn de datos personales.- Los datas personales podran transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacio:nados con las funciones legitimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en esta Ley, y se cuente, ademas, con el consentimiento <lel titular. Se entendeni que el consentimiento es informado cuando para la transferencia o comunicaciôn de datas personales el Responsable del tratamicnto haya entregado informaciôn sufici.ente al titular que ie permita conocer la finalidad a que se destinarân sus datos y el tipo de actividad del tercero a quien se pretende transferir o comunicar dichos datas.

Articulo 34.- Acceso a datos personales por parte del encargado.- No se considerara transferencia o comu:nicaciôn en el caso de que cl encargado acceda a datos personales para la prestaciôn de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legitimamente a datos personales en estas consideraciones, serâ considerado encargado del tratamiento. El tratamiento de datas personales realizado por el encargado debera estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratara unicamente los mismos conforme las instrucciones del _responsable y que no los utilizarâ para finalidades diferentes a las senaladas en el contrato, ni que los transferira o comunicarâ ni siquiera para su conservaciôn a otras personas. 33 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Una vez que se haya cumplido la prestaciôn contractual, los datos personales deberân ser destruidos o devFeltos r.1.1 responsable del tratamiento de datas persanales baja la supervision de la Autaridad de Protecci6n de Datas Personales: El encargado sera responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datas personales establecidas en la presente ley. Artîculo 35 .- Acceso a datos personales por parte de terceros.- No se considerarâ transferencia o comunicacion cuando el acceso a datas personales por un tercero sea necesario para la prestaciôn de un servicio al responsable del tratamiento de datas personales. El tercera que ha accedido a datas personales en estas condicir es debi6 hacerlo legitimamente. El tratamiento ~e datas personales realizado por terceras deberâ estar reguladb por un contrato, en el que se establezca de manera clara y precisa que el encargado del t~atamiento de datas personales tratarâ ûnicamente los mismos conforme las insirucciones del responsable y que no los utilizarâ para finalidades diferentes a las eiialadas en el contrato, ni que los transferira o comunicara ni siquiera para su conservaciôn a otras personas. Una vez que se haya cumplido la prestaciôn contractual, los datas personales deberan ser de ,truidos o devueltos al responsable del tratamiento de datas personales bajo 1~ supervisiôn de la autoridad de protecciôn de dates personales. El tercera serâ 1Jf~sponsable de las infracciones derivadas del incumplimiento de las condiciones le tratamiento de datas personales establecidas en la presente ky. . Artîculo 36.- Excepciones de consentimiento para la transferencia o comunicaciôn de datos personales.- No es necesano contar con el consentimiento del titular para la transferencia o comunicaciôn de datas personales, en los siguientes supuestos · 1) Cuando los datas han sida recogidos de fuentes accesibles al pûblico; 2) Cuando el tratamiento responda a la libre y legitima aceptaciôn de una relaciôn jurîdicél. entre el responsable de tratamiento y el titular, cuyo desarrollo, cumplimiento y control implique rn~cesariamente la conexiôn de dicho 34 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 tratamiento con base de datos. En este caso la transferencia o comunicaci6n solo serâ legitima en cuanto se limite a la fir.'llidad que la justifique; 3) Cuando los datos personales deban proporcionarse a autoridades administrativas o judiciales en virtud de solicitudes y 6rdenes amparadas en competencias atribuidas en la norma vigente; 4) Cuandc la comunicaci6n se produzca entre Administraciones Pûblicas y tenga por objeto el tratamiento posterior de datos con fines hist6ricos, estadîsticos o cientificos, siempre y cuando dichos datos se encuentren debi.damente disociados o a lo menos anonimizados, y, 5) Cuando la comunicaci6n de datos de caràcter personal relativos a la salud sea necesaria para solucionar una urgencia que implique intereses vitales de su titular y este se encontrare impedido de otorgar su consentimiento. 6) C1.1ando la comunicaci6n de <lat.os de carâcter personal relativos a la salud sea necesaria para realizar los estudios epidemiol6gicos de interés pûblico, dando cumplimiento a los e-stândares internacionales en la m2,teria de derechos humanos. y como mînimo a ios c.riterios de legalidad, proporcionalidad y necesid2.d. El tratamiento deberâ ser de preforencia anonirnizado, y en todo caso agregado, una v~;z pasada la urgencia de interés pûblico . Cuando sea req:}trido el consentimiento del titular para que sus datos personales seae comunicados a un tercera, e3te puede ~·evocarlo en cuaiquier momento, sin necesidad de que medie justificaci6n a~gv.na. La presente ley ,)bligatoriamente dcbe ser aplicada por el desLinatario, por el solo hecho de la r:omunicaci6n de los cl.atos ; a menos que. estos hayan sido anor.:.ii1:izad1jS r) 2c>metidos a un prGces,_: de CAPÎTULO VI SEGUR1DAD DE DATOS PERSONALES

Articulo 37.- Seguridad de datas personales.- El responsé!.ble o encargado del tratamiento de datos personales segûn sca el caso, debera s·J.jetarse al principio de seguridad de datos personales, pa.:-a lo cual deberà tomar en cuenta las categorîas y ,,rolumen de dato~ pP-rsonaies, el estado de la. técnica, mejores prâcticas de seguridad integral y los costos de aplicaci6n de acuerdo a la 35 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial naturaleza, alcance, contexto y los fin es del tratamiento, asi como identificar la probabilidad de !"iesgos. El responsable o encargado de! u-2; !nm;,:::nto de datos personales, debera implementar un proceso de verifica,::iôL, evaluaciôn y valoraciôn continua y permanente de la eficiencia, eficacia. y i::i:'ectividad de las rned.idas de carâcter técnico, organizativo y de cualq-,üer otra indole, implement2.das con el objeto de garantizar y mej orar la seguridaci del t·ate.rniento de datos pc.1-'-:)nales. El resronsable o encargado de!. tratarniento de datos personales debera evidenciar que las medidas adoptadas c implementadas mitiguen de forma adecuada los rie~gos identificados Entre ot·as rnedidas, se podrân indu1r 18.s siguientes: li Medidas je anonimizaciôn, seudonorr::.izad6n o cifrado de clatos personales; 2) Medidas dirigidas a mantener la confidencialidad, integridad y disponibilidad perr.1ai1êT1tes de los sistema~ y servicios del tratamiento de datos personales y el acceso a los datos personales, de forma rapiàa en caso de incidentes; y 3) Medidas dirigidas a mejorar la r':'siiienoa técnica, fisi ca, adrn.inistrativa, y juriè.ica. 4) Los respons2bîes y encargarios del tratamiento de datos pe:-sonales, podrân acc•gçrse a estandares internaci.onalt·s para una ad.ecuc... da gestion dt: riesgos enfocada a la protecciôn à.f' de-:::c:ho .:: y libert2-.des, ssi co!no para la imiJlr::mentaciôn y manejo de siste;1ié!S de seguridad de lé:. informaciôn o a côdigos d t- cor:ducta reconocidos: 2....1 ~orizados por la Aut;;ridad de Protecciôn de Datas Pe:-i..,onales.

Articulo 38.- Medidas de seguridaà en el âmbito del sector pûblico.- El mecanismo gubernamental de seguridad de la. informaci6:: -:i.ebera incluir las medidas que deban implementa::-se en cJ caso de tratamiento de datos personales para ~1ac:er fren te a cualquier :-iesgu ; · a:neriaza, vulnerab-ihdad, e.ccesos no autorizados, péïdîdas, alteracicnes _. dt st!'uccion .o comunir.n::ion ac:cidental o ilicita en ei trat2,rniento de los da::-J s conforme al principio àt ~,eguriàad de daws personaies. El mecanismo gt~bername.!1tal de seg,J.r~dad de la informaciôn a.barcarà y aplicarâ a todas ias inst~uciones del sector pubiico, contenida.s eD r] articula 225 de la 36 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 Constituciô n de la Republica de Ecuador, asi como a terceros que presten servicios publicos mediante concesiôn 1.1 otras figuras legalmente reconocidas . Estas, podran incorporar medidas adicionales al mecanismo gubernamental de seguridad de la informaciôn .

Articulo 39.- Protecciôn de datos personales desde el diseüo y por defecto. - Se entiende a la protecciôn de datos desde el diserï.o como el deber del responsable del tratamiento de tener en cu enta, en las primeras fases de concepci6n y diserï.o del proyecto; que determinado s tipos de tratamiento s de datos personales entrarï.an una serie de riesgos para los derecl10s de los titulares en atenciôn al estado de la técnica, naturaleza y fines del tca tamiento, para lo cual, implementa râ las medidas técnicas, organizativa s y rl.e cualquier otra indole, con miras a garantizar el cumphmien to de las obligacion es en materia de protecc1ôn de dé..tos, en los términos del reglamento . La protecciôn de datos por defecto hace referencia a que el responsable debe aplicar las medidas técmcas y organizativa s adecuadas con miras a que, por defecto, solo sean objeto de tratamiento los datos personales qn e sean necesarios para cada uno de los fines del tratamien to, en los términos del reglamento.

Articulo 40.- Anâlisis de riesgo, amenazas y vulnerabilid ades.- Para el anâlisis de riesgos , amenazas y vulnerabilid ades, el responsable y el encargado del ~ratamiento de los datos personales deberâ.n u.tilizar · una rnetodologîa que considere, entre otras: 1) Las particuiarid ades del tratamiento ; 2) Las particularid ades de las partes involucrada s; y, 3) Las categorias y el volumen de da to:s personales objeto de tratamiento . Articule 41.- Determinac iôn de medidas de seguridad aplicables.- Para determir..ar las medidas de seguridad, aceptadas por el estado cie la técnica, a las que estâ.n oblig&das el responsable y el encargado del tratami ento de los datos personales , se deberan tomar en considera<::iôn, entre otros: 1) Los resultados del anàlisis de ri.esgos, amenazas y vulnerabilid ades; 2) La naturaleza. de los datos personales; 3) Las caracteristic as de las partes invoh.1.cradas; y, 4) Los antecedente s de destrn.cciôn de datos personales, la pérdida, alteraciôn, divulgaciôn o impediment o de acceso a los mismos por parte del titular, sean acèidentales e intencionale s, por acciôn u omisiôn , asi como los 37 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial antecedentes de transferencia, comunicaciôn o de acceso no autorizado o exceso de autorizaciôn de tales datos. El responsable y el encargado del tratamiento de datas personales deberan tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar, prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del tit.ular, de conformidad con la normativa que emita la Autoridad de Protecciôn de Datas Personales. Artîculo 42.- Evaluaciôn de impacto del tratamiento de datos personales.- El responsable realizarâ una evaluaciém de impacta del trata.miento de dato? personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autcridad de Protecciôn de Datos Personales lo reqmera. La evaluaciôn de impacto relativa a la protecciém de los datos sera de carâcter obligatoria en caso de: a) Evaluaciôn sistemâtica y exhaustiva de aspectas personales de personas fisicas que se base en un tratamiento automatizado, como la elaboraciôn de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos juridicos para las personas naturales; b) Tratamiento a gran escala de las categorias especiales de datos, o de ios datos personales relativos a condenas e infracciones penales, o c) Observaciôn sistemâtica a gran escalade una zona de acceso pûblico. La Autoridad de Protecciôn de Datos Personales establecert otros tipos de operaciones de tratamiento que requieran una evaluaciôn de impacto relativa a la protecciôn de datas. La evaluaèiôn de impacta debera efectuarse previo al inicio del tratamiento de datas personales . Artîculo 43.- Notificaciôn de vulneraciôn de seguridad.- El responsable del tratamiento deberâ notificar la vulneraciôn de la seguridad de datos personales a la Autoridad de Protecciôn de Datos Personales y la Agencia de Regulaci6n y Control de las Telecomunicaciones; tan pr~nto sea posible , y a mâs tardar en el 38 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 término de cinco (5i <lias después de que haya tenido constancia de ella, a menos que sea improbable que dicha vio1aci6n OP, lë. 1,eguridad constituya un riesgo para los derechos y las libertades de las personas fisicas. Si la notificaciôn a la Autoridad de Protecciém de Datos no tiene lugar en el término de cinco (5) dias, deberâ ir acompaùada de indicaciôn de los motivos de la dilaciôn. El encargado del tratamiento deberâ notificar al responsable cualquier vulneraciôn de la seguridad de datos personales tan pronto sea posible , y a mas tardar dentro del término de dos (2) <lias contados a partir de la fecha en la que tenga conocimienlo de ella.

Articulo 44.- Acceso a datos personales para atenciôn a emergencias e incidentes informâticos.- Las autoridades pûblicas competentes, los equipos de respuesta de emergencias informaticas, los equipos de respuesta a incidentes de seguridad informatica, los centras de operaciones de seguridad, los prestadores y proveedores de servicios de telecomunicaciones y los proveedores de tecnologîa y servicios de seguridad, nacionales e internacionales, podrân acceder y efectuar tratamientos sobre los datas personales contenidos en las notificaciones de vulneraciôn a las seguridades, durante el tiempo necesario, exclusivamente para la detecci6n, analisis, protecciôn y respuesta ante cualquier tipo de incidentes asî como para adoptar e implementar rnedidas de seguridad adecuadas y proporcionadas a los riesgos identificados .

Articulo 45.- Garantia del secreto de las comunicaciones y seguridad de datos personales.- Para la correcta prestaciôn de los serv1c10s de telecomunicaciones y la apropiada ope-raciôn de redes de telecomunicaciones, los prestadores de se:rvicios de telecomunicaciones deben garantizar el secreto de las comunicaciones y seguridad de datos personales. Ûnicamente por orden judicial, los prestadores de servicios de telecomunicaciones podran utilizar equipos, bfraestructuras t instalaciones que permitan grabar ios cuntenidos de las comunicaciones especîficas disp11estas por los jueces competentes. Si se evidencia un tratamiento de grabaciôr: o interceptacion de las comunicaciones no autorizadas por orden judicial, se aplicara lo dispuesto en la pr:;sente Ley. Articule 46.- Notificac:iôn de vulneraciôn de seguridad al titular. -- El responsable del tratam1ento deberâ notiflcar sin dilaciôn la vulneraciôn de seguridad cte datas personales al titular r.:uando conlleve un riesgo a sus derecho~ fundamentales y libertades individuales , dentro del término de t1·es dîas contados a partir de la fecha en la que tuvo conocimiento del riesgo. 39 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial No se debera notificar la vulneraciôn de seguridad de datos personales al titular en los siguientes casos: 1. Cuando el responsable del tratamiento haya adoptado mëdi.das de protecciôn técnicas organizativas o de cualquier otra indole apropiadas aplicadas a los datos personales afectados por la vulneraciô1:. de seguridad que se pueda demostrar que son efectivas; 2. Cuandc el responsable del tra.tEJ.mien.to haya tomado medicl.as que garanticeil que el riesgo para los derechos fundaE1entales y las libertadés indiv1duales del titular, no ocurnrà; y, .3 . Cuand.o se re;:1dera un esfuerzo desproporcionaào para ha(:erlo: en cuyo caso , el resporn;able del tratamiento deberà realizar u.na comunicacicJn publica a través de cualquier m::dio en la que se informe de la vulneraci6n de seguridad de datos pe:csona.les a los ritulares. La procedenc:a de las excepciones dt les numerales 1 y 2 debèra ser calificada pcr la Au.toridad cïe Protecci6n de Datos, \l na vez inforrrlada esta tan pronto sea posible , y en cualquier caso dentro de los plazos contemplados en el Articula 43. · Sa ncti±i,:ac16n r1.~ ütular del dato obj,::-tc de la vulneraciôn de sf:guridad con.tendra lo senalad.o èn d 2.rt.iculo 43 de esta _i_ ey . En caso de qu e> el responsable del rratamiento de los datas p~rsonales no cumpïies-e oport.nnamente y de moè.o jusiificado con la notificaci6n sera sancionc;;.do conforme al régimen sancionatorio previsto en esta ley. La notifc3.cién oportuna de la viola.ciôn i_;::)r parte del responsable cie tratamiento ai tihllnr y la ejecuciôn ooortt::.na de mediè.a ~, de respuesta, scrân consideradas a.tenuan~e de 12 i~fra CAPÎTULO VII DEL RESPONSABLE, ENCARGO Y DELEGADO DE PROTECCIÔN DE DATOS PERSON'ALES Axticulo 47.- ObHgaciones del responsable y encargado dei tratamiento de datos personale.s.- El responsabit del tratamiento cie datos pers,:;nales esta obligado a: 40 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 1) Trata.r datos personales en estricto apego a los prlr1c1p10s y derechos desarrollados en )a presente Ley, ~ri ~u rf!fl8r1entc, en directrices, lineamientos y regulaciones emitidas par la Aù toridad de Protecciém de Datas Personales, o normativa sobr-e J.a materia.: 2) .A.plicar e i!nplementar requi.sitos -:v her:amientas adm 1.nistrativas 1 técnicas, fisicas, Œ;ganiz::1.ti-Ja.s y juridicas ë:propi8.c18.s, a fin de garantizar y demostrar que el tratar.r..i:::nw de datas personales se- ha rtc-.lizado conforme 3. lo previsto en la presente Ley~ r,n su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protecciém de Datas Personales. o normativa sobre la materia; 3) Aplicar e implementar procr:80S de verificaciôn, evaluaciôn, valoraciôn periôdica de la ~ficiencia, eficacia y efPcti·lida.d de los requisitos y herram1entas administrativas, t.écnicas, fisicas : organizativas y juridicas irnplementadas; 4) Implementar poiîticas de protecc:iôr1 de datos personales at~ncs al tratarniento de datas persona les en cada caso en part' c1J]ar; 5) Utihza.r metcdolcgias de anâlisis y gestiôn de riesgos adaptadas a las particularidades del traramiento y de la:; partes involucradas: 6) Realizar evaluaciones de adecuacién al nivel de seguridad previas al tratamiento de datos personales; 7) Tomar rnedida:s tecnol6gicas, fi~icas, administrativas, organizativas y j urîdicas necesarias pa~·a preve:nir, impedir, redudr, mitigar y controlar lo<s riesgos y las vulnera.-:iones iden tificadas; 8) Notificar a 1a Autoridad de Protecc1on de D8..tos Personales y al titular de los datos aceri::a. de v1olaciones a las segu1idades 1mpiementadas pd.ra el tratamiento de dat:os personaks conforme a lo est.abjecido en el procedimier.to previsto para el efecto; 9) Implementar la protecciôn de datos peïsonales desde ei diseüo y por d.efecto; lüi Susc.ribir contratos de confidenci2lidacl y manejo adecuado de datos personales cœ1 el encargado y el. p1:rsonal a cargo del trn t8.mient0 de datos personales o que tenga conocimiento de los d8.tos personales; 41 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial 11) Asegurar que el encargada del tratamienta de datas persanales afrezca mecanismas suficientes para garantiz2.r el derecha a la protecciôn de datas personales conforme a lo establecido en la presente ley, en su reglamento, en directrices, lineamientas y regulaciones emitidas por la Autoridad de Protecciôn de Datos Persanales, normativa sobre la materia y las mejares prâcticas a nivel nacional o internacional; 12) Registrar y mantener actualizado el Registra Nacional de Protecciôn de Datas Personales, de conformidad a la dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protecciôn de Datas Personales; 13) Designar al Delegado de Protecciôn de Datos Personales, en los casas que carrespanda; 14) Permitir y contribuir a la realizaciôn de auditarias o inspecciones, par part~ de un auditor acreditado por la Autoridad de Protecciôn de Datos Personales; y, 15) Los demâs establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulacianes emitidas por la Autaridad de Protecciôn de Datas Personales y normativa sobre la materia. El encargado de tratamiento de datos personales tendra las mismas obligaciones que el responsable de tratamiento de datos personales, en la que sea aplicable, de acuerdo a la presente ley y su reglamento.

Articulo 48.- Delegado de protecciôn de datos personales.- Se designarâ un delegado de prctecci6n de datas personales eD los siguientes casas: 1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector publico de acuerdo con lo establecido en el artîculo 225 de la Constituciôn de la Republica; 2) Cuando las actividades del responsable o encargado del tratamiento de datas personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta ley, el reglamento a ésta, o en la normativa que dicte al respecta la Autoridad de Protecci6n de Datas Personales; 3) Cuanda se refiera al tratamienta a gran escala de categorîas especiales de datas, de conformidad con la establecido en el reglamento de esta ley; y, 42 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 4) Cuando el tratamiento no se refiera a datas relacionados con la seguridad nacional y defensa del Estado que ado1P-zcan de reserva ni fuesen secretos, de conformidad con lo establecido en la normativa especializada en la materia. La Autoridad de Protecciôn de Datos Personales podrâ definir nuevas condiciones en las que deba designarse un deleg&do de protecciôn de datos personales y emitirâ, a dicho efecto, las directrices suficientes para su designaci6n.

Articulo 49.- Funciones del delegado de protecciôn de datos personales.- El delegado de protecciôn de datas personales tendra, entre otras, las siguientes funciones y atribuciones: 1) Asesorar aï responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta ley, el reglamento, las directrices, lineamientos y demâs regulaciones emitidas por la Autoridad de Protecciôn de Datas Personales; 2) Supervisar ei cumplimiento de las disposiciones contenidas en esta ley, el reglamento, las directrices, lineamientos y demâs regulaciones emitidas por la Autoridad de Protecciôn de Datos Personales; 3) Asesorar en cl analisis de riesgo. evaluaci6n de impacta y evaluaci6n de medidas de seguridad, y supervisar su aplicaciôn; 4) Cooperar con la Autoridad de Protecciôn de Datos Personales y actuar como punto de contacta èon <licha entidad, con relaciôn a las cuestiones referentes al tratamiento de dams personales; y, 5) Las demas que llegase a establecer la Autoridad de PrJtecciôn de Datos Personales con ocasiôn de las categorias especiales de datos pcrsonales. En casa de incumplimiento de sus funciones, el delegado de protecci6n de datos personales responderâ administrativa, civil y penalmente, de conformidad con la ley.

Articulo 50.- Consideraciones especiales para el delegado de protecciôn de datos personales. - Para la ejecuci6n de las funciones del delegado de protecci6n de datas, el responsable y el encargado de tratamiento de datas personales, deberân 0bserva.r lo siguiente: 43 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial 1) Garantizar que la participaci6n del delegado de protecci6n de datos personales, en todas las cuestiones relati.vas a la protecci6n de datos personales, sea apropiada y oportuna; 2) Facilitar el acceso a los datos personales de las operaciones de tratamiento, asî coma todos los recursos y elementos necesarios para garantizar el correcto y libre desempeflo de sus funciones ; 3) Capacitar y actualizar en la materia al delegado de protecci6n de datos personales> de conformidad con la normativa técnica que emita la Autoridad de Protecci6n de Datos Personales; 4) No podran destituir o sancionar al delegado de protecci6n de datos personales por el correcto desempefio de sus funciones; 5) El delegado de protecci6n de datos personales mantendra relaci6n directa con el mâs alto nivel ejecutivo y de decisi6n del responsable y con cl encargado; 6) El titular de los datos personales podra contactar al delegado de protecci6n de datos personales con relaci6n al tratamiento de sus datos personales a fin de ejercer sus derechos; y, 7) El dtlegado de protecci6n d.e datas personales estara oblige.do a mantener la mas estricta confidencialidad respecta a la ejecuci6n de sus fnnciones. Siempre que no exista conilicto con las responsabilidades t:.stablecidas en la preseriœ !ey, su reglamento, directrices , iineamientos y demas regulaciones emitidas pot l8. Autoridad de Protecciôn de Datas Persona les, el delegado de protecci6n dP. d.atos personales podra d~;stmpe:'.1.ar otras funcicnes d1spuestas por el responsable o el enc:argado del tratarnier-~to de datas personr:; h::s . Artîculo 51.- Registro Nacional de protccci6n de datos personales.- El responsable del tratamier.w de dat-Js persoi1ales debera reportar y mantener actuali-zada la. iEf.Jrmaci6n ante la A1Jtoridad de Protecci6n de Dates Personales , sobre le sie-uienk ..... : 1) Identificacion èe la base de datas o del trn tamiento; 2) El nombre domicilio legal y datos de c.,ontacto del responsab1.e y encargado del tratamiento de datos personales; 44 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 3) Caracteristicas y finalidad del tratamiento de datos personales; 4} Naturalèza. ê_e los datos personaies 'Œa.lfüio::i; 5) Identificaciôn, nombre , dom1cilio leg2.l y datos de contacto ci.e los destinatarios de los datas personales , incluyendo encargaàcis y t.erceros; 6) Modo de interrelacionar la info::-maciôn registrada; 7) Medios utilizaios para frnplementa.r los principios, derechos y obligaciones contenidas en la presente ley y normatlva especializada; 8) Requis1tos y herramientas admini_strativas técnicas y fisicas , organiza.tivas y jurîdicas implementadas para garantiz2.r la seguridad y protecciôn de datas personales; 9) Tiempo de conservaciôn de los datos. CAPÎTULO VIII DE LA RESPONSABILIDAD PROACTIVA

Articulo 52 . - Autorregulaciôn.- Los responsables y encarg?.dos de tratamiento de datas personalts podran, de marrera volu.r.taria, acogerse o aô.heri::se a côdigos de conducta, certificaciones, sel.los y marcas de protecci6n; clâusulas tipo, sin que esto c~.msütuya. eximente è_,::; J.a responsabilidad dt -::u m plir con las disposiciones df; la presente ley , su reglamen to , directricet: linea.n"lientos y regulaô0nes emitidas por la A1::. tcriddd de Protecci6n de Dc,t.os Personales y demâs normab;a flobre la ma~ena. Artîculo 53 ... Codigos de conducta.- La k.1tori.dad de R1:;;?,ul2,ci6n y 1.::ontrol prnmoverà 13 elaboradon de côcligos .Je conducta por sèctores, industrias, empresas, organi:-~aciones , que cengan c:omo fi.n tl. cumpîimie •.~ 1:0 de la normativa vigente en mareria àe protecci6n de dato:~. Los c6digos de conducta deberan tomar en cuenta las necesid:{des espedficas de los sectores en los qüe se efectue tn: t,tmiento dt datas personales , asî como cumplir con los rc-:quisitos que se d::i:terminen en la normativa secundaria y con las dis?osic:iones previstas en la._ pre~-è nte Ley, para su aprobaci6n por la Autoridad de Reg1Jlaci6n y Control 45 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Los responsables c encargados de tratamiento de datos personales interesados podran adherirsç e implementar los i:ôdi~os de conducta aprobados, para lo cual seguirâri el procedimiento establecido en el Reglamento a la presente Ley.

Articulo 54.- Entidades de Certïficaciôn.- En materia de protecci6n de datos personales las Entidades de Certificaciôn, de manera no exclusiva y en concordancia con el articulo 52, podrân; 1) Emitir certificaciones de cumplirnicn::o de la presente 1ey, s'u reglamento, directrices, lineamientos y regulaciones emitidas por la Autoridad de Protecci6n de Datos Personales y demâs normativa sobre la materia; 2) Emitir sellas de protecciôn de datas personales; 3) Llevar a cabo auditorias de protecciôn de datas personales, y, 4) Certificar los procesos de transferencias internacionales de àatos personales. Los resulta.dos de las auditorias podran ser considerado~ como elementos probatorios dentro de los procesos sancionatorios. CAPÎTULO IX TRANSFERENCIA O COMUNICAClÔN INTERNACIONAL DE DATOS PERSONALES Artîculo 55.- ·Transferencia o comunicaciôn internacional de datos personales,- La transferencia o comunicaci6n internacional èe datos personales serâ posible si se sujt-ta a lo previsto en el presente capitula, ia presente Ley o la normativa especia!izada en la materia, propendiendo siemprc 8Ï efectivo ejercicio del derecho a la protecci6n de datos personales. Artîculo 56.- Transferencia o comunicaciôn internacional de datos personales a paîses declarados como nivel adecuado de protecciôn.- Por principio general se podrân transferir o comunicar datos personales a paises, organizaciones y personas juridicas en general que brinden nivdes adecuados de protecci6n, y que se ajusten a la obligaci6n de cumplimiento y garantia de estandares reco!locidos internacionalmern:e conformé a los criterios establecidos en el Reglament•J a ia ley. 46 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 Cuando resulte necesario por la naturaleza de la transferencia, la Autoridad de Protecci6n de Datas Personales podrà implementar métodos de control ex post que seran definidos en el Reglamenw a. la Ley. También establecera acciones conjuntas entre las autoridades de ambos paises .con el objeto de prevenir, corregir o mitigar el tratamiento indebido de datos en ambos paises. Para declarar de nivel adecuado de protecci6n a paises u organizaciones, la Autoridad de Protecciôn de Datas Personales emitira resoluci6n motivada, en la que se establezca que la transferencia o comunicaciôn internacional de datas personales cumple niveles adecuados de protecci6n o de garantias adecuadas de protecci6n,. conforme a lo establecido en esta ley y su reglamento. Artîculo 57.- Transferencia o comunicacion mediante garantîas adecuadas.- En casa de realizar una transferencia internacional de datas a un pais, organizaciôn o territorio econômico internadonal que no haya sida calificado par la Autoridad de Protecci6n de Datas de tener un nivel adecuado de protecciôn, se podrâ realizar la referida transferencia internacional siempre que el responsable o encargado del tratamiento de datos personales ofrezca garantias adecuadas para el titular, para lo cual se deberâ observar lo siguiente: a. Garantizar el cumplimiento de principios, derechos y obligaciones en el tratamiento de datas personales en un estândar igual o mayor a la normativa ecuatoriana vigente. b. Efectiva tutela del derecho a la protecciôn de datos persona1es, a través de la disponibilidad permanente de accianes administrativas a judiciales; y, c. El derecho a solicitar la reparaciôn integral, de ser el caso. Para que ello ocurra, la transferencia internacional de datos personales se sustentarâ en un instrumenta jurîdica que contemple lo$ estandares antes determinados, a.si coma aquellos que establezca la Autoridaq de Protecciôn de ' Datas Personales, el misma que deberâ ser vinculante.

Articulo 58. Normas corporativas vinculantes.- Los respon~ables a encargados del tratamiento cte datos personales podrân presentar aj la Autoridad de Protecciôn de Datas Personales, normas corporativas vinculantes, especîficas y aplicadas al âmbito de su actividad, las cuales deberan cun:iplir las siguientes candiciones: 47 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial 1. Sera de obligatorio cumplimiento para el responsable del tratamiento y para la empresa a la que eventualmente transfieran d8.tos personales. 2. Brindar a los titulares los mecanismos adecuados para ei ejerc1c10 de sus derechos relacionados al tratamiento de sus datos personales observando las disposiciones de la presente ley; 3. Incluir una enunciaci6n detailada de las empresas filiales que, ademas del responsable del tratamiento, pertenecen al mismo grupo empresarial. Ademas, se induira la estructura y los datos del contacta del grupo empresarial o joint venture, dedicadas a una actividad econ6mica conjunta y cle cada uno de sus miembros. 4. Incluir el detalle de las empresas encargadas del tratamiento de datos personales, las categorias de datos personales a ser utilizados. asi corno el tipo de tratamiento a realizarse y su finalidad; 5. Observar en su contenido todas las disposiciones de la pœscnte ley referentes a principios de tratamiento de datas personales, medidas de stguridad àe datos, requisitos respecta a transferencia o comunicaci6n internacional y transferencia o comunicaci6n ulterior a orgamsmos no sujetos a normas corporativas vinculantes; 6. Contener la o.ceptaci6n por parte del responsable o del encargado del tratamiento de los datos personales, o de cualquier miembro de su grupo empresarial sobre su responsabilidad por cualquier violaciôn de las normas corporativas vinculantes. El responsable 0 encargado del trn.tamiento de datos pernonales no sera responsable si demuestra que el acto que origin6 la violaci6n no le es imputable; 7. Incluir los mecanismos en que st facilita al titular la informaciôn clara y completa. respecte a las normas corpuativas vincula:ates; 8. Incluir las funciones de todo delegado de protecci6n de datas designado de cualquier 0tra. persona o entidad encargada de la supervisiôn del cumplimiento de las normas corporativas vinculantes dentro del grupo empresarial o del joint venture dedicadas a una actividad econôinica conjunta bajo un mismo control asi como los mecanismos y procesos de supervision y tramitaci6n de reclamaciones; . 48 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 9. Enunciar de forma detallada los mecanismos establecidos en el grupo empresarial o ernpresas afiliadas q_ue permitan al titular verificar efectivamente el curnplimiento de las normas corporat1va~~ vinculantes. Entre est.os rnecanismos se incluirân auditorias de protecciôn de (:!.ai.os, y aquellos métodos técnicos que brinden acciones correctivas para protegc1· los derechos del titular. Los resultados de las auditorias serân comunicadas a] delegado de protecci6n de datas designaè.o de conformidad con la presente ley, o cualquier otra entidad o persona encargada del cumplimiento de las norrnas corporativas vinculantes dentro del grupo empresarial o empr-esas afiliada~ dedicaàas a una acdvidad econ6mica conjunta y al Directorio de la empi:esa que controla un grupo empresarial, y a disposiciôn de la Autoridad de protecciôn de datas personales; 10. Incluir lo~ mecanismos para cooperar de fonna coordinalfa coE la autoridad de protecci6n de datas personales y el responsable del trarniniento de los datas personales; y, 11. Incluir la declaraciôn y compromiso del responsable del tcatamiento de los datas personale~ de promover ~&. proteccion de datas perscmales entre sus empleados con fcrmaciôn continua. La Autorîdad de Protecciôn de Datas Perscnales definirâ d formata y los procedirrnen~os para la transferencia o comunicaci6n de dams realizada por parte de los n~~pons&1:les, los enca.rgados y hs ,:;.utoridades de control e.ï:1 io relativo a la aplicacio:n de lé:B normas corporativa:~ • inculantes a las que se ;.:7;fiere este 1 articulo. Cualquier C3.mbiü a ser realizado a e3tas normas deberâ ser r10tllïcado a la autoridad de pro::ecciôn de dato3 ,::,er~or12les y al titul;:_n· co.nforme a los :mecanism(."'1S sefla!ados por el respœ1sable de iratamiento en su ::;olicitud.

Articulo 59.- Autorizac1ôn para transferencia internacional.- Para todos aquellos casos no contempladcs en k -s an.iculos precedentes, en los que se pretenda realiza:· una transfereucin. irnerr1acionaJ. de datos personales, se requerir2. la auL)rizSlci6n de la Aïlto ··idad de Protecci6n de Da'w s, para lo cual, se debe.ra g:c1.ra.ntiza:- documentadamentc ~l cumplimiento de la normativa vigente sobr~ protecc:iôn de dates de carâcœ:c perscmai, segûn lo Jeterm1nado en el Reglamento de aplicaci6n a !a presen~c Lt>Y. Sin perjui·:.'.io de lrJ anterio r. 1a infcrmac;;Sn sobre transferenc:tas internacionales de datos person2Jcs deberâ .:,er regi~. trad~E.: previamente en el Registra Nacional de 49 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Proteccion de !)atos Personales por parte del responsable del tratamiento o, en su caso, del encargado, segûn el ;:irncedimiento establecido en el Reglamento de aplicadôn a la pr:-sente Ley. Artîculo 60. Casos excepcionales de transferencias o comunicaciones internacioriales.A Sin perjuicio de ~0 establecido en los artic11los precedentes se podra realizar · transferencias o cori:i..J.nicaciones internacionaies de datos personales, en !os siguientes casos: 1. Cuando lo~ datos personales sean requeridos para el cumplimiento de competencias inst1tucionales, de conform~dad con la normativa aplicable; 2. Cuando el thular haya otorgado su co:1sentimiento explîcito a la transferencia o comu!",icaci6n propuest&, tras haber s!dc; informado de los posibles riesgos para éi de J.ichas trn.nsferencias o com1mk:.--1ciones ir!tl':;rnacionales, dehido a la ausencia df:' 11 ff1. resoluci6n de 1.;i1;el ad.ecuado de prntecc~c)n y de garantias adecuadas. 3. Cuando la tra!1sferencia internacional tenga. como ünalidad el cumpiimiento de una ob!igacion leg3.l o reguiatoria; 4. Cuané.o la trnr:sferencia intern&i:ic11al <le datos personales sea necesaria para la ejecuc;_6n de un contratc entre el titdar y el responsable del tratamiento de datos persor..a!es _ o para la ejecuciôn de medidas de carc=icter precontractual adoptaàas a solici•.uà del titular; ~- C1...lando la trnnsferencia sea ntœsar~a por razones àe interés pùblic 1) . 6. Cuando ia ·:ransferencia interriacic,nal sea necesaria p['~ra la col2boraciôn judicial ir:ternac1c•nal. 7. Cuando la transferencia inter::1acio11::ü sea. 1~ecesaria para la cooperaci6n dentro de la investigaciôn de infracciones 8. Cua:id.o la transfere:.1cia internaciom:d e~ r.ecesana para. ei cump"iimiento de comproôisos adquiridos en procesr;s de ~-r>ope!·ac1ôn internaciunal i:ntre Estados; 9. Cuanèl.o Sè realicen transferencias de datos en opernciones bancarias y bursatiles. 50 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 10. Cu2.ndo la transferencia internacion al de ciatos personales sea necesaria para la formulaci6n. el ejerc1c10 o 13 defen sa de reclarna.:..:iones, acc10nes administrativas o jurisdiccionales y recu rsos; y, 11. Cuando la transferencia internaciona i. de datos personales sea necesaria parçt proteger los intereses vitales del interesado o de otras personas, cuando el interesado esté flsica o jurîdicamente incapacitado para dar su consentimiento. Artîculo 61.- Control continuo.- La Autoridad de Pr:Jtecci6n de Datos Personales en acciones conjuntas cor: ia a cademia, realizarâ reportes continuos sobre la realidad internacional en materia de proteccién de datos personales. Dichos estudios S1"!rviran como eleœento de control continuo del nivel adecuado de protecci6n de datos personales de los paises u organizaciones que ostenten tal reconocimien to. En caso de detectarse que un paîs u organizaci6n ya no cumple con un niv~l ad.ecuado de protecci6n conforme los principios, derech os y obligaciones desarrollados en la presente Ley, la Autoridad de Protecci6n cle Datos Personales procedera a emitir la correspondiente resoluci6n de no adecuac1ôn, a partir de la cual no procederân transferencias de datos personaies, salvo que operen otros mecanismos de transferencia conforme lo dispuesto en el presente capitula. La Autoridad de Protecci6n de Datos Personales publicara en cualquier medio , de forma permanente y debidamente la lista de paises, organiza ciones, empresas o grupos econ6micos que garanticen niveles adecuados de protecci6n de datos personales CAPÏTULO X DE LOS REQUERIMIENTOS DIRECTOS Y DE LA GESTION DEL PROCEDIMIENTO ADMINISTRATIVO

Articulo 62 .- Requerimiento directo del tïtular del dato de carâcter persona! al responsable del tratamiento. - El titular podrâ en cua.lquier momento, de forma grat.uita, pur medios fisicos o digitales puestos a su disposici6n por parte del responsahl~ del tratamien t.o de los datos personales, presentar requerimfr::ntos, p1~ticiones, quejas o reclamaciones directame·c"1te al responsable del tratamiento, relacionadas con el ejercicio de sus derechos, la aplicaci6n de principios y el cumplimiento de obligaciones por parte del responsable del tratamie!lto . que tengan relaci6n con él. 51 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Presentado el rcquerimiento ante el responsable este contara con un término de diez (10) dîas para contestar afirmativo o nP-gativamente, notificar y ejecutar lo que corresponda.

Articulo 63.- Actuaciones previas.- La Autoridad de Protecciôn de Datos Personales podra iniciar, de oficio o a peticiôn del titular, actuaciones previas con el fin de conocer las circunstancias del caso concreto o la conveniencia o no de iniciar el procedimiento, para lo cual se estara conforme a las disposiciones del Côdigo Orgânico Administrativo. Artîculo 64.- Procedimiento administrativo.- En el caso de que el responsable del tratamiento no conteste el requerimiento, en el término establecido en la presente ley, o éste fuere negado, el titular podra presentar el correspondiente reclamo administrntivo ante la Autoridad de Protecciôn de Datos Personales , para lo cual se debera estar conforme al procedimiento establecido en el Côdigo Organico Administrativo, la presente ley y demas normativa emitida por la Autoridad de Protecciôn de Datos Personales. Sin perjuic10, el titular podra presentar acciones civiles, penales o constitucionales de las que se crea asistido. · CAPÎTULO XI MEDIDAS CORRECTIVAS, INFRACCIONES Y RÉGIMEN SANCIONATORIO Artîculo 65.- Medidas correctivas.- En caso de incurnplimiento de las disposicicnes previstas en la presen te Ley, su reglamento, directrices y lineamientos y regulaciones emitidas por la Autoridad de Proteccién de Datos Personales y normativas sobre la mat~ria, o transgresiôn a los derechos y principios que componen 2.l derecho a la protecciôn de datos personales, la Autoridad de Protecci6n de Datos Persona.les dictara medidas correctivas con el objeto de èvitaî que se siga cometiendo la infraccièm y que la conclucta se produzca nuevamente , sin perjuicio de la aplicaciôn de las correspondientes sanciones administrativas. Las medidas correctivas podran consistir, entre otras, en: 1) El cese del r.ratamiento, bajo determina das condiciones o plazos; 2) La eliminaciôn de los da tos; y 3) La imposicion de medidas técnicas; jurîdicas, organizativas o administrativas a garantizar un tratamiento adecuado de datos personales. 52 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 La Autoridad de Protecci6n de Datos Personales, en el marco de esta Ley, dictara, para cada caso, las medidas correctiV8S, previo informe de ia unidad técnica competente, que permitan corregir , revertir o eliminar las corlductas contrarias a la presente ley, su reglamento, directrices, lineamientos y regulaciones emitidas por la Autoridad de Protecci6n de Datos Personales y normativas sobre la t . ma.ena. Articule 66.-· Aplicaciôn de medidas correctivas.- La Au toridad de Protecci6n de Datas Personales, en ei marco de esta ley, previo informe de la unidad técnica competente, aplicara para. cada caso las medidas correctivas citadas en el articula anterior, que permitan corregir, revertir o eliminar las condudas contrarias a la presente ley, su reglamento, direi:trices, lineamientos y regulaciones emitidas por la Autoridad de Protecci6n de Datos Per5onales y norinativa sobre la materia. Para la aplicaci6n de las medidas correctivas se seguiran las siguientes reglas: 1. En el caso dt que J.os responsables, encargados de tratamiento de datos personales y organismos de certificaci6n y de ser el caso, a · terceras, se encuentran incursos en el presunto cometimiento de una infracci6n leve y estos consten dentro del Registro Ûnico de respo::isables y encargados incumplidos; la Autorida.d de Protecci6n de Datos Personales activarà directamente el procedimiento administrativo sancionatorio, haciendo constar dentro de la resomc1011 tanto las medidas correcdvas apiicables como la sanci6n. correspondiente a la infracci6n cometida; y, 2. En el caso dë que los responsables. encargados del trar.amiento de datos personales y organismos de certificaci6n, se encuentren incursos eri el presunto cometimiento de una infracci6n grave ; .l a Autoridad de Prorecci6n de Datos Personales; Stplica.:ra en primera instancia medidas correctivas . Si las medidas correctiva~; foeren cri.mplidas de forma tardîa, parcial o defectuDsa, la Autoridad de Protecci6n de Datos Personales, aplicara las sanciones que corresponden a las infracciones graves, a:ctiva.ndo para el efectc, el procedimient.o administrativo sancionatorio y haciendo consta:c dentro de la resoluci6n tanto las medidas correctivas aptirn.bles como lâ. sancion correspond.iente a la i!1fracci6n cometida; y, 3. En e: caso O.f..; que los resp')nsables , encargados dei trntamiento de datos persona!es y orgariismos de certificaciém, se encuentren incurnos en el presunto cometimitnto d.:: mia infracci6n muy grave, 12.. Autoridad de Protecci6n de Datos 53 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial Personales activarâ. directamer..te el procedimier~to adminisnativo sancionatorio haciendo constar dëntro de la resoluci6r- t:mto las medidas correctivas aplicables como la sanci6n correspondiente a la infr.3.cci6n cometida. Secci6n. la De las infracciones del Responsable de proteccién de datos

Articulo 67.- Infracciones leves del Responsable de protecciôn de datos.- Se conside:::-an infracciones leves Ias sig,11ientcs: l. No trar.nitar, tramitar fuer2- del término prcvisto o negar in;tlstificadamente las peticiones o quejas realizadas por el T.itl:lar; 2. No ii.n1-11ementar protecciôn de datos -:ksde el diseno y por defecto; 3. No manten~r è.isponibles polî~icas de protecci6:c. de datos persor:ales afines al tratamiento de dates personales; 4. Eleg:;.t un encargado del tI-at2,mieEto de datas personales que no ofrezca garantia~ suficientes para hacer efec tivo el eJercicio del derechn a la prottcci6n de datos personales; 5. Inc11nplir 1&3 medidas correctivc1.~ dispuestas por la Autoridad de Protecci6n de Dato., Pen0:..1ales. Articu1o 68 .- Infracciones graves del Responsable de protecciôn de datos.- Se cor..sider,0:rt infrarx1ones graves las s.ig1_·-1e11.tes: i.) irn~)]en1P-nt~r medida~ ad,::-11E1 straJ1vas, técnicas y hs1,.: 2s, o!"g,-u112,,H1vas y Nîi jurîdicac;;. a fitL \j[:' garantizar el .+ra1,:,.mientc de dato$ persorales ciue realice conforme i:i prt:Sf'nte !ey, su regl.amer1to . ::".ire--t:rices, lineamic·.~.tos 1 regulaciones emi.tidaf por b Aurnridad de Pri..:itecci'.'.m de Datas Personales y norma.tivas sobre la maœrü~: 2i Utilizé~.l mfcnmaciôn -: : datos pa;.·c, :fi.nf's cE~:~intos a los ded:n;:itlcs; ,;';;) Ceder o cu:-.:-1Lw.ica::: datos pei:s<,·-~è~;_u; sin curr~.plir C'.H, lc,s reqmsnos y procedir.::licntos e~tableciàos en 12. pn,stn1 c ley y 5L1 ri.':gür,H~ntr;, directr~ees lïneamieLtos y rcgulaciones ~r.cütidas pc:r !a Ac.toridad de Pror.eccion de Datos Personales y n0;:n1ativas sobre lâ. rnateia, 54 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 4) . N1C) ,. ·l1·1z·'1r· ·j_,I ri' -·G . ,. ...Ptod ··r1 olog1 ,1 , .. :~ g~stiôn dt riesgos ad.2.ptadas a la .., .. .., ., ~<:; - <-1.·... _ 2.rlàlj")j3 } nat.1ralez:...i_ de L.b. dé.-itos per-& u:i:~k• :ê .i-:1;-:-. n,yrri.ru~a.ridades del t •. 8.tarrnento y de las partes ~nv,Jlur::r::.~o,~ s; 5) No r<t8Jizar · t'?V'.ë,1.1rnciones de itnpaè-1.:-) d trntamiento ~fr· en lDs i:::asos er~ que era necesar~u rtaEzarl:=i.s; tS) No :-r~:1p le.~ t. e1Jtar rr.edidt3.S 1 î\. ~{.:r.;.ir·aE:~ c,r~:1ni1ta.1:i vas t) r1 t~ ,~ ua.Jc111 ier ir1dole , L _ ··:: necec,a·•i s ,-v;,••::-, r v v ,,. ,. .~ t.. ... IT11'Jecl ...1r , .....,..,,. ·'- "' , ...1 . . 1 l')!'"'"P.r1'1,. r-• 1,,.1. ,. ~A ..... u-~l"i ci' r , _'.1' 1 ~-; L~ . ... ::,a....r ..\~ r\_.•o-r ... (j •~ tr,·, 1 J. L ... •:,,' ....10'~ 1..,,..1,.,(,.,,. o .. . ,::r,s t"lt'· ~•..,b~ , " J 1a~u ... 7) Ne nodficar .:-: . la Aùtorid2.d de Pm~ec-ci6n de Datos Per5o:n-.ües y aJ. titu}ar, de ·.ru.lner2.ciones a. la seguridad y protecciôr1 dl:' datos persona Lef.\ cu.ando afecte los derechc·s fü.ncl2,m-~ ntales y libcrtad.es indi-,,id-c:iales de los titul8.r::s; 8) No n •::iti ficar a 12. Autcridad de Prnter: 1. : i.1n d e Datos Perscr:al~s del tirnlar las v1.üneracion es de seguridad v •v n :r o:.ccc.i<\n ::ie datos per~.orial.f:s, (.Uando exista ~ afeccaci.on a los d :::rechos fundamentalei,. '/ ·::be~tades i.ndividualeR de ios titulares; 9} No ,;t;,scribit contratos qu~: mch:~.-;_;_m dà~~~:J.hs de: cc,nG.de::z.i2.}idad y t:ratarnie r1tc:, ade·~ ,.~ ad.o de d8tos pe:ct:01.:,,.-lr::~. c:)r: el (::r-~cargad-J y el per~:;cna.i ;:3. cargo dei tra.tamieni:o r_;,~ datas ?ersonè~lès ,) q:.,e tenga i:on ccirn1e 1~to r3.e tOS dahs persona1.e-s· ] ,, ·~:-.;r,, ' '('I'1r-- gr:rs..- • - ' . 1 ....; 1,_._ ... ("·r·i ':-'-' ..... l ·!.'\.. .· . "'; ..., ... (._ ,.cg,·' .:::,t-r,) · ~•.L:."' ··'•: ,·,,··1• ... .J....... -·.. ... ... ... . .'. _,-J.-. .&. \. .: . .... .. DT·ct=-ccî !. - ), . c;. ·;nl. . de ;.:•r:1.:.:);--: ?erson.c:>..1es lo . \.. 1- disp:..i(:E.t.0 .~J ! ] ~::. ;:rres::nte !ey y diffct: ·icc::-: . Iir1eain1ent:Js y ~;1 J. :·,:·gl;:u:Y1,~ntc, --e··..,,J,:;c;o11- 1 Ô......._ _~c,. ..._ ., .... . c:: :·i"•;-- 0 ll itJ ,~s· t Y, -.J-..- ~· ....la_ _ 1\ .·.1L:,:,.. ~,J;:,_ri ck ~-,!-c,tecciôn de L 2.t.os .Personales v_ v .. ..., 1., . -~ .L . normativ1.E: :s:A::n·: l& :r,ati::riH; al. delegadc, datos n,._.,._·1.-"' ,: "lld \'l ,J 1P S· . . J..... 13\_,.i.1'-i1) ... 'C .. y,. ·1...-=-·- ·-r.1• ..·l .. ,. n_v·, v.i -.i.i-l, ·' :" ·___ , ,tr1'n1 J "':'"' ' ·,' -3 rc::-ili.zb,:iôE de 2 .u. di.tor:as r-.-. in~r::':cciones --"'•1··1·- :::. ...., l"" 1r101· Darte del. a·,.. dirnr acreè.itadn pcr l0 1\1.rcoridf.:·. cl 1.ie Pn.,teccir'm d:·: Da.tCJt, ?ersor;.ale~, y, 55 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial J4) Inc~1n1plir ;a:::. rJ.edida.s correct-;_\·a~ o c1 1mplir de forrn~ fardia, parcial o t...--1ef •• ·.-ect , , ' ·,u.l, . ~c,-:, 1'1·· •1 · ... . ,,- ~,·-,:..(•f" •l-'•j· o par c.·1·,..1-;::, ('·" ·•· ,- -~ 1, . ,~ï- ~;,.; üe -' ..,u, .vl.-. l .• ! J l t "-~11::p-rln ___.: E•rir~· y , ---:'-1'-',- ·- ,1,1._l;t . ,, :. .,_, . •..•. , , . . _ · • .•• 1- ..c' :.i,.·ct .d cl.,..;.),lêtC.vil u.na s,m.ciôn. por infracci6n .. ieve, c; :ïcu~rF d/ k.1r:ma rei t2rad<.i en fah~s. lev~s. ' ' De las infracciones df~l Encai:gudo de protecciôn de datos A.t:tfoulo 69.:~ Iufr~ccion?s leves del 1Lni:at1~ado de protec,ci611. . de datos.- Se ":·dF-1"''-tï'1 ('0!1S1 • - _, _ c,:;._. J. 1· .,11f,-.:; ,,,,1·,,·1·1es , #, ('"4\.,:~ "'- .~ lev :" ··e--·1..> .'t ,::t..A.V ~,·u-u;,.r , ,;_. •~• 't·•..:· /.°:- :""V.1.JL ~.l . · ,. N , 1 1. . ·1 , .; , . . . • J.J . .o co.;a.Jcr2.r con e res;:ionsa ).e ut. L:atarrne:nr.o d2t0s pe-1·sonaieS; para qu~ • • . ' 1 este cu:r.Jt)Îa (:On su obligaci6n de rtt,':-::1d.,~r ~:oE~:itudes que ::;:>.ngan por objetD el ejerciciu cie lo'!-i de;-echos de-1 tituiar frente 2J trat2.mif::nto d':: $lis dates pe_i:-sor:3.!.es; 2) No faciütar tl scceso &..l responsablf d.;J tratamiento de daims I)erso:nales a toda la i:nformacié:i:-: œfererï.te al. cumplin:ientr) ·:ie las obligaciones e~;~ablecidas en 12. pre.:sente Ley, su ·i:-eglamento, directr.ici:::s, iir:.Z"sr~ientos y reg-..J2_ciones ern.itidas por la Autoridad de Protecciôn de Datos Per~,o:rnies y nt,rmat1va s-J bre 12. materia: 3) No per!'.::;iür o :-10 co:ltribuir a ~9. reallzB.ciôc de auditoria.s o ïnsp~ccionesi por parte d.-::i cespons2.ble del tratamiento '.:-°LC datas persona1es i: d.e otrn auditor 1 auto::-izado pL1r le=. 1\.utoridad de Protecc16n ~.e Datos Personales· y, 4) I:-1.cuœ. pli.r !a-s medidas correctivas d1s:;'U;::StJ.~ por la A.._ltoric4.cl.cl de Protecciôn de Da1:os F-ersonale:':-. Articule 70 ... Infr.acciones _graves del Enc.argado de proteccfon de datos.- Se C·r n"'1'de-lr_:t_ J ,i., V·-~11 ·1· ,-fr-('"l·,.,nes. ar·a,,es l '.:>!=,_ ,, . --:-.n !J.! ("',_ .- \.., •Î r•·1.tt' ~ l. t:,-'-l-o.v \-.,, ~- J ~' ., .... .1.1.,,~ ~ l) Res..U:?.:tf tr2/am~ent0s df: dat-:'1s p•=r~:'-,nai~s ~.m ooser'-'2,f los µnnc1p10s y dèrechu8 · desarn,:hdcs en la _p.rcserü-~ Ley y su · reglarn~nto, din~ctnces y lineamientos y ,e-gulaciones em.it1.:.i8.s pc lH Auwridad dr Prntecciôn de Datas 1: Per"'OD"'.l•"'<.: -" , ,--, Cl. ·.., ·1,· 7 1''.:T1 .] .... . ,-:i ., .. . . 1 d ,,. ., c-o· riv,...:;: ... ,.,,._ J 1~ rr1•e,·_ b ;-r '-'<-- .tâ. ::,t,.:.ri• t .... ~d. .. ·2) Ne, tïat&r dc:,to~ personiles de CC•:ltt.:rr.:.üds.(i. con: lo p:::-evistc, :::n el contrato que r,.-ia.-:r:1,tengi .:-orî. :-l._:re3ponsable del trç~tô~•.ient~.-, :lt"' datos pcrsCi:ièl:~s inclusive en lo 1• r,ue '1. l., ..}1pc•'_"\ -~p.3 . ,, ,;, 1,:: ~· r.-c'.•r1s•erpr •. Q . :··· ' 11 . ••. ·H-,<~: .. ~, ., . () ("1Jrr1 :·ir, •: (' .... {' ~j·,r ~n~err·a,-<n-- .,l,.I. ~ ·-- - .. _ ..,. _ .,~- r.' . -·· . . 1 L ., - •ll a1'·. J. l .. .. 56 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 3) No suscribir èontratos . _que corÙengan clausulas de confidencialidad y tratamiento adecuado de dates personales con el personal a cargo del tratamiento de datas pe!"sonales o quien tenga couociunento de los datas personales; 4) No implementar mecànismos destinados a mantener la confidencialidad, integ:ridad. disponibilidad y resiiien:cia de los datas personales; 5) No imp!ementa.::- medidas preventivas y corrE:ctivas en la seg;iridad de los datas personales a fin de evitar vulneraciones; 6) No suprirr.ir lc8 datas personales transferidos o comunicados al responsable del tratamiento de. los datos personales, una vez haya culminaclo su encargo; 7) Proceder a la comunicaci6n de datos personales sin cumplir con los requisitos y procedimiento~ establecidos en la presente ley, su reglamento directrices lineamièntos y regulaciones emit1das por la Autoridad de ?n)tecci6n de Datas Pernonales y !101-ri1atîvas sobre la materia; 8) Incu:;Jplir la~ inedïdas correctivas o curnplirlas de fo;-m Sc tardiê. parcial o defectuosa, siempre y cuando hubiese precedicio por <licha cap sa la apiicaci6n de ' ' una sanciôn por infracci6n leve; Y. 9) No nctificar ài 1·esponcsable del tratc1micnto de datos personales sobre cualquier vulneraciôn d_e la. seguriciad de datos personales conforme dispone esta ley o hacerlo con retraso inJustificado. Artîculo 71.- ~anciones por infracciones leves.- La Autoridad de Protecciôn de Datas Personales tmpondrâ las siguientès sanciones administrativas, en el caso de verificarse el cometimiento de una infra,:ciôn leve, segùn las $Ïguientes reglas: 1. Servidores o funcionarios del sector pùbiico por cuya accion u 0misiém hayan incurrido en alguna de las infracciones leves establecidas en la presente ley, seran sancionados con una multa ne uno (1) a diez (10\ salarias bâsicos unïficados del 1:tabajador en general, sin perjuicio de ln responsabilidad extracontractual del Esté,1.do, la cual se sujetarâ a las reglas establecidas en la normativa. correspondiente; 2: Si el responsable o el encargado del trat&miento de datas persrmales o de ser el caso un tercera es una er-tidad de derechc, privado o una ernpresa pûblica, se aplicara una muita de entre el 0.1 % y el 0. 7 % calculada sobre su volumen de negocio corresponc.iente al ejercici0 _e conômicc inmediatament:::: anterior al de la 57 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial imposiciôn de la multa. La Autoridad de Protecciôn de Datos Personales establecerâ la multa aplicable en funciôn ciel principio de proporcionalidad, para lo cual debera verificar los siguientes presupuestos: a) La intencionnlidad, m1sma que se establecerâ en funci6n a la conducta del infractor; b) Reiteraciôn de la infracciôn, es decir cuando el responsable, el encargado del tratamiento de datos personales o de ser el caso un tercera, hubiese sido previamente sanc1onado por dos o mâs infracciones precedentes, que establezcan sanciones de menor gravedad a la que se pretende aplicar; o cuando hubiesen sido previamente sancionados por una infracciôn cuya sanciôn sea de igual o mayor gravedad a la que se pretende aplicar; c) La naturaleza del perjuicio ocasionado, es decir, las consecuencias lesivas para el ejercicio del derecho a la protecciôn de datos personales; y, d) Reincidencia, es decir, cuando la infracciôn precedente sea de la m1sma naturaleza de aquella que se pretende sancionar. Artîculo 72.- Sanciones por infracciones graves.- La Autoridad de Protecciôn de Datas Personales impondrân las siguientes sanciones administrativas, en el casa de verificarse eJ cometimiento de una infracciôn grave, conforme a los presupuestos establecidos en el presente Capitula: Los servidores o funcionarios del sector pu blico por cuya accinn u omisiôn hayan incurrido en alguna de las infracciones graves establecida.s en la presente ley serân sancionados con una multa de entre 10 a 20 sàlarios bâsicos unificados del trabajador en general; sin perjuicio de la Responsabilidad Extracontractual del Estado) la cual se sujetarâ a las reglas establecidas en la normativa correspondien te; 1) Si el responsable, encargado del tratamiento de datas personales o de ser el caso un tercero, f: S una entidad de derec ho privado o una empresa pû.blica se aplicarâ una mu:ta de entre el 0.7% y el 1% calculada sobre su volum_e n de negocics, correspeindiente al ejercicio econômico inmediatamente anterior al de la imposiciôn de la multa. La Autoridad de Protecciôn de Datos Personales 58 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 establecerâ la mulra aplicable en funciôn del principio de proporcionalidad, para lo cual deberâ verificar los siguientes prP,<sup11estos: a) La intencionalidad, misma que se establecerâ en funci6n a la conducta del mfractor; b) Reiteraciôn de la infracciôn, es decir, c·~ando el responsable, encargado del tratamiento de datos personales o de ser el caso, de un tercera hubiese sido previamente sancionado por dos o mas infracciones precedentes que establezcan sanciones de rr.enor gravedad a la que se pretende aplicar; o cuando hubiesen sido previamente sancionados por una infracciôn cuya sanciém sea de igual o mayor gravedad a la que se pretende aplicar; c) La naturaleza del perjuicio ocasionado, es decir, las consecuencias lesivas para el ejercicio del derecho a la protecciôn de datos personales; y, d) Reincidencia, es decir, cuando la infracciôn precedente sea de la misma naturaleza de aquella que se pretende sancionar. En el caso de quf' el responsable, encargado del tratamiento de datos personales a un tercera de ser el caso; sea una organizaci6n sin domicilio ni representaciôn jurîdica en el te:-titorio ecuatoriano, se debera notificar de la resoluci6n con la ::ual se establezca ia :nfracci6n cometid.a la Autoridad de Prntecci6n de Datos Personal2s, o quien hiciera sus veœs, del lugar en donde die.ha organizaci6n tiene su domicil10 pr:nc1pal, a fin de que sea dicho organismo quien sustancia las accione~ ::, p.roceclimientos desrinados al cumplimiento de las medidas correctivas y sanciones a laf. que hubiere lugar. Articu1o 73.- VoJumen de negocio.- A efect0s del régimen sa.ncionatorio de la presente ley, Sf, entiende por volumen de negocio, a la cuanha ïesultante de la venta âe produc.tos y de la prestaciôn de servicios realizacios por operadores econômicos, d~irante el ultimo ejercicio que corresponda a sus actividades, previa deducci6n ::lel lmpuesto al Valor Agregaào y de otros imp ..1estos directamente 1• relacionados cor: la operaciôn economica.

Articulo 74.- Medidas provisionales o cautelares.- La Auforidad àe Frntecciôn de Datos Personales podra aplicar medidas provisionales de protecci6n •:> medidas cautelares ccmtern.pladas en la norma procedimental administra.tiva. CAPÎTULO XII 59 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial AUTORIDAD DE PROTECCIÔN DE DATOS PERSONALES

Articulo 75.- Autoridad de protecci&·~ de ùatos personales.- La Autoridad de Protecci6n de. Datos Personales podré. iaicia.r, de oficio o a petici6n del titular:, actuaciones previas con el fin de conocer las circunstanc ias del casa concreto o la convenienci a o no de iniciar el procedirn.iento, para lo cual se estarâ. conforme a las disposicione s del C6digo Orgânico Administrat ivo . Articufo 76 ... Funcion.es atribucfone s y facultades.- La Autoridad d.e Protecci6n de Dato,s Persona.lès es el .~rgano de control y \'igilancia encargado de garantizar a todos los ciudad~-1.nos la protecci6n de sus datas personales, y de reaUzar todas las accicnes necesarias para que se respt.te!~ los principios, d,~rechos , garantïas y procedunien .tos previstos en la prestnte Ley y en su reglamento de aplicaci6n, para lo cus.l le co:responde las siguienœs func10nes . atribucione:s y fa.cultades: 1) Ejercer ia supervision, control y evalLaciôn de las actividad,:.:s efectuadas por el responsaLle y erKHrgado del tratamiento de datos personales; 2) Ejercf•r !a potestad. sancion2.do:ra respecta de responsable s, delegados, encargados y terc1.:~ros, conforme a. lo es1.:2,blecido en la presenk Ley; 3) Cono;✓er , s-r.stanciar y resol,;,-er los redamos interpuestG s por el titular o aq_udlos i:niciados de oficio , asi corno aplicar l";s sanci0nes corn;spondie ni:es; 4) Realiz2.r o dele"<.tr auditorias técnicas al tratamiento de d2.tos personales; 5) Erni.ti';- nonn.?diva. general o técnica, ctiterio~ y dernàs actos que sean :;1.ecesar10:-:; pa:a d ejercicio de s·t.:•. s competenci as y la garan·.1::, de1 ejerc1cio del derecho a la pro t,~sci6n de datas persona.les , 6) Crear, dirig.ir y admirn.strar el Re!{ s,:ro Nacional de Frot,~cciôn d~ Datos P~rsonales > asi como coo:rdi.nar la.s acc10::.1 e.s necesarias con entidades del sector publicc y 1Jdvadü para su E:fectivo funcio!l8.mié:nto; ï) Pro~nC'ver une. cooràinaciô n adecùada y eficaz con .los encargados de la rendici6n de cuentas y participar en :nic.i;:,fr;as internac10na lc:, y regi.onales para la proteccion t-:e 12 protecc_én de lo~, dat0s pe.rsonales; 8) Dicta.·· las cîà'Lisulas esi:ândar de protecc:.on de datas, a:::1 corn'.) verificar el contenido de las c.làusulas o garantias ad.ic.'.onales o especificas: 60 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 lOj Ejtr-:er e1. control. y emili! J.as tesolucic-nes de autorizaci6n para la transfer(::ncia i:1ternacionalde dato~;; 11 l Ejercer ia. representaciôn · mteï.T'.ac iot1al ~n matèri8. de preitecciôn de datos person2.l es; 12) Em;1:r direu:ices para el àiseno y (.•)ritenido de la politica de tratamiento de datos persc:r.aies: 13) Esra:Jlecer din~ctrices parn eî an ali•,Î;-i e'.'éÜuaciôn y seles~/m de medidas de segurida~. de !os datos personales, 14) LlevStr un H';~;istro estadïsticû sobre vulneraciones a 18. segL~Tilfad de datos persor;aks e idcELificar posibles r..-:i~jic;a~: ci•.:' scgurîdad para cr:,dc.. una de ellas; l.S) Pu!:.1E-::r,.r pe.: -iéd.:carnentç un;:i gma rk 1a norrr1ativ2. relafr,-::t s: la prnteccion de ··.,,t-<' QU lJ .._, j:,-Jé•rs:o O .- n,:,le,· • - ,; ~ .t. t,..; • ., .... . . del derecho 8 la de datas eJe!"C1ClC person~l~~~, ;si C•;!llO :a cC;ncientiz.a;jén en 1&s pe!·sonas 1 la. co:·:nprsnsiôn de los riesgos , n,.:,rr:rE~~~. gararn:ias y derechos, :.~1-: :cds.cié,n con el trdtarniento y use de a grupos de la c1. personalt:s (~eni:F.; del tr::c.tt8.m:entc df; (!.:::-:·~,>=- 11.evecl.o a cabo fl tr;-:i,v{;:':, dë.1. Sistema T,T~c·1·01-l'"·1 1-'<Ct. ri e·, ç-_i,,;:i·.,:,~r~,c:: p,:, to-1••1',, ri . :.....l -..- ... • \., ::·,J.-'1 .... , ., ,....1 L \...4.. t"·"' ' " \. .. ,1 -.> . .. , Articulo · 7'? .: Del titula:- de lê.. Autoridad de Protecdôn ·de Dates... El Superi:i.te'. ;èerü •~ rle Prc,tecciéo. . a cuerdo a lû esta·:..,lecié.~} e:ri :.1 c:onstitudôn de 1::-:. 1-ç.:>y_·(1 hïica, de la ~eP iél. ciue remita la Presüfent':'; c, P r,~ r-üden tt' de la RelJ':~ oli,::cJ, :.;;1.4:;1.:.iendo c:ritenos de espi::dahci.8.d y .;.J!. 1 , ...... 4 •- .. ,,: Lc ci"' P··or· ·· E i ~· 0;, •· ..., .(, f ··n,:.•cn,··, .... 1J.1• e_. .... . .. ,_j ~.... 1• c... ...r'1tc, . ./ rJ'erecho ..... ~L). c'). . t')S rie')er•:, "er ·,n pr•"'t·... ~,;'Jî1"'1 rc·. t'_v::.Il ,·La, .v ..:.'- d . , \.... _ '-A- ..:-i .. \. ~ . •• , .. ...., .\ - _ 1. ... , de 8is~~::-.::,a8 dc L1formac!ôn, de Ct)m·Jn:;~aci1i n. o de Ter.:nGiogias. i:;c,n titulo d~ 61 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial cuartc, nivel y experiencia de al mer;:os l O an.os con area.s :-=i.fines a la materià objeto de regulacihn de esta_ ley_. Ejercerà sus fur1ciohes por un pe:-fodo de 5 afios y ûriicamente cesarâ en sus funciones · po:t l;:-~s causales estable,:::id~rs è.I"i. la ley que reguïc, el servicio pûblico que k se'.3.n ::i.plicables o por destituc 1or., lu.egc de enjuiciamiento pt)litico reaÜzado por la Asamble.a Nacional. DISPOSICIONES GENERALES PRIMERA.- E:. - ., k, àispuesto al proce~füniento administrntivo se estarâ a lo previsto en el C,idigo Ü!"ganico Admi!""üst.nitivo . SEGUNDA- E1·, t'i. âmoito del derc~cho de. acœso a la infc,rma.ciôn pùblica son TERCERA. - E!'.1 c=:: â..rnbito de los dates personales registrables , f;On aplicables las disposic10nes de lns leye s de ia ri:1ateri.a. CUARTA.- La Auloridad de Protecc.ién de DRtos Personales sern re:sponsable de coordin8.~· las acci Jnes necesa::ias con entic:adë:s del sector p1.·i ~)lico y privado para 1 el efective, funciçnami~nto del Registre Nacional de Prute::cciôr~ de Datos Persona.les . QUINT.A.- La 1\ 1.-:.îoridad de . Protecci6n de Datos Persona1es sc.:rà respon"iable de oresenlar miorrne-s anuales de evaluacion v revisiôn de 12. iJresente Ley, a la crudadaue.. SE~TA.- Créase t'1 Registra Ûniço de Responsabler; y Encargac{os Inct.œ.plidos, en el c1...al s~ Hevara 1.m registre de los Respon.:ables y Enca.rgacios dd Trn.tamiento de Datos F•èrsnnaies, que hayan in:-urrido e_r~ una de las infra..::ciones estc,blecidas en la pres(::nte Ley; mismo que tèndni fines sociales, estadîstic'..'. S, prevf.:ntivos y de capacita~:iér:. cuyo funcionarnierLto estart~ ,~stablecido en el R~glamento de la Ley de Pr:J·~ee;ciôn de üa.tos Personales. SÉPTIMA.- El é'jcrcicio de los derechos ;-econocidos en la prescnte norrna podrâ ser exig1do po1- el titular i: .-1 <lependien teflf:"nte de la ênt:"ada -::n vigor del régimen saEcioEatcrio. · OCTAVA ... Ningu .1a entidad pûblica c., priva.da. podrâ cobrar Htlores por servicios 1 de entrega de infonr..ackin susteEtada en datos del solicitantC; de los mismos. 62 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 NOVENA.- Se procurarâ que en lo referente a los pueblos y nacionalidades indîgenas, el tratamiento de s1J s da.toc:; ;-'F-rsonales sea en sus idiomas y lenguas ancestrales. DISPOSICIONES TRANSITORIAS PRIMERA.- Las disposiciones relacio_nadas con las medidas correctivas y el régimen sancionalorio entrarân en vigencia en dos a.nos contados a partir de la pub!icac1ôn de esta ley en el Registra Oficial, en el transcurso de este tiempo los responsables y encargados del tratamiento . de datas personalcs se adecuarân a los preceptos establecidos dentra de esas disposiciones, su reglamento de aplicaciôn y demà.s normativa emitida por la Autoridad de Protecciôn de Datas Personales. El resta de disposiciones establecidas en esta ley entrarân en vigencia conforme se establece en la Disposiciôn Final de esta Ley. SEGUI'fDA.- Todo tratamiento realizado previo a la entraàa en v1genc1a de la presente Ley deberâ adecuarse a lo previsto en la presente normc1. dentrn del plazo de dos an.os contados a partir de su publicaciôn en el Registra Oficial. El incumplimienrn de la presente disposiciôn dara lugar a la aplicaciôn del régimen sancionatorio establecido en esta Ley. TERCERA. · Los responsables y encargados del-tratamiento de datas persona1es que haya.n imp)ementado los preceptos recogidos dentra de esta Ley antes de plazo seüalado en la Disposici.ôn Transitoria Primera obtendrân un reconocimiento po.r buenas prâcticas por parte de la Autoridad de Protecciôn de Datas Personales. CUARTA.- La transferencia intemacional de datas personales que ht...biere sida realizada antes de la entrada en vigencia de la presente Le~/ sera legitima, sin perjuic10 de que el responsable del tratamiento de datas personales deba aplicar lo dispuesto en esta norma para acreditar su responsatilidad praactiva y demostrada. El respor..:sable de tratamiento de½erâ. adecuar la transferenci.s. internacional de datas persona!es a la presente norma en ,... n plazo no mayor de dos anos contados a partir de la. publicaciôn de la presente norma en el Registra Oficial. El incumplimier:to de la presente disposiciôn dara lugar a ia aplicaciôn del régimen sancionat.orio establecido en esta Ley. 63 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial DISPOSICIONES REFORMATORIAS PRIMERA.- De la Ley de Comercio Electr6nico, Firmas Electr6nicas y Mensajes de Datos, publicada en el Suplemento del Registro Oficial 557 del 17 de abril de 2002: 1. Suprimese las definiciones de intimidad, datos personale8, datos personales autorizados del glosario de términos establecido en la Disposici6n Genera) Novena. SEGUNDA.- En la Ley Orgânica del Sistema Nacional de Registro de Datos Pûblicos publicada en el suplemento del Registro Oficial 162 del 31 de marzo del 2010: 1.- Sustitûyese: a) El término Direcci6n Nacional de Registro de Datos Pûblicos por Direcciôn Nacional de Registros Publicos; b) El términc Sistema Nacional de Registro de Datos Publicos por Sistema Nacional de Reg1stros Publicos; c) El térrnino Registro de Datos Publicos por Registros Pûblicos; dl El término datos de carâcter personal por datos personales; e) El término datas pùblicos registrales por la expresiôn datos pùblicos y datos personales regist~a bles; f) El articulo 6, p:x el siguiente: "Art. 6.- Accesibilidad y conîidencialidad.- Son confidenc1ales los datos de caracter personal. El acceso a estos datos, solo sera posible cuando quien los requiera se èncuentre debidamente legitimadci, conforme a los paràmetros previstos en la Ley Organica de Protecciôn de Datas Personales, su re::;pectivo reglamento y demâs :10rmativa emitida por la Autoridad de Protecc.i6n de Datas Personales. Al amparo de e:;;té, Ley, para acceder a la informaci6n sobre el patrimonio de las personas cualq·Llier solicitante èeberâ justificar y motivar su requerimiento, declarar el uso que harâ del mismo y consignar sus datos basicos de identidad , tales coma nombres y apellidos completos , mimera del documenta de identidad o ciudadania, direcciôn domiciliaria y los dernas datos que meàiante el respectivo 64 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 reglamento :se determinen. Un uso distinto al declarado darâ lugar a la determinaci6n de responsabilidad es , sin periuicio de las acciones legales que el titular de la informaci6n pueda ejercer. La Directora o Director Nacional de Registras Pûblicos, definira los demâs datos que integran el sistema nacional y el tipc de reserva y accesibilidad. 2 .- Incorp6rase: a) En el articula 31 referente a las atribuciones y facultades de la Direcciôn Nacional de Regis7.ro Pûblicos antes del numeral 14 lo siguiente: "14. Controlar y supervisar que las entidades pertenecientes a.l Sistema Nacional de Registras Pùblicos incorporen mecanismos de protecci6n de datos personales , asi como cl.ar cumplimiento a las disposiciones establecidas en la Ley Organica de Proteccion de Datos Personales, su reglamento de aplicaciôn y demâs rwrmativa que la Au:oridad de Protecciôn de Datos Personales dicte para ei efecto: 15. Tratar datos procedentes del Sistema Nacional de Registras Pùblicos o de cualquier otra fuente, para realizar procesos de analitica de datos, con el objeto de prestar servicios al sector publico . al sector privado y a per scmas en general, asi como generar productos, reportes, informes o estudic-s, entre otros. Se utihzaran medidé1.s adecuadas que garanticen el derecho a la protec:ci6n de datos persona.lts y su u.so en todas las etapas d~l tratamîento. como por ejemplo, t.écnicas ::te disociëci6n de datas, y," 3.- Supr:!"iese è.el n11meral 13 del articu.lo 31 lo siguier.te: "y''; 4.- Reenurr;erar e.! numeral 14 del ê.rticulo ~3 1 por numeral "16": TERCERA ... En el C6digc Organico de la Ec(hl'Jmîa Social de los Conocimiènros, Crea.tividad e lnr.:.,waciôn publicado en ei suplemento cl.el Registro Oficial 899 del 09 de diciembre, rl~ 2016, sustituyase la palabra confidencialidad por Protecciôti en el r.umeral .S del articula 67 . CUARTA.~ Er~ la Ley Orgârüca d.e ·Telecomnnicacion es, publicada en el tercer suplemento d ~l Registre Oficial 439 d.el 18 c1.e fëbrero de 20J.5· 1 .- Suprimese: a) El i.11ciso se9-1ndo, tercer y cuarto del arüculo 79; 65 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial b) En el primer incise del artic1_llo P..3 lo sigmente "( ... ) y ,;eguridad de datos nerc-c)n"'1P~, ï \) 1 ·1r. · ·\ , ~•.:.-\._....,_ \• , } .. , ' c) En el inci.so primera del a.rticuio g5 k siguiente "( ... ) como de seguridad de datos persona! (. ..)" 2. - Sust.tï.lyese: a) El arti<.:uJo '/8 por el siguiente:

"Art. 78 .- Seg..1r-idad de los Datos PersŒ1ales.- Las y l1-1s prestc1d ores de sen;1c10s de telec'c•:nunicétciones deberan adoptar J.8s medidas técnicas, organizativas y de cualquier otra indcle adec~adas para pi:eservar ia seguridad de su !'ed con el fin de garant:iwr la protecciôn de los datos personales de r.onformidad con lo estabïecido en la Ley Organica de Protec•.::ién Je Datos Person éiles." b) El artkù.lo 81 por el siguiente:

"Art. 81. .. ,:}lJfas teiefonicas c de abo~ados en genera.l.- Los a.bor..ados, clientes o us,:i.ar:r_,s t:en i::r, ,:=J derecho a no figurar en gùias telefônî.cas o de abonados. Deberân ser ;nformados, de ~:onformid8.d Cl'•n lo establecido eP 12. Ley Organica de Protecc~ori è.e .:J;;;t_o~ Personales, de su:: dercchos con respec~c a la 1 1tillzaci6n de sus cl8to::; perso:iales en ias guias telcf6nicas o de abonados y, <:::n particular, sobre el ù:n o los fines de clichas f.;'\.lL~.s, asi como scbre el clr::rccho que t1~·n.en, ~n forma g:-e.. t11ita , R. no se1· incluidü~, E:n talcs g-ùias. "

"Art. 82 ... U:::.c, cor:1ercial de d9.tos pen;cn2<lcs.- Las y los prest ad:)res dr. 3erv1c10s no podri.:r: usar mnos persona.les. tô forn:iac:6n del uso del sen icio , infc,rmac16n de trâfico· o . ~l pa1'r{,.:1 de consume de s u s ':'l.bonad0s, clientes ,_:. usuarics parct la promoci-:',1-. com(.~rcial de se:rvicio~ c ::·roduc te>s, a men '.)s que el abonado e, usuario al que f'.r. refie; ai't los datos o taJ informsciôn, haya dadc s~1 consentimiento conformi: le e:~rahlecido e:1 1.a Ley ~)rgàni:a -:ie Pntecci6n de Dato~: Personales. Los u's u8.::frJs :::, s:L)onados di.suondrè..D de la r•: -; sib1Eclad c:lara v .fàcil de retirar su L - • conse,1• ~.; • ' ... , , LL'TI!clll.1../ :d.,#,:..~, c.=-1 cbO ue $1...,.::> ..... [) ,-, 1 ,..., ,-) ,·1 ~· 1 a.,.OS• •r • (_...,o , f , )· ~ .- -. •· <.. c'1. L. es 1L<. ...j1.lC.:a.,,1.i::t.. La •1nf()fffictClC -1 1t:.l • ; . , .:irl r 'T'r]a. consentimicnt;; d.-i be:::-a espt-cificar :os dmc-.~ ptrsonales o infcnna,:::i6n c.uyo uso se autoriza!1, el ::i.=:1:1.1:.p0 y .:;u cbjetivn especific;:. Sin contÉtr c~on ~àl co1:.se:ntimiento y coi.1 !;:,_s mismas can c 1 .-::r isticas, las y los prestidor-;:::s d.e servicios de teleco:rnunic1cicn"s ne podraa co:1-iucia liz2r, r::ecter o 66 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 transfer;_r _a terceras los dates persmrnJ . .~s de s 11s usuarios~ cli.entts o abonados. Igual re~p,1·i~ito se aplicani" para::~. ir,fonniwiôn del uso del servicio, informaciôn de trafico . o del patrôn ·. de con sumo· de s1-1s us1.1arios, clientes . y abonados." ' · d) F.l aniculo 83 por el siguiente: "Art .. 8.-:i,~ ·· :__;onŒrJl " + • +. . lecrnco. 1r, - 0uan d o para la r.eanzac10n '. . . de .c,S 1 tareas d- e contra1 técnico, ya sea para verificar cl adecu.adü · .1s0 del espectrr.i radioeléctrico, la correcta prestaciôn de los servicios de r.clecoc.:unicaciones, cl apropiado usa y operad6n de reôts de tèlecorr11Jn:ca.ci011e::: o para comprobar- las medidas imule:meu i:8.:ié:....~ para g1aranLzar el ~ecn.to dt la~ comunicacionr:s v se!!lb L •• . iriüad de .., ~ datos personales. sea necesaria l'-\ L°Lt:~izac1Cm de equipos , infraestructuras e instalacior.i.Gs que puedan vulnera:- la segundad. e iEtegri.daè. de las redes, La Agencia de Regi.~;aci6n y Control de Jas Telecomv.nicaciories debera dise11ar y establecer prn::edimientos que reduzca.n al minima el nesgo de 2 fectar los contenid8s de 12.& comunicaciones. Cuandc, como <:ol1.secuencia dé! los cont-Jles técnicos efe(:tetados, quede constar:sia d..:.; J.r,s .. contenidos, se debera cc-ordinar con 1a Autoridaà de ?rotecciôn de Datos fJer ,sonales para que: a) Lx, soportes en lofs que éstos apate?.can no sean t"tl aim2.cenados n: divulgacbs; y, b) L,Js soporLc:s sean inrr..ediat8.merne dei;;l:-uidos y desechr1rlc,s Si se evid~nc1.::.t un tratam1tc.to ilegitirno o iLoto de è &.tos persona.les. se aplicarâ lo àispuestc eL i::. u~y Organica dt: ProtecGÔ!J. de Datos Pe:rsonE,!é's ·, DISPOSICIONES DEROGATORIAS PRIMERA,-· Dêr ôg:isr el articulo 9 dë. ~a Ley de Come:-cio El<~<:trônico , Firmas Electronicas y Mer1s&jes de Date~ . nubii,~ad a cm el svplementc del Regi3tro Oficial 557 del l7 de abnJ. de 2002. SEGUNDA.·· Derngase los articak,:) 80 y 84 de · la Ley Organica de Telecom.unic:.:1cim-:t,:'3,- publicada. en ç·l t~rcer [):J.pleme.cto del Registra Ofi.cial 439 del 18 de febrero de :20-lS. 67 Miércoles 26 de mayo de 2021 Quinto Suplemento Nº 459 - Registro Oficial TERCERA,- !)côgase el articulo :~ dE 12. ~-~_\' Orgânica del Si,, ~cma Nacional de Registra de üa t ) ·? Pùblisos pubh.·::,:i;:-: :! ;1 ~l ·-c~,lemento de~ Ri~gistro Oficial 162 de 31 de marzo ci:> .:~o JO. CUARTA. • Q,ï.f:•lé-71. asJ m1smo derogadas tod.a.s aquellas disposiciones de igual o menor Jernrqui:i que se contrapong2.n cc,n 18. t=::-esente Ley Org::i r-ica. DISPOSIClÔN Ji'IN AL La presen:e Ley E:ntrara en vigencia u:r.r:t vez pt.. .biicada en el R1:'~~istro ()ficial. 1 Dada y Sl.'.<.:,•: n ~o, ·1. los diez dias Ciel mes dt n: ·1yo del afio dos 11 1d veir1tiuno . ING. CÉSAR LlTARDO CAICE-DO PR. JAVr:FR RUB1() DUQUE. 68 Registro Oficial - Quinto Suplemento Nº 459 Miércoles 26 de mayo de 2021 PALACIO NACIONAL, DISTRITO METROPOLITANO DE QUITO, A VEINTIUNO DE MAYO DE DOS MIL VEINTIUNO. SANCIONASE Y PROMULGASE Lenin l oreno rcés PRESIDENTE CONSTITUCIONA DE LA REPUBLICA Es fiel copia del original.- Lo Certifico. Quito, 21 de rnayo de 202 1 69 CORTE CONSTITUCIONAL DELECUADOR Ing. Hugo Del Pozo Barrezueta DIRECTOR Quito: Calle Mañosca 201 y Av. 10 de Agosto Telf.: 3941-800 Exts.: 3131 - 3134 www.registroficial.gob.ec El Pleno de la Corte Constitucional mediante Resolución Administrativa No. 010-AD-CC-2019, resolvió la gratuidad de la publicación virtual del Registro Oficial y sus productos, así como la eliminación de su publicación en sustrato papel, como un derecho de acceso gratuito de la información a la ciudadanía ecuatoriana. “Al servicio del país desde el 1º de julio de 1895” El Registro Oficial no se responsabiliza por los errores ortográficos, gramaticales, de fondo y/o de forma que contengan los documentos publicados, dichos documentos remitidos por las diferentes instituciones para su publicación, son transcritos fielmente a sus originales, los mismos que se encuentran archivados y son nuestro respaldo.