Aspectos Relevantes:
La Superintendencia de Protección de Datos Personales («SPDP») ha emitido dos nuevos pronunciamientos en respuesta a consultas relacionadas con la aplicación de la Ley Orgánica de Protección de Datos Personales («LOPDP») y la normativa secundaria emitida por la autoridad.
Ambas respuestas abordan temas de alta importancia práctica para responsables y encargados del tratamiento: la obligación de designar un Delegado de Protección de Datos Personales («DPO») en determinados prestadores de servicios públicos, y el tratamiento jurídico de los encargos de tratamiento cuando el encargado se encuentra fuera del territorio ecuatoriano.
RESUMEN DE LAS CONSULTAS ABSUELTAS POR LA SUPERINTENDENCIA
Consulta – Oficio No. SPDP-IRD-2026-0299-O
Designación de Delegado de Protección de Datos Personales en prestadores de servicios públicos que operan bajo permisos.
Consulta formulada:
Considerando que el numeral 14 del artículo 10 de la Resolución Nro. SPDP-SPD-2025-0028-R establece la obligación de designar un delegado de protección de datos personales para determinados sujetos vinculados a la prestación de servicios públicos, y tomando en cuenta que dicha disposición hace referencia específica a modalidades como concesiones o alianzas público-privadas: ¿debe entenderse que esta obligación también resulta aplicable a las personas jurídicas de derecho público o privado que distribuyen, comercializan y/o suministran servicios públicos en virtud de un permiso otorgado por la entidad competente, aun cuando dicho título habilitante no sea una concesión ni una alianza público-privada?
Pronunciamiento:
La SPDP concluye que la obligación prevista en el numeral 14 del artículo 10 de la Resolución No. SPDP-SPD-2025-0028-R aplica expresamente a las personas jurídicas de derecho público o privado que sean concesionarias de servicios públicos y a las alianzas público-privadas que distribuyan, comercialicen o suministren servicios públicos.
En consecuencia, las personas jurídicas que prestan servicios públicos en virtud de un permiso otorgado por la autoridad competente no quedan automáticamente comprendidas en dicha obligación solo por contar con ese título habilitante. La SPDP aclara, sin embargo, que cada responsable o encargado debe verificar si en su caso concurre alguna otra causal de designación obligatoria de DPO prevista en la LOPDP, su Reglamento General o la normativa secundaria emitida por la SPDP.
La autoridad también recuerda que la obligación de designar un DPO no se activa por el simple hecho de prestar un servicio público, sino cuando el caso concreto encaja en alguno de los supuestos legales o reglamentarios aplicables.
Consulta – Oficio No. SPDP-IRD-2026-0300-O
Encargo de tratamiento con encargados ubicados fuera del Ecuador
Consulta formulada:
En aplicación del artículo 34 de la LOPDP y del artículo 23 de la Resolución Nº SPDP-SPD-2026-0004-R, ¿la calificación jurídica del encargo de tratamiento como una figura que no constituye transferencia ni comunicación de datos personales opera con independencia de la ubicación territorial del encargado, de manera que un encargado situado fuera del territorio ecuatoriano permanece regido por las disposiciones aplicables al encargo y queda excluido del régimen de transferencias o comunicaciones internacionales de datos personales, tanto del previsto en el Capítulo IX de la LOPDP como del regulado en la propia Resolución Nº SPDP-SPD-2026-0004-R; o si, por el contrario, el solo elemento territorial altera la naturaleza jurídica de la figura y determina la aplicación del referido régimen de transferencias?
Pronunciamiento de la SPDP:
La SPDP concluye que el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales, y que esta calificación jurídica opera con independencia de la ubicación territorial del encargado.
Por tanto, si una persona trata datos personales a nombre y por cuenta del responsable, en los términos del artículo 34 de la LOPDP, el hecho de que el encargado esté ubicado fuera del Ecuador no altera la naturaleza jurídica de la relación.
La SPDP señala que, cuando concurren los elementos propios del encargo de tratamiento, el acceso a datos personales por parte de un encargado ubicado en el extranjero continúa sujeto al régimen jurídico del encargo y no al régimen de transferencias o comunicaciones internacionales de datos personales.
La autoridad enfatiza que el elemento determinante no es la ubicación territorial de quien recibe los datos, sino la naturaleza jurídica de la relación entre las partes.
En ese sentido, mientras el encargado actúe por cuenta y bajo instrucciones del responsable, y no para finalidades propias, la relación mantiene la naturaleza de encargo de tratamiento.
Desde BUSTAMANTE FABARA seguiremos difundiendo análisis especializados sobre la aplicación práctica de estos instrumentos normativos y sus implicaciones para los distintos sectores regulados.
En caso de requerir información adicional, por favor contactarse a los siguientes correos electrónicos:
