Consulta
1. «A la luz del artículo 4 de la LOPDP, ¿Cuál es el criterio determinante para calificar a un tercero como encargado del tratamiento cuando dicho tercero no define autónomamente ni la finalidad ni los medios del tratamiento, sino que se limita a ejecutar operaciones bajo instrucciones específicas del responsable?”
2. ¿Permite el principio de finalidad previsto en el artículo 10 literal d) de la LOPDP que un tercero destinatario de datos personales amplíe o redefina las finalidades del tratamiento sin contar con una base jurídica propia e independiente, distinta de la que legitimó la comunicación original de los datos?”
3. Según el principio de conservación limitada y los arts. 8 al 11 del Reglamento General, ¿Cuál es el criterio general para determinar el plazo máximo de conservación de datos personales cuando la finalidad del tratamiento es de naturaleza estrictamente temporal?”
4. «A la luz de los arts. 5 y 7 del Reglamento General, ¿Constituye una obligación jurídica imperativa la celebración de un contrato o instrumento de encargo de tratamiento cuando un tercero actúa como encargado por cuenta y bajo instrucciones del responsable?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la IRD, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
(…)
Destinatario: Persona natural o jurídica que ha sido comunicada con datos personales.
(…)
Encargado del tratamiento de datos personales: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales. (…)
Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” (énfasis agregado).
El artículo 5 de la LOPDP establece lo siguiente:
“Art. 5.- Integrantes del sistema de protección de datos personales.- Son parte del sistema de protección de datos personales, los siguientes:
1) Titular;
2) Responsable del tratamiento;
3) Encargado del tratamiento;
4) Destinatario;
5) Autoridad de Protección de Datos Personales; y,
6) Delegado de protección de datos personales.” (énfasis agregado)
El artículo 7 de la LOPDP estipula lo siguiente:
“Art. 7.- Tratamiento legítimo de datos personas (sic).- El tratamiento será legítimo y lícito si se cumple con alguna de las siguientes condiciones:
1) Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas;
2) Que sea realizado por el responsable del tratamiento en cumplimiento de una obligación legal;
3) Que sea realizado por el responsable del tratamiento, por orden judicial, debiendo observarse los principios de la presente Ley;
4) Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad;
5) Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, encargado del tratamiento de datos personales o por un tercero legalmente habilitado;
6) Para proteger intereses vitales del interesado o de otra persona natural, como su vida, salud o integridad;
7) Para tratamiento de datos personales que consten en bases de datos de acceso público; u,
8) Para satisfacer un interés legítimo del responsable de tratamiento o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma.”
El artículo 10 de la LOPDP explica:
“Art. 10.- Principios.- Sin perjuicio de otros principios establecidos en la Constitución de la República, los instrumentos internacionales ratificados por el Estado u otras normas jurídicas, la presente Ley se regirá por los principios de: (…)
d) Finalidad.- Las finalidades del tratamiento deberán ser determinadas, explícitas, legítimas y comunicadas al titular: no podrán tratarse datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta Ley.
El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. Para ello, habrá de considerarse el contexto en el que se recogieron los datos, la información facilitada al titular en ese proceso y, en particular, las expectativas razonables del titular basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los titulares del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista.
(…)
i) Conservación.- Los datos personales serán conservados durante un tiempo no mayor al necesario para cumplir con la finalidad de su tratamiento.
Para garantizar que los datos personales no se conserven más tiempo del necesario, el responsable del tratamiento establecerá plazos para su supresión o revisión periódica.
La conservación ampliada de tratamiento de datos personales únicamente se realizará con fines de archivo en interés público, fines de investigación científica, histórica o estadística, siempre y cuando se establezcan las garantías de seguridad y protección de datos personales, oportunas y necesarias, para salvaguardar los derechos previstos en esta norma.
El artículo 34 de la LOPDP manifiesta lo siguiente:
“Art. 34.- Acceso a datos personales por parte del encargado.- No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.
El tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales.
El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”
El artículo 35 de la LOPDP establece lo siguiente:
“Art. 35.- Acceso a datos personales por parte de terceros.- No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.
El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.
Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.
El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”
El artículo 47 de la LOPDP establece lo siguiente:
“Art. 47.- Obligaciones del responsable y encargado del tratamiento de datos personales.- El responsable del tratamiento de datos personales está obligado a:
1) Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
2) Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, o normativa sobre la materia;
3) Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas;
4) Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular;
5) Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas;
6) Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales;
7) Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas;
8) Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto;
9) Implementar la protección de datos personales desde el diseño y por defecto;
10) Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales;
11) Asegurar que el encargado del tratamiento de datos personales ofrezca mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales, normativa sobre la materia y las mejores prácticas a nivel nacional o internacional;
12) Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la presente Ley, en su reglamento, en directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
13) Designar al Delegado de Protección de Datos Personales, en los casos que corresponda;
14) Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales; y,
15) Los demás establecidos en la presente Ley en su reglamento, en directrices, lineamientos, regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativa sobre la materia.
El encargado de tratamiento de datos personales tendrá las mismas obligaciones que el responsable de tratamiento de datos personales, en lo que sea aplicable, de acuerdo a la presente Ley y su reglamento.”
El artículo 4 del Reglamento General de la Ley Orgánica de Protección de Datos Personales (“RGLOPDP”) dispone lo siguiente:
“Art. 4.- Definiciones.- Sin perjuicio de lo dispuesto en la Ley, para efectos de la aplicación del presente Reglamento, se establecen las siguientes definiciones:
(…)
6. Tercero: Persona natural o jurídica, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable.” (énfasis agregado).
El artículo 8 del ibidem dispone lo siguiente:
“Art. 8.- Plazos de conservación de los datos personales.- Los plazos de conservación de los datos personales no deberán exceder aquéllos que sean estrictamente necesarios para el cumplimiento de las finalidades que justificaron el tratamiento.
La Autoridad de Protección de Datos regulará los plazos de conservación de datos personales atendiendo las disposiciones aplicables a la materia de que se trate.” (énfasis agregado)
Asimismo, el artículo 9 ibidem establece lo siguiente:
“Art. 9.- Eliminación, bloqueo o anonimización.- Una vez cumplida la o las finalidades del tratamiento y cuando no exista disposición legal o reglamentaria o no incurra la necesidad de mantener los datos en virtud del interés legítimo del responsable, o por cumplimiento de una obligación legal que establezca lo contrario, el responsable deberá proceder a la eliminación, bloqueo o anonimización de los datos en su posesión.
El responsable establecerá procedimientos para la conservación, revisión periódica, eliminación de los datos personales. (énfasis agregado).
El artículo 10 del ibidem manifiesta lo siguiente:
“Art. 10.- Fichero de registro.- El fichero del registro de la base de datos deberá contener obligatoriamente el plazo de conservación de los datos, que deberá observar necesariamente la materia, naturaleza del dato, su tratamiento y finalidad.” (énfasis agregado).
En la misma línea, el artículo 11 del ibidem explica:
“Art. 11.- Eliminación de datos.- Finalizado el plazo de conservación de los datos, el responsable del tratamiento de datos deberá proceder a la eliminación segura de los mismos.
La eliminación de datos personales no aplicará cuando el tratamiento sea necesario en los siguientes supuestos:
- Por razones de interés público en el ámbito de la salud pública y privada, así como en materia estatal, seguridad, laboral y educación:
- Para la formulación, el ejercicio o la defensa de reclamaciones.
La Autoridad de Protección de Datos Personales podrá requerir información cuando lo considere necesario. Para el efecto, ajustará los requerimientos a normas, lineamientos sobre plazo de conservación y estándares internacionales sobre la eliminación de datos.”
“Art. 40.- Encargado.- El encargado del tratamiento deberá ofrecer garantías suficientes para aplicar medidas técnicas, jurídicas, administrativas y organizativas apropiadas para que el tratamiento cumpla con las disposiciones de la Ley garantizando el adecuado tratamiento de los datos personales y la protección de los derechos de los titulares.”
El artículo 41 ibidem establece:
“Art. 41.- De la relación entre responsable y encargado.- La relación entre el responsable del tratamiento y un encargado debe regirse por un contrato escrito, en el cual se detallen las instrucciones encomendadas respecto del tratamiento de datos personales y, al menos, los siguientes aspectos:
- El objeto;
- La duración:
- La naturaleza;
- La finalidad del tratamiento de los datos;
- La categoría de los datos personales;
- Identificar a los titulares de los datos personales tratados; y,
- Las obligaciones y responsabilidades del encargado.
El encargado del tratamiento deberá respetar las instrucciones que, para el efecto, determine el responsable en cuanto al tratamiento de los datos personales. Para ello, deberá establecer las medidas técnicas y organizativas adecuadas, previo a brindar el servicio, que deberán ser equiparables a aquellas a las que está obligado el responsable en función de los datos y los tipos de tratamiento aplicables, de tal forma que se garantice la protección de datos de los titulares.” (énfasis agregado)
El artículo 43 ibidem establece:
“Art. 43.- Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.” (énfasis agregado).
Con base en los artículos previamente citados, para poder dar contestación a las cuatro preguntas planteadas en la consulta presentada, se procederá a realizar el análisis correspondiente de cada una de ellas en el orden en que fueron formuladas y en concordancia con las consultas previamente absueltas por esta autoridad. Respecto de la primera pregunta, se evidencia una clara incomprensión de la norma ya que la consultante solo cita el artículo de definiciones omitiendo el resto de artículos concordantes y necesarios para poder dar respuesta a su pregunta que son los artículos 34 y 35 de la LOPDP, al igual que el artículo 43 del RGLOPDP, en este sentido se cita lo analizado en la consulta absuelta mediante el oficio N° SPDP-IRD-2025-0096-O:
“Con base en la normativa previamente citada, y para poder esclarecer la aplicación del artículo 34 y 35 de la LOPDP en relación con el artículo 43 del RLOPDP, es necesario determinar los conceptos del responsable del tratamiento, encargado del tratamiento, destinatario y tercero, como punto de partida.
a) Respeto al responsable del tratamiento, el artículo 4 de la LOPDP establece que podrá ser una “persona natural, jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.” Cabe analizar la definición para aclararla respecto a su actuar, pudiendo separarla de la siguiente manera:
i. Que solo o conjuntamente: Este elemento introduce la posibilidad de que la decisión sobre el tratamiento de datos personales no sea exclusiva de un solo sujeto, sino que pueda ser ejercida de forma compartida con otros responsables. Esta redacción reconoce la figura de la responsabilidad conjunta, prevista en la normativa ecuatoriana, mediante la cual dos o más entidades determinan conjuntamente los fines y los medios del tratamiento.
ii. Decide sobre la finalidad: Decidir sobre la finalidad implica que el responsable del tratamiento tiene poder de decisión autónomo o compartido para determinar porqué se recogen los datos personales. Éste es el criterio fundamental que distingue al responsable del tratamiento de otras figuras, como el encargado. El responsable define el “para qué” del tratamiento y, por tanto, asume la responsabilidad principal de que dicho propósito sea lícito, explícito, determinado y compatible con el marco normativo.
iii. Decide sobre el tratamiento: hace referencia a cualquier operación o conjunto de operaciones que se realicen sobre datos personales, tales como su recolección, almacenamiento, consulta, modificación, uso, comunicación o eliminación. El decidir sobre el tratamiento, implica que el responsable tiene control sobre los medios técnicos y organizativos a través de los cuales se lleva a cabo ese tratamiento.
b) Respecto al encargado del tratamiento, el mismo artículo 4 de la LOPDP menciona que es “persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta de un responsable de tratamiento de datos personales”. Al igual que lo previamente efectuado, se desglosa la definición para mayor claridad:
i. Que solo o conjuntamente: Este primer componente indica que el tratamiento realizado por el encargado puede llevarse a cabo de forma individual o coordinada con otros encargados, sin que ello implique autonomía en la determinación de la finalidad. El hecho de que el encargado pueda operar “conjuntamente” no lo convierte en responsable conjunto, pues su actuación se encuentra subordinada a las instrucciones del responsable.
ii. Trate datos personales a nombre de: Este texto expresa que el encargado no actúa en nombre propio, sino en representación del responsable, cumpliendo funciones operativas que le han sido delegadas, y por las que ha sido contratado.
iii. Trate datos personales por cuenta de: La expresión “por cuenta de” refuerza la naturaleza instrumental del rol del encargado. El encargado realiza operaciones de tratamiento por delegación o encargo expreso, en virtud de una relación contractual o legal con el responsable. Su intervención es de carácter auxiliar y debe ceñirse al marco de control y supervisión que determine el responsable.
c) Respecto al destinatario el artículo 4 ibídem, se señala que será la “persona natural o jurídica que ha sido comunicada con datos personales”. A continuación, se desglosa la definición para aclarar su alcance:
i. Persona natural o jurídica: Este componente indica que el destinatario puede ser cualquier sujeto individual o colectivo, a diferencia del responsable o encargado, el destinatario no está definido por su rol funcional en el tratamiento, sino por el hecho de haber recibido datos personales como parte de una transferencia o comunicación de datos personales.
ii. Ha sido comunicada: Este factor delimita el alcance del término a quienes han recibido datos personales como parte de una acción de transferencia o comunicación por parte de un responsable o encargado del tratamiento. Es decir, el destinatario no decide sobre la finalidad ni sobre los medios del tratamiento (como el responsable), ni ejecuta operaciones a nombre del responsable (como el encargado); su rol es receptivo, y se configura únicamente por el hecho de recibir datos personales.
d) Respecto al tercero el artículo 4 del RLOPDP menciona que es “[p]ersona natural o jurídica, autoridad pública, servicio u organismo distinto del titular, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable.”. Se analiza el texto de la siguiente manera:
i. Distinto al titular, responsable del tratamiento, encargado del tratamiento y personales autorizadas para tratar los datos bajo la autoridad del responsable: El tercero es definido como cualquier persona natural o jurídica, autoridad pública, servicio u organismo que no sea el titular, el responsable del tratamiento, el encargado del tratamiento ni el personal autorizado bajo la autoridad del responsable. Esta definición, construida por exclusión, delimita claramente a los sujetos externos al círculo de tratamiento legítimo de los datos personales. Es así que, si bien todo destinatario es un tercero, no todo tercero es destinatario, ya que éste último requiere de un acto concreto de comunicación de datos.
Una vez definidos y determinados los alcances reales de los conceptos antes señalado, esta Autoridad estima necesario que los mismos sean interpretados de forma sistémica y en concordancia con el marco normativo vigente en materia de protección de datos personales. Tal interpretación resulta esencial para una aplicación coherente de las disposiciones legales y reglamentarias que rigen esta materia. En este sentido, es imprescindible considerar el ciclo de vida del dato personal como un eje estructural del tratamiento. El ciclo debe observarse de manera integral en todo tratamiento de datos personales, con independencia de su naturaleza o del sector en el que se lleve a cabo, dado que constituye la base sobre la cual se articulan las obligaciones y responsabilidades de los distintos sujetos intervinientes. La correcta comprensión de las etapas que conforman dicho ciclo permite delimitar con precisión el rol que cada actor –sea responsable, encargado, tercero u otro sujeto vinculado al tratamiento– desempeña dentro del sistema de protección de datos personales, así como sus facultades, límites y obligaciones a lo largo de todo el proceso.
Con el propósito de ofrecer mayor claridad al Consultante respecto a esta estructura funcional, se presenta a continuación una representación gráfica de las etapas que integran el ciclo de vida del dato personal, a fin de facilitar su comprensión y aplicación conforme a los principios y deberes previstos en la normativa vigente:
Como se puede observar en el gráfico anterior, el ciclo de vida del dato personal comprende las distintas fases por las que atraviesa desde el momento en que es recolectado hasta su eliminación o anonimización. Cada una de estas fases debe estar sujeta al cumplimiento de los principios rectores del tratamiento y a la implementación de medidas de seguridad, transparencia y licitud, que aseguren el respeto de los derechos de los titulares y la legitimidad del tratamiento. El proceso inicia con la captación o recolección del dato personal, momento en el cual el responsable del tratamiento debe contar con una de las bases legitimadoras que se establecen en el artículo 7 de la LOPDP. Asimismo, debe informar de manera clara al titular sobre las finalidades del tratamiento y garantizar que la información sea obtenida de forma lícita, leal y transparente.
La segunda etapa se da una vez recolectados los datos, éstos pasan al registro y almacenamiento, sea en formato físico o digital, fase en la que se debe asegurar la integridad, confidencialidad y disponibilidad de la información mediante la adopción de medidas técnicas, físicas, legales, administrativas y organizativas apropiadas. El almacenamiento debe ajustarse a los principios de minimización, proporcionalidad y limitación temporal, evitando la conservación excesiva e innecesaria de datos, solamente conservándolos para la finalidad que motivó su recolección. En la tercera etapa, los datos personales ingresan en la fase de uso o tratamiento activo, que abarca cualquier operación que se realice sobre ellos, incluyendo su análisis, modificación, procesamiento, entre otras. En esta etapa, el tratamiento debe responder exclusivamente a la finalidad declarada y contar con controles efectivos que permitan garantizar la trazabilidad. Es en esta etapa donde el responsable del tratamiento puede realizar un encargo de tratamiento de datos personales.
La cuarta etapa, que no se da ni es obligatoria para todos los tratamientos, es la de transferencia o comunicación a terceros. Dicha transferencia deberá contar con las bases legitimadoras correspondientes y, contar con garantías suficientes que aseguren un nivel adecuado de protección de la información tanto en almacenamiento del responsable del tratamiento como en tránsito. Toda comunicación de datos debe documentarse y estar debidamente respaldada por contratos u otros instrumentos que regulen el acceso y uso de la información por parte del tercero que recibe la información.
Superada la fase activa del tratamiento, se pasa a la quinta etapa que es la de conservación. Los datos deben ser conservados únicamente durante el tiempo estrictamente necesario para el cumplimiento de la finalidad que justificó su recolección. Concluido dicho plazo, corresponde al responsable proceder a su eliminación o a su anonimización irreversible, salvo que exista una obligación legal o contractual de conservación posterior. La conservación debe regirse por el principio de proporcionalidad, evitando la retención indefinida de datos que no responden a una finalidad actual, y aplicando técnicas como la seudonimización cuando corresponda. Finalmente, la sexta etapa corresponde a la eliminación del dato personal, que implica su destrucción definitiva o, alternativamente, su anonimización irreversible, de modo que no pueda ser reidentificado por ningún medio razonablemente disponible. Esta etapa puede ser activada por el cumplimiento de los plazos legales de conservación, por el ejercicio del derecho de eliminación del titular, o por el cese de la finalidad del tratamiento. En todos los casos, el procedimiento de eliminación debe garantizar que la información no pueda ser recuperada ni expuesta posteriormente.
Se enfatiza que el enfoque por ciclo de vida del dato personal permite adoptar una visión integral del tratamiento, identificar riesgos en cada etapa y aplicar medidas de seguridad diferenciadas de protección que respondan al nivel de sensibilidad de los datos y a la naturaleza de la operación que se realiza. En dicho sentido es fundamental que durante todo el ciclo de vida del dato se debe mantener una supervisión constante, debido a que el tratamiento de datos personales es dinámico por lo que la mera implementación no implica un cumplimiento total, sino que se debe mantener una auditoría y actualización constante para poder monitorear el flujo de los datos personales.
Ahora bien, habiendo analizado las diferentes figuras y como éstas se ubican en el ciclo de vida del dato, es menester analizar de manera desglosada los artículos 34 y 35 de la LOPDP, previamente citados. Iniciamos con el artículo 34, del cual se obtienen los siguientes elementos
No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales”.
Prestación de servicio al responsable: “para la prestación de un servicio al responsable del tratamiento de datos personales”.
Acceso legítimo: “El tercero que ha accedido legítimamente a datos personales en estas consideraciones, será considerado encargado del tratamiento.”.
Contrato de encargo: “tratamiento de datos personales realizado por el encargado deberá estar regulado por un contrato (…) en el que se establezca de manera clara y precisa que el encargado del tratamiento de datos personales tratará únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la Autoridad de Protección de Datos Personales.”
Responsabilidad: “El encargado será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento (…)”
En este sentido a continuación se procede a realizar el mismo ejercicio con el artículo 35:
No se considera transferencia ni comunicación: “No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero”.
Prestación de servicio al responsable: “sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales”.
Acceso legítimo: “El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.”.
Contrato de encargo: “El tratamiento de datos personales realizado por terceros deberá estar regulado por un contrato, en el que se establezca de manera clara y precisa que el encargado del tratamiento (…) conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.”.
Eliminación y devolución: “Una vez que se haya cumplido la prestación contractual, los datos personales deberán ser destruidos o devueltos al responsable del tratamiento de datos personales bajo la supervisión de la autoridad de protección de datos personales.”.
Responsabilidad: “El tercero será responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la presente Ley.”.
Es así como, se evidencian varias similitudes entre ambos artículos, de las cuales se destaca que si bien, el primer artículo está dirigido al encargado directamente; y, el segundo, a la figura del tercero, ambos terminan regulando en ambos casos un encargo de tratamiento que es dado por “la prestación de un servicio” al responsable del tratamiento, elemento clave el cual convierte a la relación de las partes en un encargo de tratamiento. De esta manera, se deriva la obligación de eliminación y devolución de los datos personales al responsable del tratamiento una vez finalizada la prestación del servicio, entendiéndose que la supervisión por parte de la autoridad como la posibilidad de desplegar el aparataje institucional en caso de incumplimiento. Consecuentemente se establece la responsabilidad en caso de incumplimiento de las condiciones contractuales establecidas. En este sentido la diferencia de los artículos radica en el momento inicial respecto a quien está dirigido y, del análisis previo se evidencian los siguientes elementos diferenciadores:
Con base en lo previamente señalado, el artículo 35 de la LOPDP debe ser interpretado como una cláusula de reconducción jurídica, en tanto constituye un mecanismo normativo que permite determinar cuándo un tercero que accede a datos personales, en el contexto de la prestación de un servicio al responsable del tratamiento, deja de ser tercero y se convierte en un encargado del tratamiento. Mediante este mecanismo, se busca evitar vacíos de responsabilidad o zonas grises en el tratamiento de datos por parte de sujetos que, si bien formalmente pueden ser considerados terceros, en la práctica brindan un servicio al responsable de tratamiento, convirtiendo el mero acceso a datos personales de dicho responsable del tratamiento, en un encargo de tratamiento. En efecto, el artículo 35 establece un criterio técnico que reconduce la situación jurídica del tercero hacia la figura del encargado cuando concurren determinados elementos: (i) el acceso a los datos personales se produce en virtud de una prestación de servicios a favor del responsable; y, (ii) dicho acceso es necesario para la ejecución del servicio.
Ahora bien, cabe analizar el artículo 43 del RLOPDP el cual establece:
“Responsabilidad del encargado.- El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento. En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas. Si el encargado considera que una instrucción es ilegal, informará al responsable del tratamiento, sin demora injustificada, para que se corrija la instrucción, de ser pertinente.”
En este sentido se destacan los siguientes elementos claves:
“Responsabilidad del encargado”: el primer requisito para que se pueda aplicar este artículo es que debe tener la calidad de encargado. Tanto en los artículos 34 y 35, se constituye un encargo de tratamiento; y, por lo tanto, el artículo 43 del RLOPDP es aplicable.
“El encargado del tratamiento que, por cualquier causa, determine los fines y los medios del tratamiento, se considerará, para efectos de la Ley, responsable del tratamiento en lo que respecta a dicho tratamiento”: de acuerdo con este elemento, en el caso que el encargado por cualquier causa – la cual en TODO momento debe ser legítima – decida sobre los fines y medios de un nuevo tratamiento, se considerará responsable para dichas finalidades. Sin embargo, en este punto cabe recalcar que, al ostentar la calidad de responsable de tratamiento para dichas finalidades, éste deberá necesariamente contar con una de las bases legitimadoras establecidas en el artículo 7 para que se considere legítimo y legal dicho tratamiento
“En tal sentido, para que el encargado sea considerado como tal, debe actuar a nombre y por cuenta del responsable y conforme a las instrucciones documentadas.”: este elemento debe entenderse en armonía con las definiciones dadas por la normativa y el artículo 34, 35 de la LOPDP, en este sentido se entiende que todos los artículos están en armonía debido a que el tratar los datos personales en nombre y cuenta de implica que debe haber una relación contractual entre las partes. Por ende, el que el artículo 34 y 35 mencionen que se configura un encargo al prestar un servicio al responsable del tratamiento por parte del encargado comprende que en la acción de prestar el servicio lo hace a nombre y por cuenta del responsable del tratamiento,
Ahora bien, cabe analizar el artículo 43 del RLOPDP el cual establece:
Con base en el análisis previamente realizado se establece que tanto las definiciones establecidas por la normativa como los artículos 34 y 35 de la LOPDP y el 43 del RLOPDP, no se contradicen y se entienden de manera armónica, donde se señala que el artículo 34, como lo mencionó una de las personas jurídicas a quien se solicitó criterio jurídico es, “la columna vertebral de la regulación para definir a un encargado del tratamiento”. Mientras que el artículo 35 es el artículo que busca evitar vacíos de responsabilidad en casos donde terceros, que acceden a datos personales en el marco de un servicio al responsable, configurando en la práctica una relación de encargo. En este sentido, se establece que los artículos se relacionan y, como mencionaba una de las personas jurídicas a quien se le solicitó opinión jurídica, el artículo 43 del RLOPDP complementa la relación jurídica entre el responsable y el encargado del tratamiento.
Sin embargo, se aclara que una misma persona natural o jurídica, pública o privada, autoridad pública u otro organismo puede ostentar la figura de responsable del tratamiento frente a unas finalidades específicas y de encargado del tratamiento frente a otras finalidades específicas. Es así que, en ocasiones puede ostentar la calidad de encargado del tratamiento para datos personales que ha tenido acceso por prestar un servicio a un responsable del tratamiento, pero se considerará responsable del tratamiento de esos mismos datos personales para otra finalidad legítima a la cual destine los mismos. Por ejemplo, en el caso de que, por una obligación legal, deba conservar dicha información, caso en el cual inicia su propio ciclo de vida del dato. Empero, en dicha relación en ningún momento se pierde la calidad de encargado del tratamiento frente al responsable del tratamiento inicial quien lo contrató para que preste un servicio específico determinado, teniendo que cumplir con todas las disposiciones normativas de protección de datos personales. Es así que, se deberá devolver los datos personales que le hayan sido proporcionados relativos a las finalidades del encargo, pero los datos personales legitimados para sus finalidades propias que ya constan en su propio ciclo de vida del dato pueden ser conservados hasta cumplir con la finalidad de ese ciclo de vida específico.
Adicionalmente, esta Autoridad recalca y enfatiza los siguientes puntos: primero, que la “prestación de un servicio” comprende la acción de realizar dicho servicio a nombre y cuenta del responsable del tratamiento. Segundo, que el encargado del tratamiento que es contratado por el responsable del tratamiento, la mayoría de las veces –si no es en todas- se dedica a un giro de negocio distinto, por esto mismo es contratado; sin embargo, el hecho de que este preste sus servicios que evidentemente son propios, no se puede interpretar como sus propias finalidades. Por lo tanto, el encargado que sea contratado para dar un servicio no puede absorber la base de datos del responsable del tratamiento para intereses propios como, por ejemplo, alimentar su propia base de datos para generar prospección. Tercero, en caso de que, por “cualquier causa” el encargado determine los fines y medios del tratamiento, este último deberá ser legítimo, esto es que debe cumplir con una base legitimadora y demás obligaciones establecidas en la normativa de protección de datos personales para el responsable del tratamiento.”
En consecuencia, el criterio determinante para calificar a un tercero como encargado del tratamiento es la ausencia de autonomía decisoria sobre la finalidad y los medios del tratamiento, sumada a la ejecución de operaciones bajo instrucciones del responsable y en su beneficio. Si el sujeto actúa exclusivamente bajo dichas instrucciones y no determina por sí mismo los fines ni los medios esenciales del tratamiento, debe ser considerado encargado. Por el contrario, si asume decisiones propias sobre tales elementos, adquirirá la condición de responsable respecto del tratamiento específico, conforme al artículo 43 del RGLOPDP.
En relación con la segunda pregunta, se consulta si el principio de finalidad permitiría que un tercero redefina o amplíe las finalidades del tratamiento originalmente determinadas por el responsable, sin contar con una base de legitimación que lo sustente. Al respecto, esta autoridad considera pertinente señalar que la normativa en materia de protección de datos personales debe interpretarse y aplicarse de manera sistemática e integral. En ese sentido, se precisa que la normativa vigente no contempla la posibilidad de ampliar o redefinir finalidades sin que medie la correspondiente base de legitimación. Por lo expuesto, y en atención a la presente consulta, esta autoridad se remite al análisis desarrollado previamente en el oficio N° SPDP-IRD-2025-0096-O, citado en la respuesta a la pregunta anterior.
Es así que, conforme a la definición contemplada en el marco normativo de protección de datos personales sobre la figura de tercero, si este tercero decide utilizar los datos para fines propios se convierte en responsable y, si el tercero actúa bajo el supuesto contemplado en el artículo 35 de la LOPDP, se convierte en encargado del tratamiento. En cada uno de los casos deberá cumplir con las obligaciones respectivas correspondientes mencionadas en la normativa de protección de datos personales.
Respecto a la tercera pregunta, el literal i del artículo 10 de la LOPDP consagra el principio de conservación, conforme al cual los datos personales no deben conservarse por un plazo superior al estrictamente necesario para el cumplimiento de la finalidad que justificó su tratamiento. Este principio es desarrollado en los artículos 8, 9, 10 y 11 del RGLOPDP, los cuales establecen que, una vez cumplida la finalidad, el responsable deberá proceder a la eliminación, bloqueo o anonimización de los datos, salvo que exista una obligación legal o causa legítima que justifique su conservación ulterior.
No obstante, la normativa vigente no establece parámetros objetivos ni plazos máximos predeterminados que permitan fijar, de manera abstracta y general, un límite temporal específico para tratamientos cuya finalidad sea de naturaleza estrictamente temporal. El Reglamento General prevé que la SPDP podrá regular plazos de conservación atendiendo a la materia de que se trate; sin embargo, a la fecha, no se ha emitido una regulación específica que determine criterios adicionales o plazos concretos aplicables a este supuesto.
En este sentido, de conformidad con el artículo 5.3.2 del Reglamento de Consultas, la SPDP no puede emitir pronunciamiento sobre materias que no hayan sido aún objeto de regulación específica por parte de esta autoridad. Por consiguiente, esta Intendencia General se abstiene de establecer un criterio adicional. Y, de manera concordante se cita lo mencionado en el análisis de la consulta absuelta en oficio N° SPDP-IRD-2026-0001-O donde se menciona lo siguiente:
“Esta autoridad precisa que, a la fecha, no se ha emitido una normativa específica que establezca plazos concretos y uniformes de conservación de datos personales en ningún tipo de tratamiento. No obstante, ello no exime a los responsables del tratamiento del cumplimiento del marco constitucional y legal vigente, el cual proporciona criterios suficientes para determinar, caso a caso, plazos razonables de conservación. En este sentido, deben observarse las disposiciones contenidas en los artículos 7, 8, 9 y 11 del RGLOPDP, que desarrollan el principio de limitación del plazo de conservación y obligan a eliminar, bloquear o anonimizar los datos personales una vez cumplida la finalidad que justificó su tratamiento, salvo que concurra una obligación legal o causa legítima que justifique su conservación ulterior.”
Respecto a la cuarta pregunta, ésta plantea la interrogante de si a la luz del artículo 5 y 7 de la LOPDP se debe celebrar un contrato de encargo de tratamiento cuando un tercero actúa como encargado. Ante esto esta autoridad, se remite nuevamente al análisis previamente citado en la primera pregunta. Por lo que, se recalca que cuando un tercero accede a datos personales para prestar un servicio al responsable y actúa por cuenta y bajo sus instrucciones, el artículo 35 de la LOPDP establece que ese sujeto pasa a ser considerado encargado del tratamiento y que dicha actuación debe estar regulada mediante contrato y, adicionalmente al ser considerado encargado del tratamiento por ostentar dicha calidad, adquiere todas las obligaciones y responsabilidades acordes a su posición. En este sentido, la formalización contractual no es una recomendación, sino una condición normativa para que el acceso y tratamiento resulten conformes a la LOPDP.
El contrato cumple una función delimitadora esencial, fija las instrucciones, determina las finalidades autorizadas, prohíbe usos distintos y establece obligaciones específicas del encargado. El RGLOPDP, en sus artículos 40 y 41, refuerza esta exigencia al disponer que la relación debe regirse por contrato escrito y que el encargado debe ofrecer garantías suficientes para cumplir con la LOPDP. Adicionalmente, el numeral 2 del artículo 47 de la LOPDP impone al responsable el deber de implementar herramientas jurídicas apropiadas para garantizar y demostrar el cumplimiento normativo, siendo el contrato de encargo una de esas herramientas, en consecuencia, la celebración del contrato no es facultativa, sino una obligación jurídica imperativa. Su ausencia implicaría incumplir una exigencia expresa de la LOPDP y su RGLOPDP y debilitaría la posibilidad de demostrar que el tratamiento se realiza conforme al marco normativo vigente
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio S/N de 31 de diciembre de 2025, y subsanado el 19 de enero de 2026 del análisis realizado y dando respuesta a la consulta planteada por la Consultante se determina lo siguiente:
1. “A la luz del artículo 4 de la LOPDP, ¿Cuál es el criterio determinante para calificar a un tercero como encargado del tratamiento cuando dicho tercero no define autónomamente ni la finalidad ni los medios del tratamiento, sino que se limita a ejecutar operaciones bajo instrucciones específicas del responsable?”
El criterio determinante para calificar a un tercero como encargado del tratamiento es la ausencia de autonomía decisoria sobre la finalidad y los medios del tratamiento. Cuando un sujeto actúa para prestar un servicio al responsable del tratamiento se entiende que esto se realiza a nombre y por del responsable, limitándose a ejecutar operaciones conforme a lo previamente determinado por éste, deja de encuadrarse en la figura de tercero en sentido técnico y pasa a ser considerado encargado del tratamiento. Si determina fines o medios propios respecto de un tratamiento, asumirá la calidad de responsable conforme a la normativa aplicable.
2. “¿Permite el principio de finalidad previsto en el artículo 10 literal d) de la LOPDP que un tercero destinatario de datos personales amplíe o redefina las finalidades del tratamiento sin contar con una base jurídica propia e independiente, distinta de la que legitimó la comunicación original de los datos?”
El principio de finalidad no permite que se amplíe o redefina las finalidades del tratamiento. En caso de que una persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente decida poner sus finalidades propias a un determinado tratamiento este pasa a ser considerado responsable, por lo tanto debe cumplir con todas las obligaciones del mismo, esto incluye, contar con una base legitimadora propia e independiente distinta de aquella que legitimó la comunicación original de los datos. Cualquier utilización para fines distintos constituye un tratamiento nuevo que debe encontrarse respaldado por una base de legitimación, en ausencia de esta, el tratamiento carece de sustento jurídico y deviene ilícito.
3. “Según el principio de conservación limitada y los arts. 8 al 11 del Reglamento General, ¿Cuál es el criterio general para determinar el plazo máximo de conservación de datos personales cuando la finalidad del tratamiento es de naturaleza estrictamente temporal?”
El criterio general para determinar el plazo de conservación es que los datos personales se mantengan únicamente durante el tiempo estrictamente necesario para cumplir la finalidad que motivó su tratamiento en cada caso específico.
4. “A la luz de los arts. 5 y 7 del Reglamento General, ¿Constituye una obligación jurídica imperativa la celebración de un contrato o instrumento de encargo de tratamiento cuando un tercero actúa como encargado por cuenta y bajo instrucciones del responsable?”
Sí, constituye una obligación jurídica imperativa la celebración de un contrato de encargo cuando actúa a nombre y por cuenta del responsable y esto también se entiende cuando le brinda un servicio a este último. El marco legal aplicable exige que dicha relación se formalice contractualmente, a fin de delimitar las instrucciones, las finalidades autorizadas y las obligaciones del encargado, garantizando el cumplimiento del marco normativo aplicable.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.