Cuando salió la noticia de la multa a LigaPro, vi la misma reacción en muchos dueños de pyme: «eso es de fútbol, de reconocimiento facial, de una institución enorme. A mí no me toca».
Entiendo la reacción. Pero se equivoca en lo importante.
La Superintendencia de Protección de Datos Personales (SPDP) no sancionó una aplicación por ser de fútbol. Determinó que el consentimiento de 14.398 personas no se obtuvo de forma válida. Y esa misma pregunta, ¿cómo y con qué permiso llegó cada contacto a tu lista?, está pendiente en tu base de WhatsApp y de email.
Hoy pasamos del navegador (donde vimos el Pixel y GA4 y el banner de cookies) a algo que vale más: tu base de contactos.
Qué pasó, sin el ruido
El 1 de diciembre de 2025, la SPDP dio a conocer sus primeras sanciones por infracciones graves a la Ley Orgánica de Protección de Datos Personales (LOPDP). Los sancionados fueron la Liga Profesional de Fútbol del Ecuador (LigaPro) y la Federación Ecuatoriana de Fútbol (FEF), por el tratamiento de datos en sus apps Fan ID y Fan FEF.
Los números, para dimensionar:
- LigaPro: multa de USD 259.644.
- FEF: multa de USD 194.856.
- Total: cerca de USD 454.500.
En Fan ID, el hincha se registraba escaneando su cédula, dejando sus datos y haciéndose una foto para reconocimiento facial. La infracción fue calificada como grave porque, según la Superintendencia, no se aplicaron medidas administrativas, técnicas, físicas, organizativas y jurídicas suficientes para tratar bien esa información.
Reportes legales de la época mencionan unos ocho meses de requerimientos e inspecciones antes de la resolución. Es decir, no fue un castigo improvisado: fue un proceso.
Lo más caro no fue la multa
Mira lo que se le ordenó a LigaPro además de pagar: informar a esas 14.398 personas que su consentimiento no fue obtenido válidamente y eliminar sus datos de todas las bases de la entidad.
Una multa se paga una vez. Perder la base es perder un activo que costó años construir. Ahora ponlo en tu escala: tu lista de WhatsApp y de email es probablemente lo más valioso que tienes para vender sin depender de que Meta o Google te cobren cada clic. Y es justo lo que se borra si el origen no se puede defender.
Súmale el mensaje: escribirle a tus clientes para decirles «el permiso con el que te contactábamos no era válido». No hay presupuesto de marca que arregle eso.
Para entidades privadas, la ley contempla además multas de 0,1 % a 0,7 % del volumen de negocio del año anterior en infracciones leves, y de 0,7 % a 1 % en las graves.
Pero yo tengo sus datos porque son mis clientes
Aquí está el malentendido más común. Tener el número de alguien no es lo mismo que tener permiso para escribirle promociones.
La LOPDP pide un consentimiento libre, específico, informado e inequívoco. En enero de 2026, un pronunciamiento técnico de la SPDP (Oficio SPDP-IRD-2026-0028-O) fue más lejos en un punto práctico: cuando el consentimiento es la base legal y los datos se piden directamente a la persona, el deber de informar es integral y previo. Hay que comunicar todos los contenidos mínimos del artículo 12, sin recortar los que incomodan. Omitir alguno afecta la validez del consentimiento.
Traducido a tu negocio, y como lectura práctica (no como veredicto legal):
- Específico significa que dar su número para una cotización o una entrega no equivale a aceptar promociones.
- Informado significa que supo quién eres, para qué usarías su dato y cómo retirarse, antes de aceptar.
- Libre e inequívoco significa que no hubo casilla premarcada ni un «acepto todo» que mezcla términos, promociones y terceros en un solo clic.
Las 6 formas en que una base de pyme se contamina
Casi nunca es mala fe. Es historia acumulada que nadie revisó:
- El Excel heredado. Contactos de un vendedor que ya no está, de una feria o de un evento. Nadie sabe de dónde salió cada fila.
- La lista prestada o comprada. Un aliado te «pasa» su base, o la compras. La persona nunca supo que existías.
- El número dado para otra cosa. Te lo dieron para coordinar una entrega y hoy recibe tus promociones.
- La casilla premarcada o el consentimiento «todo en uno». Un solo clic que acepta términos, promociones y compartir datos.
- Agregar gente a grupos o listas de difusión sin preguntar. Cómodo para ti, invasivo para quien lo recibe.
- Sin evidencia y sin salida fácil. Tienes el contacto, pero no sabes cuándo ni qué aceptó, y darse de baja es un laberinto.
El test de 5 preguntas para tu base (15 minutos)
Responde sí o no, con sinceridad. Toma tu lista principal de WhatsApp o email y revisa una muestra de 20 contactos:
- ¿Sabes de dónde vino cada contacto (formulario, tienda, evento, compra)?
- ¿Puedes demostrar cuándo y qué aceptó cada persona?
- ¿Aceptó recibir promociones, o solo te dio su dato para otra cosa?
- Antes de aceptar, ¿sabía quién eres, para qué usarías su dato y cómo retirarse?
- Si alguien te escribe «borra mis datos» o «no me escribas más», ¿puedes cumplirlo en todas tus listas: email, WhatsApp, CRM y el Excel de tu vendedor?
4-5 síes: vas por buen camino. Tu trabajo es sostenerlo cuando la base crezca.
2-3 síes: tienes una base con tramos que no podrías defender. No es motivo de pánico, es motivo de ordenar antes de que alguien te lo pida.
0-1 sí: tu base es hoy un activo con un riesgo que no está en ningún reporte. Mejor descubrirlo tú que enterarte por un requerimiento.
Dónde la mayoría se queda a medias
Detectar el problema es la parte fácil. Lo difícil es arreglarlo sin destruir lo que sí funciona.
Borrar todo «por si acaso» te deja sin canal de ventas. Mandar un «acepta de nuevo» masivo sin una estrategia puede costarte más contactos que el riesgo que querías evitar. Y ordenar el consentimiento en un solo canal no sirve de nada si tu CRM, tu email y tu WhatsApp no se sincronizan: la persona se da de baja en uno y sigue recibiendo mensajes por los otros.
Lo que suele faltar es esto: clasificar cada segmento por origen y riesgo, guardar el consentimiento como un dato del CRM (con fecha, canal y finalidad), diseñar la campaña de re-permiso para cada grupo y que las bajas se propaguen solas a todos tus canales. Cada pieza parece menor. Juntas son la diferencia entre una base que cumple y vende, y una que depende de que nadie pregunte.
Este artículo es información de analítica y marketing, no asesoría legal. Para decisiones de cumplimiento, valida con un abogado especialista en protección de datos.
¿Tu base de contactos aguantaría esa pregunta?
Si quieres que revisemos juntos de dónde viene tu base, qué parte se puede defender y cómo ordenarla sin perder tus ventas, conversemos aquí.
Y el martes 27 de octubre seguimos con una pieza que une privacidad y resultados: el server-side tagging, cómo medir mejor y exponer menos datos al mismo tiempo.
Fabián Calderón Vega Consultor en Analítica y Growth. Transformo datos en decisiones y campañas en resultados reales. Quito, Ecuador
¿Quieres aplicar esto en tu negocio? Reserva la Revisión de tu sitio web o escríbeme.
Leave a Reply