Seamos brutalmente honestos: en Ecuador, la privacidad ciudadana muchas veces ha sido tratada como una sugerencia, no como un derecho. Como estudiante de Derecho en la UTPL y profesional de la ciberseguridad, leo la Ley Orgánica de Protección de Datos Personales (LOPDP) y veo un texto legal fascinante. Pero como Jefe de Sistemas de una cooperativa con más de 15,000 socios, veo el abismo gigantesco que existe entre el papel y la realidad.
La promulgación de la LOPDP fue un paso necesario, claro que sí. Sin embargo, no podemos ignorar que nació en un país donde las bases de datos de todos los ciudadanos —sí, la tuya y la mía— se vendían en la Bahía por unos pocos dólares. Todos recordamos esa megacrisis de 2019 donde la información de más de 20 millones de ecuatorianos, incluyendo a los que ya habían fallecido, quedó expuesta al mejor postor.
La ley existe, pero ¿por qué no se aplica bien?
He estado en decenas de reuniones donde consultores y "expertos" pintan la adecuación a la LOPDP como un simple check-list burocrático. "Haz que firmen este papel de consentimiento y ya estamos". Es una mentira monumental y peligrosa.
La ley no se aplica bien por tres razones principales: primero, la ignorancia técnica de quienes toman decisiones legales. No puedes legislar o auditar el flujo de datos si no entiendes cómo funciona una API o qué es una base de datos relacional. Segundo, la falta de una autoridad sancionadora que tenga dientes reales y la capacidad técnica para investigar. Y tercero, los costos. Proteger datos de verdad cuesta tiempo y dinero, algo que muchas empresas prefieren ahorrarse hasta que es demasiado tarde.
Escribir una ley es la parte fácil; construir la arquitectura técnica y la cultura organizacional para cumplirla es donde se gana o se pierde la verdadera batalla por la privacidad.
Lo que vivo en las trincheras financieras
En la cooperativa, no jugamos con la información. Manejar los datos financieros de 15,000 personas del Azuay no es solo una responsabilidad legal, es un pacto de confianza sagrado. Aterrizar la LOPDP en nuestro día a día ha sido un desafío titánico.
No basta con redactar políticas de privacidad que nadie lee. Tuvimos que implementar sistemas de clasificación de la información, auditar cada punto de acceso a nuestra red y desarrollar arquitecturas de Data Loss Prevention (DLP) como ZeroTrustRedact, un proyecto personal del que estoy sumamente orgulloso. Es un sistema que enmascara los datos sensibles en tiempo real para evitar fugas internas. Cuando tu cajero consulta tu saldo, solo ve lo estrictamente necesario para atenderte, ni un dato más.
El verdadero esfuerzo no es legal, es técnico y cultural. Es convencer al equipo de que la seguridad por diseño (Security by Design) no es un capricho del Jefe de Sistemas, sino la única forma ética de operar en el siglo XXI.
Propuestas desde la trinchera técnica
Si de verdad queremos que la protección de datos en Ecuador sea algo más que tinta sobre papel, necesitamos cambios urgentes y concretos:
- Certificaciones Técnicas Reales: Los auditores de la Superintendencia de Bancos y la autoridad de protección de datos deben tener formación en ciberseguridad ofensiva y defensiva, no solo en auditoría contable.
- Sanciones Proporcionales y Transparentes: Las multas deben doler lo suficiente como para que sea más barato invertir en seguridad que pagar la sanción. Y esas multas deben ser públicas.
- Educación desde la Base: Desde el Consejo del Tecnológico del Azuay estamos impulsando la integración de la ética de datos en las mallas curriculares. No podemos formar desarrolladores que no sepan qué es la anonimización de datos.
- Incentivos para la Innovación: En lugar de solo castigar, el Estado debería incentivar a las organizaciones que implementan arquitecturas Zero Trust y cifrado robusto.
Una reflexión final
A mis colegas en el derecho: la tecnología no es su enemigo, pero sí es su responsabilidad entenderla. A mis colegas informáticos: ustedes tienen en sus manos los derechos de miles de personas. No son solo datos, son vidas.
La LOPDP no va a proteger mágicamente a los ecuatorianos de la próxima filtración masiva. Solo nosotros, los que configuramos los servidores, auditamos el código y aplicamos la ley con rigor técnico, podemos hacerlo. Es hora de dejar las excusas y asumir la responsabilidad. El tiempo de jugar al descuido con los datos de nuestra gente se acabó.
